
# داشبورد تعاملی مبتنی بر مرمید برای ردیابی منبع شواهد در زمان واقعی بازبینی پرسشنامه‌ها

## مقدمه  

پرسشنامه‌های امنیتی، حسابرسی‌های انطباق و ارزیابی ریسک فروشندگان تاکنون گلوگاه‌های سرعت برای شرکت‌های SaaS سریع‌العمل بوده‌اند. در حالی که هوش مصنوعی می‌تواند پاسخ‌ها را در چند ثانیه تولید کند، حسابرسان و بررسی‌کنندگان داخلی همچنان می‌پرسند: *«این پاسخ از کجا آمده است؟ آیا از آخرین حسابرسی تغییر کرده؟»* پاسخ در **منبع شواهد** نهفته است—توانایی ردیابی هر پاسخ به منبع، نسخه و مسیر تصویب آن.

بستهٔ ویژگی نسل بعدی Procurize یک **داشبورد تعاملی مرمید** معرفی می‌کند که منبع شواهد را به‌صورت زمان واقعی به تصویر می‌کشد. این داشبورد توسط یک **گراف دانش انطباق دینامیک (DCKG)** قدرت می‌گیرد که به‌طور مستمر با مخازن سیاست، مخازن اسناد و خوراک‌های انطباق خارجی همگام‌سازی می‌شود. با رندر گراف به‌صورت نمودار مرمید، تیم‌های امنیت می‌توانند:

* **پیمایش** ریشهٔ هر پاسخ را با یک کلیک انجام دهند.
* **اعتبارسنجی** تازگی شواهد با هشدارهای خودکار انحراف سیاست.
* **استخراج** لحظات آماده حسابرسی که منبع شواهد بصری را در گزارش‌های انطباق جاسازی می‌کند.

در ادامه بخش‌های مختلف معماری، مدل مرمید، الگوهای ادغام و گام‌های عملی برای اجرا بررسی می‌شود.

---

## 1. چرا منبع شواهد در پرسشنامه‌های خودکار مهم است  

| نقطه درد | راه‌حل سنتی | ریسک باقی مانده |
|------------|--------------------|---------------|
| **کهنه شدن پاسخ** | یادداشت‌های «آخرین به‌روزرسانی» دستی | تغییرات سیاست نادیده گرفته می‌شود |
| **منبع مبهم** | پاورقی‌های متنی | حسابرسان قادر به تأیید نیستند |
| **آشفتگی کنترل نسخه** | مخازن Git جداگانه برای اسناد | snapshots ناسازگار |
| **بار کاری همکاری** | زنجیره ایمیل‌های تأیید | تأییدهای گمشده، کار تکراری |

منبع شواهد این خلأها را با **اتصال هر پاسخ تولیدشده توسط AI به گره شواهدی منحصر به‌فرد** در گراف که ثبت می‌کند:

* **سند منبع** (فایل سیاست، تأییدیهٔ شخص ثالث، شواهد کنترل)
* **هش نسخه** (اثر انگشت رمزنگاری برای اطمینان از عدم تغییر)
* **مالک / تصویب‌کننده** (هویت انسان یا ربات)
* **زمان‑مهر** (زمان UTC به‌صورت خودکار)
* **پرچم انحراف سیاست** (ایجاد خودکار توسط موتور انحراف زمان واقعی)

هنگامی که حسابرس روی پاسخ در داشبورد کلیک می‌کند، سیستم بلافاصله گره را باز می‌کند و تمام متادیتای فوق را نشان می‌دهد.

