
# שילוב מודיעין אי‑האבקה בזמן אמת עם AI למענה אוטומטי על שאלונים בטחוניים  

שאלוני בטחון הם אחד החומרים הצריכים את רוב הזמן בניהול סיכון ספקים של SaaS. הם דורשים ראיות עדכניות לגבי הגנת מידע, תגובה לאירועים, ניהול פגיעויות, ובהדרגה גם לגבי **הנוף האי‑האבקה הנוכחי** שיכול להשפיע על הספק. באופן מסורתי, צוותי האבטחה מעתיקים‑מגריטים מדיניות סטטית ומעדכנים ידנית הצהרות סיכון בכל חשיפה של פגיעה חדשה. גישה זו נוטה לטעויות והיא איטית מדי למחזורי הרכישה המודרניים שלרוב נסגרים תוך כמה ימים.

**Procurize** כבר מאוטומטת את איסוף, ארגון והניסוח שיצר AI של תגובות לשאלונים. ה frontier הבא הוא **הזרקת מודיעין אי‑האבקה חיה** לצינור הייצור כך שכל תשובה תשקף את הקשר הסיכון העדכני ביותר. במאמר זה נדון:

* הסבר מדוע תשובות סטטיות מהוות חוסר בטחון ב‑2025.  
* תיאור הארכיטקטורה המשולבת של זרימות מודיעין‑האבקה, גרף ידע, והפעלה של מודל שפה גדול (LLM).  
* הצגת **כללי אימות תשובה** ששומרים על פלט ה‑AI בהתאמה לסטנדרטים של תאימות.  
* מדריך מימוש שלב‑אחר‑שלב לצוותים המשתמשים ב‑Procurize.  
* דיון בתועלות מדידות ובאתגרי פוטנציאל.  

---

## 1. הבעיה עם תשובות שאלון מיושנות  

| נושא | השפעה על ניהול סיכון ספק |
|-------|---------------------------|
| **השתנות רגולציה** – מדיניות שנכתבה לפני רגולציה חדשה עשויה לא לעמוד בעדכונים של [GDPR](https://gdpr.eu/) או [CCPA](https://oag.ca.gov/privacy/ccpa). | עלייה בפוטנציאל לממצאי ביקורת. |
| **פגיעויות מתעוררות** – פגיעה קריטית (CVE) שהתגלתה אחרי העדכון האחרון של המדיניות משאירה את התשובה שגויה. | לקוחות עלולים לדחות את ההצעה. |
| **שינוי טכניקות של גורמי אי‑האבקה** – טכניקות תקיפה מתפתחות מהר יותר מביקורות מדיניות רבעוניות. | פוגעות באמון בתפיסת האבטחה של הספק. |
| **עבודה ידנית חוזרת** – צוותי האבטחה נאלצים לחפש כל שורה מיושנת. | מבזבזים שעות פיתוח ומאטים את מחזורי המכירות. |

תשובות סטטיות הופכות לכן לסיכון חבוי. המטרה היא להפוך כל תגובה לשאלון ל**דינמית**, **מבוססת ראיות**, ו**מאומתת באופן מתמשך** מול נתוני האי‑האבקה העדכניים.

---

## 2. תכנון ארכיטקטוני  

להלן תרשים Mermaid ברמה גבוהה שממחיש את זרימת הנתונים מהמודיעין חיצוני למענה שייוצר ב‑AI מוכן לייצוא מ‑Procurize.

```mermaid
graph TD
    A["Live Threat Intel Feeds"]:::source --> B["Normalization & Enrichment"]:::process
    B --> C["Threat Knowledge Graph"]:::store
    D["Policy & Control Repository"]:::store --> E["Context Builder"]:::process
    C --> E
    E --> F["LLM Prompt Engine"]:::engine
    G["Questionnaire Metadata"]:::source --> F
    F --> H["AI‑Generated Draft"]:::output
    H --> I["Answer Validation Rules"]:::process
    I --> J["Approved Response"]:::output
    J --> K["Procurize Dashboard"]:::ui

    classDef source fill:#f9f,stroke:#333,stroke-width:2px;
    classDef process fill:#bbf,stroke:#333,stroke-width:2px;
    classDef store fill:#bfb,stroke:#333,stroke-width:2px;
    classDef engine fill:#ffb,stroke:#333,stroke-width:2px;
    classDef output fill:#fbf,stroke:#333,stroke-width:2px;
    classDef ui fill:#f66,stroke:#333,stroke-width:2px;
```

