
# יצירת ראיות דינאמית מבוססת AI צירוף אוטומטי של תעודות תומכות לתשובות שאלון האבטחה

בעולם SaaS המהיר, **שאלוני אבטחה** הפכו ל"שער" עבור כל שותפות, רכישה או מעבר לענן. צוותים מבלים שעות אינסופיות בחיפוש אחרי המדיניות הנכונה, חיתוך קטעי יומנים, או הרכבת צילומי מסך כדי להוכיח ציות לתקנים כגון **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)**, **[ISO 27001](https://www.iso.org/standard/27001)** ו‑**[GDPR](https://gdpr.eu/)**. הטבע הידני של תהליך זה מאיט את העסקאות ומוסיף הסיכון של ראיות מיושנות או לא שלמות.

הכירו את **יצירת הראיות הדינאמית** – פרדיגמה שמזיקה מודלים של שפה גדולים (**LLM**) למאגר ראיות מובנה כדי באופן אוטומטי לאתר, לעצב ולצרף את החומר המדויק שהמבקר צריך, ברגע שנכתבת תשובה. במאמר זה נסקור:

1. למה תשובות סטטיות אינן מספיקות לביקורות מודרניות.  
2. תיאור זרימת עבודה מקצה לקצה של מנוע ראיות מבוסס AI.  
3. אינטגרציה עם פלטפורמות כגון **Procurize**, קווי CI/CD, וכלי ניהול משימות.  
4. המלצות best‑practice עבור אבטחה, ממשל ותחזוקה.

בסיום, יהיה ברשותכם תכנית פעולה קונקרטית להפחתת זמן המענה לשאלונים עד **70 %**, שיפור עקיבות ביקורת, ושחרור צוותי האבטחה והמשפט להתמקד בניהול סיכון אסטרטגי.

---

## למה ניהול שאלונים מסורתי איננו מספיק

| נקודת כאב | השפעה על העסק | פתרון ידני טיפוסי |
|------------|-------------------|---------------------------|
| **עדכניות ראיות** | מדיניות שאינה מעודכנת מעלה דגלים אדומים, גורמת לעבודה חוזרת | הצוותים בודקים תאריכים ידנית לפני הצירוף |
| **אחסון מפוצל** | ראיות מבוזרות ב‑Confluence, SharePoint, Git וכוננים אישיים מקשות על הגילוי | גיליונות “מאגר מסמכים” מרכזיים |
| **תשובות ללא הקשר** | תשובה עשויה להיות נכונה אך חסרה הוכחה שהמבקר מצפה לה | מהנדסים מעתיקים‑יורים קבצי PDF ללא קישור למקור |
| **אתגר ההרחבה** | עם גדילת קווי המוצרים מספר המסמכים הדרושים מוכפל | שכירת אנליסטים נוספים או מיקור חוץ של המשימה |

האתגרים נובעים **מטבעות הסטטיות** של רוב כלי השאלונים: התשובה נכתבת פעם אחת, והקובץ המצורף הוא קובץ קבוע שצריך לעדכן ידנית. בניגוד לכך, **יצירת ראיות דינאמית** מתייחסת לכל תשובה כנקודת נתונים חיה שיכולה לשאול את המאמר העדכני בזמן הבקשה.

---

## מושגים מרכזיים ביצירת ראיות דינאמית

1. **רישום ראיות** – אינדקס עשיר במטא‑נתונים של כל אסימון ציות (מדיניות, צילומי מסך, יומנים, דוחות בדיקה).  
2. **תבנית תשובה** – קטע מובנה שמגדיר מצייני מקום הן לתשובה הטקסטואלית והן להפניות לראיות.  
3. **מתזמן LLM** – מודל (למשל GPT‑4o, Claude 3) שמבין את הנושא של השאלון, בוחר את התבנית המתאימה, ושואב את הראייה העדכנית מהרישום.  
4. **מנוע הקשר ציות** – חוקים שממפים סעיפים רגולטוריים (למשל SOC 2 CC6.1) לסוגי ראיות נדרשים.  

