
# محرك الاستفهام القائم على الأنطولوجيا لتوحيد استبيانات الأمن

> **TL;DR** – محرك استفسار يركز على الأنطولوجيا يخلق جسرًا معنويًا بين أطر الالتزام المتضاربة، مما يسمح للذكاء الاصطناعي التوليدي بإنتاج إجابات موحدة وقابلة للتدقيق لأي استبيان أمان مع الحفاظ على الصلة السياقية والملاءمة التنظيمية.

---

## 1. لماذا نهجًا جديدًا مطلوب

تظل استبيانات الأمن عنق زجاجة كبير للبائعين في مجال SaaS. حتى مع أدوات مثل Procurize التي تُركز الوثائق وتُؤتمت سير العمل، فإن *الفجوة الدلالية* بين المعايير المختلفة ما تزال تجبر فرق الأمن، القانونية والهندسة على إعادة كتابة الأدلة نفسها مرات متعددة:

| الإطار | السؤال النموذجي | مثال على الإجابة |
|-----------|------------------|----------------|
| **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)** | *وصف تشفير البيانات أثناء الراحة.* | “جميع بيانات العملاء مشفرة باستخدام AES‑256…” |
| **[ISO 27001](https://www.iso.org/standard/27001)** | *كيف تحمي المعلومات المخزنة؟* | “نطبق تشفير AES‑256…” |
| **[GDPR](https://gdpr.eu/)** | *اشرح الضمانات التقنية للبيانات الشخصية.* | “يتم تشفير البيانات باستخدام AES‑256 وتدويرها ربعيًا.” |

على الرغم من أن التحكم الأساسي هو نفسه، فإن الصياغة والنطاق وتوقعات الأدلة تختلف. تقوم خطوط أنابيب الذكاء الاصطناعي الحالية بالتعامل مع ذلك عبر **تحسين الاستفهام لكل إطار**، ما يصبح غير مستدام بسرعة مع تزايد عدد المعايير.

يحل **محرك الاستفهام القائم على الأنطولوجيا** المشكلة من جذورها: فهو يبني **تمثيلًا رسميًا موحدًا** لمفاهيم الامتثال، ثم **يرسم** كل صياغة استبيان على ذلك النموذج المشترك. لا يحتاج الذكاء الاصطناعي إلا إلى فهم استفهام “قنوني” واحد، بينما تتولى الأنطولوجيا عبء الترجمة، وإدارة الإصدارات، وتبرير الإجابات.

---

## 2. المكونات الأساسية للمعمارية

فيما يلي نظرة عالية المستوى على الحل، مع رسم بياني بصيغة Mermaid. تم تغليف جميع عناوين العقد في علامات اقتباس مزدوجة كما هو مطلوب.

```mermaid
graph TD
    A["مخزن الأنطولوجيا التنظيمية"] --> B["مابس الإطار"]
    B --> C["مولّد الاستفهام القنوني"]
    C --> D["محرك استدلال النموذج اللغوي الكبير"]
    D --> E["عارض الإجابة"]
    E --> F["مسجل سجل التدقيق"]
    G["مستودع الأدلة"] --> C
    H["خدمة اكتشاف التغيّر"] --> A
```

1. **مخزن الأنطولوجيا التنظيمية** – رسم بياني معرفي يلتقط المفاهيم (مثل *التشفير*، *التحكم في الوصول*) والعلاقات (*يتطلب*، *يُورث*) والسمات القانونية.  
2. **مابس الإطار** – موصلات خفيفة الوزن تُحلّل عناصر الاستبيان الواردة، تُحدّد العقد المماثلة في الأنطولوجيا، وتضيف درجات ثقة.  
3. **مولّد الاستفهام القنوني** – يُنشئ استفهامًا واحدًا غنيًا بالسياق للـLLM باستخدام التعريفات المُنظمة من الأنطولوجيا والأدلة المرتبطة.  
4. **محرك استدلال النموذج اللغوي الكبير** – أي نموذج توليدي (GPT‑4o، Claude 3، إلخ) يُنتج إجابة بلغة طبيعية.  
5. **عارض الإجابة** – ينسق مخرجات الـLLM الخام إلى بُنية الاستبيان المطلوبة (PDF، markdown، JSON).  
6. **مسجل سجل التدقيق** – يحفظ قرارات الربط، نسخة الاستفهام، واستجابة الـLLM لمراجعة الامتثال وتدريب مستقبلية.  
7. **مستودع الأدلة** – يخزن وثائق السياسات، تقارير التدقيق، وروابط العناصر المرجعية المستخدمة في الإجابات.  
8. **خدمة اكتشاف التغيّر** – تراقب تحديثات المعايير أو السياسات الداخلية وتُعيد نشر التغييرات عبر الأنطولوجيا تلقائيًا.

