
# ابزار بررسی سازگاری روایتی هوش مصنوعی برای پرسش‌نامه‌های امنیتی

## مقدمه

سازمان‌ها به‌طور فزاینده‌ای به **پاسخ‌های سریع، دقیق و حسابرسی‌پذیر** به پرسش‌نامه‌های امنیتی مانند [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)، [ISO 27001](https://www.iso.org/standard/27001) و [GDPR](https://gdpr.eu/) نیاز دارند. در حالی که هوش مصنوعی می‌تواند پاسخ‌ها را به‌صورت خودکار پر کند، **لایه روایتی** — متن توضیحی که شواهد را به سیاست متصل می‌کند — همچنان آسیب‌پذیر است. تنها یک عدم تطابق بین دو سؤال مرتبط می‌تواند علامت خطر ایجاد کند، پرسش‌های پیگیری را راه‌اندازی کند یا حتی منجر به لغو قرارداد شود.

**ابزار بررسی سازگاری روایتی هوش مصنوعی (ANCC)** این مشکل را حل می‌کند. با در نظر گرفتن پاسخ‌های پرسش‌نامه به‌عنوان یک **گراف دانش معنایی**، ANCC به‌صورت مداوم اعتبارسنجی می‌کند که هر بخش روایت:

1. **با بیانیه‌های سیاستی مرجع سازمان هم‌راستا باشد**.  
2. **به‌طور یکنواخت به همان شواهد در سؤالات مرتبط ارجاع دهد**.  
3. **لحنی، عبارت‌بندی و هدف قانونی را در سرتاسر مجموعه پرسش‌نامه حفظ کند**.

این مقاله مفاهیم، زیرساخت فنی، راهنمای گام‌به‌گام پیاده‌سازی و مزایای قابل‌سنجش را بررسی می‌کند.
---

## چرا سازگاری روایتی مهم است

| علامت | تأثیر تجاری |
|---------|-----------------|
| واژگان متفاوت برای یک کنترل یکسان | سردرگمی در حسابرسی؛ زمان بررسی دستی افزایش می‌یابد |
| ارجاعات شواهد ناسازگار | مستندات گمشده؛ خطر بالای عدم انطباق |
| اظهارات متضاد در بخش‌های مختلف | از دست رفتن اعتماد مشتری؛ طولانی شدن چرخه فروش |
| بی‌توجهی به انحرافات در طول زمان | وضعیت انطباق منقضی؛ جریمه‌های قانونی |

یک مطالعه بر روی ۵۰۰ ارزیابی فروشندگان SaaS نشان داد که **۴۲ ٪ از تأخیرهای حسابرسی** مستقیماً به ناهماهنگی‌های روایتی مرتبط بودند. بنابراین خودکارسازی شناسایی و اصلاح این نقص‌ها یک فرصت بازدهی سرمایه (ROI) بسیار بالا است.

---

## معماری اصلی ANCC

موتور ANCC حول سه لایه به‌هم‌پیوسته ساخته شده است:

1. **لایه استخراج** – ورودی‌های خام پرسش‌نامه (HTML، PDF، markdown) را تجزیه و بخش‌های روایت، ارجاعات سیاستی و شناسه‌های شواهد استخراج می‌کند.  
2. **لایه هم‌راستای معنایی** – با استفاده از یک مدل زبان بزرگ (LLM) تنظیم‌شده، هر بخش را به فضای برداری با ابعاد بالا تعبیه می‌کند و امتیازهای شباهت را نسبت به مخزن سیاستی مرجع محاسبه می‌کند.  
3. **لایه گراف سازگاری** – گراف دانشی می‌سازد که گره‌ها نمایانگر بخش‌های روایت یا موارد شواهد هستند و یال‌ها روابط «هم‌موضوع»، «هم‌شواهد»، یا «تضاد» را نشان می‌دهند.

در زیر یک نمودار مرتبه بالای Mermaid داده‌های جریان را نشان می‌دهد.

```mermaid
graph TD
    A["ورودی پرسش‌نامه خام"] --> B["سرویس استخراج"]
    B --> C["ذخیره‌ساز بخش روایت"]
    B --> D["فهرست ارجاع شواهد"]
    C --> E["موتور تعبیه"]
    D --> E
    E --> F["امتیازدهنده شباهت"]
    F --> G["سازنده گراف سازگاری"]
    G --> H["API هشدار و پیشنهاد"]
    H --> I["رابط کاربری (پیشخوان Procurize)"]
```

**نکات کلیدی**

- **موتور تعبیه** از یک LLM مخصوص حوزه (مثلاً یک نسخهٔ GPT‑4 تنظیم‌شده برای زبان انطباق) برای تولید بردارهای ۷۶۸‑بعدی استفاده می‌کند.  
- **امتیازدهنده شباهت** آستانه‌های کسینوسی (مثلاً > 0.85 برای «بسیار سازگار»، 0.65‑0.85 برای «نیاز به بازبینی») به کار می‌گیرد.  
- **سازنده گراف سازگاری** از Neo4j یا دیتابیس گرافی مشابه برای جست‌وجوی سریع بهره می‌گیرد.

