# گراف دانش مبتنی بر هوش مصنوعی برای خودکارسازی پرسش‌نامه‌های زمان‑واقعی

**چکیده** – ارائه‌دهندگان مدرن SaaS با هجوم بی‌وقفه‌ای از پرسش‌نامه‌های امنیتی، حسابرسی‌های انطباق و ارزیابی‌های ریسک فروشندگان مواجه هستند. پردازش دستی منجر به تأخیر، خطا و بازکاری پرهزینه می‌شود. راه‌حل نسل آینده، **گراف دانش مبتنی بر هوش مصنوعی** است که اسناد سیاست، شواهد و داده‌های ریسک زمینه‌ای را در یک بستر قابل پرس‌وجو ترکیب می‌کند. وقتی به‌هم‌راه با Retrieval‑Augmented Generation (RAG) و ارکستراسیون مبتنی بر رویداد باشد، این گراف پاسخ‌های آنی، دقیق و قابل حسابرسی را فراهم می‌آورد—فرآیندی که معمولاً واکنشی بوده را به یک موتور پیشگیرانه انطباق تبدیل می‌کند.

---

## 1. چرا خودکارسازی سنتی ناکافی است

| نقطه درد | رویکرد سنتی | هزینه پنهان |
|------------|----------------------|-------------|
| **داده‌های پراکنده** | PDF‑ها، صفحات گسترده و ابزارهای تیکتینگ پراکنده | تکرار کار، شواهد از دست رفته |
| **قالب‌های ثابت** | اسناد Word از پیش پر شده که نیاز به ویرایش دستی دارند | پاسخ‌های کهنه، انعطاف‌پذیری کم |
| **ابهام نسخه** | نسخه‌های متعدد سیاست در تیم‌های مختلف | خطر عدم انطباق با مقررات |
| **بدون ردپای حسابرسی** | کپی‑پِست تصادفی، بدون منبع‌گیری | دشواری اثبات صحت |

حتی ابزارهای پیشرفته گردش کار هم مشکل دارند، زیرا هر پرسش‌نامه را به‌عنوان یک فرم جداگانه می‌بینند نه یک **پرس‌وجوی معنایی** بر روی یک پایگاه دانشی یکپارچه.

---

## 2. معماری اصلی گراف دانش مبتنی بر هوش مصنوعی

```mermaid
graph TD
    A["مخزن سیاست"] -->|دریافت می‌کند| B["پارسر معنایی"]
    B --> C["ذخیره‌گاه گراف دانش"]
    D["حافظه شواهد"] -->|استخراج متادیتا| C
    E["سرویس نمایه فروشنده"] -->|غنی‌سازی زمینه‌ای| C
    F["باسه رویداد"] -->|اطلاع‌رسانی به‌روزرسانی‌ها| C
    C --> G["موتور RAG"]
    G --> H["API تولید پاسخ"]
    H --> I["رابط کاربری پرسش‌نامه"]
    I --> J["سرویس لاگ حسابرسی"]
```

*شکل 1 – جریان داده سطح‑بالا برای پاسخ دادن به پرسش‌نامه زمان‑واقعی.*

### 2.1 لایه دریافت

* **مخزن سیاست** – ذخیره‌گاه مرکزی برای مستندات [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)، [ISO 27001](https://www.iso.org/standard/27001)، [GDPR](https://gdpr.eu/) و سیاست‌های داخلی. اسناد با استفاده از استخراج‌کننده‌های معنایی مبتنی بر LLM تجزیه می‌شوند و بندهای پاراگرافی را به سه‌تایی‌های گراف (موضوع، رابطه، مَوضوع) تبدیل می‌کنند.
* **حافظه شواهد** – لاگ‌های حسابرسی، snapshotهای پیکربندی و تأییدیه‌های شخص ثالث را نگهداری می‌کند. یک خط لوله OCR‑LLM سبک، ویژگی‌های کلیدی (مانند «رمزنگاری‑در‑استراحت فعال است») را استخراج و متادیتای منبع را پیوست می‌کند.
* **سرویس نمایه فروشنده** – داده‌های خاص فروشنده نظیر محل داده، توافق‌نامه‌های سطح سرویس و امتیازهای ریسک را نرمال‌سازی می‌کند. هر نمایه به یک گره مرتبط با بندهای سیاست مربوط می‌شود.

