NIS-2 Compliance Ontology
Knowledge Graph Architecture dla Enterprise Compliance. Compliance nie jest checklistą – to ekosystem połączonych encji, gdzie każda zmiana kaskadowo wpływa na cały system.
Od dokumentów do semantycznego grafu wiedzy
[!] Legacy approach: Silosy i listy
Tradycyjne systemy compliance traktują dane jako izolowane dokumenty: Excel z incydentami, PDF z politykami, SharePoint z rejestrami ryzyk. Brak relacji między encjami.
Incident_2024_047.xlsx
Risk_Register_Q3.pdf
Asset_Inventory.docx
↑ Brak połączeń. Brak kontekstu. Brak intelligence.
Rezultat: Audytor pyta „jaki był wpływ incydentu 047 na kluczowe procesy?” — spędzasz 3 dni na manualnym łączeniu dokumentów.
[✓] Ontological approach: Knowledge graph
Ontologia compliance to formalna reprezentacja wszystkich encji, ich właściwości i relacji semantycznych. To typed, directed graph zgodny z RDF/OWL.
Incident:047 → affects → Asset:DB-PROD-01
Asset:DB-PROD-01 → critical_for → Process:Payments
Process:Payments → owned_by → Person:CFO
↑ Pełna traceability. Instant context. Automated insights.
Rezultat: Audytor pyta to samo pytanie — otrzymuje odpowiedź w 8 sekund wraz z pełnym audit trail i impact analysis.
[i] Dlaczego ontologia jest przełomowa w compliance?
1. Semantic reasoning
System „rozumie” że jeśli Vendor ma problem, automatycznie identyfikuje wpływ na wszystkie Assets, Processes i Risks przez transitive relationships.
2. Bi-directional traversal
Możesz pytać „które incydenty wpłynęły na proces X?” lub „który proces jest najbardziej narażony na ryzyka?” — graf odpowiada w obie strony.
3. Emergent intelligence
Im więcej połączeń, tym więcej insights: hotspots ryzyka, single points of failure, compliance debt — emergują z grafu bez programowania.
Architektura ontologii NIS-2
■ Warstwa encji
8 kluczowych typów encji z właściwościami i ograniczeniami
- Incydent: nasilenie, status, oś czasu
- Ryzyko: prawdopodobieństwo, wpływ, postępowanie z ryzykiem
- Zasób: krytyczność, typ, lokalizacja, właściciel
- Osoba: rola, odpowiedzialność, poziom dostępu
- Dostawca: poziom (tier), SLA, status audytu
- Proces: RTO, RPO, krytyczność
- BCP/DRP: status testów, ostatnie ćwiczenia
- Ład korporacyjny: polityka, zatwierdzenie, audyt
◆ Warstwa relacji
Typy relacji semantycznych między encjami
- wpływa na: Incydent → Zasób/Proces
- materializuje się jako: Ryzyko → Incydent
- krytyczny dla: Zasób → Proces
- należy do: Zasób/Proces → Osoba
- dostarcza: Dostawca → Zasób
- zależy od: Proces → Zasób/Dostawca
- obejmuje: BCP → Proces/Zasób/Ryzyko
- zarządzany przez: dowolny element → Ład korporacyjny
▸ Warstwa inteligencji
Automatyczne lub hybrydowe rozumowanie i obliczanie właściwości
- Promień wpływu: Zasięg skutków w powiązanych elementach
- Propagacja ryzyka: Ryzyko dostawcy → Ryzyko zasobu
- Dług zgodności: Zaległe incydenty i testy
- Wykrywanie SPOF: Analiza pojedynczej zależności
- Gotowość audytowa: Wskaźnik kompletności
- Wykrywanie anomalii: Odchylenie od wzorca
- Predykcja: Uczenie maszynowe na osadzeniach grafowych
- Scenariusze „co jeśli”: Symulacje hipotetyczne
◆ Interactive Graph Explorer
Poniżej widzisz 8 core entity types tworzących fundament ontologii NIS-2. Kliknij dowolną encję aby zobaczyć jej semantic relationships z innymi elementami systemu.
[i] Observe:
- → Opacity changes pokazują graph connectivity strength
- → Multiple connections = higher criticality w systemie
- → Isolated entities = potential compliance gaps
Mapa połączeń semantycznych
Matryca pokazuje wszystkie relacje między typami encji w ontologii. Każda zielona kropka to możliwe połączenie semantyczne w knowledge graph. Governance zarządza wszystkimi encjami w systemie.
Case studies: Ontologia w akcji
[!] Ransomware w critical infrastructure
T+0: Wykrycie ataku
Incident:RW-2024-089 automatycznie identyfikuje:
- 47 zainfekowanych Assets (server farm)
- 12 Processes dotknięcych (via
critical_forrelation) - 3 zmaterializowane Risks z Risk Register
- 8 Persons w crisis team (via
responsible_for) - BCP:DR-PLAN-003 aktywowany automatycznie
T+24h: Pełna traceability
System generuje pełny impact report z graph traversal: które procesy były offline, ile transakcji lost, koszty downtime, compliance implications (Art. 23 reporting). Wszystko computed z ontologii.
MATCH (i:Incident)-[:affects*]->(p:Process) WHERE i.id='RW-2024-089' RETURN impact_analysis()
ROI: Czas response skrócony z 8h do 22 minut. Koszt downtime: -73%.
[!] Supply chain risk propagation
Discovery: Vendor audit czerwona flaga
Vendor:CLOUD-PROVIDER-X failed audit → System wykonuje:
- Traverse: Vendor → supplies → Assets (124 assets)
- Traverse: Assets → critical_for → Processes (89 processes)
- Compute: Aggregate impact score = 8.7/10 (CRITICAL)
- Identify: 23 Processes bez backup vendor (SPOF)
- Alert: 5 Persons (process owners + CISO + CTO)
- Auto-create: Remediation plan w Risk Register
ROI: Avoided vendor lock-in cost: €2.3M. Risk mitigation time: -67%.
■ Audit NIS-2: Instant compliance proof
Auditor query: „Prove Art. 21 compliance”
System response w real-time:
- Risk management: 234 Risks in register, 100% mapped to Assets/Processes
- Supply chain: 47 Vendors, all with SLA + audit trail
- Asset inventory: 1,247 Assets, 98.7% coverage, ownership complete
- BCP/DRP: 34 critical Processes, all with RTO/RPO, tested
ROI: Audit prep time: 12 tygodni → 2 dni. Zero findings w audit.
Rozpocznij współpracę z LexCyberAI
Skontaktuj się z nami, aby omówić możliwości partnerstwa strategicznego i wspólnej komercjalizacji systemów compliance dla sektorów regulowanych
kontakt@lexcyberai.pl