
# לוח מחווני מקור ראיות מבוסס מרמיד אינטראקטיבי לבקרות שאלון בזמן אמת

## מבוא  

שאלוני אבטחה, ביקורות תואמות והערכת סיכון ספקים היו בעבר צוואר בקבוק לחברות SaaS בטוחות קצב. בעוד ש‑AI יכול לנסח תשובות בשניות, מבקרים ובודקי פנים עדיין שואלים: *“מאין מגיעה התשובה הזו? האם השתנתה מאז הביקורת הקודמת?”* התשובה היא **מקור ראיות** — היכולת לעקוב אחרי כל תשובה אל המקור, הגרסה, ונתיב האישור שלה.

חבילת הפיצ׳רים מהדור הבא של Procurize מציגה **לוח מחוונים מרמיד אינטראקטיבי** שממחיש מקור ראיות בזמן אמת. הלוח מופעל על‑ידי **Dynamic Compliance Knowledge Graph (DCKG)**, שמסונכרן בעקביות עם מאגרי מדיניות, מאגרי מסמכים, וקולי תואמות חיצוניים. על‑ידי הצגת הגרף בתור תרשים מרמיד אינטואיטיבי, צוותי האבטחה יכולים:

* **לנווט** בשרשרת המקור של כל תשובה בלחיצה.
* **לאמת** את עדכניות הראיות באמצעות התראות אוטומטיות על סטיית מדיניות.
* **לייצא** מצבי צילום מוכנים לביקורת שמשלבים את הוויזואליזציה בתכני התאום.

הקטעים הבאים מפרקים את הארכיטקטורה, מודל מרמיד, תבניות אינטגרציה, וצעדי ההטמעה הטובים ביותר.

---

## 1. למה מקור ראיות חשוב בשאלונים אוטומטיים  

| נקודת כאב | פתרון מסורתי | סיכון משאיר |
|------------|--------------------|---------------|
| **יישנות תשובה** | הערות “עודכן אחרון” ידניות | שינויי מדיניות שלא נלכדו |
| **מקור בלתי ברור** | הערות שוליים בטקסט | מבקרים לא יכולים לאמת |
| **כאוס של גרסאות** | מאגרים נפרדים ב‑Git למסמכים | תמונות מצב לא עקביות |
| **עומס שיתופי** | שרשורי אימייל על אישורים | אבדן אישורים, עבודה כפולה |

מקור ראיות מגן על הפערים הללו על‑ידי **קישור כל תשובה שנוצרה ב‑AI לצומת ראייה ייחודית** בגרף שמקליט:

* **מסמך מקור** (קובץ מדיניות, אישור צד שלישי, ראיות בקרה)  
* **Hash גרסה** (טביעת אצבע קריפטוגרפית המבטיחה אי‑שינוי)  
* **בעלים / מאשר** (זהות אדם או בוט)  
* **חתימת זמן** (זמן UTC אוטומטי)  
* **דגל סטיית מדיניות** (נוצר אוטומטית על‑ידי מנוע הסטייה בזמן אמת)

כאשר מבקר לוחץ על תשובה בלוח, המערכת מיד מרחיבה את הצומת ומציגה את כל המטא‑דאטה למעלה.

---

## 2. ארכיטקטורה מרכזית  

להלן דיאגרמת מרמיד ברמת גבוה של צינור המקור. הדיאגרמה משתמשת **בתוויות צומת ממורכבות במירכאות** כנדרש במפרט.

```mermaid
graph TD
    subgraph AI Engine
        A["LLM Answer Generator"]
        B["Prompt Manager"]
    end
    subgraph Knowledge Graph
        KG["Dynamic Compliance KG"]
        V["Evidence Version Store"]
        D["Drift Detection Service"]
    end
    subgraph UI Layer
        UI["Interactive Mermaid Dashboard"]
        C["Audit Export Service"]
    end
    subgraph Integrations
        R["Policy Repo (Git)"]
        S["Document Store (S3)"]
        M["External Compliance Feed"]
    end

    B --> A
    A --> KG
    KG --> V
    V --> D
    D --> KG
    KG --> UI
    UI --> C
    R --> V
    S --> V
    M --> KG
```

**זרימות מפתח**

1. **Prompt Manager** בוחר פקודת קונטקסט מודעת שמפנה לצמתים רלוונטיים ב‑KG.  
2. **LLM Answer Generator** מייצר תשובה טיוטה.  
3. התשובה **נצברת** ב‑KG כצומת תשובה חדשה עם קשתות לצמתי ראייה תומכים.  
4. **Evidence Version Store** כותב hash קריפטוגרפי של כל מסמך מקור.  
5. **Drift Detection Service** משווה באופן רציף בין ה‑hashים לשניים של מדיניות חיה; כל אי‑התאמה מסמנת את תשובה לבחינה מחדש.  
6. **לוח המחוונים האינטראקטיבי** קורא ל‑KG דרך קצה GraphQL, ומייצר קוד מרמיד בזמן ריצה.  
7. **Audit Export Service** אוגר את ה‑SVG של מרמיד, JSON מקור, וטקסט תשובה בחבילה PDF אחת.

