
# מנוע מיפוי מדיניות חוצה רגולציות המופעל ב‑AI לתשובות מאוחדות לשאלונים

ארגונים המציעים פתרונות SaaS ללקוחות גלובליים חייבים לענות על שאלוני אבטחה שמקיפים עשרות מסגרות רגולטוריות—[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), GDPR, CCPA, HIPAA, PCI‑DSS, ושלל תקנים תעשייתיים.  
בדרך המסורתית, כל מסגרת מטופלת בנפרד, מה שמוביל לעבודה מיותרת, ראיות לא עקביות, וסיכון גבוה לממצאי ביקורת.

**מנוע מיפוי מדיניות חוצה רגולציות** פותר בעיה זו על‑ידי תרגום אוטומטי של הגדרת מדיניות אחת לכל שפת התקן הנדרש, צירוף הראיה המתאימה, ואחסון שרשרת השיוך המלא בלדג'ר בלתי ניתן לשינוי. להלן נסקור את המרכיבים המרכזיים, זרימת הנתונים, והיתרונות המעשיים לצוותי ציות, אבטחה ומשפט.

---

## תוכן עניינים

1. [מדוע מיפוי חוצה רגולציות חשוב](#מדוע-מיפוי-חוצה-רגולציות-חשוב)  
2. [סקירה כללית של האדריכלות המרכזית](#סקירה-כללית-של-האדריכלות-המרכזית)  
3. [בניית גרף הידע הדינמי](#בניית-גרף-הידע-הדינמי)  
4. [תרגום מדיניות באמצעות LLM](#תרגום-מדיניות-באמצעות-llm)  
5. [שיוך ראיות ולדג'ר בלתי ניתן לשינוי](#שיוך-ראיות-ולדג'ר-בלתי-ניתן-לשינוי)  
6. [לולאת עדכון בזמן אמת](#לולאת-עדכון-בזמן-אמת)  
7. [שיקולי אבטחה ופרטיות](#שיקולי-אבטחה-ופרטיות)  
8. [תסריטי פריסה](#תסריטי-פריסה)  
9. [יתרונות מרכזיים ו‑ROI](#יתרונות-מרכזיים-ו‑roi)  
10. [רשימת בדיקה ליישום](#רשימת-בדיקה-ליישום)  
11. [שיפורים עתידיים](#שיפורים-עתידיים)  

---

## מדוע מיפוי חוצה רגולציות חשוב

| נקודת כאב | גישה מסורתית | פתרון מבוסס AI |
|-----------|---------------|----------------|
| **שכפול מדיניות** | אחסון מסמכים נפרדים לכל מסגרת | מקור יחיד של אמת (SSOT) → מיפוי אוטומטי |
| **פיצול ראיות** | העתקה ידנית של מזהי ראיות | קישור ראיות אוטומטי דרך הגרף |
| **פערים בשובל ביקורת** | לוגים ב‑PDF, ללא הוכחה קריפטוגרפית | לדג'ר בלתי ניתן לשינוי עם hash‑ים קריפטוגרפיים |
| **הזזה רגולטורית** | סקירות רבעוניות ידניות | גילוי סטייה בזמן אמת ותיקון אוטומטי |
| **זמן תגובה** | זמן פינוי של ימים‑לשבועות | שניות‑לדקות לכל שאלון |

על‑ידי איחוד הגדרות המדיניות, הצוותים מצמצמים את מדד “העומס הציות” — זמן המוקדש לשאלונים לכל רבעון — בכ‑עד **80 %**, לפי מחקר פיילוט מוקדם.

---

## סקירה כללית של האדריכלות המרכזית

```mermaid
graph TD
    A["Policy Repository"] --> B["Knowledge Graph Builder"]
    B --> C["Dynamic KG (Neo4j)"]
    D["LLM Translator"] --> E["Policy Mapping Service"]
    C --> E
    E --> F["Evidence Attribution Engine"]
    F --> G["Immutable Ledger (Merkle Tree)"]
    H["Regulatory Feed"] --> I["Drift Detector"]
    I --> C
    I --> E
    G --> J["Compliance Dashboard"]
    F --> J
```

