
# בניית נתיב ראיות שנוצרו על ידי AI וניתן לביקורת עבור שאלונים אבטחתיים  

שאלוני אבטחה הם אבן פינה בניהול סיכוני ספקים. עם העלייה במנועי תגובה מבוססי AI, חברות יכולות כעת לענות על עשרות בקרות מורכבות במסגרת דקות. עם זאת, יתרונות המהירות מביאים איתם אתגר חדש: **ביקורתיות**. אנשי רגולציה, auditors וקציני ציות פנימי צריכים הוכחה שכל תשובה מושרשת בראיות אמיתיות, ולא בהזיה.  

מאמר זה מסביר ארכיטקטורה פרקטית מקצה‑לקצה היוצרת **נתיב ראיות הניתן לאימות** עבור כל תגובה שנוצרה על‑ידי AI. נסקור:  

1. למה עקביות חשובה לנתוני ציות שנוצרו ב‑AI.  
2. רכיבי הליבה של צינור עבודה שניתן לביקורת.  
3. מדריך יישום שלב‑אחר‑שלב באמצעות פלטפורמת Procurize.  
4. מדיניות נהלים לשמירת יומנים בלתי ניתנים לשינוי.  
5. מדדים ומקרים אמיתיים.  

> **דוגמה עיקרית:** על‑ידי הטמעת תהליך לתפיסת מקוריות בתוך הלולאה של תגובת ה‑AI, שומרים על מהירות האוטומציה ובמקביל עומדים בדרישות הביקורת המחמירות ביותר.  

---  

## 1. הפער באמון: תשובות AI מול ראיות ניתנות לביקורת  

| סיכון | תהליך ידני מסורתי | תגובה שנוצרה על ידי AI |
|------|-------------------|------------------------|
| **שגיאת אדם** | גבוה – תלות בהעתקה ידנית | נמוך – LLM מחלץ מהמקור |
| **זמן משיב** | ימים עד שבועות | דקות |
| **עקבות ראיות** | טבעי (מסמכים מצוטטים) | לעיתים חסר או לא מדויק |
| **עמידה ברגולציה** | קל להדגים | דורש מקוריות מתוכננת |

כאשר LLM מנסח תשובה כגון *“אנו מצפינים נתונים במצב מנוחה עם AES‑256”*, המבקר ישאל **“הצג את המדיניות, הקונפיגורציה, ודוח האימות האחרון המצביעים על טענה זו.”** אם המערכת לא תוכל לקשר את התשובה לנכס מסוים, היא תהפוך ללא תואמת.  

---  

## 2. ארכיטקטורה מרכזית ליצירת נתיב ראיות ניתנות לביקורת  

להלן סקירה ברמה גבוהה של הרכיבים שמבטיחים עקביות.  

```mermaid  
graph LR  
  A[Questionnaire Input] --> B[AI Orchestrator]  
  B --> C[Evidence Retrieval Engine]  
  C --> D[Knowledge Graph Store]  
  D --> E[Immutable Log Service]  
  E --> F[Answer Generation Module]  
  F --> G[Response Package (Answer + Evidence Links)]  
  G --> H[Compliance Review Dashboard]  
```  

*All node labels are enclosed in double quotes as required by Mermaid syntax.*  

### פירוט רכיבים  

| רכיב | תפקיד |
|------|--------|
| **AI Orchestrator** | מקבל פריטי שאלון, מחליט איזה מודל LLM או מודל מותאם לזמן להפעיל. |
| **Evidence Retrieval Engine** | מחפש במאגרי מדיניות, מאגרי ניהול קונפיגורציה (CMDB), וביומני ביקורת עבור artefacts רלוונטיים. |
| **Knowledge Graph Store** | מנרמל את הממצאים לישות (למשל `Policy:DataEncryption`, `Control:AES256`) ומקליד יחסים. |
| **Immutable Log Service** | כותב רשומה חתומה קריפטוגרפית לכל שלב של שליפה והסקה (למשל, באמצעות עץ מרקל או יומן בסגנון blockchain). |
| **Answer Generation Module** | מייצר את התשובה בטקסט חופשי ומשבץ URI שמצביע ישירות על צמתים ב‑knowledge graph. |
| **Compliance Review Dashboard** | מספק למבקרים מבט לחיצה על כל תשובה → ראייה → יומן מקוריות. |

---  

## 3. מדריך יישום על פלטפורמת Procurize  

### 3.1. הקמת מאגר הראיות  

1. **צור bucket מרכזי** (לדוגמה, S3, Azure Blob) לכל המסמכים של מדיניות וביקורות.  
2. **הפעל גרסתיות** כך שכל שינוי יתועד.  
3. **תייג כל קובץ** עם מטא‑נתונים: `policy_id`, `control_id`, `last_audit_date`, `owner`.  

