
# אורקסטרציית ראיות דינמית מבוססת AI לשאלונים ביטחוניים בזמן אמת

## מבוא

שאלוני אבטחה הם השער לכל עסקת SaaS B2B. הם דורשים ראיות מדויקות ומעודכנות במסגרות כגון [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [GDPR](https://gdpr.eu/) ותקנות מתהוות. תהליכים מסורתיים מתבססים על העתקה ידנית ממאגרי מדיניות סטטיים, מה שמוביל ל‑:

* **זמני תגובה ארוכים** – שבועות עד חודשים.  
* **תשובות לא עקביות** – חברי צוות שונים מצטטים גרסאות מנוגדות.  
* **סיכון ביקורת** – אין מסלול בלתי ניתן לשינוי שמקשר תשובה למקור שלה.  

הגרסה הבאה של Procurize, **מנוע אורקסטרציית ראיות דינמית (DEOE)**, מתמודדת עם בעיות אלו על‑ידי הפיכת מאגר הידע של הציות ל‑**מרקם נתונים אדפטיבי מונע‑AI**. על‑ידי שילוב **Retrieval‑Augmented Generation (RAG)**, **Graph Neural Networks (GNN)**, ו‑**גרף ידע פדרלי בזמן אמת**, המנוע יכול:

1. **לאתר** את הראיה הרלוונטית ביותר באופן מיידי.  
2. **לסנתז** תשובה תמציתית, מודעת לרגולציה.  
3. **לצרף** מטא‑נתוני מקור קריפטוגרפיים לאימות.  

התוצאה היא **תשובה מוכנה לביקורת בלחיצה אחת** שמתעדכנת יחד עם שינויי מדיניות, בקרים ותקנות.

---  

## עמודי האדריכלות המרכזיים

המנוע DEOE מורכב מארבע שכבות קשורות הדוקות:

| שכבה | אחריות | טכנולוגיות מרכזיות |
|------|--------|----------------------|
| **איסוף ונרמול** | שליפת מסמכי מדיניות, דוחות ביקורת, יומני טיקטים והוכחות צד שלישי. המרתם למודל סמנטי אחיד. | Document AI, OCR, מיפוי סכמות, הטמעות OpenAI |
| **גרף ידע פדרלי (FKG)** | אחסון ישויות מנורמלות (בקרות, נכסים, תהליכים) כצמתים. קשתות מייצגות יחסים כגון *תלוי‑ב*, *מיישם*, *נבדק‑על‑ידי*. | Neo4j, JanusGraph, מילונים מבוססי RDF, סכמות מוכנות ל‑GNN |
| **מנוע אחזור RAG** | בהתבסס על שאלה משאלת שאלון, מאחזר את קטעי ההקשר העליונים מהגרף, ואז מעביר אותם ל‑LLM ליצירת תשובה. | ColBERT, BM25, FAISS, OpenAI GPT‑4o |
| **אורקסטרציה דינמית ופרובָנציה** | משלב את הפלט של ה‑LLM עם ציטוטים מהגרף, חותם את התוצאה בלדג׳ר הוכחות‑ידע אפס‑ידע. | אינפרנס GNN, חתימות דיגיטליות, Ledger בלתי משתנה (למשל Hyperledger Fabric) |

### Mermaid Overview

```mermaid
graph LR
  A[איסוף מסמכים] --> B[נרמול סמנטי]
  B --> C[גרף ידע פדרלי]
  C --> D[הטמעות רשת נוירונים גרפית]
  D --> E[שירות אחזור RAG]
  E --> F[גנרטור תשובות LLM]
  F --> G[מנוע אורקסטרציית ראיות]
  G --> H[שביל ביקורת חתום]
  style A fill:#f9f,stroke:#333,stroke-width:2px
  style H fill:#9f9,stroke:#333,stroke-width:2px
```