כאשר מבקר האבטחה פותח פריט שאלון, המתזמן מבצע **אינפרנס יחיד**:

```
User Prompt: "תאר כיצד אתם מנהלים הצפנה במנוחה עבור נתוני לקוח."
LLM Output: 
  Answer: "כל נתוני הלקוח מוצפנים במנוחה בעזרת מפתחות AES‑256 GCM שמסתובבים רבעונית."
  Evidence: fetch_latest("Encryption‑At‑Rest‑Policy.pdf")
```

המערכת מצרפת אוטומטית את הגרסה החדשה של *Encryption‑At‑Rest‑Policy.pdf* (או קטע רלוונטי) לתשובה, כולל **hash קריפטוגרפי** לאימות.

---

## תרשים זרימת עבודה מקצה לקצה

להלן תרשים Mermaid שממחיש את זרימת הנתונים מבקשת שאלון עד לתשובה המצורפת ראייה.

```mermaid
flowchart TD
    A["המשתמש פותח פריט שאלון"] --> B["מתזמן LLM מקבל את הפקודה"]
    B --> C["מנוע הקשר ציות בוחר מיפוי סעיף"]
    C --> D["שאילתת רישום ראיות לקבלת המאמר האחרון"]
    D --> E["מאמר נקנה (PDF, CSV, Screenshot)"]
    E --> F["LLM יוצר תשובה עם קישור לראייה"]
    F --> G["תשובה מוצגת בממשק עם מאגר מצורף אוטומטית"]
    G --> H["מבקר בודק תשובה + ראייה"]
    style A fill:#f9f,stroke:#333,stroke-width:2px
    style H fill:#bbf,stroke:#333,stroke-width:2px
```

---

## בניית רישום הראיות

רישום חזק נשען על **איכות המטא‑נתונים**. להלן סכימה מומלצת (ב‑JSON) לכל אסימון:

```json
{
  "id": "evidence-12345",
  "title": "Encryption‑At‑Rest‑Policy",
  "type": "policy",
  "format": "pdf",
  "version": "2025.09",
  "effective_date": "2025-09-01",
  "related_standards": ["SOC2", "ISO27001"],
  "tags": ["encryption", "key‑rotation", "data‑at‑rest"],
  "storage_uri": "s3://company-compliance/policies/encryption-at-rest.pdf",
  "hash_sha256": "a3f5…",
  "owner": "security@company.com"
}
```

**טיפים לביצוע**

| המלצה | סיבה |
|----------------|--------|
| שמירת האסימונים ב‑**חנות אובייקטים בלתי משנית** (למשל S3 עם גרסאות) | מבטיחה שליפה של הקובץ המדויק שבו השתמשו בזמן התשובה. |
| שימוש **במטא‑נתונים בסגנון Git** (hash של commit, מחבר) למדיניות שמאוחסנת במאגר קוד | מאפשר עקיבות בין שינויי קוד לראיות ציות. |
| תיוג אסימונים עם **מיפויים רגולטוריים** (SOC 2 CC6.1, **[ISO 27001](https://www.iso.org/isoiec-27001-information-security.html)**) | מאפשר למנוע הקשר לסנן פריטים רלוונטיים מיד. |
| אוטומציית **חילוץ מטא‑נתונים** דרך קווי CI (למשל ניתוח כותרות PDF, חילוץ תאריכי יומן) | משמרת את הרישום עדכני ללא מזכירות ידניות. |

---

## יצירת תבניות תשובה

במקום לכתוב טקסט חופשי לכל שאלון, צרו **תבניות תשובה** שניתן למלא עם מזהי ראיות. דוגמה לתבנית “שמירת נתונים”:

```text
Answer: Our data retention policy mandates that customer data is retained for a maximum of {{retention_period}} days, after which it is securely deleted.  
Evidence: {{evidence_id}}
```

כאשר המתזמן מעבד בקשה, הוא מחליף `{{retention_period}}` בערך ההגדרה הנוכחי (מתקבל משירות ההגדרות) ו‑`{{evidence_id}}` במזהה האסימון העדכני מהרישום.