---

## 3. בניית לוח המחוונים במרמיד  

### 3.1 טרנספורמציית נתונים → דיאגרמה  

שכבת UI שולחת בקשת GraphQL ל‑KG עבור מזהה שאלון ספציפי. התגובה כוללת מבנה מקונן:

```json
{
  "questionId": "Q-101",
  "answer": "We encrypt data at rest using AES‑256.",
  "evidence": [
    {
      "docId": "policy-iso27001",
      "versionHash": "0x9f2c...",
      "approvedBy": "alice@example.com",
      "timestamp": "2025-11-20T14:32:00Z",
      "drift": false
    },
    {
      "docId": "cloud‑kbs‑report",
      "versionHash": "0x4c1a...",
      "approvedBy": "bob@example.com",
      "timestamp": "2025-09-05T09:10:00Z",
      "drift": true
    }
  ]
}
```

**רינדור צד‑לקוח** ממיר כל ערך ראייה לתת‑גרף מרמיד:

```mermaid
graph LR
    A["Answer Q‑101"] --> E1["policy‑iso27001"]
    A --> E2["cloud‑kbs‑report"]
    E1 -->|hash: 0x9f2c| H1["Hash"]
    E2 -->|hash: 0x4c1a| H2["Hash"]
    E2 -->|drift| D["⚠️ Drift Detected"]
```

ה‑UI מוסיפה אינדיקטורים חזותיים:

* **צומת ירוק** – ראייה עדכנית.  
* **צומת אדום** – זוהתה סטייה.  
* **אייקון מנעול** – hash קריפטוגרפי מאומת.

> **הערה:** ההתייחסות ל‑*policy‑iso27001* תואמת לתקן ISO 27001 — עבור פרטים רשמיים ראו את האתר: [ISO 27001](https://www.iso.org/standard/27001).

### 3.2 תכונות אינטראקטיביות  

| תכונה | אינטראקציה | תוצאה |
|---------|--------------|---------|
| **לחיצה על צומת** | לחיצה על כל צומת ראייה | פתיחת מודאל עם תצוגה של המסמך המקורי, הבדלי גרסאות, והערות אישור |
| **החלפת תצוגת סטייה** | מתג בסרגל הכלים | מדגיש רק צמתים עם `drift = true` |
| **ייצוא רגע** | לחיצה על כפתור “Export” | מייצר קובץ SVG + JSON של המקור עבור מבקרים |
| **חיפוש** | הקלדת מזהה מסמך או אימייל בעלים | ממקם אוטומטית את תת‑גרף המתאים |

כל האינטראקציות מתבצעות **בצד הלקוח**, ללא קריאות רשת נוספות. קוד מרמיד המקורי נשמר ב‑`<textarea>` מוסתר לשם העתקה קלה.

---

## 4. אינטגרציה של מקור ראיות בתהליכים קיימים  

### 4.1 שער CI/CD לתואמות  

הוסיפו שלב ב‑pipeline שמ **מכשל את הביל্ড** אם עדיין קיימת צומת עם דגל סטייה שלא נפתרה. דוגמת GitHub Action:

```yaml
name: Evidence Provenance Gate
on: [pull_request]
jobs:
  provenance-check:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3
      - name: Run Drift Scanner
        run: |
          curl -s https://api.procurize.io/drift?pr=${{ github.event.pull_request.number }} \
          | jq '.drifted | length > 0' && exit 1 || exit 0
```

### 4.2 התראות ב‑Slack / Teams  

הגדרו את **Drift Detection Service** לדחוף קטע מרמיד קצר לערוץ. הבוטים בתקשורת תומכים ברינדור, כך שהצוות רואה את הסטייה מייד.

### 4.3 אוטומציה לביקורת משפטית  

צוותי המשפט יכולים להוסיף קשת **“Legal Sign‑Off”** לצמתי ראייה. הלוח מציג אייקון מנעול על הצומת, המציין שעבר בדיקת משפטית.

