
# רענון דינמי של גרף הידע לשיפור דיוק שאלון האבטחה בזמן אמת

ארגונים שמוכרים פתרונות SaaS עומדים בלחץ מתמשך לענות על שאלוני אבטחה, הערכות סיכון ספקים וביקורות תאימות. בעיית הנתונים הישן—כאשר בסיס הידע עדיין משקף תקנה שכבר עודכנה—גורמת לשבועות של עבודה חוזרת ומסכנת את האמון. **Procurize** טיפלה באתגר הזה על‑ידי הצגת **מנוע רענון גרף ידע דינמי (DG‑Refresh)** שמכניס באופן רציף שינויי רגולציה, עדכוני מדיניות פנימית וארטיפקטים של הוכחות, ולאחר מכן מפיץ את השינויים בגרף תאימות מאוחד.

במאמר מעמיק זה נסקור:

* מדוע גרף ידע סטטי הוא חיסרון בשנת 2025.  
* האדריכלות המונעת AI של DG‑Refresh.  
* כיצד כריית רגולציה בזמן אמת, קישור סמנטי והגרסת הוכחות עובדים יחד.  
* השלכות מעשיות על צוותי אבטחה, תאימות ומוצר.  
* מדריך שלב‑אחר‑שלב ליישום עבור ארגונים המעוניינים לאמץ רענון גרף דינמי.

## הבעיה עם גרפים סטטיים של תאימות

פלטפורמות תאימות מסורתיות מאחסנות תשובות לשאלונים כשורות מבודדות המקושרות למספר מסמכי מדיניות. כאשר מתפרסמת גרסה חדשה של [ISO 27001](https://www.iso.org/standard/27001) או חוק פרטיות ברמת המדינה, הצוותים מבצעים באופן ידני:

1. **זיהוי הבקרות המושפעות** – לרוב שבועות אחרי השינוי.  
2. **עדכון מדיניות** – העתק‑הדבק, סיכון לטעויות אנוש.  
3. **כתיבה מחדש של תשובות השאלון** – כל תשובה עלולה להתייחס להסדרים מיושנים.

המאטה יוצר שלושה סיכונים עיקריים:

* **אי‑צייתנות רגולטורית** – תשובות אינן משקפות את הבסיס החוקי.  
* **חוסר התאמה של הוכחות** – נתיבי ביקורת מצביעים על ארטיפקטים שהוחלפו.  
* **חיכוך בעסקאות** – לקוחות דורשים הוכחת ציות, מקבלים נתונים ישנים והחוזים מתעכבים.

גרף סטטי אינו יכול להסתגל מהר מספיק, במיוחד כאשר רגולטורים עוברים מפרסומים שנתיים ל**פרסום רציף** (למשל, קווים מנחים “דינמיים” בסגנון [GDPR](https://gdpr.eu/)).

## הפתרון המונע AI: סקירה של DG‑Refresh

DG‑Refresh מתייחס למערכת האקולוגית של הצמעת התאימות כ**גרף סמנטי חי**, שבו:

* **קשרים (Nodes)** מייצגים תקנות, מדיניות פנימית, בקרות, ארטיפקטים של הוכחות ופריטי שאלון.  
* **קצוות (Edges)** מקודדים יחסים: *“מכסה”*, *“מיישם”*, *“מתועד‑על‑ידי”*, *“גרסה‑של”*.  
* **נתוני מטא** כוללים חותמות זמן, האש של מקור ומקדם בטחון.

המנוע מפעיל באופן רציף שלושה צינורות מונעי AI:

| צינור | טכניקת AI מרכזית | תוצאה |
|----------|-------------------|--------|
| **כריית רגולציה** | סיכום מודל‑שפה גדול (LLM) + חילוץ ישויות בשם | אובייקטים מובנים של שינוי (למשל, סעיף חדש, סעיף שנמחק). |
| **מיפוי סמנטי** | רשתות גרפיות נוירוניות (GNN) + יישור אונטולוגי | קצוות חדשים או מעודכנים המקשרים שינויים רגולטוריים לצמתים קיימים של מדיניות. |
| **גרסת הוכחות** | טרנספורמר מודע להבדלים + חתימות דיגיטליות | ארטיפקטים חדשים של הוכחות עם רשומות מקור חסינות. |

ביחד, צינורות אלו משמרים את הגרף **תמיד רענן**, וכל מערכת משנית—כמו יוצר השאלונים של Procurize—משיגה תשובות ישירות ממצב הגרף העדכני.

