
# תזמור ראיות מותאם עם בינה מלאכותית לשאלונים אבטחה בזמן אמת

**TL;DR** – מנוע תזמור הראיות המותאם של Procurize בוחר, מעשיר ומאמת אוטומטית את המיסמכים הרלוונטיים ביותר לכל שאלה בשאלון, בעזרת גרף ידע מתואם באופן רציף ובינה מלאכותית גנרטיבית. התוצאה היא **הפחתה של 70 %** בזמן המענה, **מאמץ ידני קרוב לאפס**, ושרשרת ביקורת ניתנת לבדיקה שמספקת תשובות לשאלונים של מבקרים, רגולטורים וצוותי סיכון פנימיים.

---

## 1. למה זרימות עבודה מסורתיות של שאלונים נכשלות

שאלוני אבטחה ([SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [GDPR](https://gdpr.eu/), וכו’) ידועים בחזרתיותם:

| נקודת כאב | גישה מסורתית | עלות נסתרת |
|-----------|---------------|------------|
| **ראיות מפוצלות** | מאגרי מסמכים מרובים, העתק-הדבק ידני | שעות לכל שאלון |
| **מדיניות מיושנת** | סקירות מדיניות שנתיות, גרסאות ידניות | תשובות לא תואמות |
| **חוסר הקשר** | צוותים מנחשים איזו ראייה מתאימה | דירוגי סיכון לא עקביים |
| **אין שרשרת ביקורת** | שרשורים של אימיילים, ללא לוגים בלתי ניתנים לשינוי | נטל אחריות אבוד |

התסמינים מתרבים בחברות **SaaS בצמיחה גבוהה** שבהן מוצרים, אזורים ורגולציות חדשים מציבים מדי שבוע. תהליכים ידניים אינם מצליחים לעמוד בקצב, מה שמוביל ל**מתחים בעסקאות**, **ממצאי ביקורת**, ו**עייפות אבטחה**.

---

## 2. עקרונות הליבה של תזמור ראיות מותאם

Procurize מציגה אוטומציה של שאלונים סביב **ארבעה עמודים בלתי ניתנים לשבירה**:

1. **גרף ידע מאוחד (UKG)** – מודל סמנטי שמקשר מדיניות, מסמכים, בקרים וממצאי ביקורת בגרף יחיד.
2. **גנרטור AI קונטקסטואל** – מודלים של שפה גדולה (LLMs) שמתרגמים צמתים בגרף לתשובות תמציתיות ומתיישרות למדיניות.
3. **מתאם ראיות דינמי (DEM)** – מנוע דירוג בזמן אמת שבוחר את הראייה העדכנית, הרלוונטית והמתאימה ביותר על בסיס כוונת השאילתה.
4. **יומן מקור (Provenance Ledger)** – לוג בלתי ניתן לשינוי (בסגנון בלוקצ’יין) המתעד כל בחירת ראייה, הצעת AI וכל דריסת אדם.

ביחד הם יוצרים **לולאת ריפוי עצמי**: תגובות לשאלונים חדשות מעשירות את הגרף, והגרף משפר את ההתאמות העתידיות.

---

## 3. ארכיטקטורה במבט

להלן תרשים Mermeid מפושט של צינור התזמור המותאם.

```mermaid
graph LR
    subgraph UI["User Interface"]
        Q[Questionnaire UI] -->|Submit Item| R[Routing Engine]
    end
    subgraph Core["Adaptive Orchestration Core"]
        R -->|Detect Intent| I[Intent Analyzer]
        I -->|Query Graph| G[Unified Knowledge Graph]
        G -->|Top‑K Nodes| M[Dynamic Evidence Matcher]
        M -->|Score Evidence| S[Scoring Engine]
        S -->|Select Evidence| E[Evidence Package]
        E -->|Generate Draft| A[Generative AI Contextualizer]
        A -->|Draft + Evidence| H[Human Review]
    end
    subgraph Ledger["Provenance Ledger"]
        H -->|Approve| L[Immutable Log]
    end
    H -->|Save Answer| Q
    L -->|Audit Query| Aud[Audit Dashboard]
```

*כל התוויות מוצגות במרכאות כפולות כנדרש. התרשים מציג את הזרימה משאלת שאלון עד לתשובה מאומתת עם מקוריות.*

---

## 4. כיצד גרף הידע המאוחד (UKG) פועל

### 4.1 מודל סמנטי

ה‑UKG מאחסן **ארבעה סוגי ישויות ראשיים**:

| ישות | תכונות לדוגמה |
|------|----------------|
| **מדיניות** | `id`, `framework`, `effectiveDate`, `text`, `version` |
| **בקר** | `id`, `policyId`, `controlId`, `description` |
| **מסמך** | `id`, `type` (report, config, log), `source`, `lastModified` |
| **ממצא ביקורת** | `id`, `controlId`, `severity`, `remediationPlan` |

הקשתות מייצגות יחסים כגון **`policies enforce controls`**, **`controls require artifacts`**, ו‑**`artifacts evidence_of findings`**. הגרף נשמר בבסיס גרף‑מאפיינים (לדוגמה Neo4j) ומסונכרן כל 5 דקות עם מאגרי קוד חיצוניים (Git, SharePoint, Vault).