### 2.2 ذخیره‌گاه گراف دانش

یک **گراف ویژگی‌دار** (مثلاً Neo4j یا Amazon Neptune) موجودیت‌های زیر را میزبانی می‌کند:

| موجودیت | ویژگی‌های کلیدی |
|--------|----------------|
| بندسیاست | id، عنوان، کنترل، نسخه، تاریخ‌اجرای |
| موردشواهد | id، نوع، منبع، زمان‌مهر، اطمینان |
| فروشنده | id، نام، منطقه، امتیازریسک |
| مقررات | id، نام، حوزه‑قانونی، آخرین‌به‌روزرسانی |

یال‌ها روابط زیر را ثبت می‌کنند:

* `ENFORCES` – بندسیاست → کنترل
* `SUPPORTED_BY` – بندسیاست → موردشواهد
* `APPLIES_TO` – فروشنده
* `REGULATED_BY` – مقررات

### 2.3 ارکستراسیون و باسه رویداد

یک **لایه میکروسرویس مبتنی بر رویداد** (Kafka یا Pulsar) تغییرات را منتشر می‌کند:

* **PolicyUpdate** – بازاندیس‌گذاری شواهد مرتبط را فعال می‌کند.
* **EvidenceAdded** – یک جریان کاری اعتبارسنجی را راه‌اندازی می‌کند که امتیاز اطمینان را محاسبه می‌نماید.
* **VendorRiskChange** – وزن‌گذاری پاسخ‌ها را برای سؤال‌های حساس به ریسک تنظیم می‌کند.

موتور ارکستراسیون (ساخته‌شده با Temporal.io یا Cadence) پردازش دقیق‑یک‌بار را تضمین می‌کند و گراف را **همیشه‑به‌روز** نگه می‌دارد.

### 2.4 Retrieval‑Augmented Generation (RAG)

هنگامی که کاربر سؤالی را در پرسش‌نامه ارسال می‌کند، سیستم:

1. **جستجوی معنایی** – زیرگراف مرتبط‌ترین را با استفاده از تعبیه‌های برداری (FAISS + تعبیه‌های OpenAI) بازیابی می‌کند.
2. **پرامپت متنی** – پرامپتی شامل بندهای سیاست، شواهد مرتبط و جزئیات فروشنده می‌سازد.
3. **تولید LLM** – LLM تنظیم‌فاین‑تونی (مثلاً Claude‑3 یا GPT‑4o) برای تولید پاسخ مختصر فراخوانی می‌شود.
4. **پس‌پردازش** – سازگاری پاسخ بررسی می‌شود، استنادات (شناسه گره‌ها) اضافه می‌گردد و نتیجه در **سرویس لاگ حسابرسی** ذخیره می‌شود.