**יתרונות**

* עקביות בין מגוון הגשות שאלונים.  
* מקור יחיד לאמת עבור פרמטרי מדיניות.  
* עדכונים חלקים – שינוי תבנית אחת משפיע על כל התשובות העתידיות.

---

## אינטגרציה עם Procurize

Procurize כבר מציע מרכז אחיד לניהול שאלונים, שיבוץ משימות ושיתוף פעולה בזמן אמת. הוספת יצירת ראיות דינאמית כוללת שלושה נקודות חיבור:

1. **מאזין Webhook** – כאשר משתמש פותח פריט שאלון, Procurize משדר אירוע `questionnaire.item.opened`.  
2. **שירות LLM** – האירוע מפעיל את המתזמן (פונקציה ללא שרת) שמחזיר תשובה עם כתובות URL של ראיות.  
3. **הרחבת UI** – Procurize מציג את המענה באמצעות רכיב מותאם שמראה תצוגה מקדימה של האסימון (תצוגה מקדימה של PDF, קטע יומן).

**חוזה API לדוגמה (JSON)**

```json
{
  "question_id": "Q-1023",
  "prompt": "Explain your incident response timeline.",
  "response": {
    "answer": "Our incident response process follows a 15‑minute triage, 2‑hour containment, and 24‑hour resolution window.",
    "evidence": [
      {
        "title": "Incident‑Response‑Playbook.pdf",
        "uri": "https://s3.amazonaws.com/compliance/evidence/IR-Playbook.pdf",
        "hash": "c9d2…"
      },
      {
        "title": "Last‑30‑Days‑Incidents.xlsx",
        "uri": "https://s3.amazonaws.com/compliance/evidence/incidents-2025-09.xlsx",
        "hash": "f7a1…"
      }
    ]
  }
}
```

ממשק UI של **Procurize** יכול כעת להציג כפתור “הורדת ראייה” ליד כל תשובה, ולספק למבקר את החומר מיד.

---

## הרחבה לקווי CI/CD

יצירת ראיות דינאמית אינה מוגבלת לממשק שאלונים בלבד; ניתן לשלב אותה **ב‑pipelines של CI/CD** כדי לייצר אסימוני ציות אוטומטיים אחרי כל שחרור.

### שלב פייפליין לדוגמה

```yaml
# .github/workflows/compliance.yaml
name: Generate Compliance Evidence

on:
  push:
    branches: [ main ]

jobs:
  produce-evidence:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout code
        uses: actions/checkout@v3

      - name: Run security test suite
        run: ./run_security_tests.sh > test_report.json

      - name: Publish test report to S3
        uses: jakejarvis/s3-sync-action@master
        with:
          args: --acl public-read
          source_dir: ./artifacts
          destination_dir: s3://company-compliance/evidence/${{ github.sha }}/
      
      - name: Register artifact metadata
        run: |
          curl -X POST https://evidence-registry.company.com/api/v1/artifacts \
            -H "Authorization: Bearer ${{ secrets.REGISTRY_TOKEN }}" \
            -d @- <<EOF
          {
            "title": "Security Test Report",
            "type": "test-report",
            "format": "json",
            "version": "${{ github.sha }}",
            "effective_date": "$(date +%Y-%m-%d)",
            "related_standards": ["ISO27001", "SOC2"],
            "tags": ["ci-cd", "security"],
            "storage_uri": "s3://company-compliance/evidence/${{ github.sha }}/test_report.json",
            "hash_sha256": "$(sha256sum ./artifacts/test_report.json | cut -d' ' -f1)",
            "owner": "devops@company.com"
          }
          EOF
```

כל בנייה מוצלחת מייצרת **אסימון ראייה מבוסס‑אימות** שניתן להתייחס אליו מיד בתשובות השאלון, להוכיח שהקוד העדכני עבר בדיקות אבטחה.

