
# סינתזת מדיניות אדפטיבית מופעלת ב‑AI לאוטומציה של שאלוני זמן אמת

## מבוא

שאלוני אבטחה, מבדקי ציות והערכות סיכון ספקים הפכו לצוואר בקבוק יומי עבור חברות SaaS. זרימות עבודה מסורתיות מסתמכות על העתק‑הדבק ידני ממאגרי מדיניות, מניפולציות של ניהול גרסאות, והחלפת הודעות אינסופית עם צוותי המשפט. העלות ניתנת למדידה: מחזורי מכירות ארוכים, הוצאות משפטיות מוגברות, וסיכון מוגבר לתשובות לא עקביות או מיושנות.

**סינתזת מדיניות אדפטיבית (APS)** מציגה תהליך מחדש. במקום להתייחס למדיניות כקבצי PDF סטטיים, APS שוטפת את כל מאגר הידע של המדיניות, ממירה אותו לגרף קריא למכונה, ומקשרת גרף זה לשכבת AI גנרטיבית המסוגלת לייצר תשובות תלויות‑קשר ותואמות רגולציה לפי דרישה. התוצאה היא מנוע תשובות *בזמן אמת* שיכול:

* ליצור תגובה מצוטטת במלואה בתוך שניות.  
* לשמור את התשובות מסונכרנות עם השינויים האחרונים במדיניות.  
* לספק נתוני מקור למבקרים.  
* ללמוד באופן רציף ממשוב הסוקרים.  

במאמר זה נבחן את הארכיטקטורה, הרכיבים המרכזיים, שלבי היישום וההשפעה העסקית של APS, ונראה מדוע הוא מייצג את ההתפתחות הלוגית הבאה של פלטפורמת השאלונים של Procurize מבוססת AI.

---

## 1. מושגים מרכזיים

| מושג | תיאור |
|------|-------|
| **גרף מדיניות** | גרף מכוון מתויג הקודד סעיפים, סעיפים משנה, הפניות חוצות ומיפויים לבקרי רגולציה (לדוגמה, **[ISO 27001 A.5](https://www.iso.org/standard/27001)**, **[SOC‑2 CC6.1](https://secureframe.com/hub/soc-2/what-is-soc-2)**). |
| **מנוע הנחיות קונטקסטואליות** | בונה באופן דינמי הנחיות LLM באמצעות גרף המדיניות, שדה השאלון הספציפי וכל ראיה מצורפת. |
| **שכבת מיזוג ראיות** | שואבת תוצרים (דוחות סריקה, יומני ביקורת, קישורי קוד‑מדיניות) ומצמידה אותם למספרי גרף לצורך עקיבות. |
| **לולאת משוב** | סוקרים אנושיים מאשרים או עורכים תשובות שנוצרו; המערכת ממירה את העריכות לעדכוני גרף ומבצע התאמת‑דק של ה‑LLM. |
| **סינכרון בזמן אמת** | כאשר מסמך מדיניות משתנה, צינור זיהוי שינוי מרענן את הצמתים המושפעים ומפעיל יצירת‑מחודשת של תשובות במטמון. |

המושגים הללו מקושרים באופן רפוי אך יחד מאפשרים זרימה מקצה‑אל‑מקצה שממירה מאגר ציות *סטטי* למחולל תשובות *חי*.

---

## 2. ארכיטקטורת המערכת

להלן דיאגרמת Mermaid ברמה גבוהה שמדגימה את זרימת הנתונים בין הרכיבים.

```mermaid
graph LR
    A["מאגר מדיניות (PDF, Markdown, Word)"]
    B["שירות שאיבת מסמכים"]
    C["בונה גרף מדיניות"]
    D["מאגר גרף ידע"]
    E["מנוע הנחיות קונטקסטואליות"]
    F["שכבת אינפרנס LLM"]
    G["שירות מיזוג ראיות"]
    H["מטמון תשובות"]
    I["ממשק משתמש (לוח בקרה Procurize)"]
    J["לולאת משוב וביקורת"]
    K["צינור התאמת‑דק רציפה"]

    A --> B
    B --> C
    C --> D
    D --> E
    E --> F
    G --> F
    F --> H
    H --> I
    I --> J
    J --> K
    K --> F
    K --> D
```