---

## 5. שיקולי אבטחה ופרטיות  

| חשש | מיתון |
|---------|------------|
| **חשיפת מסמכים רגישים** | שמירת המסמכים הגולמיים בדלי S3 מוצפן; הלוח מציג רק מטא‑דאטה ו‑hash. |
| **שיבוש נתוני מקור** | שימוש ב‑חתימות בסגנון **EIP‑712** לכל טרנסאקציה בגרף; כל שינוי מבטל את ה‑hash. |
| **מקום מגורים של נתונים** | פריסת KG ומאגר הראיות באותו אזור גאוגרפי כמו הנתונים התואמים (EU, US‑East, וכו’). |
| **בקרת גישה** | ניצול מודל RBAC של Procurize: רק משתמשים עם `provenance:read` רואים את הלוח; `provenance:edit` נדרש לאישורים. |

---

## 6. השפעה מעשית: מקרה חוקר  

**חברה:** SecureFinTech Ltd.  
**תרחיש:** ביקורת רבעונית **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)** דרשה ראיות עבור 182 בקרות הצפנה.  
**לפני הלוח:** איסוף ידני לקח 12 יום; מבקרים שאלו על עדכניות הראיות.  
**לאחר הלוח:**  

| מדד | לפני הלוח | אחרי הלוח |
|--------|----------|----------------|
| זמן ממוצע למענה לשאלה | 4.2 שעה | **1.1 שעה** |
| עבודת תיקון עקב סטייה | 28 % מהתשובות | **3 %** |
| ציון שביעות רצון מבקרים (1‑5) | 2.8 | **4.7** |
| זמן לייצוא חבילת ביקורת | 6 שעה | **45 דקה** |

הוויזואליזציה של המקור קצצה את זמן ההכנה של הביקורת ב‑**70 %**, וההתראות האוטומטיות על סטייה חסכו כ‑160 שעת‑אדם בשנה.

---

## 7. מדריך יישום שלב‑אחר‑שלב  

1. **הפעלת סינכרון גרף ידע** – קישור מאגרי מדיניות Git, מאגרי מסמכים, וקולי תואמות חיצוניים בממשק Procurize.  
2. **הפעלת שירות מקור ראיות** – הפעלת “Evidence Versioning & Drift Detection” בלוח הבקרה.  
3. **הגדרת לוח מרמיד** – הוסיפו `dashboard.provenance.enabled = true` לקובץ `procurize.yaml`.  
4. **תכנון זרימות אישור** – השתמשו ב‑“Workflow Builder” כדי לצרף שלבי “Legal Sign‑Off” ו‑“Security Owner” לכל צומת ראייה.  
5. **הדרכת צוותים** – ערכו דמו של 30 דקה שמסביר לחיצה על צומת, טיפול ב‑drift, וייצוא.  
6. ** הטמעה בפורטל מבקרים** – השתמשו במקטע IFrame הבא כדי לשלב את הלוח בפורטל חיצוני:

```html
<iframe src="https://dashboard.procurize.io/q/2025-Q101"
        width="100%" height="800"
        style="border:none;"></iframe>
```

7. **מעקב אחרי מדדים** – עקבו אחרי “Drift Events”, “Export Count”, ו‑“Avg. Answer Time” בלוח האנליטיקה של Procurize כדי למדוד ROI.

---

## 8. חידושים עתידיים  

| פריט מפת דרכים | תיאור |
|--------------|-------------|
| **חיזוי סטייה מבוסס AI** | ניתוח מגמות שינוי מדיניות על‑ידי מודל LLM לצורך חיזוי סטייה לפני שהיא מתרחשת. |
| **שיתוף מקור ראיות בין‑שוכרים** | מצב KG פדרטיבי המאפשר לחברות שותפות לצפות בראיות משותפות בלי לחשוף את המסמכים הגולמיים. |
| **ניווט קולי** | אינטגרציה עם Assistant קולי של Procurize כדי לאפשר למבקרים לשאול “הצג לי את מקור תשובה 34”. |
| **שיתוף פעולה חי** | עריכה מרובה משתמשים בזמן אמת של צמתי ראייה, עם אינדיקטורים של נוכחות המוצגים ישירות במרמיד. |

---

## 9. סיכום  

**לוח המחוונים המבוסס מרמיד למקורות ראיות** של Procurize משנה את העולם האפל של אוטומציית שאלוני אבטחה לשקוף, ניתן לביקורת ובשיתוף פעולה. על‑ידי חיבור תשובות שנוצרו ב‑AI לגרף ידע תואם בזמן אמת, ארגונים משיגים **ראות מיידית של השרשרת**, **הפחתת סטייה אוטומטית**, ו**חומרי ביקורת מוכנים** — ללא פגיעה במהירות. 

הטמעת שכבה ויזואלית של מקור ראיות לא רק מקצרת את מחזורי הביקורת אלא גם בונה אמון אצל רגולטורים, שותפים ולקוחות שהטענות האבטחה שלכם **מתומכות בראיות בלתי ניתנות לערעור בזמן אמת**.