---

## 3. جریان پاسخ زمان‑واقعی – گام به گام

1. **پرسش کاربر** – «آیا برای مشتریان اتحادیه اروپا داده‌ها را در استراحت رمزنگاری می‌کنید؟»
2. **طبقه‌بندی نیت** – مدل NLP نیت را به *رمزنگاری‑در‑استراحت* تشخیص می‌دهد.
3. **بازیابی گراف** – `بندسیاست` «Encryption‑At‑Rest» مرتبط با `موردشواهد` «Snapshot پیکربندی AWS KMS (2025‑09‑30)» یافت می‌شود.
4. **زمینه فروشنده** – ویژگی منطقه فروشنده بررسی می‌شود؛ پرچم EU منجر به شواهد اضافی (مانند DPA مطابق GDPR) می‌شود.
5. **ساخت پرامپت**:  
   ```
   یک پاسخ مختصر برای سؤال زیر تهیه کنید.
   سؤال: آیا برای مشتریان اتحادیه اروپا داده‌ها را در استراحت رمزنگاری می‌کنید؟
   سیاست: "Encryption‑At‑Rest" (کنترل: C1.1، نسخه: 3.2)
   شواهد: "Snapshot AWS KMS" (تاریخ: 2025‑09‑30، اطمینان: 0.98)
   فروشنده: "Acme SaaS EU" (منطقه: EU، امتیازریسک: 0.12)
   ```
6. **تولید LLM** – پاسخ می‌دهد: “بله. تمام داده‌های تولیدی برای مشتریان EU با استفاده از AWS KMS و کلیدهای چرخان CMK رمزنگاری می‌شوند. شواهد: Snapshot AWS KMS (2025‑09‑30).”
7. **ردپای حسابرسی** – پاسخ همراه با شناسه گره‌ها، زمان‌مهر و هش رمزنگاری برای جلوگیری از جعل ذخیره می‌شود.
8. **تحویل** – پاسخ به‌صورت آنی در رابط کاربری پرسش‌نامه نمایش داده می‌شود و آماده تأیید مرورگر است.

کل چرخه در **کمتر از ۲ ثانیه** به‌صورت متوسط تکمیل می‌شود، حتی تحت بار همزمان سنگین.

---

## 4. مزایا نسبت به راه‌حل‌های سنتی

| معیار | گردش کار سنتی | گراف دانش مبتنی بر هوش مصنوعی |
|--------|----------------------|-----------------------|
| **زمان پاسخ** | ۳۰ دقیقه – ۴ ساعت (دست انسانی) | ≤ ۲ ثانیه (خودکار) |
| **پوشش شواهد** | ۶۰ ٪ از شواهد مورد نیاز | بیش از ۹۵ ٪ (اتصال خودکار) |
| **قابل حسابرسی بودن** | لاگ‌های دستی، پر از شکاف | ردپای غیرقابل تغییر با هش |
| **قابلیت مقیاس‌پذیری** | خطی با اندازه تیم | تقریباً خطی با منابع محاسبه |
| **قابلیت انعطاف** | نیاز به بازنگری دستی قالب | به‌روزرسانی خودکار از طریق باسه رویداد |

---

## 5. پیاده‌سازی گراف در سازمان شما

### 5.1 فهرست آماده‌سازی داده‌ها

1. تمام اسناد سیاست، markdown و کنترل‌های داخلی را جمع‌آوری کنید.
2. نام‌گذاری شواهد را به‌صورت استانداردی همگن کنید (مثلاً `evidence_<type>_<date>.json`).
3. ویژگی‌های فروشندگان را به یک طرح اشتراکی (منطقه، بحرانی بودن و غیره) نگاشت کنید.
4. هر سند را با حوزه قانونی مربوط برچسب‌گذاری کنید.

### 5.2 پیشنهادات تکنولوژی

| لایه | ابزار پیشنهادی |
|-------|-------------------|
| دریافت | Apache Tika + لودرهای LangChain |
| پارسر معنایی | OpenAI `gpt‑4o‑mini` با پرامپت‌های few‑shot |
| ذخیره‌گاه گراف | Neo4j Aura (cloud) یا Amazon Neptune |
| باسه رویداد | Confluent Kafka |
| ارکستراسیون | Temporal.io |
| RAG | LangChain + تعبیه‌های OpenAI |
| رابط کاربری | React + Ant Design، یکپارچه با API Procurize |
| حسابرسی | HashiCorp Vault برای کلیدهای امضای مدیریت‌شده |

### 5.3 شیوه‌های حاکمیتی

* **بازبینی تغییرات** – هر بروز رسانی سیاست یا شواهد باید پس از مرور دو نفر به گراف منتشر شود.
* **آستانه اطمینان** – موارد شواهد با اطمینان کمتر از ۰.۸۵ به‌صورت پرچم‌دار برای بررسی دستی علامت‌گذاری می‌شوند.
* **سیاست نگهداری** – تمام snapshots گراف حداقل به‌مدت ۷ سال حفظ شوند تا الزامات حسابرسی را برآورده کنند.

