
# سازماندهی دینامیک شواهد مبتنی بر هوش مصنوعی برای پرسشنامه‌های امنیتی زمان واقعی

## مقدمه

پرسشنامه‌های امنیتی دروازه‌بان‌های هر قرارداد B2B SaaS هستند. آن‌ها درخواست شواهد دقیق و به‌روز در چارچوب‌های مختلفی همچون [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)، [ISO 27001](https://www.iso.org/standard/27001)، [GDPR](https://gdpr.eu/) و مقررات نوظهور هستند. روش‌های سنتی بر کپی‑پیست دستی از مخازن مستندات ایستا متکی‌اند و منجر به:

* **زمان پاسخ‌گویی طولانی** – چند هفته تا چند ماه.  
* **پاسخ‌های نامنظم** – اعضای تیم مختلف نسخه‌های متفاوتی را استناد می‌کنند.  
* **ریسک حسابرسی** – عدم وجود ردپای غیرقابل تغییر که پاسخ را به منبعش متصل کند.  

نسخه پیشرفته Procurize، **موتور سازماندهی دینامیک شواهد (DEOE)**، این مشکلات را با تبدیل پایگاه دانش انطباق به **یک بستر داده‌ای سازگار و هوش‌محور** حل می‌کند. با ترکیب **Retrieval‑Augmented Generation (RAG)**، **Graph Neural Networks (GNN)** و **یک گراف دانش فدرال زمان واقعی**، این موتور می‌تواند:

1. **یافتن** سریع‌ترین شواهد مرتبط.  
2. **سنتز** پاسخ مختصر و مطابق با مقررات.  
3. **افزودن** متادیتای اثبات‌پذیری رمزنگاری‌شده برای حسابرسی.  

نتیجه، **پاسخ یک‑کلیک آماده حسابرسی** است که به‌محض تغییر سیاست‌ها، کنترل‌ها و مقررات به‌روزرسانی می‌شود.

---  

## ستون‌های اصلی معماری

DEOE شامل چهار لایه به‌هم‌پیوسته است:

| لایه | وظیفه | فناوری‌های کلیدی |
|------|-------|-------------------|
| **گردآوری و نرمال‌سازی** | استخراج اسناد سیاستی، گزارش‌های حسابرسی، لاگ‌های تیکت و گواهی‌های شخص ثالث؛ تبدیل آن‌ها به یک مدل معنایی یکپارچه. | Document AI، OCR، نگاشت طرحواره، تعبیه‌های OpenAI |
| **گراف دانش فدرال (FKG)** | ذخیره موجودیت‌های نرمال‌شده (کنترل‌ها، دارایی‌ها، فرآیندها) به‌صورت گره. لبه‌ها رابطه‌هایی مثل *وابستگی*، *پیاده‌سازی*، *حسابرسی‑شده‑توسط* را نشان می‌دهند. | Neo4j، JanusGraph، واژگان مبتنی بر RDF، طرحواره‌های آماده‑برای‑GNN |
| **موتور بازیابی RAG** | با دریافت پرسش از پرسشنامه، بالاترین k قطعه متنی مربوطه را از گراف استخراج کرده و به یک LLM برای تولید پاسخ می‌فرستد. | ColBERT، BM25، FAISS، OpenAI GPT‑4o |
| **سازماندهی دینامیک و اثبات‌پذیری** | ترکیب خروجی LLM با استنادات استخراج‌شده از گراف، امضای نتیجه با دفتر کل صفر‑دانش. | استدلال GNN، امضاهای دیجیتال، دفتر کل غیرقابل تغییر (مثلاً Hyperledger Fabric) |

### نمای کلی به‌صورت Mermaid

```mermaid
graph LR
  A[Document Ingestion] --> B[Semantic Normalization]
  B --> C[Federated Knowledge Graph]
  C --> D[Graph Neural Network Embeddings]
  D --> E[RAG Retrieval Service]
  E --> F[LLM Answer Generator]
  F --> G[Evidence Orchestration Engine]
  G --> H[Signed Audit Trail]
  style A fill:#f9f,stroke:#333,stroke-width:2px
  style H fill:#9f9,stroke:#333,stroke-width:2px
```

## چگونگی کارکرد Retrieval‑Augmented Generation در DEOE

1. **تقسیم پرسش** – آیتم پرسشنامه به *قصد* (مثلاً “توضیح دهید چطور داده‌ها را در حالت استراحت رمزنگاری می‌کنید”) و *قید* (مثلاً “CIS 20‑2”) تجزیه می‌شود.  
2. **جستجوی برداری** – بردار قصد با استفاده از FAISS در تعبیه‌های FKG مقایسه می‌شود؛ بالاترین k قطعه (بندهای سیاست، یافته‌های حسابرسی) استخراج می‌شوند.  
3. **ادغام زمینه** – قطعات استخراج‌شده به‌همراه پرسش اصلی به LLM داده می‌شوند.  
4. **تولید پاسخ** – LLM پاسخ کوتاه، سازگار با انطباق و با رعایت لحن، طول و استنادات مورد نیاز تولید می‌کند.  
5. **نقشه‌برداری استنادات** – هر جمله تولید‌شده به آی‌دی گره منبع از طریق یک آستانه شباهت مرتبط می‌شود، به‌طوری که **قابلیت ردیابی** تضمین شود.  