*כל תוויות הצמתים מצוטטות כפי שנדרש על‑ידי תחביר Mermaid.*

**מודולים מרכזיים**

1. **Policy Repository** – מאגר גרסה מרכזי (GitOps) לכל המדיניות הפנימית.  
2. **Knowledge Graph Builder** – מפענח מדיניות, מחלץ ישויות (בקרות, קטגוריות מידע, רמות סיכון) וקשרים.  
3. **Dynamic KG (Neo4j)** – משמש כעמוד השדרה הסמנטי; מועשר באופן רציף על‑ידי פיד רגולטורי.  
4. **LLM Translator** – מודל שפה גדול (למשל Claude‑3.5, GPT‑4o) שבו משנים סעיפי מדיניות לשפת המסגרת היעד.  
5. **Policy Mapping Service** – תואם סעיפים מתורגמים למזהי בקרות של המסגרת בעזרת דמיון גרפי.  
6. **Evidence Attribution Engine** – מושך אובייקטים של ראיות (מסמכים, לוגים, דוחות סריקה) מ‑Evidence Hub, ומתוייג אותם במטא‑נתוני גרף.  
7. **Immutable Ledger** – שומר hash‑ים קריפטוגרפיים של קישורי ראיה‑מדיניות; משתמש בעץ מרקל למען הוכחה יעילה.  
8. **Regulatory Feed & Drift Detector** – צורך RSS, OASIS, והודעות שינוי של ספקים; מסמן חוסר התאמה.  

---

## בניית גרף הידע הדינמי

### 1. חילוץ ישויות

- **צמתים של שליטה** – לדוגמה, “בקרת גישה – מבוססת תפקיד”  
- **צמתים של נכס מידע** – לדוגמה, “PII – כתובת אימייל”  
- **צמתים של סיכון** – לדוגמה, “פריצה של סודיות”

### 2. סוגי קשרים

| קשר | משמעות |
|------|----------|
| `ENFORCES` | שליטה → נכס מידע |
| `MITIGATES` | שליטה → סיכון |
| `DERIVED_FROM` | מדיניות → שליטה |

### 3. צינור העשרת גרף (פseudocode ב‑Goat)

```goat
def ingest_policy(policy_file):
    doc = parse_markdown(policy_file)
    controls = extract_controls(doc)
    for ctrl in controls:
        node = KG.upsert("Control", name=ctrl.name)
        for asset in ctrl.assets:
            asset_node = KG.upsert("DataAsset", name=asset)
            KG.create_rel(node, "ENFORCES", asset_node)
        for risk in ctrl.risks:
            risk_node = KG.upsert("Risk", name=risk)
            KG.create_rel(node, "MITIGATES", risk_node)
```

הגרף מתפתח כאשר נרשמים רגולציות חדשות; צמתים חדשים מקושרים באופן אוטומטי בעזרת דמיון לטינקסי ויישור אונטולוגי.

---

## תרגום מדיניות באמצעות LLM

מנוע התרגום פועל בשתי שלבים:

1. **הפקת Prompt** – המערכת בונה Prompt מובנה שכולל את הסעיף המקורי, מזהה המסגרת היעד, והגבלות קונטקסטיות (למשל “שמור על תקופות שמירת יומני ביקורת מינימליות”).  
2. **אימות סמנטי** – פלט ה‑LLM עובר דרך מאמת מבוסס חוקים שבודק חוסר של בקרות חובה, שפה אסורה, והגבלות אורך.

### Prompt לדוגמה

```
Translate the following internal control into ISO 27001 Annex A.7.2 language, preserving all risk mitigation aspects.

Control: “All privileged access must be reviewed quarterly and logged with immutable timestamps.”
```

ה‑LLM מחזיר סעיף תואם ל‑ISO, שמתווסף חזרה לגרף הידע, תוך יצירת קשת `TRANSLATES_TO`.

---

## שיוך ראיות ולדג'ר בלתי ניתן לשינוי

### אינטגרציה עם Evidence Hub

- **מקורות**: CloudTrail, אינventory של S3, דוחות סריקת פגיעויות, Attestations של צד שלישי.  
- **לכידת מטא‑נתונים**: SHA‑256 hash, חותמת זמן, מערכת מקור, תיוג ציות.

### זרימת שיוך

```mermaid
sequenceDiagram
    participant Q as Questionnaire Engine
    participant E as Evidence Hub
    participant L as Ledger
    Q->>E: Request evidence for Control “RBAC”
    E-->>Q: Evidence IDs + hashes
    Q->>L: Store (ControlID, EvidenceHash) pair
    L-->>Q: Merkle proof receipt
```

כל זוג `(ControlID, EvidenceHash)` הופך לעלה בעץ מרקל. שורש העץ נחתם יומיום על‑ידי מודול אבטחה חומרתי (HSM), מה שמקנה למבקרים הוכחה קריפטוגרפית שהראיות שהוצגו תואמות למצב הרשום.

