
# موتور خودکارنقشه‌برداری شواهد مبتنی بر هوش مصنوعی برای هماهنگی پرسش‌نامه‌های چند چارچوبی

## مقدمه

پرسش‌نامه‌های امنیتی درهای ورود به هر قرارداد B2B SaaS هستند. مشتریان برای اثبات انطباق با چارچوب‌هایی مانند [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)، [ISO 27001](https://www.iso.org/standard/27001)، [GDPR](https://gdpr.eu/)، [PCI‑DSS](https://www.pcisecuritystandards.org/pci_security/) و قوانین نوظهور محلی‌سازی داده‌ها درخواست می‌کنند. اگرچه کنترل‌های بنیادی غالباً همپوشانی دارند، هر چارچوب اصطلاحات، قالب شواهد و درجه‌بندی شدت خاص خود را دارد. فرایندهای دستی سنتی تیم‌های امنیتی را وادار می‌کند تا کارها را تکرار کنند: یک کنترل را در یک چارچوب پیدا می‌کنند، پاسخ را برای چارچوب دیگر بازنویسی می‌کنند و خطر عدم سازگاری وجود دارد.

**موتور خودکارنقشه‌برداری شواهد (EAME)** این مشکل را با ترجمه خودکار شواهد از چارچوب منبع به زبان هر چارچوب هدف حل می‌کند. این موتور با استفاده از مدل‌های زبان بزرگ (LLM)، گراف دانش انطباق پویا و خط لوله تولید افزایشی مبتنی بر بازیابی (RAG) پاسخ‌های دقیق و قابل بازرسی را در عرض ثانیه‌ها ارائه می‌دهد.

در این مقاله ما:

* معماری EAME و جریان‌های داده‌ای که آن را قابل اطمینان می‌سازند تحلیل می‌کنیم.  
* توضیح می‌دهیم چگونه هم‌راستایی معنایی توسط LLM بدون به خطر انداختن محرمانگی انجام می‌شود.  
* راهنمای گام‌به‌گام استقرار برای مشتریان Procurize ارائه می‌کنیم.  
* معیارهای کارایی و توصیه‌های بهترین روش‌ها را فراهم می‌آوریم.

## مشکل اصلی: شواهد پراکنده در میان چارچوب‌ها

| چارچوب | نوع شواهد معمولی | مثال همپوشانی |
|--------|-------------------|----------------|
| [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) | سیاست‌ها، اسناد فرآیند، اسکرین‌شات‌ها | سیاست کنترل دسترسی |
| [ISO 27001](https://www.iso.org/standard/27001) | بیانیه کاربرد، ارزیابی ریسک | سیاست کنترل دسترسی |
| [GDPR](https://gdpr.eu/) | سوابق پردازش داده، DPIA | سوابق پردازش داده |
| [PCI‑DSS](https://www.pcisecuritystandards.org/pci_security/) | نمودارهای شبکه، گزارش‌های توکنیزه‌سازی | نمودار شبکه |

اگرچه یک **سیاست کنترل دسترسی** می‌تواند هم برای [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) و هم برای [ISO 27001](https://www.iso.org/standard/27001) کافی باشد، هر پرسش‌نامه آن را در قالب متفاوتی می‌طلبد:

* **SOC 2** یک **نمونه‌ متن سیاست** با نسخه و تاریخ آخرین بازبینی می‌خواهد.  
* **ISO 27001** یک **لینک به بیانیه کاربرد** و یک **امتیاز ریسک** درخواست می‌کند.  
* **GDPR** یک **ثبت فعالیت‌های پردازشی** می‌خواهد که به همان سیاست ارجاع می‌دهد.

تیم‌های دستی باید سیاست را بیابند، کپی‑پست کنند، ارجاع را دوباره قالب‌بندی کنند و امتیاز ریسک را به‌صورت دستی محاسبه کنند—یک جریان کاری مستعد خطا که زمان turnaround را ۳۰‑۵۰ ٪ افزایش می‌دهد.