---

## 2. معماری اصلی  

در زیر نمودار مرمید سطح‑بالای مسیر منبع شواهد ارائه شده است. برای سازگاری با مشخصات، برچسب گره‌ها داخل **دو کوتیشن** قرار گرفته‌اند.

```mermaid
graph TD
    subgraph "موتور هوش مصنوعی"
        A["تولیدکننده پاسخ LLM"]
        B["مدیر پرامپت"]
    end
    subgraph "گراف دانش"
        KG["گراف دانش پویا برای انطباق"]
        V["ذخیره‌ساز نسخه شواهد"]
        D["سرویس تشخیص انحراف"]
    end
    subgraph "لایه UI"
        UI["داشبورد تعاملی مرمید"]
        C["سرویس صادرات حسابرسی"]
    end
    subgraph "یکپارچه‌سازی‌ها"
        R["مخزن سیاست (Git)"]
        S["ذخیره‌ساز سند (S3)"]
        M["فید انطباق خارجی"]
    end

    B --> A
    A --> KG
    KG --> V
    V --> D
    D --> KG
    KG --> UI
    UI --> C
    R --> V
    S --> V
    M --> KG
```

**جریان‌های کلیدی**

1. **مدیر پرامپت** متنی زمینه‌دار را انتخاب می‌کند که به گره‌های مرتبط در گراف دانش ارجاع می‌دهد.  
2. **تولیدکننده پاسخ LLM** پیش‌نویسی از پاسخ می‌سازد.  
3. پاسخ به‌عنوان یک *گره پاسخ* جدید در گراف دانش ثبت می‌شود و به *گره‌های شواهد* زیرین متصل می‌شود.  
4. **ذخیره‌ساز نسخه شواهد** اثر انگشت رمزنگاری هر سند منبع را می‌نویسد.  
5. **سرویس تشخیص انحراف** به‌صورت مستمر اثر انگشت‌های ذخیره‌شده را با snapshots زنده سیاست مقایسه می‌کند؛ هر اختلاف، پاسخ را برای بازنگری پرچم می‌زند.  
6. **داشبورد تعاملی** از طریق نقطهٔ GraphQL گراف را می‌خواند و کد مرمید را به‌صورت آن‑لای رندر می‌کند.  
7. **سرویس صادرات حسابرسی** نمودار SVG جاری، JSON منبع شواهد و متن پاسخ را در یک بسته PDF یکپارچه می‌سازد.

---

## 3. ساخت داشبورد مرمید  

### 3.1 تبدیل داده به نمودار  

لایه UI با یک پرس‌و‌جوای GraphQL برای شناسهٔ خاص پرسشنامه درخواست می‌کند. پاسخ شامل ساختار تو در توی زیر است:

```json
{
  "questionId": "Q-101",
  "answer": "We encrypt data at rest using AES‑256.",
  "evidence": [
    {
      "docId": "policy-iso27001",
      "versionHash": "0x9f2c...",
      "approvedBy": "alice@example.com",
      "timestamp": "2025-11-20T14:32:00Z",
      "drift": false
    },
    {
      "docId": "cloud‑kbs‑report",
      "versionHash": "0x4c1a...",
      "approvedBy": "bob@example.com",
      "timestamp": "2025-09-05T09:10:00Z",
      "drift": true
    }
  ]
}
```

**رندرکنندهٔ سمت‑کلاینت** هر ورودی شواهد را به یک زیر‑گراف مرمید تبدیل می‌کند:

```mermaid
graph LR
    A["پاسخ Q‑101"] --> E1["policy‑iso27001"]
    A --> E2["cloud‑kbs‑report"]
    E1 -->|hash: 0x9f2c| H1["هش"]
    E2 -->|hash: 0x4c1a| H2["هش"]
    E2 -->|drift| D["⚠️ تشخیص انحراف"]
```

واسط کار، نشانه‌های بصری زیر را اعمال می‌کند:

* **گره سبز** – شواهد به‌روز.
* **گره قرمز** – انحراف پرچم‌خورده.
* **آیکون قفل** – اثر انگشت رمزنگاری تأیید شده.

> **توجه:** مرجع به *policy‑iso27001* با استاندارد ISO 27001 هماهنگ است؛ جزئیات رسمی در [ISO 27001](https://www.iso.org/standard/27001) موجود است.

