
# ארגז חול אינטראקטיבי לצייתנות AI לשאלוני אבטחת מידע

> **TL;DR** – פלטפורמת ארגז חול מאפשרת לארגונים ליצור אתגרי שאלונים מציאותיים, לאמן מודלים AI עליהם ולערוך הערכה מיידית של איכות התשובות, ובכך להפוך את הכאב הידני של שאלוני אבטחה לתהליך לחזור, מונע‑נתונים.

---

## למה ארגז חול הוא הקשר החסר באוטומציה של שאלונים

שאלוני אבטחה הם “שומרי השער של האמון” עבור ספקי SaaS. עם זאת, רוב הצוותים עדיין מסתמכים על גליונות‑ח cálculo, שרשראות דוא"ל, והעתקות‑והדבקות אד‑הוק ממסמכי מדיניות. אפילו עם מנועים AI חזקים, איכות התשובות תלויה בשלושה גורמים נסתרים:

| גורם נסתר | כאב טיפוסי | איך ארגז חול פותר זאת |
|-----------|-------------|------------------------|
| **איכות הנתונים** | מדיניות לא עדכנית או חסר ראיות מובילים לתשובות מעורפלות. | גרסאות מדיניות סינתטיות מאפשרות לבדוק AI מול כל מצב אפשרי של המסמך. |
| **התאמה קונטקסטואלית** | AI יכול לייצר תשובות טכניות נכונות אך לא רלוונטיות להקשר. | פרופילים סינתטיים של ספקים מכריחים את המודל להתאים את הטון, ההיקף ואת סכנת הסיכון. |
| **לולאת משוב** | מחזורי סקירה ידניים איטיים; שגיאות חוזרות בשאלונים עתידיים. | דירוג בזמן אמת, הסבריות, והכוונה gamified סוגרים את הלולאה מיידית. |

ארגז החול ממלא את הפערים האלה על‑ידי מתן **מרחב משחק סגור‑לולאה** שבו כל אלמנט – ממקורות שינוי רגולטורי ועד תגובות מבקרים – ניתן לתכנות ולצפייה.

---

## ארכיטקטורה מרכזית של ארגז החול

להלן זרימת ברמה גבוהה. התרשים משתמש בתחביר **Mermaid**, אשר Hugo ירנדר אוטומטית.

```mermaid
flowchart LR
    A["מחולל ספק סינטטי"] --> B["מנוע שאלון דינמי"]
    B --> C["מחולל תשובות AI"]
    C --> D["מודול הערכה בזמן אמת"]
    D --> E["לוח מחוונים משוב מוסבר"]
    E --> F["סנכרון גרף‑ידע"]
    F --> B
    D --> G["זיהוי סטייה במדיניות"]
    G --> H["מאגר משכי רגולציה"]
    H --> B
```

*כל תוויות הצמתים מסומנות במרכאות כדי לעמוד בדרישות Mermaid.*

### 1. מחולל ספק סינטטי  
יוצר פרסונות ספק ריאליסטיות (גודל, תעשייה, מגורש‑נתונים, רמת סיכון). התכונות נבחרות באופן אקראי מתוך הפצה קונפיגורבילית, כדי להבטיח כיסוי רחב של תרחישים.

### 2. מנוע שאלון דינמי  
מוציא את תבניות השאלונים העדכניות (**[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)**, **[ISO 27001](https://www.iso.org/standard/27001)**, **[GDPR](https://gdpr.eu/)**, וכדומה) ומזריק משתני ספק, ומפיק **מופע שאלון ייחודי** בכל הרצה.

### 3. מחולל תשובות AI  
עוטף כל LLM (OpenAI, Anthropic, או מודל שמארחים בעצמכם) עם **תבנית פרומפט** שמזינה את הקשר הספק הסינטטי, השאלון, והמאגרים המדיניותיים הנוכחיים.

### 4. מודול הערכה בזמן אמת  
מדד את התשובות בשלושה צירים:
* **דיוק צייתנות** – התאמה ללקסיקל נגד גרף‑ידע המדיניות.  
* **רלוונטיות קונטקסטואלית** – דמיון לפרופיל סיכון של הספק.  
* **קוהרנטיות נרטיבית** – עקביות בין תשובות מרובות שאלות.