### דיאגרמת Mermaid של מחזור הרענון

```mermaid
graph TD
    A["Regulatory Feed (RSS / API)"] -->|LLM Extract| B["Change Objects"]
    B -->|GNN Mapping| C["Graph Update Engine"]
    C -->|Versioned Write| D["Compliance Knowledge Graph"]
    D -->|Query| E["Questionnaire Composer"]
    E -->|Answer Generation| F["Vendor Questionnaire"]
    D -->|Audit Trail| G["Immutable Ledger"]
    style A fill:#f9f,stroke:#333,stroke-width:2px
    style F fill:#bbf,stroke:#333,stroke-width:2px
```

*כל תוויות הצמתים מוקפות במירכאות לפי הדרישה.*

## איך DG‑Refresh עובד בפירוט

### 1. כריית רגולציה רציפה

רגולטורים היום מציגים **יומני שינוי קריאים למכונה** (למשל JSON‑LD, OpenAPI). DG‑Refresh מנוי על פידים אלו, ואז:

* **מחלק את הטקסט הגולמי** בעזרת מחלק חלונות מתגלגלות.  
* **מבצע פקודה ל‑LLM** עם תבנית שמחולצת מזהי סעיפים, תאריכי תחולה וסיכומי השפעה.  
* **מאמת** את הישויות שחולצו בעזרת מתאם מבוסס כללים (regex לדוגמה ל‑“§ 3.1.4”).

התוצאה היא **אובייקט שינוי** כגון:

```json
{
  "source": "ISO27001",
  "section": "A.12.1.3",
  "revision": "2025‑02",
  "description": "Add requirement for encrypted backups stored off‑site.",
  "effective_date": "2025‑04‑01"
}
```

### 2. מיפוי סמנטי והעשרת הגרף

לאחר יצירת אובייקט השינוי, **מנוע עדכון הגרף** מריץ GNN izay:

* **מייצג** כל צומת במרחב וקטורי בעל ממדים גבוהים.  
* **מחשב דמיון** בין סעיף הרגולציה החדש לבקרות המדיניות הקיימות.  
* **יוצר אוטומטית** או **מעדכן משקל** לקצוות כגון `covers`, `requires` או `conflicts‑with`.

בוחן אנושי יכול להתערב דרך ממשק חזותי שמציג את הקצה המוצע, אך **ציון הביטחון** של המערכת (0–1) קובע מתי ניתן לאשר אוטומטית (למשל, > 0.95).

### 3. גרסת הוכחות ושרשרת מקור בלתי מתחלפת

חלק קריטי בתאימות הוא **ההוכחות** – קבצי יומנים, צילום מצבי קונפיגורציה, הצהרות. DG‑Refresh מנטר **מחסני ארטיפקטים** (Git, S3, Vault) למעקב אחרי גרסאות חדשות:

* הוא מריץ **טרנספורמר מודע להבדלים** כדי לזהות שינויים חומריים (למשל, שורת קונפיגורציה חדשה העונה על סעיף שנוסף זהו).  
* מייצר **האש קריפטוגרפי** של הארטיפקט החדש.  
* שומר מטא‑נתונים של הארטיפקט ב**ספר חשבונות בלתי מתחלף** (לוג נקודת‑שיא‑הוספה דמוי blockchain) שמקשר חזרה לצומת הגרף.

זה יוצר **מקור אמת יחיד** למבקר: “תשובה X נגזרת ממדיניות Y, המקושרת לרגולציה Z, ומגובה באסף הוכחות H גרסה 3 עם האש …”.

## יתרונות לצוותים

| משקיע | יתרון ישיר |
|-------------|----------------|
| **מהנדסי אבטחה** | אין צורך בכתיבה ידנית של בקרות; ראות מיידית של השפעת רגולציה. |
| **Legal & Compliance** | שרשרת מקור ניתנת לביקורת מבטיחה שלמות הוכחות. |
| **Product Managers** | מחזור עסקאות מהיר – תשובות נוצרות בשניות, לא בימים. |
| **Developers** | API‑first גרף מאפשר אינטגרציה לצינורות CI/CD לבדיקות תאימות בזמן ריצה. |

### השפעה כמותית (מקרה מבחן)

חברת SaaS בגודל בינוני אימצה את DG‑Refresh ברבעון הראשון של 2025:

* **זמן תגובה** לתשובות השאלון ירד מ**7 ימים** ל**4 שעות** (הפחתה של ≈ 98 %).  
* **ממצאי ביקורת** הקשורים למדיניות מיושנת הופיעו **אפס** במשך שלוש ביקורות רצופות.  
* **שעות פיתוח שנחסכו** נמדדו ב**320 שעה** לשנה (≈ 8 שבועות), מה שמאפשר השתתפות בפיתוח תכונות חדשות.

## מדריך יישום

להלן מפת דרכים פרגמטית לארגונים המעוניינים לבנות צינור רענון גרף דינמי משלהם.

