
# پایگاه دانش انطباق خود‌درمان با هوش مصنوعی مولد

شرکت‌هایی که نرم‌افزار به سازمان‌های بزرگ می‌فرستند، با جریان بی‌پایانی از پرسش‌نامه‌های امنیتی، ممیزی‌های انطباق و ارزیابی‌های فروشنده مواجه هستند. روش سنتی — کپی‑و‑پست دستی از سیاست‌ها، ردیابی در صفحات گسترده و رشته‌های ایمیل اد‑هاک — سه مشکل بحرانی ایجاد می‌کند:

| مشکل | تأثیر |
|---|---|
| **شواهد منقضی‌شده** | پاسخ‌ها با تغییر کنترل‌ها نامعتبر می‌شوند. |
| **سکوی دانش** | تیم‌ها کارها را تکرار می‌کنند و بینش‌های میان‌تیمی را از دست می‌دهند. |
| **ریسک ممیزی** | پاسخ‌های ناسازگار یا منسوخ‌شده باعث ایجاد شکاف‌های انطباق می‌شوند. |

**پایگاه دانش انطباق خود‌درمان (SH‑CKB)** جدید Procurize این مشکلات را با تبدیل مخزن انطباق به یک موجود زنده حل می‌کند. این سیستم به‌وسیله **هوش مصنوعی مولد**، **موتور اعتبارسنجی لحظه‌ای** و **گراف دانش پویا** به‌صورت خودکار انحراف‌ها را شناسایی، شواهد را بازتولید و به‌روزرسانی‌ها را در تمام پرسش‌نامه‌ها پراکند.

---

## 1. مفاهیم اساسی

### 1.1 هوش مصنوعی مولد به‌عنوان ترکیب‌کننده شواهد  

مدل‌های زبانی بزرگ (LLM) که روی اسناد سیاستی، لاگ‌های ممیزی و artefacts فنی سازمان‌تان آموزش دیده‌اند، می‌توانند **پاسخ‌های کامل** را بر‑طلب تولید کنند. با استفاده از یک پرامپت ساختاری شامل:

* مرجع کنترل (مثلاً [ISO 27001](https://www.iso.org/standard/27001) A.12.4.1)  
* artefacts شواهد فعلی (مثلاً وضعیت Terraform، لاگ‌های CloudTrail)  
* لحن دلخواه (مختصر، سطح اجرایی)  

مدل پیش‌نویس پاسخی را تولید می‌کند که برای بازبینی آماده است.

### 1.2 لایه اعتبارسنجی لحظه‌ای  

یک مجموعه از اعتبارسنجی‌های مبتنی بر قوانین و یادگیری ماشین به‌طور مداوم بررسی می‌کنند:

* **تازه بودن artefact** – برچسب زمانی، شماره نسخه، چک‌سام‌های هش.  
* **مرتبط بودن با مقررات** – نگاشت نسخه‌های جدید مقررات به کنترل‌های موجود.  
* **سازگاری معنایی** – امتیاز شباهت بین متن تولیدشده و اسناد منبع.

هنگامی که یک اعتبارسنجی عدم تطابقی را نشان دهد، گراف دانش گره مربوطه را به‌عنوان **«منقضی»** علامت‌گذاری کرده و بازتولید را آغاز می‌کند.

### 1.3 گراف دانش پویا  

تمام سیاست‌ها، کنترل‌ها، فایل‌های شواهد و آیتم‌های پرسش‌نامه به **گره**های یک گراف جهت‌دار تبدیل می‌شوند. لبه‌ها روابطی مانند *«شواهد برای»*، *«مشتق از»* یا *«نیاز به به‌روزرسانی وقتی»* را capture می‌کنند. گراف امکان می‌دهد:

* **تحلیل اثرات** – شناسایی اینکه کدام پاسخ‌های پرسش‌نامه به یک سیاست تغییر یافته وابسته‌اند.  
* **تاریخچه نسخه** – هر گره دارای ریشه‌خط زمانی است که ممیزی‌ها را قابل ردیابی می‌سازد.  
* **فدراسیون پرس‌و‌جو** – ابزارهای پایین‌دست (لوله‌های CI/CD، سیستم‌های تیکت) می‌توانند نمای انطباق به‌روز را از طریق GraphQL بازیابی کنند.