## مرور معماری موتور خودکارنقشه‌برداری

این موتور بر سه ستون اصلی بنا شده است:

1. **گراف دانش انطباق (CKG)** – گرافی جهت‌دار و برچسب‌دار که موجودیت‌ها (کنترل‌ها، آثار شواهد، چارچوب‌ها) و روابط («پوشش می‌دهد», «نیاز دارد», «معادل است با») را ذخیره می‌کند.  
2. **مترجم معنایی تقویت‌شده با LLM** – لایهٔ پرامپتینگ که شواهد منبع را به قالب پاسخ چارچوب هدف ترجمه می‌کند.  
3. **حلقه تولید افزایشی مبتنی بر بازیابی (RAG‑Loop)** – مکانیزمی بازخوردی که پاسخ‌های تولیدشده را در مقابل CKG و مخازن سیاست خارجی اعتبارسنجی می‌کند.

در ادامه یک نمودار Mermaid سطح بالا جریان داده‌ها را نشان می‌دهد.

```mermaid
graph LR
  A[User Submits Questionnaire] --> B[Question Parser]
  B --> C{Identify Target Framework}
  C -->|SOC2| D[CKG Lookup: SOC2 Node]
  C -->|ISO27001| E[CKG Lookup: ISO Node]
  D --> F[Retrieve Source Evidence]
  E --> F
  F --> G[LLM Semantic Mapper]
  G --> H[Generated Answer]
  H --> I[Compliance Validator]
  I -->|Pass| J[Answer Stored in Procurement DB]
  I -->|Fail| K[Human‑in‑the‑Loop Review]
  K --> G
```

### 1. گراف دانش انطباق (CKG)

CKG از سه منبع پر می‌شود:

* **طبقه‌بندی‌های چارچوب** – کتابخانه‌های کنترلی رسمی که به‌صورت مجموعهٔ گره‌ها وارد می‌شوند.  
* **مخزن سیاست‌های سازمانی** – فایل‌های Markdown/Confluence که با جاسازی‌های متجهی (embeddings) نمایه می‌شوند.  
* **مخزن ابرداده شواهد** – فایل‌ها، اسکرین‌شات‌ها و لاگ‌های حسابرسی که با شناسه‌های شبیه SPDX برچسب‌گذاری می‌شوند.

هر گره ویژگی‌هایی نظیر `framework`، `control_id`، `evidence_type`، `version` و `confidence_score` دارد. روابط هم‌ارزی (`equivalent_to`)، سلسله‌مراتب (`subcontrol_of`) و منبع (`generated_by`) را رمزگذاری می‌کنند.

#### نمونه گراف (Mermaid)

```mermaid
graph TD
  A["سیاست کنترل دسترسی"]:::evidence -->|covers| B["SOC2 CC6.1"]:::control
  A -->|covers| C["ISO27001 A.9.2.1"]:::control
  A -->|covers| D["GDPR Art.32"]:::control
  classDef control fill:#f9f,stroke:#333,stroke-width:2px;
  classDef evidence fill:#bbf,stroke:#333,stroke-width:2px;
```

### 2. مترجم معنایی تقویت‌شده با LLM

مترجم یک **پیلد شواهد منبع** (مثلاً سند سیاست) و یک **قالب پاسخ چارچوب هدف** (مثلاً فرمت پاسخ SOC 2) دریافت می‌کند. با استفاده از پرامپت چند‑نمونه‌ای که برای زمینهٔ انطباق تنظیم شده، LLM پاسخ ساختاری تولید می‌کند:

```json
{
  "framework": "SOC2",
  "control_id": "CC6.1",
  "answer": "سیاست کنترل دسترسی ما (نسخه 3.2، بررسی شده در 2024‑12‑01) دسترسی به سیستم‌ها را تنها به افراد مجاز و بر پایهٔ اصل کمترین حق‌الامتیاز محدود می‌کند. برای متن کامل سیاست، پیوست را ملاحظه کنید.",
  "evidence_refs": ["policy_v3.2.pdf"]
}
```

عناصر کلیدی پرامپت:

* **پرامپت سیستم** – لحن انطباقی تنظیم می‌کند و تخیلات را محدود می‌سازد.  
* **نمونه‌های چند‑نمونه** – پاسخ‌های واقعی پرسش‌نامه‌های پیشین (بدون نام) به عنوان راهنما.  
* **توکن‌های محدودکننده** – تضمین می‌کند که پاسخ حداقل یک مرجع `evidence_refs` داشته باشد.

LLM پشت یک **پایانهٔ استنتاج خصوصی** اجرا می‌شود تا محرمانگی داده‌ها و سازگاری با GDPR حفظ شود.