### 3.2. בניית גרף הידע  

Procurize תומכת בגרפים תואמי Neo4j דרך מודול **Knowledge Hub**.  

```goat  
# Pseudo‑code to ingest a policy document  
for each document in policy_bucket:  
    metadata = extract_metadata(document)  
    node = Graph.create_node(  
        type="Policy",  
        id=metadata.policy_id,  
        version=metadata.version,  
        uri=document.uri  
    )  
    for each control in metadata.controls:  
        Graph.create_relationship(node, "COVERS", control.id)  
```  

*הפונקציה `extract_metadata` יכולה להיות פרומפט קטן של LLM שמפרש כותרות וסעיפים.*  

### 3.3. רישום בלתי ניתן לשינוי עם עצי מרקל  

כל פעולה של שליפה מייצרת רשומת יומן:  

```goat  
log_entry = {  
  "timestamp": now(),  
  "question_id": q.id,  
  "retrieved_nodes": [node1.id, node2.id],  
  "hash": sha256(question_text + concatenated_node_hashes)  
}  
MerkleTree.append(log_entry)  
```  

שורש העץ מעוגן מעת לעת למשתחרר ציבורי (למשל, רשת Ethereum testnet) כהוכחת שלמות.  

### 3.4. תכנון פרומפטים לתשובות מודעות למקור  

בעת קריאת ה‑LLM, ספק **system prompt** שמאלץ פורמט ציטוטים.  

```
You are a compliance assistant. For each answer, include a markdown footnote that cites the exact knowledge‑graph node IDs supporting the statement. Use the format: [^nodeID].
```  

דוגמה לתשובה:  

> אנו מצפינים את כל הנתונים במצב מנוחה בעזרת AES‑256 [^policy-enc-001] ומבצעים סיבוב מפתחות רבעוני [^control-kr-2025].  

ההערות התחתונות משויכות ישירות לצפייה בראיות בלוח הבקרה.  

### 3.5. אינטגרציה עם לוח הבקרה  

ב‑UI של Procurize, הגדר ווידג׳ט **“Evidence Viewer”**:  

```mermaid  
flowchart TD  
  subgraph UI["Dashboard"]  
    A[Answer Card] --> B[Footnote Links]  
    B --> C[Evidence Modal]  
  end  
```  

לחיצה על הערת שוליים פותחת מודאל שמציג תצוגה מקדימה של המסמך, גובה הגרסה, ורשומת היומן הבלתי ניתנת לשינוי המאשרת את השליפה.  

---  

## 4. פרקטיקות ממשל לשמירת הנתיב נקי  

| פרקטיקה | למה זה חשוב |
|----------|--------------|
| **ביקורות תקופתיות של גרף הידע** | זיהוי צמתים נטושים או הפניות מיושנות. |
| **מדיניות שמירה ליומנים בלתי ניתנים לשינוי** | שמירה על היומנים במשך התקופה הרגולטורית הנדרשת (למשל, 7 שנים). |
| **בקרות גישה למאגר הראיות** | מניעת שינויים לא מורשים שעלולים לשבור את המקור. |
| **התראות זיהוי שינוי** | הודעת צוות העמידה כאשר מסמך מדיניות מתעדכן; הפעלה אוטומטית של יצירת תשובות חדשות. |
| **אסימוני API באמונת‑אפס** | הבטחת שכל מיקרוסרוויס (מאחזר, מתזמן, יומן) מזדהה עם אישורים מינימליים. |

---  

## 5. מדידת הצלחה  

| מדד | יעד |
|------|------|
| **זמן ממוצע למענה** | ≤ 2 דקות |
| **שיעור הצלחת אחזור ראיות** | ≥ 98 % (תשובות מקושרות אוטומטית לפחות לצומת ראייה אחת) |
| **שיעור ממצאי ביקורת** | ≤ 1 לכל 10 שאלונים (לאחר היישום) |
| **אימות שלמות היומן** | 100 % מהיומנים עוברים בדיקת הוכחת מרקל |

חברת פינטק שחלה על‑ידי הצגת צינור עבודה זה הודיעה על **הפחתה של 73 % במאמצי תיקון ביקורת** לאחר הפריסה.  

---  

## 6. שיפורים עתידיים  

- **גרפים של הידע המאוגדים** בין יחידות עסקיות מרובות, המאפשרים שיתוף ראיות חוצה‑תחומים תוך שמירה על מגבלות מגורים של נתונים.  
- **זיהוי פערי מדיניות אוטומטי**: אם ה‑LLM לא מוצא ראייה לבקרת מסוימת, פותח אוטומטית כרטיס פער ציות.  
- **סיכום ראיות בעזרת AI**: שימוש ב‑LLM משני ליצירת תקצירי ראיות תמציתיים לרמת מנהלים.  

---  

## 7. סיכום  

AI פתח מהירות חסרת תקדים במענה לשאלוני אבטחה, אך ללא נתיב ראייה ניתן לאימות, היתרונות נעלמים תחת לחץ ביקורת. על‑ידי **הטמעת לקיחת מקוריות בכל שלב**, שימוש ב‑knowledge graph, ושמירה על יומנים בלתי ניתנים לשינוי, ארגונים יכולים ליהנות ממהירות האוטומציה ובמקביל לעמוד בתנאי הביקורת הקפדניים ביותר.  

הטמעו את הדפוס המתואר כאן ב‑Procurize והפכו את מנוע השאלונים שלכם לשירות **צייתנות‑קודם‑הכול, עשיר בראיות** שמוסמכים על‑ידי רגולטורים ולקוחות כאחד.  

---  

## מקורות נוספים  

- [NIST SP 800‑53 Revision 5 – Evidence Collection Guidance](https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final)  
- [ISO/IEC 27001:2022 – Requirements for Documented Information](https://www.iso.org/standard/80002.html)