Заповнення анкет безпеки та вендорських анкет

AI-агент приймає вхідну анкету безпеки у будь-якому форматі (Excel, Word, веб-форма, PDF), витягує питання, шукає відповіді в корпоративній базі знань і повертає готову чернетку з цитуванням джерела для кожного рядка.

Компанія отримує першу версію заповненої анкети за хвилини замість днів, а юридичний відділ та відповідальні за відповідність вимогам фокусуються на нестандартних пунктах замість повторного копіювання стандартних відповідей.

Що робить автоматизація

1. Приймає анкету в Excel, Word, PDF або через експорт CSV з веб-порталів вендорського перегляду.
2. Парсить структуру — витягує номери, текст питань, типи відповідей (yes/no, вільний текст, вибір із кількох варіантів).
3. Класифікує питання за темами: шифрування, доступи, SDLC, реагування на інциденти, субпроцесори, місце зберігання даних.
4. Шукає релевантний контекст в базі знань — попередні заповнені анкети, політики, SOC 2 / ISO 27001 звіти, DPA шаблони.
5. Генерує чернетку відповіді з цитатою джерела: «Див. Security Policy §4.2» або «З відповіді на SIG 2025 Q1».
6. Маркує невизначеності — питання, де модель не знайшла точної відповіді або потрібне юридичне рішення, позначаються прапором «потребує ручної перевірки».
7. Формує фінальний файл у вихідному форматі (Excel з оригінальною структурою, Word із заповнюваними полями) — готовий до перегляду.
8. Зберігає відповіді в базу знань після схвалення, щоб наступна анкета заповнювалася швидше.

Що автоматизація НЕ робить

• Не підписує зобов'язання від імені компанії. Відповіді залишаються чернеткою до явного схвалення уповноваженим співробітником.
• Не замінює юридичну експертизу для нестандартних питань. Договірні терміни, регіональні вимоги відповідності та нові регуляції потребують людини.
• Не гарантує проходження вендор-рев'ю. Якість відповідей залежить від повноти та актуальності бази знань — застарілі політики дають застарілі чернетки.

Технічна архітектура спирається на патерн RAG Q&A: векторна база знань з векторними вкладеннями корпоративних документів, шар пошуку для пошуку релевантних фрагментів, LLM для генерації відповіді з урахуванням знайденого контексту. Інтеграція відбувається через файлове сховище — вхідна анкета потрапляє до спільної папки, AI-агент забирає файл, обробляє й повертає чернетку до тієї самої папки.

Потік даних

1. Індексація корпоративної бази. Усі релевантні документи — минулі заповнені анкети, політики безпеки, аудиторські звіти, DPA, архітектурні схеми, пресейл-матеріали — конвертуються у фрагменти і завантажуються у векторне сховище з метаданими (тип документа, дата, розділ).
2. Парсинг вхідної анкети. Агент розпізнає структуру файлу: таблиці Excel, пронумеровані питання Word, поля PDF. Витягує пари «question_id → question_text».
3. Класифікація та маршрутизація. Кожне питання отримує тег категорії (access-control, encryption, incident-response, data-handling та ін.) і спрямовується до відповідної підсекції бази знань для звуження пошуку.
4. Пошук. За текстом питання та тегом категорії виконується семантичний пошук — повертаються топ-N релевантних фрагментів із джерелом та оцінкою впевненості.
5. Генерація відповіді. LLM приймає питання плюс знайдені фрагменти й генерує відповідь у потрібному форматі (yes/no + обґрунтування, вільний текст, посилання на документ).
6. Позначення непевних питань. Якщо пошук не знайшов релевантного контексту або оцінка впевненості низька, відповідь позначається «REVIEW REQUIRED» з поясненням, що саме неясно.
7. Збірка фінального файлу. Відповіді вставляються назад у оригінальний шаблон зі збереженням форматування та номерів питань.
8. Цикл перегляду. Юрист або інженер з безпеки переглядає чернетку, виправляє позначені питання, схвалені відповіді повертаються до бази знань для навчання наступних ітерацій.

Ключові компоненти

Кроки впровадження

1. Зібрати корпус документів — 10-30 останніх заповнених анкет, актуальні політики, аудиторські звіти, DPA. Це основа якості пошуку.
2. Налаштувати тригер файлового сховища — папка, до якої потрапляє нова анкета, ініціює обробку.
3. Визначити таксономію питань — 15-25 категорій, що охоплюють типові розділи SIG/CAIQ.
4. Підключити LLM з урахуванням вимог відповідності — при чутливих даних обирається модель власного розгортання або провайдер з підписаним DPA/BAA.
5. Запустити пілот на 2-3 останніх анкетах — порівняти з ручним заповненням, виміряти частку автовідповідей та помилок.
6. Налаштувати інтерфейс перегляду — мінімум таблиця з колонкою оцінки впевненості та кнопкою схвалення.
7. Вивести в бойовий режим — підключити до вхідних, де надходять анкети, і зафіксувати SLA перегляду.

Для запуску автоматизації потрібні доступи до документації, базова домовленість про формат перегляду та вибірка минулих анкет — чим повніший корпус, тим менше відповідей потрапить на ручну перевірку.

Дані та доступи

• Корпус минулих анкет — мінімум 5-10 заповнених анкет за останній рік (SIG, CAIQ або індивідуальних).
• Політики безпеки — інформаційна безпека, реагування на інциденти, управління доступом, обробка даних, SDLC.
• Аудиторські звіти — актуальні SOC 2 Type II, ISO 27001, PCI DSS (якщо застосовно).
• DPA та субпроцесори — шаблон DPA, актуальний список субпроцесорів, регіони обробки даних.
• Файлове сховище — спільна папка, куди надходять вхідні анкети і повертаються чернетки.
• LLM-провайдер з урахуванням вимог відповідності — при чутливих даних обирається модель власного розгортання або хмарний провайдер із підписаним DPA та BAA.

Готовність команди

• Власник процесу — юрист або інженер з безпеки, який затверджує підсумкові відповіді.
• Технічна підтримка — 1 інженер або зовнішній підрядник для налаштування конвеєра та інтерфейсу перевірки.
• Правила оновлення бази знань — домовленість, хто додає нові політики та схвалені відповіді після кожного рев'ю.

Терміни

Базова версія (файлове сховище + RAG + таблиця перегляду) розгортається за 1-2 тижні. Перший пілот на реальній анкеті — вже в перший тиждень. Доопрацювання таксономії, інтеграція з конкретним вендор-порталом і калібрування промптів — ще 2-4 тижні після пілоту.