**מרכיבים מרכזיים**

1. **Live Threat Intel Feeds** – API משירותים כגון AbuseIPDB, OpenCTI, או משאבי מודיעין מסחרי.  
2. **Normalization & Enrichment** – מנרמל פורמטים, מרוויח מידע גיאו‑מקומי לכתובות IP, ממפה CVE ל‑CVSS, ומתי תגים של ATT&CK.  
3. **Threat Knowledge Graph** – מאגר Neo4j או JanusGraph שמקשר פגיעויות, גורמי אי‑האבקה, נכסים מנוצלים, ובקרות תגובה.  
4. **Policy & Control Repository** – מדיניות קיימת (לדוגמה [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), מדיניות פנימית) מאוחסנת במאגר המסמכים של Procurize.  
5. **Context Builder** – ממזג את גרף הידע עם צמתי המדיניות הרלוונטיים ליצירת *payload* הקשר לכל סעיף של שאלון.  
6. **LLM Prompt Engine** – שולח פרומפט מובנה (הודעות מערכת + משתמש) למודל LLM מותאם (למשל GPT‑4o, Claude‑3.5) הכולל את ההקשר האי‑האבקה העדכני.  
7. **Answer Validation Rules** – מנוע כללים עסקיים (Drools, OpenPolicyAgent) שבודק את הטיוטה לפי קריטריונים של תאימות (לדוגמה “צריך להזכיר CVE‑2024‑12345 אם קיים”).  
8. **Procurize Dashboard** – מציג תצוגה מקדימה, נתיב ביקורת, ומאפשר למבקרים לאשר או לערוך את המענה הסופי.

---

## 3. תכנון פרומפט למענה מודע להקשר  

פרומפט משוכנע הוא המפתח לתוצאה מדויקת. להלן תבנית שמסופקים על ידי לקוחות Procurize, המשכנת קטעי מדיניות סטטיים עם מודיעין אי‑האבקה דינאמי.

```
System: You are a security compliance assistant for a SaaS provider. Your responses must be concise, factual, and cite the most recent evidence available.

User: Provide an answer for the questionnaire item "Describe how you handle newly disclosed critical vulnerabilities in third‑party libraries."

Context:
- Policy excerpt: "All third‑party dependencies are scanned weekly with Snyk. Critical findings must be remediated within 7 days."
- Recent intel: 
  * CVE‑2024‑5678 (Snyk severity: 9.8) discovered on 2025‑03‑18 affecting lodash v4.17.21.
  * ATT&CK technique T1190 "Exploit Public‑Facing Application" linked to recent supply‑chain attacks.
- Current remediation status: Patch applied on 2025‑03‑20, monitoring in place.

Constraints:
- Must reference the CVE identifier.
- Must include remediation timeline.
- Must not exceed 150 words.
```

ה‑LLM מחזיר טיוטה שכבר **מתייחסת ל‑CVE העדכני** ותואמת למדיניות הפנימית של התיקון בקצב של 7 ימים. מנגנון האימות לאחר מכן בודק שה‑CVE קיים ב‑גרף הידע ושזמן התיקון עומד בדרישה.