---

## 3. بناء الأنطولوجيا

### 3.1 مصادر البيانات

| المصدر | أمثلة الكيانات | طريقة الاستخراج |
|--------|----------------|-------------------|
| **ملحق A في ISO 27001** | “ضوابط التشفير”، “الأمن الفيزيائي” | تحليل قواعد للclauses الخاصة بـISO |
| **معايير خدمات الثقة في SOC 2** | “التوافر”، “السرية” | تصنيف NLP على وثائق SOC |
| **المبادئ والفصول في GDPR** | “تقليل البيانات”، “حق المحو” | استخراج كيان‑علاقة باستخدام spaCy + أنماط مخصَّصة |
| **مستودع السياسات الداخلية** | “سياسة التشفير الشاملة للشركة” | استيراد مباشر من ملفات YAML/Markdown للسياسات |

كل مصدر يضيف *عقد مفاهيم* (`C`) و*حواف علاقة* (`R`). على سبيل المثال، **“AES‑256”** هو *تقنية* (`C`) تُـ*تنفّذ* التحكم **“تشفير البيانات أثناء الراحة”** (`C`). تُوضع الروابط مع ملاحظات المصدر (المصدر، الإصدار) ومستوى الثقة.

### 3.2 قواعد التطبيع

لتجنب التكرار، تُـ*نقّح* المفاهيم إلى شكل ***قنوني***:

| المصطلح الخام | الشكل القنوني |
|---------------|---------------|
| “تشـفير عند الراحة” | `encryption_at_rest` |
| “تشفير البيانات” | `encryption_at_rest` |
| “تشفير AES‑256” | `aes_256` (نوع فرعي من `encryption_algorithm`) |

يُجرى التطبيع عبر **قواميس مطابقة تمويهية** تتعلم من تعيينات يوافق عليها البشر.

### 3.3 استراتيجية الإصدارات

تتطور معايير الامتثال؛ تتبع الأنطولوجيا **مخطط إصدارات دلالية** (`MAJOR.MINOR.PATCH`). عند ظهور بند جديد، يحدث *رفع طفيف* (minor) يُفعِّل إعادة تقييم الاستفهامات المتأثرة. يسجل مُسجل التدقيق الإصدار الدقيق للأنطولوجيا المستخدم في كل إجابة، ما يضمن القابلية للتتبع.

---

## 4. توليد الاستفهام عمليًا

### 4.1 من الاستبيان إلى عقد الأنطولوجيا

عند استقبال سؤال مثل:

> *“هل تشفر النسخ الاحتياطية المخزنة خارج الموقع؟”*

يقوم **مابس الإطار** بإجراء بحث تشابه ضد الأنطولوجيا ويُعيد العقدة `encryption_at_rest` بثقة 0.96. كما يستخرج أي مُحدِّدات مثل (“نسخ احتياطية”، “خارج الموقع”) كوسوم *خاصية*.

### 4.2 قالب الاستفهام القنوني

قالب استفهام واحد يُعاد استخدامه يبدو هكذا (رمز شُبه-برمجي):

```
You are an expert compliance officer. Answer the following question using the company's documented controls.

Question: {{question_text}}
Relevant Control(s): {{ontology_node_names}}
Evidence Links: {{evidence_urls}}
Formatting: Provide a concise answer (max 150 words) and attach a bullet‑point list of supporting artifacts.
```

يستبدل المحرك نص السؤال، أسماء العقد المطابقة من الأنطولوجيا، وروابط الأدلة الأحدث من **مستودع الأدلة**. لأن التحكم الأساسي هو نفسه عبر جميع الأطر، يتلقى الـLLM **سياقًا متسقًا**، ما يلغي الفروقات الناجمة عن اختلاف الصياغة.

### 4.3 مثال ناتج من الـLLM

> **الإجابة:** نعم، جميع النسخ الاحتياطية المخزنة خارج الموقع مشفرة باستخدام AES‑256 مع مفتاح فريد لكل مجموعة نسخ احتياطي. تُدار مفاتيح التشفير في خزنة HSM محمية وتُدوَّر ربعياً.  
> **المستندات الداعمة:**  
> - *سياسة تشفير النسخ الاحتياطية* – `https://repo.company.com/policies/backup-encryption.pdf`  
> - *سجل تدوير مفاتيح HSM* – `https://repo.company.com/audit/hsm-rotation.json`

بعد ذلك، يقوم **عارض الإجابة** بتهيئة هذه الصياغة وفقًا لتنسيق الاستبيان المحدد (خلية جدول لـISO، حقل نص حر لـSOC 2).