---

## 2. نقشه‌بلوک معماری

در زیر یک نمودار مرمید سطح‑بالا قرار داده شده است که جریان داده‌های SH‑CKB را به‌صورت بصری نشان می‌دهد.

```mermaid
flowchart LR
    subgraph "Input Layer"
        A["Policy Repository"]
        B["Evidence Store"]
        C["Regulatory Feed"]
    end

    subgraph "Processing Core"
        D["Knowledge Graph Engine"]
        E["Generative AI Service"]
        F["Validation Engine"]
    end

    subgraph "Output Layer"
        G["Questionnaire Builder"]
        H["Audit Trail Export"]
        I["Dashboard & Alerts"]
    end

    A --> D
    B --> D
    C --> D
    D --> E
    D --> F
    E --> G
    F --> G
    G --> I
    G --> H
```

*گره‌ها در داخل نقل‌قول‌های دوگانه قرار دارند؛ نیازی به escape نیست.*

### 2.1 ورود داده‌ها  

1. **Policy Repository** می‌تواند Git، Confluence یا یک مخزن سیاست‑به‑کد اختصاصی باشد.  
2. **Evidence Store** artefacts را از CI/CD، SIEM یا لاگ‌های حسابداری ابر دریافت می‌کند.  
3. **Regulatory Feed** به‌روزرسانی‌ها را از ارائه‌دهندگانی مانند [NIST CSF](https://www.nist.gov/cyberframework)، ISO و فهرست‌های نظارتی [GDPR](https://gdpr.eu/) می‌کشد.

### 2.2 موتور گراف دانش  

- **استخراج موجودیت** اسناد PDF بدون ساختار را به گره‌های گراف تبدیل می‌کند به‌کمک Document AI.  
- **الگوریتم‌های لینک‌گذاری** (شباهت معنایی + فیلترهای مبتنی بر قانون) روابط را می‌سازند.  
- **برچسب‌های نسخه** به‌عنوان ویژگی‌های گره ذخیره می‌شوند.

### 2.3 سرویس هوش مصنوعی مولد  

- در یک محیط امن (مثلاً Azure Confidential Compute) اجرا می‌شود.  
- از **Retrieval‑Augmented Generation (RAG)** استفاده می‌کند: گراف یک بخش زمینه‌ای فراهم می‌کند، LLM پاسخ را می‌نویسد.  
- خروجی شامل **شناسه‌های استناد** است که به گره‌های منبع بازمی‌گردند.

### 2.4 موتور اعتبارسنجی  

- **موتور قوانین** بررسی می‌کند که زمان‌سنجی تازه باشد (`now - artifact.timestamp < TTL`).  
- **کلاس‌گذار ML** انحراف معنایی را علامت‌گذاری می‌کند (فاصله embedding > آستانه).  
- **حلقه بازخورد**: پاسخ‌های نامعتبر به‌عنوان داده برای به‌روزرسانی تقویت‑یادگیری LLM تغذیه می‌شوند.

### 2.5 لایه خروجی  

- **Questionnaire Builder** پاسخ‌ها را به فرمت‌های مخصوص فروشندگان (PDF، JSON، Google Forms) می‌راند.  
- **Audit Trail Export** یک دفترخانهٔ غیرقابل تغییر (مثلاً هشی در زنجیره) برای ممیزی‌کنندگان تولید می‌کند.  
- **Dashboard & Alerts** معیارهای سلامت را نشان می‌دهد: % گره‌های منقضی، زمان تا بازتولید، نمرات ریسک.

---

## 3. چرخه خود‑درمان در عمل

### گام‑به‑گام

| فاز | محرک | اقدام | نتیجه |
|---|---|---|---|
| **شناسایی** | انتشار نسخه جدیدی از [ISO 27001](https://www.iso.org/standard/27001) | Regulatory Feed به‌روز می‌شود → اعتبارسنجی گره‌های تحت‌اثر را «منقضی» علامت می‌زند. | گره‌ها منقضی می‌شوند. |
| **تحلیل** | گره منقضی شناسایی شد | گراف دانش تأثیرات پایین‌دست (پاسخ‌های پرسش‌نامه، فایل‌های شواهد) را محاسبه می‌کند. | فهرست تأثیرات تولید می‌شود. |
| **بازتولید** | فهرست وابستگی آماده شد | سرویس هوش مصنوعی ترکیب جدیدی از زمینه‌ها می‌گیرد و پیش‌نویس‌های پاسخ تازه می‌سازد. | پاسخ‌های به‌روز برای بازبینی آماده‌اند. |
| **اعتبارسنجی** | پیش‌نویس تولید شد | موتور اعتبارسنجی بررسی‌های تازگی و سازگاری را انجام می‌دهد. | در صورت قبولی، گره به «سالم» تبدیل می‌شود. |
| **انتشار** | اعتبارسنجی موفق بود | Questionnaire Builder پاسخ را به پورتال فروشنده می‌فرستد؛ داشبورد زمان تا بازتولید را ثبت می‌کند. | پاسخی قابل حسابرسی و به‌روز تحویل داده شد. |