---

## 4. בניית כללי אימות תשובה  

גם המודל המשוכלל יכול להמציא. מגבלות מבוססות כללים מונעות טענות שגויות.

| מזהה כלל | תיאור | לוגיקה לדוגמה |
|----------|-------|----------------|
| V‑001 | **קיום CVE** – כל תשובה שמזכירה פגיעות חייבת לכלול מזהה CVE תקף הקיים בגרף הידע. | `if answer.contains("CVE-") then graph.containsNode(answer.extractCVE())` |
| V‑002 | **תזמון תיקון** – הצהרות על תיקון חייבות לכבד את המספר המרבי של ימים שהוגדר במדיניות. | `if answer.matches(".*within (\d+) days.*") then extractedDays <= policy.maxDays` |
| V‑003 | **ייחוס מקור** – כל עובדה חייבת לכלול מקור (שם הפיד, מזהה דוח). | `if claim.isFact() then claim.source != null` |
| V‑004 | **יישור ATT&CK** – כאשר מתוארת טכניקה, חובה שהיא מקושרת לבקרת ההפחתה. | `if answer.contains("ATT&CK") then graph.edgeExists(technique, control)` |

הכללים מקודדים ב‑**OpenPolicyAgent (OPA)** באמצעות פוליסות Rego ומופעלים אוטומטית אחרי שלב ה‑LLM. כל הפרה מסומנת לביקורת ידנית.

---

## 5. מדריך מימוש שלב‑אחר‑שלב  

1. **בחר ספקי מודיעין אי‑האבקה** – הרשם לפחות לשני פידים (אחד פתוח, אחד מסחרי) לקבלת כיסוי רחב.  
2. **פרוס שירות נירמול** – השתמש בפונקציית serverless (AWS Lambda) שמורידה JSON מהפידים, ממפה שדות לסכמה אחידה, ודוחפת ל‑Kafka topic.  
3. **הקמת גרף הידע** – התקן Neo4j, הגדר סוגי צמתים (`CVE`, `ThreatActor`, `Control`, `Asset`) וקשרים (`EXPLOITS`, `MITIGATES`). טען נתונים היסטוריים וקבע יבוא יומי מה‑stream של Kafka.  
4. **שילוב עם Procurize** – הפעל מודול *External Data Connectors*, הגדר שאילתות Cypher לכל סעיף של שאלון.  
5. **צור תבניות פרומפט** – במאגר *AI Prompt Library* של Procurize, העלה את התבנית המופיעה למעלה, תוך שימוש במשתני מצביע (`{{policy_excerpt}}`, `{{intel}}`, `{{status}}`).  
6. **קונפיגורציית מנגנון האימות** – פרוס OPA כ‑sidecar באותו pod של Kubernetes, טען את פוליסות Rego, חשוף endpoint `/validate`.  
7. **הפעל פיילוט** – בחר שאלון בעל סיכון נמוך (למשל ביקורת פנימית) ותן למערכת לייצר תשובות. סקור פריטים שסומנו ותקן את ניסוח הפרומפט ואת דרגת המחמירות של הכללים.  
8. **מדוד KPI** – עקוב אחרי זמן ממוצע ליצירת תשובה, מספר הפרות האימות, והפחתת שעות עריכה ידנית. כוון ל‑**הפחתה של לפחות 70 % בזמן‑להשגה** לאחר החודש הראשון.  
9. **הפעלה בייצור** – אפשר את זרימת העבודה לכל שאלונים חיצוניים. קבע התראות על כל הפרת כלל שהעבורה עוברת את הסף (לדוגמה >5 % מהתשובות).  