### 3.2 ویژگی‌های تعاملی  

| ویژگی | تعامل | نتیجه |
|--------|----------|---------|
| **کلیک گره** | کلیک روی هر گره شواهد | نمایش مودالی با پیش‌نمایش سند اصلی، اختلاف نسخه و نظرات تصویب |
| **تغییر نما به انحراف** | سوئیچ در نوار ابزار | فقط گره‌های پرچم‌خورده با انحراف برجسته می‌شوند |
| **استخراج Snapshot** | کلیک دکمه «Export» | تولید SVG + بسته JSON منبع شواهد برای حسابرسان |
| **جستجو** | وارد کردن شناسه سند یا ایمیل تصویب‌کننده | تمرکز خودکار بر گراف زیر مجموعهٔ منطبق |

تمام تعاملات **در سمت کلاینت** انجام می‌شود و نیازی به درخواست‌های اضافی به سرور ندارند. کد مرمید تولید شده در یک `<textarea hidden>` برای امکان کپی‑پیست ذخیره می‌شود.

---

## 4. ادغام منبع شواهد در جریان‌های کاری موجود  

### 4.1 گیت‌سی‌آی/سی‌دی گیت مَنسِ باب  

یک مرحله در خط لولهٔ CI اضافه کنید که **ساخت را متوقف کند** اگر هر پاسخی در نسخهٔ آینده پرچم انحراف داشته باشد. مثال GitHub Action:

```yaml
name: Evidence Provenance Gate
on: [pull_request]
jobs:
  provenance-check:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3
      - name: Run Drift Scanner
        run: |
          curl -s https://api.procurize.io/drift?pr=${{ github.event.pull_request.number }} \
          | jq '.drifted | length > 0' && exit 1 || exit 0
```

### 4.2 اعلان در Slack / Teams  

سرویس تشخیص انحراف می‌تواند یک **قطعه مرمید مختصر** را به یک کانال بفرستد. بات‌های پشتیبانی‌شده خود به‌صورت خودکار نمودار را رندر می‌کنند و رهبران امنیت فوراً از انحرافها باخبر می‌شوند.

### 4.3 خودکارسازی بازبینی حقوقی  

تیم حقوقی می‌تواند یک لبهٔ **«تأیید حقوقی»** به گره‌های شواهد اضافه کند. داشبورد سپس با آیکون قفل نشان می‌دهد که شواهد از فهرست بررسی حقوقی عبور کرده‌اند.

---

## 5. ملاحظات امنیتی و حریم خصوصی  

| نگرانی | کاهش خطر |
|--------|-----------|
| **افشای اسناد حساس** | ذخیرهٔ اسناد خام در سطل‌های S3 رمزنگاری‌شده؛ داشبورد فقط متادیتا و هش را نشان می‌دهد. |
| **دست‌کاری داده‌های منبع** | استفاده از امضای سبک **EIP‑712** برای هر تراکنش گراف؛ تغییر هر گره باعث نامعتبر شدن هش می‌شود. |
| **محل نگهداری داده‌ها** | استقرار گراف دانش و ذخیرهٔ شواهد در همان منطقهٔ جغرافیایی داده‌های انطباق شما (EU، US‑East و …). |
| **کنترل دسترسی** | مدل RBAC Procurize: فقط کاربران دارای `provenance:read` می‌توانند داشبورد را ببینند؛ `provenance:edit` برای تصویب‌ها ضروری است. |

---

## 6. تاثیر واقعی: مطالعه موردی  

**شرکت:** SecureFinTech Ltd.  
**سناریو:** برای حسابرسی فصلی **SOC 2** شواهد ۱۸۲ کنترل رمزنگاری مورد نیاز بود.  
**قبل از داشبورد:** جمع‌آوری دستی ۱۲ روز طول می‌کشید؛ حسابرسان درباره تازگی شواهد سؤال می‌کردند.  
**پس از داشبورد:**  

| معیار | قبل | پس از داشبورد |
|--------|------|----------------|
| زمان متوسط پاسخ | ۴٫۲ ساعت | **۱٫۱ ساعت** |
| بازکاری به‑دلیل انحراف | ۲۸٪ پاسخ | **۳٪** |
| امتیاز رضایت حسابرسان (۱‑۵) | ۲.۸ | **۴.۷** |
| زمان استخراج بسته حسابرسی | ۶ ساعت | **۴۵ دقیقه** |

نمایش منبع شواهد زمان‑واقعی، زمان آماده‌سازی حسابرسی را **۷۰٪** کاهش داد و هشدارهای خودکار انحراف حدود **۱۶۰ ساعت کار سالانه** را صرفه‌جویی کرد.