---

## שיקולי אבטחה וממשל

הוספת יצירת ראיות דינאמית פותחת משטחי תקיפה חדשים; יש להגן על הקו המתמשך.

| חשש | איזון |
|---------|------------|
| **גישה לא מורשית לאסימונים** | השתמש ב‑URL חתומים עם TTL קצר, והטמע מדיניות IAM על אחסון האובייקטים. |
| **הזיהוי מזויף של LLM** (יצירת ראיות דמיונית) | חיוב של **שלב אימות קפדני** שבו המתזמן בודק את ה‑hash של האסימון מול הרישום לפני הצירוף. |
| **שינוי מטא‑נתונים** | שמירת רשומות הרישום בבסיס נתונים append‑only (למשל DynamoDB עם point‑in‑time recovery). |
| **דליפת פרטיות** | מחק מידע אישי מזהה (PII) מהיומנים לפני שהם הופכים לראיות; השמת צינורות רדיישן אוטומטיים. |

הטמעת **תהליך אישור כפול** – אנליסט ציות חותם על כל אסימון חדש לפני שהוא עומד במצב “מוכן לראייה” – משיגה איזון בין אוטומציה לפיקוח אנושי.

---

## מדידת הצלחה

להערכת ההשפעה, עקבו אחרי KPI‑ים אלו במשך 90 יום:

| KPI | יעד |
|-----|--------|
| **זמן תגובה ממוצע לפריט שאלון** | < 2 דקות |
| **מדד רעננות ראיות** (אחוז אסימונים ≤ 30 יום) | > 95 % |
| **קיצור הערות ביקורת** (מספר הערות “ראייה חסרה”) | ↓ 80 % |
| **שיפור מהירות עסקה** (ימים ממוצעים מ‑RFP לחתימה) | ↓ 25 % |

יצאו דו״חות מדדים מ‑Procurize, שלבו אותם חזרה לאימון ה‑LLM כדי לשפר דיוק ורלוונטיות.

---

## רשימת בדיקה של best‑practice

- **קביעת שמות סטנדרטיים** (`<category>‑<description>‑v<semver>.pdf`).  
- **גרסאות מדיניות במאגר Git** ותייגו שחרורים למעקב.  
- **תיוג כל אסימון** עם סעיפים רגולטוריים שהוא מכסה.  
- **אימות hash** על כל צירופה לפני שליחה למבקר.  
- **גיבוי קריאה‑רק** של רישום הראיות לצורך שמירת מידע משפטי.  
- **אימון מחודש של ה‑LLM** עם דפוסי שאלונים חדשים ועדכוני מדיניות.

---

## כיוונים עתידיים

1. **אורקסטרציה של מודלים מרובים** – שילוב מודל סיכום (לתשובות תמציתיות) עם מודל RAG (שאילתת מסמכי מדיניות שלמים).  
2. **שיתוף ראיות באיפוס‑אפס** – שימוש ב‑Verifiable Credentials (VCs) כדי לאפשר למבקר לאמת קריפטוגרפית שהראייה נובעת ממקור מוסמך ללא צורך בהורדת הקובץ.  
3. **דשבורדים בזמן אמת** – ויזואליזציה של כיסוי ראיות בכל השאלונים הפעילים, איתור פערים לפני שימצאו בביקורת.  

כשה‑AI מתפתח, הגבול בין **יצירת תשובה** ל‑**יצירת ראייה** יעמעום, ויאפשר זרימות עבודה ציות אוטונומיות.

---

## סיכום

יצירת ראיות דינאמית משנה שאלוני אבטחה מרשימות סטטיות ומלאות טעויות לממשק **ציות חי**. על‑ידי חיבור רישום ראיות מתוכנן היטב למתזמן LLM, ארגונים SaaS יכולים:

- לצמצם מאמץ ידני ולזרז מחזורי עסקה.  
- להבטיח שכל תשובה מגובה באסימון העדכני והמאומת.  
- לשמור על תיעוד מוכן לביקורת ללא פגיעה בקצב פיתוח.  

הטמעת גישה זו מציבה את החברה בחזית **אוטומציה של ציות מבוססת AI**, ומחזירה את נקודת הצמא של שאלון למקור אסטרטגי ולא למכשול.

---

## רפרנסים נוספים

- [NIST Special Publication 800‑53 Revision 5 – Security and Privacy Controls for Federal Information Systems](https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final)  
- [ISO/IEC 27001:2022 – Information Security Management](https://www.iso.org/standard/73906.html)