### 5. לוח מחוונים משוב מוסבר  
מציג ציוני אמינות, מדגיש ראיות שלא תואמות, מציע **הצעות עריכה**. משתמשים יכולים לאשר, לדחות, או לבקש יצירת תשובה חדשה, ובכך ליצור לולאת שיפור מתמשכת.

### 6. סנכרון גרף‑ידע  
כל תשובה מאושרת מעשירה את גרף‑הידע הצייתני, מסגרת ראיות, סעיפי מדיניות ותכונות ספק.

### 7. זיהוי סטייה במדיניות & מאגר משכי רגולציה  
מעקב אחרי מקורות חיצוניים (לדוגמה **[NIST CSF](https://www.nist.gov/cyberframework)**, ENISA, ו‑**[DPAs](https://www.dpocentre.com/what-is-a-dpa-and-why-do-you-need-one/)**). כאשר חקיקה חדשה מתרחשת, מודיע ל**גרסה חדשה של המדיניות**, ומריץ אוטומטית את תרחישי הארגז המושפעים.

---

## בניית המופע הראשון של ארגז החול

להלן שיט לחילוץ מהיר. הפקודות מניחות פריסת Docker; אפשר להחליף ב‑Kubernetes אם רצוי.

```bash
# 1. שכפול הריפוזיטורי
git clone https://github.com/procurize/ai-compliance-sandbox.git
cd ai-compliance-sandbox

# 2. הרצת שירותי ליבה (מתווך API LLM, DB גרף, מודול הערכה)
docker compose up -d

# 3. טעינת מדיניות בסיסית (SOC2, ISO27001, GDPR)
./scripts/load-policies.sh policies/soc2.yaml policies/iso27001.yaml policies/gdpr.yaml

# 4. יצירת ספק סינטטי (Retail SaaS, מגורש‑נתונים EU)
curl -X POST http://localhost:8080/api/vendor \
     -H "Content-Type: application/json" \
     -d '{"industry":"Retail SaaS","region":"EU","risk_tier":"Medium"}' \
     -o vendor.json

# 5. יצירת מופע שאלון עבור ספק זה
curl -X POST http://localhost:8080/api/questionnaire \
     -H "Content-Type: application/json" \
     -d @vendor.json \
     -o questionnaire.json

# 6. הרצת מחולל תשובות AI
curl -X POST http://localhost:8080/api/generate \
     -H "Content-Type: application/json" \
     -d @questionnaire.json \
     -o answers.json

# 7. הערכה וקבלת משוב
curl -X POST http://localhost:8080/api/evaluate \
     -H "Content-Type: application/json" \
     -d @answers.json \
     -o evaluation.json
```

כאשר נפתח `http://localhost:8080/dashboard`, תראה **חום‑מפת בזמן אמת** של סיכון צייתנות, **מחוון אמינות**, ו‑**פאנל הסבר** שמצביע בדיוק על סעיף המדיניות שגרם לציון נמוך.

---

## אימון gamified: הפיכת הלמידה לתחרות

אחת הפונקציות האהובות ביותר בארגז היא **לוח המובילים של ההכשרה**. הצוותים מרוויחים נקודות על:

* **מהירות** – מענה על שאלון שלם בתוך זמן המוצע.  
* **דיוק** – ציוני צייתנות גבוהים (> 90 %).  
* **שיפור** – צמיחה בהפחתת סטייה בריצות חוזרות.

ה‑leaderboard מעודד תחרות בריאה, דוחף צוותים לחדד פרומפטים, להעשיר ראיות מדיניות ולאמץ שיטות מיטביות. בנוסף, המערכת מציגה **דפוסי כשל משותפים** (לדוגמה “חסר ראיית הצפנה‑ב‑מנוחה”) ומציעה מודולי אימון ממוקדים.

---

## תועלות מציאותיות: מספרים ממקבלים מוקדמים

| מדד | לפני ארגז החול | אחרי אימוץ של 90 יום |
|-----|----------------|----------------------|
| זמן ממוצע להשלמת שאלון | 7 ימים | 2 ימים |
| משאבי סקירה ידנית (שעת‑אדם) | 18 שעה לכל שאלון | 4 שעה לכל שאלון |
| נכונות תשובה (ציון סקירת עמיתים) | 78 % | 94 % |
| זמן גילוי סטייה במדיניות | 2 שבועות | < 24 שעה |

הארגז לא רק מקצץ את זמן‑התגובה, אלא בונה **מאגר ראיות חי** שמסתגל עם הארגון.