این فرایند برای اکثر آیتم‌های رایج پرسشنامه در **کمتر از ۲ ثانیه** انجام می‌شود و همکاری زمان واقعی را ممکن می‌سازد.

## Graph Neural Networks: افزودن هوشمندی معنایی

جستجوی کلیدواژه‌ای استاندارد، هر سند را به‌عنوان یک کیسه کلمات جداگانه می‌نگردد. GNN‌ها به موتور امکان می‌دهند تا **زمینه ساختاری** را درک کند:

* **ویژگی‌های گره** – تعبیه‌های استخراج‌شده از متن، به‌همراه فراداده‌های نوع کنترل (مانند “رمزنگاری”، “کنترل دسترسی”).  
* **وزن‌های لبه** – روابط نظارتی را نشان می‌دهند (مثلاً *«ISO 27001 A.10.1»* *پیاده‌سازی* *«SOC 2 CC6»*).  
* **پخش پیام** – امتیازهای مرتبطیت را در گراف منتشر می‌کند و شواهد غیرمستقیم (مثلاً “سیاست نگهداری داده” که به‌طور غیرمستقیم سؤال “نگهداری سوابق” را پوشش می‌دهد) را روشن می‌سازد.  

با آموزش یک مدل **GraphSAGE** بر پایه جفت‌های تاریخی پرسش‑پاسخ، موتور یاد می‌گیرد گره‌هایی را که پیش‌تر به پاسخ‌های با کیفیت بالا منجر شده‌اند، اولویت‌بندی کند و دقت را به‌طور چشمگیری بهبود بخشد.

## دفتر کل اثبات‌پذیری: ردپای حسابرسی غیرقابل تغییر

هر پاسخی که تولید می‌شود، شامل:

* **آی‌دی گره‌های منبع** شواهد.  
* **مهر زمان** بازیابی.  
* **امضای دیجیتال** با کلید خصوصی DEOE.  
* **اثبات صفر‑دانش (ZKP)** که نشان می‌دهد پاسخ از منابع اعلام‌شده استخراج شده بدون اینکه اسناد خام را فاش کند.  

این موارد بر روی یک **دفتر کل غیرقابل تغییر** (Hyperledger Fabric) ذخیره می‌شوند و می‌توانند به‌صورت درخواست‌محور برای حسابرسان استخراج شوند؛ پرسش «این پاسخ از کجا آمده؟» دیگر بی‌پاسخ نمی‌ماند.

## یکپارچه‌سازی با جریان‌های کاری موجود در تأمین

| نقطه یکپارچه‌سازی | جایگاه DEOE |
|-------------------|-------------|
| **سیستم‌های تیکت (Jira, ServiceNow)** | وب‌هوک هنگام ایجاد تکلیف جدید پرسشنامه، موتور بازیابی را فراخوانی می‌کند. |
| **پایپلاین‌های CI/CD** | مخازن سیاست‑به‑کد به‌صورت همزمان به FKG از طریق کار همزمان GitOps منتقل می‌شوند. |
| **پورتال‌های فروشنده (SharePoint, OneTrust)** | پاسخ‌ها می‌توانند از طریق REST API به‌طور خودکار پر شوند و لینک‌های ردپای حسابرسی به‌عنوان متادیتا ضمیمه شوند. |
| **پلتفرم‌های همکاری (Slack, Teams)** | یک دستیار هوش مصنوعی می‌تواند به پرسش‌های زبان طبیعی پاسخ دهد، در پشت صحنه DEOE را فراخوانی می‌کند. |

## مزایا به‌صورت عددی

| معیار | فرآیند سنتی | فرآیند با DEOE |
|-------|--------------|----------------|
| **زمان متوسط پاسخ** | 5‑10 روز برای هر پرسشنامه | کمتر از 2 دقیقه برای هر آیتم |
| **ساعات کار دستی** | 30‑50 ساعت در هر دوره حسابرسی | 2‑4 ساعت (فقط بازبینی) |
| **دقت شواهد** | 85 % (به‌دلیل خطای انسانی) | 98 % (هوش مصنوعی + اعتبارسنجی استناد) |
| **یافتن مغایرت در پاسخ‌ها توسط حسابرسان** | 12 % از کل یافته‌ها | کمتر از 1 % |

آزمایشی‌های واقعی در سه شرکت Fortune‑500 SaaS نشان داد که **۷۰ %** کاهش در زمان پاسخ‌گویی و **۴۰ %** کاهش هزینه‌های اصلاح مرتبط با حسابرسی حاصل شد.