### 3. حلقه تولید افزایشی مبتنی بر بازیابی (RAG‑Loop)

پس از تولید، پاسخ به یک **اعتبارسنج** ارسال می‌شود که:

1. **مرجع‌های `evidence_refs`** را در CKG جستجو می‌کند تا اطمینان حاصل شود مورد استناد واقعاً پوشش‌دهندهٔ کنترل مورد نظر است.  
2. **یکپارچگی نسخه** را بررسی می‌کند (مثلاً نسخهٔ سیاست باید آخرین نسخه ذخیره‌شده باشد).  
3. **امتیاز تشابه** بین متن تولیدشده و شواهد منبع را محاسبه می‌کند؛ امتیاز زیر ۰.۸۵ باعث فعال شدن بازبینی انسانی (HITL) می‌شود.

حلقه تا زمان عبور اعتبارسنج تکرار می‌شود و ردیابی و بازرسی را تضمین می‌کند.

## استقرار موتور در Procurize

### پیش‌نیازها

| مورد | حداقل مشخصات |
|------|---------------|
| خوشهٔ Kubernetes | ۳ گره، هر کدام ۸ vCPU |
| ذخیره‌سازی پایدار | ۲۰۰ GB SSD (برای CKG) |
| فراهم‌کننده LLM | پایانهٔ خصوصی سازگار با API OpenAI |
| سیاست IAM | دسترسی خواندن/نوشتن به مخزن سیاست‌ها و باکت شواهد |

### مراحل نصب

1. **راه‌اندازی سرویس CKG** – گراف‌دیتابیس (Neo4j یا Amazon Neptune) را با استفاده از Helm chart ارائه‌شده مستقر کنید.  
2. **وارد کردن طبقه‌بندی چارچوب‌ها** – با فرمان `ckg-import` آخرین اسکیماهای JSON SOC 2، ISO 27001 و GDPR را بارگذاری کنید.  
3. **ایندکس‌گذاری سیاست‌های سازمانی** – با اجرای `policy-indexer` جاسازی‌های متجهی (SBERT) ساخته و در گراف ذخیره می‌شوند.  
4. **استقرار استنتاج LLM** – کانتینری ایمن (`private-llm`) پشت Load Balancer ایزوله در VPC راه‌اندازی کنید و متغیرهای محیطی `LLM_API_KEY` را تنظیم نمایید.  
5. **پیکربندی RAG‑Loop** – مانفیست `rag-loop.yaml` شامل وب هوک اعتبارسنج، صف HITL (Kafka) و متریک‌های Prometheus را اعمال کنید.  
6. **ادغام با رابط UI Procurize** – سوئیچ «Auto‑Map» را در ویرایشگر پرسش‌نامه فعال کنید. UI یک درخواست POST به `/api/auto-map` با پارامترهای `source_framework`، `target_framework` و `question_id` می‌فرستد.  
7. **اجرای تست دودکی** – یک پرسش‌نامهٔ آزمایشی شامل کنترل شناخته‌شده (مثلاً SOC 2 CC6.1) ارسال کنید و تأیید کنید که پاسخ شامل مرجع صحیح سیاست باشد.

### نظارت و قابلیت مشاهده

* **زمان تأخیر** – هدف کمتر از ۲ ثانیه برای هر پاسخ؛ هشدار در صورت بیش از ۵ ثانیه.  
* **نرخ شکست اعتبارسنج** – هدف کمتر از ۱ ٪؛ افزایش ناگهانی نشانگر انحراف در مخزن سیاست‌هاست.  
* **استفاده توکن LLM** – هزینه‌ها را پیگیری کنید؛ برای پرسش‌های تکراری از کش استفاده کنید.

## معیارهای کارایی

| معیار | فرایند دستی | موتور خودکارنقشه‌برداری |
|-------|-------------|--------------------------|
| زمان متوسط پردازش هر سؤال | ۴.۲ دقیقه | ۱.۳ ثانیه |
| نسبت استفاده مجدد شواهد* | ۲۲ ٪ | ۷۸ ٪ |
| بار کاری بررسی انسانی | ۳۰ ٪ پرسش‌ها | ۴ ٪ پرسش‌ها |
| هزینه هر پرسش‌نامه (USD) | ۱۲.۴۰ | ۱.۷۵ |

\*نسبت استفاده مجدد شواهد اندازه‌گیری می‌کند که چه میزان همان اثر می‌تواند چندین کنترل را در چارچوب‌های مختلف پوشش دهد.