### שלב 1: הקמת הכנסת נתונים

```goat
# Pseudocode for Regulatory Feed Collector
while True:
    feed = fetch_api("https://regulatory.example.com/changes")
    for item in feed:
        store_raw(item, bucket="raw-regulatory")
    sleep(3600)  # poll hourly
```

*החליפו `goat` בשפת התכנות המועדפת; הקוד הוא דוגמא.*

* **בחרו פלטפורמת אירועים** (לדוגמה AWS EventBridge, GCP Pub/Sub) כדי להפעיל עיבוד downstream.

### שלב 2: פריסת שירות חילוץ LLM

* השתמשו ב‑LLM מתארח (OpenAI, Anthropic) עם **תבנית פקודה מובנית**.  
* עטפו את הקריאה בפונקציית Serverless שמחזירה אובייקטים JSON של שינוי.  
* שמרו את האובייקטים בחנות מסמכים (MongoDB, DynamoDB).

### שלב 3: בניית מנוע עדכון גרף

* **בחרו מסד גרפים** – Neo4j, TigerGraph או Amazon Neptune.  
* **טענו אונטולוגיית תאימות קיימת** (למשל NIST CSF, [ISO 27001](https://www.iso.org/standard/27001)).  
* **יישמו GNN** באמצעות PyTorch Geometric או DGL:

```python
import torch
from torch_geometric.nn import GCNConv

class ComplianceGNN(torch.nn.Module):
    def __init__(self, in_channels, hidden):
        super().__init__()
        self.conv1 = GCNConv(in_channels, hidden)
        self.conv2 = GCNConv(hidden, hidden)

    def forward(self, x, edge_index):
        x = self.conv1(x, edge_index).relu()
        return self.conv2(x, edge_index)
```

* הריצו אינפרנס על אובייקטי שינוי חדשים כדי לקבל דירוגי דמיון, ולאחר מכן כתבו קצוות באמצעות Cypher או Gremlin.

### שלב 4: אינטגרציית גרסת הוכחות

* הקימו **Git hook** או אירוע S3 לתפיסת גרסאות ארטיפקטים חדשות.  
* הפעלו **מודל diff** (למשל `text-diff-transformer`) כדי לסווג אם השינוי משמעותי.  
* רשמו מטא‑נתוני הארטיפקט והאשת קריפטוגרפית ב**ספר החשבונות הבלתי מתחלף** (לדוגמה Hyperledger Besu עם עלות גז מינימלית).

### שלב 5: חשיפת API ליצירת שאלונים

צרו **קצה GraphQL** שמחזיר:

* **שאלה → מדיניות מכוסה → רגולציה → הוכחה**.  
* **דירוג ביטחון** לתשובות המוצעות על‑ידי AI.

דוגמת בקשה:

```graphql
query GetAnswer($questionId: ID!) {
  questionnaireItem(id: $questionId) {
    id
    text
    answer {
      generatedText
      sourcePolicy { name version }
      latestEvidence { url hash }
      confidence
    }
  }
}
```

### שלב 6: ממשל ו‑Human‑In‑The‑Loop (HITL)

* הגדירו **ספי אישור** (לדוגמה, אישור אוטומטי אם הביטחון > 0.97).  
* בנו **לוח בקרה לבחינה** שבו מנהלי תאימות יכולים לאשר או לדחות הצעות של AI.  
* רשמו כל החלטה ב‑ledger לצורך שקיפות וביקורת.

## כיוונים עתידיים

1. **גרף רענון פדרטיבי** – מספר ארגונים חולקים תת‑גרף רגולטורי משותף תוך שמירה על מדיניות פנימית פרטית.  
2. **הוכחות Zero‑Knowledge** – להוכיח תשובה עומדת ברגולציה ללא חשיפת ההוכחות בפועל.  
3. **בקרות מרפאות עצמאיות** – אם ארטיפקט הוכחה נפגע, הגרף מסמן אוטומטית תשובות מושפעות ומציע תיקונים.

## סיכום

**מנוע רענון גרף ידע דינמי** הופך את התאימות משירות תגובתי ידני למערכת פרו-אקטיבית המונעת AI. על‑ידי כריית פידים רגולטוריים באופן רציף, קישור סמנטי של עדכונים לבקרות פנימיות, והגרסת הוכחות, ארגונים משיגים:

* **דיוק בזמן אמת** של תשובות לשאלוני האבטחה.  
* **שרשרת מקור בלתי ניתנת לשינוי** שמספקת שקיפות למבקרים.  
* **מהירות** שמקצרת מחזורי מכירות ומפחיתה חשיפה לסיכון.

הדגמת DG‑Refresh של Procurize מראה שהקצה הבא של אוטומציה של שאלוני אבטחה אינו רק טקסט שנוצר על‑ידי AI —​זה **גרף ידע חי, מתעדכן באופן עצמאי**, ששומר את כל מערך התאימות מסונכרן בזמן אמת.