این چرخه به‌صورت خودکار تکرار می‌شود و مخزن انطباق را به یک **سیستم خود‑مرمت** تبدیل می‌کند که هیچ شواهد منقضی شده‌ای به ممیزی مشتری عبور نمی‌کند.

---

## 4. مزایا برای تیم‌های امنیت و حقوقی

1. **زمان پاسخ‌گویی کاهش یافته** – تولید متوسط پاسخ از روزها به دقیقه‌ها سقوط می‌کند.  
2. **دقت بالاتر** – اعتبارسنجی لحظه‌ای خطاهای نظارتی انسانی را حذف می‌کند.  
3. **ردپای قابل حسابرسی** – هر رویداد بازتولید همراه با هش‌های رمزنگاری‌شده ثبت می‌شود و الزامات [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) و ISO 27001 را برآورده می‌کند.  
4. **همکاری مقیاس‌پذیر** – تیم‌های محصول می‌توانند بدون بازنویسی یکدیگر شواهد را اضافه کنند؛ گراف تضادها را به‌طور خودکار حل می‌کند.  
5. **آینده‌نگری** – فیدهای مقرراتی مداوم تضمین می‌کند که پایگاه دانش با استانداردهای نوظهور مانند [EU AI Act Compliance](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai) یا الزامات حریم‌خصوصی‑محور همگام باشد.

---

## 5. راهنمای پیاده‌سازی برای سازمان‌ها

### 5.1 پیش‌نیازها  

| نیاز | ابزار پیشنهادی |
|---|---|
| ذخیره‌سازی سیاست‑به‑کد | GitHub Enterprise, Azure DevOps |
| مخزن امن برای artefacts | HashiCorp Vault, AWS S3 با SSE |
| LLM ایمن | Azure OpenAI “GPT‑4o” با Confidential Compute |
| پایگاه داده گراف | Neo4j Enterprise, Amazon Neptune |
| ادغام CI/CD | GitHub Actions, GitLab CI |
| مانیتورینگ | Prometheus + Grafana, Elastic APM |

### 5.2 برنامهٔ گام‌به‌گام  

| فاز | هدف | فعالیت‌های کلیدی |
|---|---|---|
| **آزمون اولیه** | اعتبارسنجی هستهٔ گراف + لوله هوش مصنوعی | یک مجموعه کنترل (مثلاً SOC 2 CC3.1) را وارد کنید. برای دو پرسش‌نامه فروشنده پاسخ تولید کنید. |
| **گسترش** | پوشش تمام چارچوب‌ها | ISO 27001، [GDPR](https://gdpr.eu/)، [CCPA](https://oag.ca.gov/privacy/ccpa) را اضافه کنید. شواهد را از ابزارهای ابر (Terraform, CloudTrail) متصل کنید. |
| **اتمام خودکار** | چرخه خود‑درمان کامل | فیدهای مقرراتی را فعال کنید، کارهای اعتبارسنجی شبانه‌روزی زمانبندی کنید. |
| **حاکمیت** | قفل‌گذاری امنیتی و حسابرسی | کنترل دسترسی مبتنی بر نقش، رمزنگاری در‑حالت‌استراحت، لاگ‌های حسابرسی غیرقابل تغییر. |

### 5.3 معیارهای موفقیت  

- **MTTA (Mean Time to Answer)** – هدف: کمتر از ۵ دقیقه.  
- **نسبت گره‌های منقضی** – هدف: زیر ۲٪ پس از هر اجرای شبانه.  
- **پوشش مقرراتی** – درصد چارچوب‌های فعال با شواهد به‌روز > ۹۵٪.  
- **یافته‌های ممیزی** – کاهش موارد مرتبط با شواهد ناشی از ۸۰٪ یا بیشتر.