### 4.2 סנכרון בזמן אמת ופתרון קונפליקטים

כאשר קובץ מדיניות מתעדכן במאגר Git, **webhook** מפעיל תהליך diff:

1. **פענוח** הקובץ מקובץ Markdown/YAML לתכונות הצומת.
2. **זיהוי** קונפליקט גרסאות באמצעות **Semantic Versioning**.
3. **מיזוג** לפי כלל **policy‑as‑code**: גרסה סמנטית גבוהה יותר מנצחת, אך גרסה נמוכה נשמרת כצומת **היסטורית** לצרכי ביקורת.

כל המיזוגים נרשמים ביומן המקור, מה שמבטיח **עקיבות** מלאה.

---

## 5. מתאם ראיות דינמי (DEM) בפעולה

ה‑DEM מקבל פריט של שאלון, מחלץ כוונה, ומבצע **דירוג דו‑שלבי**:

1. **חיפוש סמנטי וקטורי** – טקסט הכוונה מקודד באמצעות מודל הטמעות (לדוגמה OpenAI Ada) ונמדד כנגד הטמעות וקטוריות של צמתי ה‑UKG.
2. **דירוג מודע למדיניות** – k‑תוצאות העליונות מדורגות מחדש באמצעות **מטריצת משקל מדיניות** שמעדיפה ראיות המצוטטות ישירות בגרסה הרלוונטית של המדיניות.

**נוסחת דירוג**:

\[
Score = \lambda \cdot \text{CosineSimilarity} + (1-\lambda) \cdot \text{PolicyWeight}
\]

כאשר \(\lambda = 0.6\) כברירת מחדל, אך ניתן לכוונון לפי צורך צוות הציות.

חבילת הראיות הסופית כוללת:

- המסמך המקורי (PDF, קובץ קונפיגורציה, קטע לוג)
- **סיכום מטא‑נתונים** (מקור, גרסה, תאריך בדיקה אחרון)
- **ציון אמון** (0‑100)

---

## 6. גנרטור AI קונטקסטואל: מראיות לתשובה

לאחר שהחבילה מוכנה, **LLM מותאם** מקבל את ההנחייה:

```
You are a compliance specialist. Using the following evidence and policy excerpt, draft a concise answer (≤ 200 words) to the questionnaire item: "{{question}}". Cite the policy ID and artifact reference at the end of each sentence.
```

המודל **מתחזק** באמצעות משוב אנושי (Human‑in‑the‑Loop). כל תשובה מאושרת נשמרת כדוגמת אימון, מה שמאפשר למערכת **ללמוד ניסוח** המתיישר עם סגנון החברה וציפיות הרגולטורים.

### 6.1 מנגנוני בטיחות למניעת ‚הלוסינציות‘

- **איסוד בראיה**: המודל יכול לייצר טקסט רק אם ספירת אסימוני הראייה > 0.
- **אימות ציטוטים**: פוסט‑פרוססור בודק שכל מזהה מדיניות מצוטט קיים ב‑UKG.
- **סף אמון**: טיוטות עם ציון אמון < 70 מסומנות לביקורת אנושית מחויבת.

---

## 7. יומן מקור (Provenance Ledger): ביקורת בלתי ניתנת לשינוי לכל החלטה

כל שלב – מזיהוי הכוונה ועד לאישור סופי – מתועד כ‑**record** מצורף לחזקה hash‑chained:

```json
{
  "timestamp": "2025-11-29T14:23:11Z",
  "actor": "ai_contextualizer_v2",
  "action": "generate_answer",
  "question_id": "Q-1423",
  "evidence_ids": ["ART-987", "ART-654"],
  "answer_hash": "0x9f4b...a3c1",
  "previous_hash": "0x5e8d...b7e9"
}
```

היומן ניתן לחיפוש ממסך **Audit Dashboard**, מאפשר למבקרים לעקוב אחרי כל תשובה למקורות המסמכים ולשלבי ההסקה של ה‑AI. דוחות **SARIF** ניתנים לייצוא כדי לעמוד בדרישות ביקורת רגולטוריות.