---

## 6. مطالعه موردی: کاهش زمان پاسخ تا ۸۰ ٪

**شرکت**: FinTechCo (سازمان SaaS متوسط در حوزه پرداخت)  
**مشکل**: زمان متوسط پاسخ به پرسش‌نامه ۴۸ ساعت، با تکرار مکرر مهلت‌های از دست رفته.  
**راه‌حل**: پیاده‌سازی گراف دانش مبتنی بر هوش مصنوعی با استفاده از استک مطرح‌شده در بالا. مخزن سیاست موجود (۱۵۰ سند) و حافظه شواهد (۳ TB لاگ) یکپارچه شد.  

**نتایج (پایلوت ۳ ماهه)**  

| KPI | قبل | بعد |
|-----|--------|-------|
| میانگین تأخیر پاسخ | ۴۸ ساعت | ۵ دقیقه |
| پوشش شواهد | ۵۸ ٪ | ۹۷ ٪ |
| کامل بودن لاگ حسابرسی | ۷۲ ٪ | ۱۰۰ ٪ |
| تعداد نیروی انسانی لازم برای پرسش‌نامه‌ها | ۴ FTE | ۱ FTE |

پایلوت همچنین ۱۲ بند سیاست قدیمی را شناسایی کرد که با به‌روزرسانی آن‌ها، هزینهٔ احتمالی ۲۵۰ هزار دلار جریمه را کاهش داد.

---

## 7. بهبودهای آینده

1. **اثبات‌های صفر‑دانش** – ادغام اثبات‌های رمزی برای صحت شواهد بدون افشای داده‌های خام.
2. **گراف‌های دانش فدرال** – امکان همکاری بین چند شرکت با حفظ حاکمیت داده‌ها.
3. **لایه هوش توضیحی** – تولید خودکار درخت‌های استدلال برای هر پاسخ، افزایش اطمینان مرورگر.
4. **پیش‌بینی مقررات پویا** – ورودی پیش‌نویس‌های قانونی آینده به گراف برای تنظیم پیش‌گیرانه کنترل‌ها.

---

## 8. شروع کنید

1. **کلون پیاده‌سازی مرجع** – `git clone https://github.com/procurize/knowledge‑graph‑orchestrator`.
2. **اجرای Docker compose** – Neo4j، Kafka، Temporal و API Flask RAG راه‌اندازی می‌شوند.
3. **بارگذاری اولین سیاست** – با CLI `pgctl import-policy ./policies/iso27001.pdf` انجام دهید.
4. **ارسال سؤال آزمایشی** – از Swagger UI در `http://localhost:8000/docs` استفاده کنید.

در عرض یک ساعت، گراف قابل پرس‌وجوی هوشمند زنده‌ای خواهید داشت که آماده است به سؤالات امنیتی واقعی پاسخ دهد.

---

## 9. نتیجه‌گیری

یک **گراف دانش زمان‑واقعی و مبتنی بر هوش مصنوعی** انطباق را از یک گلوگاه به یک مزیت استراتژیک تبدیل می‌کند. با یکپارچه‌سازی سیاست، شواهد و زمینه فروشنده و بهره‌گیری از ارکستراسیون مبتنی بر رویداد به همراه RAG، سازمان‌ها می‌توانند پاسخ‌های آنی و حسابرسی‌شدنی به حتی پیچیده‌ترین پرسش‌نامه‌های امنیتی ارائه دهند. نتیجه این است: چرخه‌های فروش سریع‌تر، ریسک‌های عدم انطباق کاهش یافته و زیربنایی مقیاس‌پذیر برای ابتکارات حاکمیتی مبتنی بر هوش مصنوعی در آینده.

---

## مشاهده همچنین
- [Retrieval‑Augmented Generation برای انطباق](https://arxiv.org/abs/2302.12345)  
- [الگوهای ارکستراسیون Temporal.io](https://docs.temporal.io/docs)