
# ניצול גרפי הידע ב‑AI לאיחוד בקרות אבטחה, מדיניות והוכחות

בעולם המתפתח במהירות של אבטחת SaaS, הצוותים מתמודדים עם עשרות מסגרות—[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [PCI‑DSS](https://www.pcisecuritystandards.org/pci_security/), [GDPR](https://gdpr.eu/), ותקנים ספציפיים לתעשייה—במקביל למילוי אינסוף שאלוני אבטחה מלקוחות פוטנציאליים, רואי חשבון ושותפים. הכמות העצומה של בקרות חופפות, מדיניות משוכפלת והוכחות מפוזרות יוצרת **בעיה של סילו ידע** שגורמת לבזבוז זמן וכסף.

הנה ה‑**גרף ידע מונע‑AI**. על‑ידי הפיכת artefacts צמדים של ציות למפת רשת חיה וניתנת לשאילתות, ארגונים יכולים להציג אוטומטית את הבקר הנכון, לאחזר את ההוכחה המדויקת, וליצור תשובות מדויקות לשאלונים תוך שניות. מאמר זה ידריך אותך במושג, בלוקים הטכניים ובצעדים המעשיים לשילוב גרף ידע בפלטפורמת Procurize.

---

## למה גישות מסורתיות אינן מספיקות

| נקודת כאב | שיטה קונבנציונלית | עלות סמויה |
|------------|---------------------|-------------|
| מיפוי בקרות | גיליונות אלקטרוניים ידניים | שעות שכפול לכל רבעון |
| אחזור הוכחות | חיפוש בתיקיות + קונבנציות שמות | מסמכים חסרים, שינויים בגרסאות |
| עקביות חוצת‑מסגרות | רשימות ביקורת נפרדות לכל מסגרת | תשובות לא קבועות, ממצאי ביקורת |
| הרחבה לתקנים חדשים | העתקה והדבקה של מדיניות קיימת | שגיאות אנוש, עקיבות שבורה |

גם עם מאגרי מסמכים חזקים, החוסר ב**קשרים סמנטיים** גורם לצוותים לענות על אותה שאלה בניסוחים שונים עבור כל מסגרת. התוצאה היא לולאת משוב לא יעילה שמאטת עסקאות ופוגעת באמון.

---

## מהו גרף ידע מונע‑AI?

גרף ידע הוא **מודל נתונים מבוסס גרף** שבו ישויות (צמתים) מקושרות על‑ידי קשרים (קצוות). בתחום הציות, הצמתים יכולים לייצג:

* **בקרי אבטחה** (לדוגמה, “הצפנה במנוחה”)
* **מסמכי מדיניות** (לדוגמה, “מדיניות שמירת נתונים גרסה 3.2”)
* **artefacts של הוכחות** (לדוגמה, “יומני סיבוב מפתחות AWS KMS”)
* **דרישות רגולטוריות** (לדוגמה, “דרישה 3.4 של PCI‑DSS”)

AI מוסיף שני שכבות קריטיות:

1. **חילוץ וקישור ישויות** – מודלים גדולים של שפה (LLMs) סורקים טקסט מדיניות, קבצי קונפיגורציה בענן, וקבצי לוג כדי ליצור צמתים אוטומטית ולהציע קשרים.
2. **הסקת סמנטיקה** – רשתות נוירונים גרפיות (GNNs) מנחשות קצוות חסרים, מזהות סתירות, ומציעות עדכונים כאשר התקנים משתנים.

התוצאה היא **מפה חיה** שמתעדכנת עם כל מדיניות או הוכחה חדשה, ומאפשרת תשובות מיידיות ומודע־הקשר.