*כל תוויות הצמתים מוקפות במרכאות כפולות כפי שנדרש עבור תחביר Mermaid.*

### 2.1 פירוט רכיבים

1. **שירות שאיבת מסמכים** – משתמש ב‑OCR במידת הצורך, מחלץ כותרות סעיפים ושומר טקסט גולמי במאגר זמני.  
2. **בונה גרף מדיניות** – מפעיל שילוב של מפרסי‑כללים ו‑LLM לסחזות ישויות ליצירת צמתים (`"סעיף 5.1 – הצפנת נתונים"`) וקשתות (`"מתייחס ל"`, `"מיישם"`).  
3. **מאגר גרף ידע** – מופעל על Neo4j או JanusGraph עם הבטחת ACID, חשוף באמצעות APIs של Cypher / Gremlin.  
4. **מנוע הנחיות קונטקסטואליות** – בונה הנחיות לדוגמה:  
   > *"בהתבסס על צומת מדיניות “שימור נתונים – 12 חודשים”, יש לענות על שאלת הספק ‘כמה זמן אתם שומרים על נתוני לקוח?’ ולציין את הסעיף המדויק."*  
5. **שכבת אינפרנס LLM** – מתארחת על נקודת אינפרנס מאובטחת (למשל Azure OpenAI), מותאמת לשפה צייתנית.  
6. **שירות מיזוג ראיות** – מאחזר תוצרים מאינטגרציות (GitHub, S3, Splunk) ומוסיף אותם כהערות שוליים בתשובה שנוצרה.  
7. **מטמון תשובות** – שומר תשובות שנוצרו המזוהות על‑ידי `(question_id, policy_version_hash)` לקבלה מיידית.  
8. **לולאת משוב וביקורת** – אוספת עריכות של סוקרים, ממפה את ההפרש חזרה לעדכוני גרף, ומשלבת את הדלתא בצינור התאמת‑דק.

---

## 3. מפת דרכי היישום

| שלב | אבני דרך | משך משוער |
|------|-----------|------------|
| **P0 – יסודות** | • הקמת צינור שאיבת מסמכים.<br>• הגדרת סכימת גרף (PolicyNode, ControlEdge).<br>• האכלת גרף ראשוני ממאגר המדיניות הקיים. | 4‑6 שבועות |
| **P1 – מנוע הנחיות ו‑LLM** | • בניית תבניות הנחיות.<br>• פריסת LLM מאורגן (gpt‑4‑turbo).<br>• אינטגרציית מיזוג ראיות לסוג ראיה אחד (לדוגמה, דוחות סריקה PDF). | 4 שבועות |
| **P2 – UI ומטמון** | • הרחבת לוח המחוונים של Procurize עם פאנל “תשובה חיה”.<br>• יישום מטמון תשובות והצגת גרסת מדיניות. | 3 שבועות |
| **P3 – לולאת משוב** | • רישום עריכות של סוקרים.<br>• יצירת דיפי גרף אוטומטית.<br>• הרצת התאמת‑דק לילה על עריכות שנצברו. | 5 שבועות |
| **P4 – סינכרון בזמן אמת** | • חיבור כלי עריכת מדיניות (Confluence, Git) ל‑webhook זיהוי שינוי.<br>• ביטול אוטומטי של כניסות מטמון מיושנות. | 3 שבועות |
| **P5 – קנה‑מידה ומשילות** | • העברת מאגר הגרף למצב משולב.<br>• הוספת RBAC להרשאות עריכת גרף.<br>• ביצוע ביקורת אבטחה על נקודת האינפרנס של LLM. | 4 שבועות |

באופן כולל, **ציר זמן של 12 חודשים** מביא מנוע APS ברמת ייצור, עם ערך מדורג המשופר לאחר כל שלב.

---

## 4. השפעה עסקית

| מדד | לפני APS | אחרי APS (6 חודשים) | שינוי % |
|------|-----------|----------------------|----------|
| **זמן ממוצע ליצירת תשובה** | 12 דקות (ידני) | 30 שניות (AI) | ‑96 % |
| **תקריות סטייה מדיניות** | 3 לרבעון | 0.5 לרבעון | ‑83 % |
| **מאמץ סוקרים (שעות לכל שאלון)** | 4 שעה | 0.8 שעה | ‑80 % |
| **שיעור מעבר ביקורת** | 92 % | 98 % | +6 % |
| **קיצור מחזור מכירות** | 45 יום | 32 יום | ‑29 % |

המספרים נלקחו מתכניות פיילוט מוקדמות עם שלוש חברות SaaS בינוניות שאימצו APS מעל למערכת השאלונים הקיימת של Procurize.