## כיצד פועל Retrieval‑Augmented Generation במערכת DEOE

1. **פיצול השאלה** – פריט השאלון המתקבל מפורק ל‑*כוונה* (למשל, “תאר את הצפנת הנתונים במנוחה”) ו‑*הגבלה* (למשל, “CIS 20‑2”).  
2. **חיפוש וקטורי** – וקטור הכוונה משווה למט_embeddings של ה‑FKG בעזרת FAISS; נלקחים קטעי העליונים (סעיפים מדיניות, ממצאי ביקורת).  
3. **מיזוג ההקשר** – הקטעים שהושגו מאוחדים עם השאלה המקורית ומסופקים ל‑LLM.  
4. **יצירת תשובה** – ה‑LLM מייצר תשובה תמציתית, מודעת לציות, תוך שמירה על סגנון, אורך וציטוטים נדרשים.  
5. **מיפוי ציטוטים** – כל משפט שנוצר מקושר חזרה ל‑ID הצומת המקורית באמצעות סף דמיון, מה שמבטיח **עקבותיות**.  

ההליך מתרחש **בפחות משנייה‑שתיים** עבור רוב פריטי השאלון, מה שמאפשר שיתוף פעולה בזמן אמת.

## רשתות נוירונים גרפיות: הוספת אינטליגנציה סמנטית

חיפוש מילות‑מפתח רגיל מתייחס לכל מסמך כ‑“שקיקה של מילים”. רשתות ה‑GNN מאפשרות למנוע להבין **הקשר מבני**:

* **תכונות צומת** – הטמעות שמיוצרות מהטקסט, מועשרות במטא‑דאטה של סוג הבקרה (למשל, “הצפנה”, “בקרת‑גישה”).  
* **משקולות קשת** – קיבוע יחסים רגולטוריים (למשל, *“ISO 27001 A.10.1”* *מיישמת* *“SOC 2 CC6”*).  
* **מעבר הודעות** – מפיץ דירוגי רלוונטיות ברחבי הגרף, מגלה ראיות עקיפות (למשל, “מדיניות שמירת‑נתונים” שמספקת מענה לשאלה על “תיעוד רשומות”).  

באמצעות אימון מודל **GraphSAGE** על זוגות של שאלוני‑תשובה היסטוריים, המנוע לומד להעדיף צמתים שהיוו בעבר תשתית לתשובות באיכות גבוהה, ובכך משפר משמעותית את ה‑precision.

## ספרת פרובנס: מסלול ביקורת בלתי ניתן לשינוי

כל תשובה שנוצרה מאוגדת עם:

* **ID‑צמתים** של ראיות המקור.  
* **חותמת זמן** של האחזור.  
* **חתימה דיגיטלית** ממפתח הפרטי של DEOE.  
* **הוכחת‑אפס‑ידע (ZKP)** שמוכיחה שהתשובה נגזרת מהמקורות המשויכים מבלי לחשוף את המסמכים עצמם.  

פרטים אלה נשמרים ב‑**Ledger בלתי משתנה** (Hyperledger Fabric) וניתנים לייצוא לפי דרישת המבקר, מה שמבטל לחלוטין את השאלה “מאיפה נלקחה התשובה?”.

## אינטגרציה עם תהליכי רכישה קיימים

| נקודת אינטגרציה | כיצד DEOE מתאים |
|----------------|-------------------|
| **מערכות טיקט (Jira, ServiceNow)** | webhook משגר את מנוע האחזור עם יצירת משימה חדשה של שאלון. |
| **צינורות CI/CD** | מאגרי קוד של מדיניות דוחפים עדכונים לגרף ה‑FKG בעזרת מעקב GitOps. |
| **פורטלים של ספקים (SharePoint, OneTrust)** | תשובות ממולאות אוטומטית דרך REST API, כשקישורי מסלול ביקורת מצורפים כמטא‑דטה. |
| **פלטפורמות שיתוף (Slack, Teams)** | עוזר AI מגיב לשאלות בשפה טבעית, קורא ב‑DEOE ברקע. |

## יתרונות מכמתים

| מדד | תהליך מסורתי | תהליך עם DEOE |
|------|--------------|----------------|
| **זמן תגובה ממוצע** | 5‑10 ימים לכל שאלון | < 2 דקות לכל פריט |
| **שעות עבודה ידניות** | 30‑50 שעות לכל מחזור ביקורת | 2‑4 שעות (סקירה בלבד) |
| **דיוק ראיות** | 85 % (תלוי בטעות אנוש) | 98 % (AI + אימות ציטוטים) |
| **מצאויות ביקורת הקשורות לתשובות לא עקביות** | 12 % מכל הממצאים | < 1 % |

פיילוטים של שלושה ארגוני SaaS Fortune‑500 דווחו על **קיצור של 70 % בזמן המחזור** ו‑**צמצום של 40 % בעלויות תיקון בק בעקבות ביקורת**.