موتور کاهش ۸۶ ٪ در کار دستی و نگهداری یک **نرخ موفقیت اعتبارسنجی بازرسی‑درجه 97 ٪** را فراهم می‌کند.

## بهترین روش‌ها برای خودکارنقشه‌برداری پایدار

1. **به‌روز نگه‌داشتن CKG** – شغل‌های هم‌زمان شبانه‌روزی برای دریافت کتابخانه‌های کنترلی به‌روز از پورتال‌های ISO، SOC و GDPR تنظیم کنید.  
2. **برچسب‌گذاری نسخه برای شواهد** – هر مدرک بارگذاری‌شده باید شامل نسخهٔ معنایی (مثلاً `policy_v3.2.pdf`) باشد؛ اعتبارسنج مرجع‌های منقضی را رد می‌کند.  
3. **آموزش دقیق LLM بر روی داده‌های حوزه** – با استفاده از LoRA بر روی ۵ k پاسخ پرسش‌نامه ناشناس، لحن انطباقی بهبود می‌یابد.  
4. **اجرای کنترل دسترسی مبتنی بر نقش** – تنها افراد مجاز می‌توانند بازبینی‌های HITL را تأیید کنند و هر بازبینی با شناسه کاربری و زمان ثبت می‌شود.  
5. **آزمون‌های انحراف دوره‌ای** – سوالات پاسخ‌داده‌شده را به‌صورت تصادفی با پایهٔ انسانی مقایسه کنید و نمرات BLEU/ROUGE را محاسبه کنید تا از افت کیفیت جلوگیری شود.

## ملاحظات امنیتی و حریم خصوصی

* **موقعیت داده** – پایانهٔ LLM را در همان منطقه‌ای که باکت سیاست‌ها قرار دارد مستقر کنید تا الزامات محلی‌سازی داده‌ها را برآورده کنید.  
* **اثبات صفر‑دانش برای مدارک محرمانه** – برای سیاست‌های بسیار حساس، می‌توان یک اثبات رمزنگاری شده از حضور در CKG تولید کرد بدون افشای محتوا، با استفاده از zk‑SNARKها.  
* **حریم خصوصی تفاضلی** – هنگام تجمیع معیارهای استفاده، به‌طور تصادفی به داده‌ها نویز اضافه کنید تا جزئیات مدارک خاص فاش نشود.

## نقشهٔ راه آینده

* **پشتیبانی از شواهد چندرسانه‌ای** – افزودن OCR برای گواهی‌نامه‌های اسکن‌شده و جاسازی‌های تصویری برای نمودارهای شبکه.  
* **گراف فدرال میان مستأجران** – امکان به‌اشتراک‌گذاری نقشه‌های معادل‌سازی کنترل به‌صورت ناشناس بین کنسرسیوم‌های صنعتی، در حالی که شواهد مالکیتی هر عضو محفوظ می‌ماند.  
* **فید قانونی زمان‌واقعی** – دریافت خودکار قوانین جدید (مثلاً قانون هوش مصنوعی) که گره‌های جدید گراف را ایجاد می‌کند و بازآموزی پرامپت مترجم LLM را فعال می‌سازد.

## نتیجه‌گیری

موتور خودکارنقشه‌برداری شواهد مبتنی بر هوش مصنوعی، چشم‌انداز انطباق را از **یک گره‌برداری دستی و پرخطا** به یک **خدمات داده‑محور و پیش‌بینی‌گر** تبدیل می‌کند. با یک‌پارچه‌سازی شواهد در میان SOC 2، ISO 27001، GDPR و دیگر چارچوب‌ها، زمان پاسخگویی به پرسش‌نامه‌ها را بیش از ۹۵ ٪ کاهش می‌دهد، خطاهای انسانی را کمتر می‌کند و ردپایی قابل بازرسی فراهم می‌کند که هم بازرسان و هم قانون‌گذاران راضی می‌شود.

استقرار EAME در Procurize، تیم‌های امنیت، حقوقی و محصول را با یک منبع حقیقت تجهیز می‌کند، آن‌ها را از کارهای تکراری آزاد می‌سازد و در نهایت چرخه‌های درآمد SaaS را سرعت می‌بخشد.

## <span class='highlight-content'>مشاهده</span> Also
- https://www.iso.org/standard/54534.html  
- https://www.aicpa.org/interestareas/frc/assuranceadvisory/pages/soc2.aspx  
- https://gdpr.eu/  
- https://www.nist.gov/cyberframework  

---