---

## הרחבת הארגז: ארכיטקטורת תוספים

הפלטפורמה בנויה על מודל **מיקרו‑שירות “תוסף”**, מה שמקל על הרחבה:

| תוסף | דוגמת מקרה שימוש |
|------|-------------------|
| **מעטפת LLM מותאמת** | החלפת המודל המוגדר כברירת‑מחדל במודל מותאם לתחום. |
| **מתאם משכי רגולציה** | משיכת עדכוני DPA אירופיים דרך RSS, מיפוי אוטומטי לעדכוני מדיניות. |
| **בוט יצירת ראיות** | אינטגרציה עם Document AI לחילוץ אוטומטי של תעודות הצפנה ממסמכי PDF. |
| **API ביקורת צד‑שלישי** | שליחת תשובות בעלות אמון נמוך למבקרים חיצוניים לאימות נוסף. |

מפתחים יכולים לפרסם תוספים משלהם ל**Marketplace** בתוך הארגז, ולעודד קהילה של מהנדסי צייתנות לשתף רכיבים חוזרים.

---

## שיקולי אבטחה ופרטיות

אף שהארגז פועל על נתונים סינתטיים, פריסות ייצור כוללות לעיתים מסמכי מדיניות אמיתיים ולעיתים ראיות סודיות. הנה הנחיות הקשיחה:

1. **רשת Zero‑Trust** – כל השירותים מתקשרים דרך mTLS; גישה נשלטת באמצעות תחומי OAuth 2.0.  
2. **הצפנת נתונים** – אחסון מוצפן ב‑AES‑256; תעבורת נתונים מוגנת ב‑TLS 1.3.  
3. **יומנים ניתנים לבחינה** – כל אירוע יצירת/הערכת תשובה נרשם באופן בלתי‑מתקיימל בעץ‑מרקל, שמאפשר מעקב פורנזי.  
4. **מדיניות פרטיות שמרנית** – בזמן גריסת ראיות אמיתיות, המערכת מאפשרת **פרטיות דיפרנציאלית** על גרף‑הידע כדי למנוע לחשוף שדות רגישים.

---

## מפת דרכים עתידית: מארגז חול למנוע צייתנות אוטונומי

| רבעון | אבני דרך |
|-------|-----------|
| Q1 2026 | **מטבץ פרומפטים לומד עצמי** – לולאות חיזוק לשיפור פרומפטים אוטומטית על בסיס ציוני הערכה. |
| Q2 2026 | **למידה פדרטיבית בין‑ארגונים** – חברות חולקות עדכוני מודלים אנונימיים לשיפור יצירת תשובות ללא חשיפת מידע קנייני. |
| Q3 2026 | **אינטגרציית רדאר רגולטורי בזמן אמת** – התראות חיות מזרימות ישירות לארגז, ומפעילות סימולציות תיקון מדיניות באופן אוטומטי. |
| Q4 2026 | **CI/CD שלם לצייתנות** – שילוב ריצות ארגז כחלק מצינוריות GitOps; גרסת שאלון חדשה חייבת לעבור את הארגז לפני מיזוג. |

שדרוגים אלו יהפכו את הארגז ממשטח אימון ל**מנוע צייתנות אוטונומי** שממשיך להתאים את עצמו למרחב הרגולטורי המשתנה ללא הפסקה.

---

## איך להתחיל עוד היום

1. **בקרו במאגר הקוד הפתוח** – <https://github.com/procurize/ai-compliance-sandbox>.  
2. **פרסו מופע מקומי** באמצעות Docker Compose (ראו סקריפט ההפעלה המהירה).  
3. **הזמינו את צוותי האבטחה והמוצר** לבצע "אתגר ראשון".  
4. **חזרו על הפעולה** – שפרו פרומפטים, העשירו ראיות, צפו בלוח המובילים מטפס.

על‑ידי הפיכת תהליך שאלוני האבטחה המייגע לחוויה אינטראקטיבית, מונעת‑נתונים, ארגז חול אינטראקטיבי לצייתנות AI מאפשר לארגונים *להגיב מהר יותר, לענות בצורה מדויקת יותר, ולהישאר לפני שינויי הרגולציה*.