---

## לולאת עדכון בזמן אמת

1. **Regulatory Feed** מושך את העדכונים האחרונים (לדוגמה עדכוני NIST CSF, תיקוני ISO).  
2. **Drift Detector** מחשב diff בגרף; כל חוסר `TRANSLATES_TO` מעורר משימת תרגום מחדש.  
3. **Policy Mapper** מעדכן תבניות שאלונים מושפעות מיידית.  
4. **Dashboard** מודיע לבעלי הציות עם דירוג חומרה.

לולאה זו מצמצמת את “זמן השהייה מדיניות‑לשאלון” משבועות לשניות.

---

## שיקולי אבטחה ופרטיות

| דאגה | הפחתה |
|------|--------|
| **חשיפה של ראיות רגישות** | הצפנה במנוחה (AES‑256‑GCM); פענוח רק במעטפת בטוחה לחישוב hash |
| **דליפת Prompt של מודל** | שימוש במודלים מקומיים או עיבוד Prompt מוצפן (OpenAI Confidential Compute) |
| **זיוף לדג'ר** | שורש העץ חתום על‑ידי HSM; כל שינוי מבטל את ה‑Merkle proof |
| **בידוד בין שכירות** | מחיצות גרף מרובה‑שוכרים עם Row‑Level Security; מפתחות ייעודיים לשכירות ללדג'ר |
| **ציות רגולטורי** | המערכת עונה ל‑GDPR: מינימיזציה של נתונים, זכות למחיקה באמצעות שלילת צמתים בגרף |

---

## תסריטי פריסה

| תרחיש | קנה מידה | תשתית מומלצת |
|-------|----------|----------------|
| **סטארט‑אפ SaaS קטן** | < 5 מסגרות, < 200 מדיניות | Neo4j Aura מנוהל, API של OpenAI, AWS Lambda ללדג'ר |
| **ארגון בינוני** | 10‑15 מסגרות, כ‑1 000 מדיניות | אשכול Neo4j עצמי, LLM מקומי (Llama 3 70B), Kubernetes למיקרו‑שירותים |
| **ספק ענן גלובלי** | > 30 מסגרות, > 5 000 מדיניות | פיצולי גרף משוייכים, HSMs מרוחקים מרובי אזורים, אינפרה Edge‑Cached ל‑LLM |

---

## יתרונות מרכזיים ו‑ROI

| מדד | לפני | אחרי (פיילוט) |
|------|------|----------------|
| **זמן תגובה ממוצע לכל שאלון** | 3 ימים | 2 שעות |
| **מאמץ כתיבת מדיניות (שעות‑אדם/חודש)** | 120 שע' | 30 שע' |
| **שיעור מציאת ביקורת** | 12 % | 3 % |
| **יחס מימוש ראיות** | 0.4 | 0.85 |
| **עלות כלי ציות** | 250 אלף $/שנה | 95 אלף $/שנה |

הפחתת המאמץ הידני מתורגמת ישירות למחזור מכירות מהיר יותר ושיעור ניצחון גבוה יותר.

---

## רשימת בדיקה ליישום

1. הקימו מאגר מדיניות מבוסס GitOps (הגנות על סניפים, ביקורות PR).  
2. פרסו מופע Neo4j (או מסד גרף חלופי).  
3. שלבו פידים רגולטוריים ([SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), GDPR, CCPA, HIPAA, PCI‑DSS וכו').  
4. הגדרו אינפרה LLM (ב‑premise או מנוהלת).  
5. הקימו מחברים ל‑Evidence Hub (אגרגרטורים של לוגים, כלי סריקה).  
6. יישמו לדג'ר מבוסס עץ מרקל (בחרו ספק HSM).  
7. פתחו לוח בקרה צייתני (React + GraphQL).  
8. הפעלו מחזור גילוי סטייה (כל שעה).  
9. הדריכו מבקרים פנימיים באימות ה‑Merkle proof.  
10. הפעילו פיילוט על שאלון בעל סיכון נמוך לבחינה ראשונית.  

---

## שיפורים עתידיים

- **גרפים מרובי‑שוכרים משותפים**: שיתוף מיפויים אנונימיים של שליטה בין קונסורציומים תעשייתיים ללא חשיפה של מדיניות קניינית.  
- **שוק תבניות Prompt גנרטיביות**: לאפשר לצוותי ציות לפרסם תבניות Prompt המשפרות את איכות התרגום באופן אוטומטי.  
- **מדיניות ריפוי עצמי**: לשלב גילוי סטייה עם למידת חיזוק למתן הצעות תיקון מדיניות באופן אוטומטי.  
- **אינטגרציה של Zero‑Knowledge Proof**: להחליף הוכחות מרקל ב‑zk‑SNARKs למען פרטיות מרבית.  

---