---

## 6. תועלות כמותיות  

| מדד | לפני האינטגרציה | אחרי האינטגרציה (3 חודשים) |
|-----|------------------|------------------------------|
| זמן ממוצע ליצירת תשובה | 3.5 שעה (ידני) | 12 דקות (AI + מודיעין) |
| מאמץ עריכה ידנית | 6 שעות לכל שאלון | 1 שעה (סקר בלבד) |
| אירועי סטייה מתאימות | 4 לרבעון | 0.5 לרבעון |
| מדד שביעות רצון לקוח (NPS) | 42 | 58 |
| שיעור ממצאי ביקורת | 2.3 % | 0.4 % |

המספרים מבוססים על יישום מוקדם של **Procurize עם מודיעין אי‑האבקה** בחברת fintech SaaS המעבדת 30 שאלונים בחודש.

---

## 7. פיתיונות נפוצים וכיצד למנועם  

| פיתה | סימנים | מניעה |
|------|--------|--------|
| **תלות בפיד יחיד** | חוסר CVE, מיפוי ATT&CK לא עדכני. | שלב מספר פידים; השתמש בגיבוי פתוח כמו NVD. |
| **המצאת CVE של ה‑LLM** | תשובות מזכירות “CVE‑2025‑0001” שאינה קיימת. | כלל אימות קפדני V‑001; רישום כל מזהה שחולץ לצורך ביקורת. |
| **צוואר בקבוק בביצוע שאילתות לגרף** | זמן תגובה > 5 שניות לכל תשובה. | שמור תוצאות שאילתות נפוצות במטמון; השתמש באינדקסים של Neo4j Graph‑Algo. |
| **אי‑תאימות בין מדיניות למודיעין** | מדיניות דורשת “תיקון תוך 7 ימים” אך המודיעין מצביע על חלון של 14 יום עקב עומס ספק. | הוסף זרימת עבודה של **חריגות מדיניות** שבה מנהלי האבטחה מאשרים סטיות זמניות. |
| **שינויים רגולטוריים לפני עדכון הפידים** | רגולציה אירופאית חדשה שלא משתקפת באף פיד. | שמור רשימת **השלכות רגולטוריות ידניות** שה‑prompt engine משלב. |

---

## 8. שיפורים עתידיים  

1. **מודל תחזית אי‑האבקה** – השתמש ב‑LLM לחזות CVE עתידיים על בסיס תבניות היסטוריות, ולאפשר עדכוני מדיניות פרואקטיביים.  
2. **ציון דירוג אפס‑איפוס** – שלב את תוצאות האימות לציון סיכון בזמן אמת שמוצג בדף האמון של הספק.  
3. **כיוונון פרומפטים בעזרת למידה חוזרת** – עדכן את תבנית הפרומפט באמצעות reinforcement learning משוב ממאמני הביקורת.  
4. **שיתוף ידע פדרטיבי** – צור גרף ידע מאוחד שבו מספר ספקי SaaS מחליפים מיפוי אנונימי של מודיעין‑מדיניות לשיפור מצבו הקולקטיבי של האבטחה.  

---

## 9. מסקנה  

שילוב **מודיעין אי‑האבקה בזמן אמת** באוטומציה של שאלונים של Procurize מביא שלושה יתרונות מרכזיים:

* **דיוק** – כל תשובה מגובה בנתוני פגיעויות העדכניים ביותר.  
* **מהירות** – זמן יצירת תשובה יורד משעות לדקות, מה שמקפיץ את קצב מחזורי המכירות.  
* **ביטחון בתאימות** – כללים של אימות מבטיחים שכל טענה עומדת במדיניות הפנימית ובדרישות רגולטוריות כגון [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [GDPR](https://gdpr.eu/), ו‑[CCPA](https://oag.ca.gov/privacy/ccpa).

עבור צוותי אבטחה המתמודדים עם גל הולך וגדל של שאלונים ספקיים, האינטגרציה המתוארת כאן מציעה דרך מעשית להפוך צוואר בקבוק ידני לניצול אסטרטגי.

---

## ראה גם  

- [NIST SP 800‑53 Revision 5 – Security and Privacy Controls for Federal Information Systems](https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final)  
- [OpenCTI – Open‑source Cyber Threat Intelligence Platform](https://www.opencti.io/)