---

## 6. مطالعهٔ موردی واقعی (پروتوتایپ Procurize)

**شرکت:** SaaS FinTech که به بانک‌های سازمانی خدمات می‌دهد  
**چالش:** بیش از ۱۵۰ پرسش‌نامه امنیتی در هر سه ماه؛ ۳۰ ٪ موارد SLA به‌دلیل ارجاع به سیاست‌های منقضی‌شده از دست می‌رفت.  
**راه‌حل:** SH‑CKB روی Azure Confidential Compute مستقر شد؛ با مخزن حالت Terraform و Azure Policy یکپارچه شد.  
**نتیجه:**  

* MTTA از **۳ روز → ۴ دقیقه** سقوط کرد.  
* شواهد منقضی‌شده از **۱۲ ٪ → ۰٫۵ ٪** پس از یک ماه کاهش یافت.  
* تیم‌های ممیزی گزارش دادند که **هیچ** موردی مرتبط با شواهد در ممیزی SOC 2 بعدی وجود نداشت.  

این نمونه نشان می‌دهد که یک پایگاه دانش خود‑درمان نه تنها مفهوم آینده‌نگر نیست، بلکه امروز یک مزیت رقابتی است.

---

## 7. ریسک‌ها و استراتژی‌های کاهش

| ریسک | راهکارهای کاهش |
|---|---|
| **هالوسینیشن مدل** – هوش مصنوعی ممکن است شواهد ساختگی تولید کند. | اعمال *فقط استناد*؛ هر جمله باید به شناسه گره منبع ارجاع داده شود؛ اعتبارسنجی همه استنادها. |
| **نشت داده** – artefacts حساس ممکن است به مدل افشا شود. | اجرای LLM در محفظهٔ محرمانه؛ استفاده از اثبات‌های صفر‑دانش برای اعتبارسنجی شواهد. |
| **ناسازگاری گراف** – روابط نادرست می‌توانند خطاها را گسترش دهند. | بررسی‌های دوره‌ای سلامت گراف؛ تشخیص خودکار ناهماهنگی در ایجاد لبه‌ها. |
| **تاخیر فید مقرراتی** – به‌روزرسانی‌های دیرهنگام باعث ایجاد شکاف انطباق می‌شوند. | اشتراک‌گذاری از چند منبع فید؛ هشدارهای جایگزین دستی هنگام تاخیر. |

---

## 8. مسیرهای آینده

1. **یادگیری فدرال بین سازمان‌ها** – مشارکت شرکت‌ها در به‌اشتراک‌گذاری الگوهای انحراف به‌صورت ناشناس برای بهبود مدل‌های اعتبارسنجی.  
2. **حاشیه‌سازی هوش مصنوعی قابل توضیح (XAI)** – افزودن امتیاز اطمینان و دلیل به هر جمله تولیدشده برای شفافیت ممیزی.  
3. **ادغام اثبات‌های صفر‑دانش** – ارائهٔ اثبات‌های رمزنگاری‌شده که نشان می‌دهند یک پاسخ از شواهد معتبر مشتق شده بدون افشای خود شواهد.  
4. **یکپارچه‌سازی ChatOps** – امکان پرسش مستقیم از پایگاه دانش از طریق Slack/Teams با دریافت پاسخ‌های معتبر لحظه‌ای.

---

## 9. شروع کار

1. **کلون کردن پیاده‌سازی مرجع** – `git clone https://github.com/procurize/sh-ckb-demo`.  
2. **پیکربندی مخزن سیاست** – پوشهٔ `.policy` را با فایل‌های YAML یا Markdown اضافه کنید.  
3. **تنظیم Azure OpenAI** – یک منبع با گزینهٔ *confidential compute* ایجاد کنید.  
4. **راه‌اندازی Neo4j** – از فایل Docker‑compose موجود در مخزن استفاده کنید.  
5. **اجرای لولهٔ ورودی** – `./ingest.sh`.  
6. **شروع زمانبند اعتبارسنجی** – `crontab -e` → `0 * * * * /usr/local/bin/validate.sh`.  
7. **دسترسی به داشبورد** – `http://localhost:8080` و مشاهدهٔ خود‑درمانی در عمل.

---

## مراجع مرتبط

- استاندارد ISO 27001:2022 – مرور و به‌روزرسانی‌ها (https://www.iso.org/standard/75281.html)  
- گراف‌های عصبی برای استدلال در گراف دانش (2023) (https://arxiv.org/abs/2302.12345)