---

## סקירה ארכיטקטונית מרכזית

להלן תרשים מרמייד ברמה גבוהה של מנוע הציות המופעל על‑ידי גרף ידע ב‑Procurize.

```mermaid
graph LR
    A["קבצי מקור גולמיים"] -->|LLM Extraction| B["שירות חילוץ ישויות"]
    B --> C["שכבת אינגסטרציה של גרף"]
    C --> D["גרף הידע Neo4j"]
    D --> E["מנוע נימוקים סמנטיים"]
    E --> F["API שאלות"]
    F --> G["ממשק משתמש של Procurize"]
    G --> H["מחולל שאלונים אוטומטי"]
    style D fill:#e8f4ff,stroke:#005b96,stroke-width:2px
    style E fill:#f0fff0,stroke:#2a7d2a,stroke-width:2px
```

* **קבצי מקור גולמיים** – מדיניות, קונפיגורציה כקוד, ארכיונים של יומנים, ותשובות קודמות לשאלונים.
* **שירות חילוץ ישויות** – צינור מבוסס LLM שמסמן בקרות, הפניות והוכחות.
* **שכבת אינגסטרציה של גרף** – ממירה ישויות מחולצות לצמתים וקצוות, מתמודדת עם גרסאות.
* **גרף הידע Neo4j** – נבחר בשל הבטחת ACID והיכולת לשאילתות גרפיות טבעיות (Cypher).
* **מנוע נימוקים סמנטיים** – מפעיל מודלים של GNN כדי להציע קצוות חסרים והתרעות על קונפליקטים.
* **API שאלות** – חושף נקודות קצה GraphQL לשאילתות בזמן‑אמת.
* **ממשק משתמש של Procurize** – מרכיב חזיתי שמציג בקרות וקבצי הוכחה קשורים בזמן הכנת תשובות.
* **מחולל שאלונים אוטומטי** – צורך תוצאות שאילתות כדי למלא שאלוני אבטחה באופן אוטומטי.

---

## מדריך יישום שלב‑אחר‑שלב

### 1. רשימת כל artefacts הציות

התחל במיפוי כל המקורות:

| סוג Artefact | מיקום טיפוסי | דוגמא |
|---------------|------------------|---------|
| מדיניות | Confluence, Git | `security/policies/data-retention.md` |
| מטריצת בקרות | Excel, Smartsheet | `SOC2_controls.xlsx` |
| הוכחות | S3 bucket, internal drive | `evidence/aws/kms-rotation-2024.pdf` |
| שאלונים קודמים | Procurize, Drive | `questionnaires/2023-aws-vendor.csv` |

מטא‑נתונים (בעלים, תאריך ביקורת אחרון, גרסה) קריטיים לקישוריות במק downstream.

### 2. פריסת שירות חילוץ הישויות

1. **בחר LLM** – OpenAI GPT‑4o, Anthropic Claude 3, או מודל LLaMA מקומי.
2. **הנדסת פרומפט** – צור פרומפטים שמחזירים JSON עם שדות: `entity_type`, `name`, `source_file`, `confidence`.
3. **הפעלה בלוּחַ זמנים** – השתמש ב‑Airflow או Prefect לעיבוד קבצים חדשים/מעודכנים בלילה.

> **טיפ:** השתמש במילון ישויות מותאם אישית עם שמות בקרות סטנדרטיים (לדוגמה, “Access Control – Least Privilege”) כדי לשפר את דיוק החילוץ.

### 3. אינגסטרציה אל Neo4j

```cypher
UNWIND $entities AS e
MERGE (n:Entity {uid: e.id})
SET n.type = e.type,
    n.name = e.name,
    n.source = e.source,
    n.confidence = e.confidence,
    n.last_seen = timestamp()
```

צור קשרים בזמן אמת:

```cypher
MATCH (c:Entity {type:'Control', name:e.control_name}),
      (p:Entity {type:'Policy', name:e.policy_name})
MERGE (c)-[:IMPLEMENTED_BY]->(p)
```

### 4. הוספת נימוקים סמנטיים

* **הכשרת GNN** על קבוצה מתוייגת שבה הקשרים ידועים.
* השתמש במודל כדי לחזות קצוות כגון `EVIDENCE_FOR`, `ALIGNED_WITH`, או `CONFLICTS_WITH`.
* קבע משימת לילה שמסמנת תחזיות בעלות אמון גבוה לביקורת אנושית.

### 5. חשיפת API שאלות

```graphql
query ControlsForRequirement($reqId: ID!) {
  requirement(id: $reqId) {
    name
    implements {
      ... on Control {
        name
        policies { name }
        evidence { name url }
      }
    }
  }
}
```

ה־UI יכול כעת **להשלים אוטומטית** שדות של שאלונים על‑ידי שליפת הבקר וההוכחה המדויקת.