## نقشه راه پیاده‌سازی

1. **استخراج داده (هفته‌های 1‑2)** – اتصال خطوط Document AI به مخازن سیاست، خروجی به JSON‑LD.  
2. **طراحی طرحواره گراف (هفته‌های 2‑3)** – تعریف نوع گره/لبه (کنترل، دارایی، قانون، شواهد).  
3. **بارگذاری گراف (هفته‌های 3‑5)** – بارگذاری داده نرمال‌شده به Neo4j و اجرای آموزش اولیه GNN.  
4. **استقرار سرویس RAG (هفته‌های 5‑6)** – راه‌اندازی فهرست FAISS، ادغام با API OpenAI.  
5. **لایه سازماندهی (هفته‌های 6‑8)** – پیاده‌سازی ترکیب پاسخ، نقشه‌برداری استناد و امضای ردپا.  
6. **یکپارچه‌سازی آزمایشی (هفته‌های 8‑10)** – اتصال به یک جریان کاری پرسشنامه، جمع‌آوری بازخورد.  
7. **بهینه‌سازی دوره‌ای (هفته‌های 10‑12)** – تنظیم دقیق GNN، بهبود قالب‌های پرامپت، گسترش پوشش ZKP.  

یک فایل Docker‑Compose و Hel m Chart دوستانه برای DevOps در SDK متن باز Procurize موجود است که امکان راه‌اندازی سریع محیط بر روی Kubernetes را فراهم می‌کند.

## مسیرهای آینده

* **شواهد چندرسانه‌ای** – ترکیب اسکرین‌شات‌ها، نمودارهای معماری و ویدئوهای آموزشی با تعبیه‌های مبتنی بر CLIP.  
* **یادگیری فدرال بین مستاجرین** – به‌اشتراک‌گذاری به‌روزرسانی‌های وزن GNN به‌صورت ناشناس بین شرکت‌های شریک در حالی که حاکمیت داده حفظ می‌شود.  
* **پیش‌بینی مقررات** – ترکیب گراف زمانی با تحلیل روند مبتنی بر LLM برای پیش‌پیش‌بینی شواهد موردنیاز در استانداردهای آینده.  
* **کنترل دسترسی صفر‑اعتماد** – اعمال رمزگشایی سیاست‌محور شواهد در نقطه استفاده، به‌گونه‌ای که فقط نقش‌های مجاز بتوانند اسناد منبع را مشاهده کنند.

## چک‌لیست بهترین شیوه‌ها

- [ ] **حفظ سازگاری معنایی** – استفاده از یک واژگان مشترک (مثلاً [NIST CSF](https://www.nist.gov/cyberframework)، ISO 27001) در تمام اسناد منبع.  
- [ ] **نگهداری نسخه‌گذاری طرحواره گراف** – ذخیره مهاجرت‌های طرحواره در Git و اعمال آن‌ها از طریق CI/CD.  
- [ ] **حسابرسی روزانه اثبات‌پذیری** – اجرای چک‌های خودکار که هر پاسخی حداقل به یک گره امضاشده نگاشت داشته باشد.  
- [ ] **نظارت بر تأخیر بازیابی** – هشدار اگر زمان پرس‌وجو RAG بیش از ۳ ثانیه شود.  
- [ ] **آموزش دوره‌ای GNN** – افزودن جفت‌های جدید پرسش‑پاسخ هر فصل.  

## نتیجه‌گیری

**موتور سازماندهی دینامیک شواهد** تعریفی نو از نحوه پاسخ به پرسشنامه‌های امنیتی ارائه می‌دهد. با تبدیل اسناد سیاست ایستا به **یک بستر دانش زنده، مبتنی بر گراف** و بهره‌گیری از توان تولیدی مدل‌های زبانی پیشرفته، سازمان‌ها می‌توانند:

* **سرعت معاملات را افزایش دهند** – پاسخ‌ها در ثانیه آماده می‌شوند.  
* **اعتماد حسابرسی را ارتقاء دهند** – هر بیان به‌صورت رمزنگاری‌شده به منبع خود متصل است.  
* **انطباق را برای آینده آماده کنند** – سیستم با تغییر مقررات یاد می‌گیرد و سازگار می‌شود.  

پذیرفتن DEOE دیگر یک تجمل نیست؛ بلکه یک ضرورت استراتژیک برای هر شرکت SaaS است که به سرعت، امنیت و اعتماد در بازار رقابتی می‌نگرد.