---

## جریان کاری در عمل

1. **ورودی پرسش‌نامه** – تیم‌های امنیت یا حقوقی پرسش‌نامه جدیدی بارگزاری می‌کنند. ANCC به‌صورت خودکار فرمت را شناسایی و محتوا را ذخیره می‌کند.  
2. **قطعه‌بندی زمان واقعی** – هنگام نوشتن پاسخ‌ها، سرویس استخراج هر پاراگراف را استخراج کرده و با شناسه سؤال تگ می‌کند.  
3. **مقایسه تعبیه سیاست** – قطعه تازه ساخته شده بلافاصله تعبیه می‌شود و با مخزن سیاست اصلی مقایسه می‌شود.  
4. **به‌روزرسانی گراف و شناسایی تضاد** – اگر قطعه به شواهد X ارجاع دهد، گراف تمام گره‌های دیگری که به X ارجاع می‌دهند را برای هماهنگی معنایی بررسی می‌کند.  
5. **بازخورد فوری** – رابط کاربری امتیازهای کم‑سازگاری را برجسته می‌کند، بیان‌نگاری پیشنهادی می‌دهد یا متن سازگار را از مخزن سیاست به‌صورت خودکار پر می‌کند.  
6. **تولید ردپای حسابرسی** – هر تغییر با زمان، کاربر و امتیاز اطمینان LLM ثبت می‌شود و یک لاگ حسابرسی غیرقابل تغییر تولید می‌کند.

---

## راهنمای پیاده‌سازی

### 1. آماده‌سازی مخزن سیاست مرجع

- سیاست‌ها را در **Markdown** یا **HTML** با شناسه‌های واضح بخش ذخیره کنید.  
- هر بند را با **متادیتا** `regulation`, `control_id`, `evidence_type` برچسب‌گذاری کنید.  
- مخزن را با یک **فروشگاه برداری** (مثلاً Pinecone، Milvus) ایندکس کنید.

### 2. تنظیم دقیق یک LLM برای زبان انطباق

| گام | اقدام |
|------|--------|
| جمع‌آوری داده | بیش از ۱۰ هزار جفت سؤال‑پاسخ برچسب‌گذاری‌شده از پرسش‌نامه‌های گذشته (بدون اطلاعات حساس) جمع‌آوری کنید. |
| مهندسی پرامپت | قالب استفاده کنید: `"Policy: {policy_text}\nQuestion: {question}\nAnswer: {answer}"`. |
| آموزش | از اداپترهای LoRA (مثلاً ۴‑بیت کوانتیزیشن) برای تنظیم هزینه‑موثر استفاده کنید. |
| ارزیابی | **BLEU**, **ROUGE‑L** و **شباهت معنایی** را در مجموعه اعتبارسنجی حفظ کنید. |

### 3. استقرار سرویس‌های استخراج و تعبیه

- هر دو سرویس را با **Docker** کانتینر کنید.  
- از **FastAPI** برای ایجاد endpointهای REST استفاده کنید.  
- به Kubernetes استقرار دهید و با **Horizontal Pod Autoscaling** برای بارهای اوج پرسش‌نامه تنظیم کنید.

### 4. ساخت گراف سازگاری

```mermaid
graph LR
    N1["گره روایت"] -->|ارجاع می‌دهد به| E1["گره شواهد"]
    N2["گره روایت"] -->|در تعارض با| N3["گره روایت"]
    subgraph KG["گراف دانش"]
        N1
        N2
        N3
        E1
    end
```

- برای خدمات مدیریت‌شدهٔ ابری می‌توانید **Neo4j Aura** را انتخاب کنید.  
- محدودیت‌های `UNIQUE` روی `node.id` و `evidence.id` تعریف کنید.