## מפת דרכים ליישום

1. **איסוף נתונים (שבועות 1‑2)** – חיבור צינורות Document AI למאגרי מדיניות, יצוא ל‑JSON‑LD.  
2. **תכנון סכמת גרף (שבועות 2‑3)** – הגדרת סוגי צמתים/קשתות (בקרה, נכס, תקנה, ראייה).  
3. **אוכלוסיית גרף (שבועות 3‑5)** – טעינת הנתונים המנורמלים ל‑Neo4j, הרצת אימון ראשוני של GNN.  
4. **התקנת שירות RAG (שבועות 5‑6)** – הקמת אינדקס FAISS, אינטגרציה עם OpenAI API.  
5. **שכבת אורקסטרציה (שבועות 6‑8)** – מימוש סינתזת תשובה, מיפוי ציטוטים, חתימת Ledger.  
6. **פיילוט אינטגרציה (שבועות 8‑10)** – חיבור לזרם עבודה של שאלון בודד, איסוף משוב.  
7. **כוונון איטרטיבי (שבועות 10‑12)** – טיוני GNN, התאמת תבניות פרומפט, הרחבת כיסוי ZKP.  

קובץ Docker‑Compose ו‑Helm Chart ידידותיים ל‑DevOps נמסרים ב‑SDK בקוד פתוח של Procurize, ומאפשרים הקמת סביבת Kubernetes מהירה.

## כיווני פיתוח עתידיים

* **ראיות מרב‑מודליות** – שילוב צילומי מסך, דיאגרמות ארכיטקטורה והדגמות וידאו באמצעות הטמעות CLIP.  
* **למידה פדרלית בין לקוחות** – שיתוף עדכוני משקלים של GNN במצב אנונימי בין חברות, תוך שמירה על ריבונות המידע.  
* **חזון רגולטורי** – שילוב גרף זמני עם ניתוח מגמות LLM ליצירת ראיות פרואקטיביות לתקנות עתידיות.  
* **בקרות גישה Zero‑Trust** – הצפנת ראיות בנקודה‑ב‑שימוש, כך שרק תפקידים מאושרים יוכלו לצפות במקור המסמכים הגולמי.  

## רשימת בדיקה של שיטות עבודה מומלצות

- [ ] **שמר עקביות סמנטית** – השתמש במונחי מפתח משותפים (למשל, [NIST CSF](https://www.nist.gov/cyberframework), ISO 27001) בכל המסמכים.  
- [ ] **גרסת‑שליטה על סכמת גרף** – אחסן שינויים בסכמה ב‑Git והפעל באמצעות CI/CD.  
- [ ] **בקרת פרובנס יומית** – הפעל בדיקות אוטומטיות שכל תשובה מתייחסת לפחות לצומת אחת חתומה.  
- [ ] **ניטור זמן אחזור** – יצור התראה אם בקשת RAG חורגת מ‑3 שניות.  
- [ ] **אימון מחודש של GNN** – שלב זוגות שאלון‑תשובה חדשים כל רבעון.  

## סיכום

**מנוע אורקסטרציית ראיות דינמית** משנה את האופן שבו נענים שאלוני אבטחה. על‑ידי הפיכת מסמכי מדיניות סטטיים ל‑**מרקם ידע גרפי מתעורר** וניצול כוחו של מודלים גנרטיביים מודרניים, ארגונים יכולים:

* **להאיץ את קצב העסקאות** – תשובות מוכנות תוך שניות.  
* **להעצים את ביטחון הביקורת** – כל הצהרה מקושרת קריפטוגרפית למקורה.  
* **להתכונן לעתיד הציות** – המערכת לומדת ומתעדכנת ככל שהתקנות מתפתחות.  

אימוץ DEOE איננו מותרות; מדובר בחובה אסטרטגית עבור כל חברת SaaS השואפת לשמור על מהירות, בטחון ואמון בשוק תחרותי במיוחד.