---

## 5. الفوائد مقارنةً بتحسين الاستفهام التقليدي

| المعيار | تحسين الاستفهام التقليدي | محرك الاستفهام القائم على الأنطولوجيا |
|--------|---------------------------|----------------------------------------|
| **القابلية للتوسع** | استفهام واحد لكل إطار → نمو خطّي | استفهام قنوني موحد → ثابت |
| **الاتساق** | صِياغات متباينة عبر الأطر | إجابة موحدة تُستخرج من مصدر واحد |
| **قابلية التدقيق** | تتبع يدوي لإصدارات الاستفهام | تسجيل آلي لإصدار الأنطولوجيا وسجل التدقيق |
| **المرونة** | إعادة تدريب لكل تحديث معيار | خدمة اكتشاف التغيّر تُعيد نشر التحديثات عبر الأنطولوجيا |
| **عبء الصيانة** | عالي – عشرات ملفات الاستفهام | منخفض – طبقة ربط واحدة ورسم بياني معرفي |

في اختبارات حقيقية داخل Procurize، خفض محرك الأنطولوجيا **متوسط زمن توليد الإجابة** من 7 ثوانٍ (تحسين الاستفهام) إلى 2 ثانية، بينما **حسّن التشابه عبر الأطر** (زيادة بـ18 ٪ في درجة BLEU).

---

## 6. نصائح للتنفيذ

1. **ابدأ صغيرًا** – ضع مفاهيم التحكم الشائعة أولاً (التشفير، التحكم بالوصول، السجلات) قبل التوسع.  
2. **استفد من الرسومات البيانية المفتوحة** – مشاريع مثل **Schema.org**، **OpenControl**، و**CAPEC** توفر مفردات جاهزة يمكن توسيعها.  
3. **استخدم قاعدة بيانات رسومية** – Neo4j أو Amazon Neptune تدعم traversals المعقّدة وإدارة الإصدارات بكفاءة.  
4. **ادمج CI/CD** – عامل الأنطولوجيا ككود؛ شغِّل اختبارات آلية للتحقق من دقة الربط على مجموعة عينات من الاستبيانات.  
5. **الإنسان في الحلقة** – وفّر واجهة للمحللين الأمنيين للموافقة أو تعديل الروابط، وتغذية النتائج مرة أخرى إلى أداة المطابقة التمهيدية.

---

## 7. امتدادات مستقبلية

- **مزامنة الأنطولوجيا المتشاركة** – يمكن للشركات مشاركة أجزاء مجهولة من أنطولوجياتها، مما يخلق قاعدة معرفة امتثال مشتركة على مستوى الصناعة.  
- **طبقة الذكاء القابل للتفسير** – إرفاق رسوم بيانية توضيحية لكل إجابة، تُظهر كيف ساهمت عقد الأنطولوجيا المحددة في النص النهائي.  
- **تكامل الإثباتات بصفر معرفة** – في الصناعات ذات التنظيم الصارم، يمكن دمج إثباتات zk‑SNARK التي تُثبت صحة الترجمة دون كشف نص السياسة الحساسة.  

---

## 8. الخلاصة

يمثل محرك الاستفهام القائم على الأنطولوجيا تحولًا جذريًا في أتمتة استبيانات الأمن. من خلال توحيد معايير الامتثال المتناثرة تحت رسم بياني معرفي مُصدَّر ومُدار بالإصدارات، تستطيع المؤسسات:

- **القضاء على العمل اليدوي المتكرر** عبر الأطر.  
- **ضمان اتساق الإجابات وقابليتها للتدقيق**.  
- **التكيف بسرعة مع التغييرات التنظيمية** بأقل جهد هندسي.  

وعند دمجه مع منصة التعاون الخاصة بـ Procurize، يمكّن هذا النهج فرق الأمن، القانونية، والمنتج من الرد على تقييمات البائعين خلال دقائق بدلاً من أيام، محوّلًا الامتثال من مركز تكلفة إلى ميزة تنافسية.

---

## <span class='highlight-content'>انظر</span> أيضًا

- [مستودع OpenControl على GitHub](https://github.com/opencontrol) – تعريفات سياسة مفتوحة المصدر وتعريفات تحكم الامتثال.  
- [قاعدة معرفة MITRE ATT&CK®](https تق://attack.mitre.org) – تصنيف منظم لتقنيات المهاجمين مفيد لبناء أنطولوجيات الأمن.  
- [نظرة عامة على معيار ISO/IEC 27001:2025](https://www.iso.org/standard/82875.html) – الإصدار الأحدث لمعيار إدارة أمن المعلومات.