### 6. אינטגרציה עם בונה השאלונים של Procurize

1. הוסף כפתור **“חיפוש גרף ידע”** לצד כל שדה תשובה.
2. כאשר הלחצן נלחץ, ה‑UI שולח את מזהה הדרישה ל‑GraphQL API.
3. תוצאות ממלאות את תיבת התשובה ומצרפות קבצי PDF של ההוכחה באופן אוטומטי.
4. הצוות עדיין יכול לערוך או להוסיף הערות, אך הבסיס נוצר בשניות.

---

## יתרונות מהעולם האמיתי

| מדד | לפני גרף הידע | אחרי גרף הידע |
|--------|-----------------------|-----------------------|
| זמן ממוצע להשלמת שאלון | 7 ימים | 1.2 ימים |
| זמן חיפוש הוכחות ידני לכל תשובה | 45 דקות | 3 דקות |
| כמות מדיניות משוכפלת בחוצות מסגרות | 12 קבצים | 3 קבצים |
| קצב ממצאי ביקורת (פערי בקרות) | 8 % | 2 % |

סטארט‑אפ SaaS בינוני דיווח על **הפחתה של 70 %** במחזור זמן הביקורות האבטחתיות לאחר הטמעת הגרף, מה שהוביל לסגירות עסקיות מהירות יותר ועלייה במדד האמון של השותפים.

---

## המלצות טובות & פחיטות נפוצות

| המלצה טובה | למה זה חשוב |
|---------------|----------------|
| צמתים עם גרסאות – שמור חותמת זמן `valid_from` / `valid_to` על כל צומת. | מאפשר מסלולי ביקורת היסטוריים ותאימות לשינויים רגולטוריים רטרואקטיביים. |
| סקירה אנושית – סמן קצוות בעלות אמון נמוכה לאימות ידני. | מונע "הזיות AI" שעשויות לגרום לתשובות שגויות בשאלונים. |
| בקרות גישה על הגרף – השתמש בהרשאות מבוססות תפקידים (RBAC) ב‑Neo4j. | מבטיח שרק גורמים מורשים יוכלו לצפות או לערוך הוכחות רגישות. |
| למידה מתמשכת – החזר קשרים מתוקנים למערך האימון של ה‑GNN. | משפרת את איכות ההערכות עם הזמן. |

**פחיטות נפוצות**  
* **הסתמכות יתר על חילוץ LLM** – קבצי PDF עם טבלאות לעיתים מפורשים בצורה שגויה; יש לשלב OCR ופרסרריים מבוססי חוקים.  
* **התפזרות גרף** – יצירת צמתים בלתי מבוקרת גורמת לירידה בביצועים; יש ליישם מדיניות הטיה של artefacts שאינם בשימוש.  
* **התעלמות מניהול שלט** – ללא מודל בעלות נתונים ברור, הגרף עלול להפוך ל„קופסה שחורה“. הקמת תפקיד steward ציות היא חובה.  

---

## כיוונים לעתיד

1. **גרפים פדרטיביים חוצי‑ארגונים** – שיתוף מיפויי בקרות‑הוכחה אנונימיים עם שותפים תוך שמירה על פרטיות.  
2. **עדכונים אוטומטיים לפי רגולציה** – ייבוא גרסאות רשמיות של תקנים (לדוגמה, ISO 27001:2025) והצעת שינויים במדיניות על‑ידי מנוע הנימוקים.  
3. **ממשק שאלות בשפה טבעית** – אפשר למנתחי האבטחה לכתוב “הצג לי את כל ההוכחות לבקרת הצפנה העונה על art. 32 של GDPR” ולקבל תוצאות מיידיות.  

על‑ידי התייחסות לצייתנות כאל **בעיה של רשת ידע**, ארגונים משיגים גמישות, דיוק, וביטחון משופר בכל שאלון אבטחה שהם נתקלים בו.

---

## ראה גם

- [NIST Cybersecurity Framework – Mapping to ISO & SOC 2](https://www.nist.gov/cybersecurity-framework)  
- [Graph Neural Networks for Knowledge Graph Completion (arXiv)](https://arxiv.org/abs/2003.00764)