---

## 5. אתגרי טכניים והפחתות

| אתגר | תיאור | הפחתה |
|------|--------|--------|
| **עמימות במדיניות** | שפה משפטית יכולה להיות בלתי מדויקת, דבר שעלול לגרום ל‑LLM לגלות מידע שגוי. | גישה של *אימות כפול*: LLM מייצר תשובה **ו‑validator מבוסס חוקים** בודק שההפניות לסעיפים נכונות. |
| **עדכוני רגולציה** | חקיקות חדשות (לדוגמה **[GDPR](https://gdpr.eu/)**‑2025) מופיעות בתדירות גבוהה. | צינורות סינכרון בזמן אמת מפרטים הזנת משובים של רגולטורים ציבוריים (לדוגמה ה‑RSS של **[NIST CSF](https://www.nist.gov/cyberframework)**) ויוצרים צמתים של בקרות חדשות אוטומטית. |
| **פרטיות נתונים** | תוצרים של ראיות עלולים להכיל מידע אישי (PII). | יישום **הצפנה הולומורפית** לאחסון תוצרים; ה‑LLM מקבל רק אינבידינגים מוצפנים. |
| **הסטת מודל** | התאמת‑דק יתרה על המשוב הפנימי עלול להפחית את ההתפלגות הכללית. | שמירה על *מודל צל* מאומן על קורפוס רחב של ציות והערכתו תקופתית מולו. |
| **הסבריות** | מבקרים דורשים מקוריות. | כל תשובה כוללת *בלוק ציטוט מדיניות* וחימום‑אזור ראיות המוצג בממשק המשתמש. |

---

## 6. הרחבות עתידיות

1. **מיזוג גרף ידע חוצי‑רגולציה** – איחוד **[ISO 27001](https://www.iso.org/standard/27001)**, **SOC‑2**, ומסגרות ייחודיות לתעשייה לגרף מרובה‑שוכרים, המאפשר מיפוי ציות בלחיצה אחת.  
2. **למידה פדגוגית למספר שוכרים** – אימון LLM על משוב אנונימי ממספר שוכרים ללא אגירת נתונים גולמיים, לשמירה על סודיות.  
3. **עוזר קולי** – אפשרות לסוקרים לשאול שאלות בקול; המערכת מחזירה תשובות מדוברות עם ציטוטים ניתנים ללחיצה.  
4. **המלצות מדיניות פרדיקטיביות** – על‑בסיס ניתוח מגמתי תוצאות שאלונים קודמים, המנוע מציע עדכוני מדיניות **לפני** שהמבקרים יבקשו אותם.

---

## 7. תחילת עבודה עם APS ב‑Procurize

1. **העלאת מדיניות** – גררו ושחררו את כל מסמכי המדיניות בלשונית “מאגר מדיניות”. שירות השאיבה יחלץ ויגרום לגרסה.  
2. **מיפוי בקרות** – השתמשו בעורך הגרף החזותי לחיבור סעיפים למדבקות מוכרות. מיפויים מובנים מראש ל‑**ISO 27001**, **SOC‑2**, ו‑**GDPR** כבר כלולים.  
3. **הגדרת מקורות ראיות** – קשרו את מאגר האומנות שלכם, סורק הקוד, יומני DLP וכו’.  
4. **הפעלת יצירה חיה** – הפעילו את המתג “סינתזת אדפטיבית” בהגדרות. המערכת תתחיל לענות על שדות שאלון חדשים מיידית.  
5. **סקירה והכשרה** – לאחר כל מחזור שאלונים, אשרו את התשובות שנוצרו. לולאת המשוב תחדד את המודל באופן אוטומטי.

---

## 8. מסקנה

סינתזת מדיניות אדפטיבית משפרת את נוף הציות מ‑**תהליך תגובתי** – רודף אחרי מסמכים והעתקה ידנית – ל‑**מנוע נתונים אינטיליגנטי, מתעדכן בזמן אמת**. על‑ידי שילוב גרף ידע עשיר עם AI גנרטיבי, Procurize מספקת תשובות מיידיות, ניתנות לבדיקה, ומבטיחה שכל תגובה משקפת את גרסת המדיניות העדכנית ביותר.

ארגונים שמאמצים APS יכולים לצפות למחזורי מכירות מהירים יותר, הוצאות משפטיות נמוכות יותר, ותוצאות ביקורת חזקות, תוך שחרור צוותי האבטחה והמשפטים להתמקד במניעת סיכונים אסטרטגיים במקום בעבודה חוזרת על ניירת.

**העתיד של אוטומציית שאלונים אינו רק “אוטומציה”. הוא *סינתזה אינטיליגנטית, תלויית‑קשר* המתפתחת יחד עם המדיניות שלכם.** 

--- 

## ראה גם

- NIST Cybersecurity Framework – אתר רשמי: https://www.nist.gov/cyberframework  
- ISO/IEC 27001 – ניהול אבטחת מידע: https://www.iso.org/isoiec-27001-information-security.html  
- מדריך ציות SOC 2 – AICPA (חומר参考)  
- בלוג Procurize – “AI Powered Adaptive Policy Synthesis for Real Time Questionnaire Automation” (מאמר זה)