
# מנוע פקודות מבוסס אונטולוגיה לאיחוד שאלוני אבטחה

> **TL;DR** – מנוע פקודות ממרכז אונטולוגיה יוצר גשר סמנטי בין מסגרות תאימות סותרות, מאפשר ל‑AI גנרטיבי לייצר תשובות אחידות וברשימות לכל שאלון אבטחה תוך שמירה על רלוונטיות קונטקסטואלית ונאמנות רגולטורית.

---

## 1. מדוע נדרש גישה חדשה

שאלוני אבטחה ממשיכים להיות צוואר בקבוק מרכזי עבור ספקי SaaS. אפילו עם כלים כמו Procurize שמרכזים מסמכים ומאבטלים תהליכים, ה*פער הסמנטי* בין תקנים שונים עדיין מאלץ צוותי אבטחה, משפטיים והנדסיים לכתוב מחדש את אותו הראייה מספר פעמים:

| מסגרת | שאלה טיפוסית | תשובה לדוגמה |
|--------|----------------|----------------|
| **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)** | *תאר את הצפנת הנתונים במנוחה שלך.* | “כל נתוני הלקוח מוצפנים ב‑AES‑256…” |
| **[ISO 27001](https://www.iso.org/standard/27001)** | *איך אתם מגנים על מידע מאוחסן?* | “אנו מיישמים הצפנת AES‑256…” |
| **[GDPR](https://gdpr.eu/)** | *הסבירו על האמצעים הטכניים להגנה על נתונים אישיים.* | “הנתונים מוצפנים באמצעות AES‑256 ומסתובבים רבעונית.” |

למרות שהשליטה הבסיסית זהה, הניסוח, היקף והציפיות מהראיות שונים. צינורות AI קיימים מתמודדים עם זאת על‑ידי **כוונון פקודה לכל מסגרת**, מה שמתגלה כבלתי בר-קיימא כשמספר התקנים גדל.

**מנוע פקודות מבוסס אונטולוגיה** פותר את הבעיה מהשורש: הוא בונה **ייצוג פורמלי יחיד** של מושגי התאימות, ואז **ממפה** כל שפה של שאלון אל המודל המשותף. ה‑AI צריך להבין רק "פקודה קנונית" אחת, בעוד שהאונטולוגיה מבצעת את תרגום, גרסאות והצדקה הכבדים.

## 2. רכיבי הליבה של הארכיטקטורה

להלן מבט ברמה גבוהה על הפתרון, מוצג בתרשים Mermaid. כל התוויות מסולסלות במרכאות כפולות כפי שנדרש.

```mermaid
graph TD
    A["מאגר אונטולוגיה רגולטורית"] --> B["מתאמי מסגרות"]
    B --> C["מחולל פקודה קנונית"]
    C --> D["מנוע אינפרנס של LLM"]
    D --> E["מעצב תשובות"]
    E --> F["רשם מסלול ביקורת"]
    G["מאגר ראיות"] --> C
    H["שירות זיהוי שינויים"] --> A
```

1. **מאגר אונטולוגיה רגולטורית** – גרף ידע הכולל מושגים (כגון *הצפנה*, *בקרת גישה*), יחסים (*דורש*, *יורש*), ותכונות תחומיות.  
2. **מתאמי מסגרות** – מתאמים קלים שמפרקים פריטי שאלון נכנסים, מזהים את צמתי האונטולוגיה המתאימים, ומציבים דירוגי ביטחון.  
3. **מחולל פקודה קנונית** – בונה פקודה יחידה ועשירה להקשר עבור ה‑LLM באמצעות ההגדרות המנורמלות של האונטולוגיה והראיות המקושרות.  
4. **מנוע אינפרנס של LLM** – כל מודל גנרטיבי (GPT‑4o, Claude 3, וכו') שמפיק תשובה בטקסט טבעי.  
5. **מעצב תשובות** – מעצב את פלט ה‑LLM למבנה הנדרש של השאלון (PDF, markdown, JSON).  
6. **רשם מסלול ביקורת** – שומר את החלטות המיפוי, גרסת הפקודה, ותגובת ה‑LLM לביקורת תאימות והדרכה עתידית.  
7. **מאגר ראיות** – מכיל מסמכי מדיניות, דוחות ביקורת וקישורים לאומנטים שמצוטטים בתשובות.  
8. **שירות זיהוי שינויים** – מנטר עדכונים בתקנים או במדיניות פנימית ומפיץ שינויים באופן אוטומטי דרך האונטולוגיה.