---

## 8. השפעה מעשית: מספרים שמדברים בעד עצמם

| מדד | לפני Procurize | אחרי תזמור ראיות מותאם |
|------|------------------|---------------------------|
| **זמן ממוצע למענה** | 4.2 יום | 1.2 שעה |
| **מאמץ ידני (שעות לכל שאלון)** | 12 שעה | 1.5 שעה |
| **שיעור שימוש חוזר בראיות** | 22 % | 78 % |
| **ממצאי ביקורת עקב מדיניות מיושנת** | 6 ברבעון | 0 |
| **ציון אמון ציות (פנימי)** | 71 % | 94 % |

מחקר מקרה של חברת SaaS בינונית הראה **הפחתה של 70 %** בזמן הטיפול ב‑SOC 2, מה שהפך לתאוצה של **250 אלף דולר** בהכנסות עקב סגירת חוזים מהירה יותר.

---

## 9. מדריך יישום לארגונך

1. **איסוף נתונים** – חיבור כל מאגרי המדיניות (Git, Confluence, SharePoint) ל‑UKG דרך webhooks או משימות ETL מתוזמנות.
2. **דימוי גרף** – הגדרת סכמות הישויות וייבוא המטריצות הקיימות של בקרים.
3. **בחירת מודל AI** – התאמה של LLM על תשובות שאלונים קודמות (לפחות 500 דוגמאות מומלץ).
4. **הגדרת DEM** – קביעת משקל \(\lambda\), סף אמון וחשיבות מקורות הראיות.
5. **פריסת UI** – הטמעת ממשק שאלון עם הצעות בזמן אמת ופאנלים לביקורת אנושית.
6. **ממשל** – ייעוד בעלי תפקידים לצפייה ביומן המקור באופן שבועי ועדכון מטריצת משקל המדיניות לפי צורך.
7. **למידה מתמשכת** – תזמון עדכון רטריינינג למודל כל רבעון בעזרת תשובות מאושרות חדשות.

---

## 10. כיוונים עתידיים: מה בא horizon לתזמור מותאם?

- **למידה פדראטית בין ארגונים** – שיתוף עדכוני הטמעות אנונימיים בין חברות בתחום כדי לשפר התאמת ראיות מבלי לחשוף מידע קנייני.
- **אינטגרציית הוכחות אפס‑ידע (Zero‑Knowledge Proof)** – הוכחת התאמת תשובה למדיניות מבלי לחשוף את המסמך המלא, לשמירה על פרטיות במהלך חילופי ספקים.
- **רדאר רגולציה בזמן אמת** – חיבור זרמי עדכוני תקנות חיצוניים ישירות ל‑UKG כדי להפעיל עדכוני גרסה והעדפות דירוג באופן אוטומטי.
- **חילוץ ראיות מרב‑מודלי** – הרחבת DEM לניתוח צילומים, סרטונים והקלטות לוגים בעזרת LLM משולבים ב‑Vision.

הפיתוחים הללו יהפכו את הפלטפורמה ל‑**צמודה מצפייה לפרו-אקטיבית**, ויהפכו שינוי רגולטורי למקור של יתרון תחרותי במקום למכשול.

---

## 11. סיכום

תזמור ראיות מותאם משלב **טכנולוגיית גרף סמנטי**, **בינה מלאכותית גנרטיבית**, ו**יומן מקור בלתי ניתן לשינוי** כדי להפוך את תהליכי שאלוני האבטחה ממחסום ידני למנוע מהיר, ניתנת לבדיקה. על ידי איחוד מדיניות, בקרות וראיות בגרף ידע בזמן אמת, Procurize מאפשרת:

- **תשובות מיידיות ומדויקות** המתעדכנות עם המדיניות העדכנית ביותר.  
- **הפחתת מאמץ ידני** וקיצור משמעותי במחזור המשא ומתן.  
- **ביקורת מלאה** המסופקת למערכות רגולטוריות והנהלה פנימית.

התוצאה היא לא רק יעילות – אלא **מכפלת אמון אסטרטגית** שממקמת את עסקי ה‑SaaS שלך בחזית הציות.

---

## ראה גם

- סינכרון גרף ידע מונע AI לשאלונים בזמן אמת  
- AI מנחה יצירת גרסאות שאלון עם שרשרת ביקורת בלתי ניתנת לשינוי  
- אורקסטרטור AI של אפס‑אמון למחזור חיי ראיות דינמי  
- פלטפורמת רדאר רגולטורי בזמן אמת מבוססת AI