Заполнение security/vendor questionnaires

AI-агент принимает входящий security questionnaire в любом формате (Excel, Word, веб-форма, PDF), извлекает вопросы, ищет ответы по корпоративной базе знаний и возвращает готовый черновик с цитированием источника для каждой строки. Компания получает первую версию заполненной анкеты за минуты вместо дней, а Legal & Compliance фокусируется на нестандартных пунктах вместо повторного копирования стандартных ответов.

Что делает автоматизация

1. Принимает questionnaire в Excel, Word, PDF или через экспорт CSV из веб-порталов вендор-ревью.
2. Парсит структуру — извлекает номера, текст вопросов, типы ответов (yes/no, свободный текст, multi-choice).
3. Классифицирует вопросы по темам: шифрование, доступы, SDLC, incident response, субпроцессоры, data residency.
4. Ищет релевантный контекст в базе знаний — прошлые заполненные анкеты, политики, SOC 2 / ISO 27001 отчёты, DPA шаблоны.
5. Генерирует черновик ответа с цитатой источника: «См. Security Policy §4.2» или «Из ответа на SIG 2025 Q1».
6. Маркирует неопределённости — вопросы, где модель не нашла точного ответа или требуется юридическое решение, помечаются флагом «требует ручной проверки».
7. Формирует финальный файл в исходном формате (Excel с оригинальной структурой, Word с forms) — готов к ревью.
8. Сохраняет ответы в базу знаний после одобрения, чтобы следующая анкета заполнялась быстрее.

Что автоматизация НЕ делает

• Не подписывает обязательства от имени компании. Ответы остаются черновиком до явного одобрения уполномоченным сотрудником.
• Не заменяет юридическую экспертизу для нестандартных вопросов. Договорные термины, региональные compliance-требования и новые регуляции требуют человека.
• Не гарантирует прохождение вендор-ревью. Качество ответов зависит от полноты и актуальности базы знаний — устаревшие политики дают устаревшие черновики.

Техническая архитектура опирается на паттерн RAG Q&A: векторная база знаний с embeddings корпоративных документов, retrieval-слой для поиска релевантных чанков, LLM для генерации ответа с учётом найденного контекста. Интеграция идёт через file storage — входящий questionnaire попадает в общую папку, AI-агент забирает файл, обрабатывает и возвращает черновик в ту же папку.

Поток данных

1. Индексация корпоративной базы. Все релевантные документы — прошлые заполненные анкеты, политики безопасности, аудиторские отчёты, DPA, архитектурные схемы, пресейл-материалы — конвертируются в chunks и загружаются в векторное хранилище с метаданными (тип документа, дата, раздел).
2. Парсинг входящего questionnaire. Агент распознаёт структуру файла: таблицы Excel, пронумерованные вопросы Word, поля PDF. Извлекает пары «question_id → question_text».
3. Классификация и routing. Каждый вопрос получает тег категории (access-control, encryption, incident-response, data-handling и др.) и направляется в соответствующую подсекцию базы знаний для сужения поиска.
4. Retrieval. По тексту вопроса и тегу категории идёт semantic search — возвращаются топ-N релевантных чанков с источником и confidence score.
5. Генерация ответа. LLM принимает вопрос плюс найденные фрагменты и генерирует ответ в требуемом формате (yes/no + justification, свободный текст, ссылка на документ).
6. Flagging uncertain items. Если retrieval не нашёл релевантного контекста либо confidence низкий, ответ помечается «REVIEW REQUIRED» с пояснением, что именно неясно.
7. Сборка финального файла. Ответы вставляются обратно в оригинальный шаблон с сохранением форматирования и номеров вопросов.
8. Review loop. Юрист или security-инженер ревьюит черновик, правит отмеченные вопросы, одобренные ответы возвращаются в базу знаний для обучения следующих итераций.

Ключевые компоненты

Шаги внедрения

1. Собрать корпус документов — 10-30 последних заполненных questionnaires, актуальные политики, аудиторские отчёты, DPA. Это основа качества retrieval.
2. Настроить триггер file storage — папка, куда падает новый questionnaire, инициирует обработку.
3. Определить таксономию вопросов — 15-25 категорий, покрывающих типичные разделы SIG/CAIQ.
4. Подключить LLM с учётом compliance — при чувствительных данных выбирается self-hosted модель либо провайдер с подписанным DPA/BAA.
5. Запустить пилот на 2-3 последних анкетах — сравнить с ручным заполнением, замерить долю автоответов и ошибок.
6. Настроить review-интерфейс — минимум таблица с колонкой confidence и кнопкой одобрения.
7. Вывести в боевой режим — подключить к inbox, где приходят анкеты, и зафиксировать SLA ревью.

Для запуска автоматизации нужны доступы к документации, базовая договорённость о формате ревью и выборка прошлых questionnaires — чем полнее корпус, тем меньше ответов попадёт в ручную проверку.

Данные и доступы

• Корпус прошлых questionnaires — минимум 5-10 заполненных анкет за последний год (SIG, CAIQ или custom).
• Политики безопасности — информационная безопасность, incident response, access control, data handling, SDLC.
• Аудиторские отчёты — актуальные SOC 2 Type II, ISO 27001, PCI DSS (если применимо).
• DPA и субпроцессоры — шаблон DPA, актуальный список субпроцессоров, регионы обработки данных.
• File storage — общая папка, куда кладутся входящие questionnaire и возвращаются черновики.
• LLM-провайдер с учётом compliance — при чувствительных данных выбирается self-hosted модель либо облачный провайдер с подписанным DPA и BAA.

Готовность команды

• Owner процесса — юрист или security-инженер, который одобряет итоговые ответы.
• Техническая поддержка — 1 инженер или внешний подрядчик на настройку pipeline и review-интерфейса.
• Правила обновления базы знаний — договорённость, кто добавляет новые политики и одобренные ответы после каждого ревью.

Сроки

Базовая версия (file storage + RAG + review-таблица) разворачивается за 1-2 недели. Первый пилот на реальной анкете — в первую же неделю. Доработка таксономии, интеграция с конкретным вендор-порталом и калибровка промптов — ещё 2-4 недели после пилота.