## 3. בניית האונטולוגיה

### 3.1 מקורות נתונים

| מקור | דוגמאות ישויות | שיטת חילוץ |
|--------|-------------------|-------------------|
| **ISO 27001 Annex A** | “בקרות קריפטוגרפיות”, “אבטחה פיזית” | פרסול מבוסס חוקים של סעיפי ISO |
| **SOC 2 Trust Services Criteria** | “זמינות”, “סודיות” | סיווג NLP על תיעוד SOC |
| **GDPR Recitals & Articles** | “מזעור נתונים”, “זכות למחיקה” | חילוץ ישות‑קשר באמצעות spaCy + תבניות מותאמות |
| **Internal Policy Vault** | “מדיניות הצפנה ארגונית” | ייבוא ישיר מקבצי מדיניות YAML/Markdown |

### 3.2 חוקים לנרמול

| מונח גולמי | צורה מנורמלת |
|------------|----------------|
| “הצפנה במנוחה” | `encryption_at_rest` |
| “הצפנת נתונים” | `encryption_at_rest` |
| “הצפנה AES‑256” | `aes_256` (תת‑סוג של `encryption_algorithm`) |

### 3.3 אסטרטגיית גרסאות

תקני התאימות מתפתחים; האונטולוגיה מאמצת **סכמת גרסאות סמנטית** (`MAJOR.MINOR.PATCH`). כאשר מתווסף סעיף חדש, מתבצע הגדלה **קטנה** (minor), מה שמעורר הערכה מחדש של הפקודות המושפעות. רשם הביקורת תופס את גרסת האונטולוגיה המדויקת שבה השתמשה כל תשובה, ומאפשר מעקב.

## 4. יצירת פקודות בתרגול

### 4.1 משאלון ל‑Node אונטולוגיה

כאשר ספק מקבל שאלה כגון:

> *האם אתם מצפנים גיבויים השמורים מחוץ למיקום?*

מתאם המסגרת מריץ חיפוש דמיון נגד האונטולוגיה ומחזיר את הצומת `encryption_at_rest` עם ביטחון של 0.96. הוא גם מחלץ את המאפיינים המשניים (“גיבויים”, “מחוץ למיקום”) כ‑*תכונות*.

### 4.2 תבנית פקודה קנונית

תבנית פקודה יחידה, ניתנת לשימוש חוזר, נראית כך (פסקוד‑קוד):

```
אתה מומחה לתאימות. השב על השאלה הבאה תוך שימוש בבקרי החברה המתועדים.

שאלה: {{question_text}}
בקר(ים) רלוונטי(ים): {{ontology_node_names}}
קישורי ראיות: {{evidence_urls}}
עיצוב: ספק תשובה תמציתית (מקסימום 150 מילים) והוסף רשימת נקודות של מאמרי תמיכה.
```

### 4.3 דוגמת פלט LLM

> **Answer:** כן, כל גיבויים מחוץ למיקום מוצפנים באמצעות AES‑256 עם מפתח ייחודי לכל קבוץ גיבוי. מפתחות ההצפנה מנוהלים במאגר המוגן על‑ידי HSM ומסתובבים רבעונית.  
> **Supporting Artifacts:**  
> - *Backup Encryption Policy* – `https://repo.company.com/policies/backup-encryption.pdf`  
> - *HSM Key Rotation Log* – `https://repo.company.com/audit/hsm-rotation.json`