---

## 7. راهنمای پیاده‌سازی گام‌به‌گام  

1. **فعال‌سازی همگام‌سازی گراف دانش** – مخازن سیاست Git، مخازن اسناد و خوراک‌های انطباق خارجی را در تنظیمات Procurize متصل کنید.  
2. **روشن کردن سرویس منبع شواهد** – در کنسول ادمین گزینه «نسخه‌بندی شواهد و تشخیص انحراف» را فعال کنید.  
3. **پیکربندی داشبورد مرمید** – در فایل `procurize.yaml` مقدار `dashboard.provenance.enabled = true` را اضافه کنید.  
4. **تعریف جریان تصویب** – با «سازنده گردش کار» گره‌های «تأیید حقوقی» و «مالک امنیت» را به هر گره شواهد متصل کنید.  
5. **آموزش تیم‌ها** – یک دموی ۳۰ دقیقه‌ای برگزار کنید که تعامل گره، مدیریت انحراف و روش‌های استخراج را نشان می‌دهد.  
6. **یکپارچه‌سازی در پورتال حسابرسان** – از اسکریپت iFrame زیر برای میزبانی داشبورد در پورتال خارجی استفاده کنید.  

```html
<iframe src="https://dashboard.procurize.io/q/2025-Q101"
        width="100%" height="800"
        style="border:none;"></iframe>
```

7. **نظارت بر معیارها** – در داشبورد تجزیه و تحلیل Procurize «رویدادهای انحراف»، «تعداد صادرات» و «متوسط زمان پاسخ» را پیگیری کنید تا بازگشت سرمایه واضح شود.

---

## 8. بهبودهای آینده  

| آیتم برنامه‌ریزی | توضیح |
|-------------------|--------|
| **پیش‌بینی انحراف توسط هوش مصنوعی** | تحلیل روند تغییرات سیاست با LLM برای پیش‌بینی انحراف پیش از وقوع. |
| **به‌اشتراک‌گذاری منبع شواهد میان چندین مستأجر** | حالت گراف فدرالی که شرکت‌های شریک می‌توانند شواهد مشترک را ببینند بدون افشای اسناد اصلی. |
| **ناوبری با فرمان صوتی** | یکپارچه‌سازی با دستیار صوتی Procurize برای پرسیدن «منبع پاسخ ۳۴ را نشان بده». |
| **همکاری زنده** | ویرایش همزمان چند کاربر بر گره‌های شواهد با نشانگرهای حضور که مستقیماً در نمودار مرمید نمایش داده می‌شود. |

---

## 9. نتیجه‌گیری  

**داشبورد تعاملی مبنی بر مرمید** شرکت Procurize دنیای تاریک خودکارسازی پرسشنامه‌های امنیتی را به تجربه‌ای شفاف، قابل حسابرسی و تعاملی تبدیل می‌کند. با پیوند دادن پاسخ‌های تولیدشده توسط هوش مصنوعی به گراف دانش زنده، سازمان‌ها **دید لحظه‌ای به ریشهٔ شواهد**، **کاهش خودکار انحراف** و **آماده‌سازی آسان برای حسابرسی** را به دست می‌آورند—بدون اینکه سرعت قربانی شود.

اعمال این لایهٔ منبع شواهد نه تنها زمان دوره‌های حسابرسی را می‌کاهد، بلکه اطمینان می‌دهد که ادعاهای امنیتی شما توسط **شواهد ثابت، زمان واقعی و غیرقابل دستکاری** پشتیبانی می‌شود. این اعتماد به‌دست‑آمده، هم برای ناظران، هم برای شرکای تجاری و هم برای مشتریان، پایه‌ای برای رشد پایدار در محیط پیچیدهٔ ریسک‌های دیجیتال امروز است.