### 5. یکپارچه‌سازی با رابط کاربری Procurize

- یک **ویجت نوار کناری** اضافه کنید که امتیازهای سازگاری را نشان دهد (سبز = بالا، نارنجی = بازبینی، قرمز = تضاد).  
- دکمهٔ **«هم‌نوا کردن با سیاست»** را فراهم کنید تا متن پیشنهادی را خودکار اعمال کند.  
- لغوهای کاربر را همراه با **فیلد توجیه** ذخیره کنید تا قابلیت حسابرسی حفظ شود.

### 6. تنظیم مانیتورینگ و هشداردهی

- متریک‌های **Prometheus** صادر کنید: `ancc_similarity_score`, `graph_conflict_count`.  
- وقتی تعداد تضادها از آستانه‌ای مشخص عبور کرد، **PagerDuty** هشداردهی می‌کند.

---

## مزایا و بازگشت سرمایه (ROI)

| معیار | پیش‌بینی بهبود |
|--------|----------------------|
| زمان بررسی دستی برای هر پرسش‌نامه | ↓ ۴۵ ٪ |
| تعداد درخواست‌های پیگیری | ↓ ۳۰ ٪ |
| نرخ عبور حسابرسی در اولین بار | ↑ ۲۲ ٪ |
| زمان بسته شدن معامله | ↓ ۲ هفته (به‌طور متوسط) |
| رضایت تیم انطباق (NPS) | ↑ ۱۵ امتیاز |

یک آزمون در یک شرکت SaaS متوسط (حدود ۳۰۰ کارمند) **۲۵۰ هزار دلار** صرفه‌جویی در هزینه‌های نیروی کار را در شش ماه نشان داد، به‌علاوه **کاهش متوسط ۱.۸ روز** در طول چرخه فروش.

---

## بهترین روش‌ها

1. **تک منبع حقیقت** – اطمینان حاصل کنید مخزن سیاست تنها منبع مرجع باشد؛ دسترسی‌های ویرایشی را محدود کنید.  
2. **دوباره تنظیم دقیق LLM** – با تغییر قوانین، مدل را به‌روزرسانی کنید.  
3. **حالت انسان‑در‑حلقه (HITL)** – برای پیشنهادهای با اطمینان پایین (< 0.70) تأیید دستی الزامی باشد.  
4. **نسخه‌برداری از گراف** – پیش از انتشار‌های بزرگ، snapshots بگیرید تا امکان بازگشت و تحلیل جرائم forensic داشته باشید.  
5. **احترام به حریم‌خصوصی** – پیش از ارسال متن به LLM، اطلاعات شناسایی شخصی را مخفی کنید؛ در صورت نیاز از استنتاج محلی استفاده کنید.

---

## مسیرهای آینده

- **یکپارچه‌سازی با اثبات صفر‑دانش (Zero‑Knowledge Proof)** – امکان اثبات سازگاری بدون افشای متن خام روایت، برای رعایت الزامات حریم‌خصوصی سفت.  
- **یادگیری فدرال بین مستاجران** – بهبود مدل‌ها را بین چندین مشتری Procurize به اشتراک بگذارید در حالی که داده‌های هر مستاجر به‌صورت محلی نگه داشته می‌شود.  
- **ردیاب خودکار تغییرات قانونی** – ترکیب گراف سازگاری با فیدهای زندهٔ به‌روز‌رسانی قوانین برای علامت‌گذاری خودکار بخش‌های منقضی سیاست.  
- **بررسی سازگاری چندزبانه** – گسترش لایه تعبیه برای پشتیبانی از فارسی، فرانسه، آلمانی، ژاپنی و اطمینان از هماهنگی تیم‌های جهانی.

---

## نتیجه‌گیری

سازگاری روایتی عامل مخفی و با‌اثر بالایی است که یک **برنامه انطباق دقیق و قابل حسابرسی** را از یک برنامه «قابل شکست» متمایز می‌کند. با ادغام **ابزار بررسی سازگاری روایتی هوش مصنوعی** در جریان کار پرسش‌نامه‌های Procurize، سازمان‌ها **اعتبارسنجی زمان واقعی**، **مستندات آماده برای حسابرسی** و **سرعت بالای معاملات** را به‌دست می‌آورند. معماری مدولار—مبتنی بر استخراج، هم‌راستای معنایی و گراف سازگاری—پایه‌ای مقیاس‌پذیر فراهم می‌کند که می‌تواند هم‌زمان با تغییرات قانونی و پیشرفت‌های هوش مصنوعی تکامل یابد.

امروز ANCC را بکار بگیرید و هر پرسش‌نامهٔ امنیتی را به **گفتگویی اعتمادساز** تبدیل کنید نه مانعی برای پیشرفت.