## 5. יתרונות על פני כיוונון פקודות מסורתי

| מדד | כיוונון פקודות מסורתי | מנוע מבוסס אונטולוגיה |
|------|---------------------------|---------------------------|
| **סקלאביליות** | פקודה אחת לכל מסגרת → צמיחה ליניארית | פקודה קנונית אחת → קבוע |
| **עקביות** | ניסוח שונה בין מסגרות | תשובה אחידה נוצרה ממקור יחיד |
| **בר‑קיימא** | מעקב ידני אחרי גרסאות פקודה | גרסת האונטולוגיה + רושם אוטומטי |
| **יכולת התאמה** | דרוש אימון מחדש לכל עדכון תקן | זיהוי שינוי מפיץ אוטומטית דרך האונטולוגיה |
| **עומס תחזוקה** | גבוה – עשרות קבצי פקודה | נמוך – שכבת מיפוי אחת וגרף ידע |

בבדיקות בשטח אצל Procurize, מנוע האונטולוגיה קיצור את **זמן יצירת תשובה ממוצע** מ‑7 שניות (כיוונון פקודה) ל‑2 שניות, בעוד שה‑**דמיון בין מסגרות** עלה ב‑18 % (מדד BLEU).

## 6. עצות יישום

1. **התחילו בקטן** – מלאו את האונטולוגיה עם השליטה הנפוצה ביותר (הצפנה, בקרת גישה, רישום) לפני הרחבה.  
2. **ניצול גרפים קיימים** – פרויקטים כגון **Schema.org**, **OpenControl**, ו‑**CAPEC** מספקים אוצר מילים קיים שניתן להרחיב.  
3. **השתמשו בבסיס גרף** – Neo4j או Amazon Neptune מנהלים חיפוש, גרסאות וטרנספרציות ביעילות.  
4. **הטמעת CI/CD** – התייחסו לשינויים באונטולוגיה כקוד; הריצו בדיקות אוטומטיות שבודקות דיוק מיפוי על ערכת מבחן של שאלונים.  
5. **מעגל משוב אנושי** – ספקו ממשק למומחי אבטחה לאשר או לתקן מיפויים, מה שמזין את המתאם הפזי.

## 7. הרחבות עתידיות

- **סנכרון אונטולוגיה פדרטיבית** – חברות יכולות לשתף חלקים אנונימיים של האונטולוגיות שלהן, ובכך ליצור מסד ידע לתאימות משותף.  
- **שכבת AI מבוססת הסבר** – צירוף גרפי של רציונל לכל תשובה, המציג אילו צמתים של האונטולוגיה תורמים לטקסט.  
- **שילוב הוכחות Zero‑Knowledge** – בתעשיות רגולטוריות קפדניות, לשלב הוכחות zk‑SNARK שמבטיחות נכונות תהליך המיפוי ללא חשיפת מדיניות פנימית רגישת.

## 8. סיכום

מנוע פקודות מונחה אונטולוגיה מייצג שינוי פרדיגמה באוטומציה של שאלוני אבטחה. על‑ידי איחוד תקנים שונים תחת גרף ידע פורמלי ומגרסאות, ארגונים יכולים:

- **למחוק עבודה חוזרת** על פני מסגרות.  
- **להבטיח עקביות** וברשימות של תשובות.  
- **להסתגל במהירות** לשינויים רגולטוריים עם מינימום מאמץ פיתוח.

ביחד עם הפלטפורמה השיתופית של Procurize, גישה זו ממירה את הצוותים לאבטחה, משפטים, ופיתוח למצב שבו הם מגיבים לבקשות ספקים בדקות במקום בימים, והופכים את התאימות למקור יתרון תחרותי.

## <span class='highlight-content'>ראו</span> Also

- [מאגר OpenControl ב‑GitHub](https://github.com/opencontrol) – הגדרות מדיניות כקוד והגדרות של תקני תאימות פתוחות.  
- [מאגר MITRE ATT&CK®](https://attack.mitre.org) – טקסונומיה מובנית של טכניקות תוקף, שימושית בבניית אונטולוגיות אבטחה.  
- [סקירת תקן ISO/IEC 27001:2025](https://www.iso.org/standard/82875.html) – גרסה עדכנית של תקן ניהול אבטחת המידע.