
# תזמור צייתנות חזוי עם AI – חיזוי פערי שאלונים לפני שהם מגיעים

בעולם המהיר של SaaS, שאלוני אבטחה הפכו לשומר השער העיקרי בכל מחזור מכירות, הערכת סיכון ספק, ובדיקה רגולטורית. אוטומציה מסורתית מתמקדת ב**שליפה** של התשובה הנכונה ממאגר ידע כאשר נשאלת שאלה. בעוד שמודל “התגובותי” הזה חוסך זמן, הוא עדיין משאיר שני כאבים קריטיים:

1. **נקודות עיוורות** – תשובות עלולות להיות חסרות, מיושנות או בלתי שלמות, מה שמכריח צוותים להיסחף אחר הוכחות ברגע האחרון.  
2. **מאמץ תגובה** – צוותים מגיבים *לאחר* קבלת שאלון, במקום להתכונן מראש.

מה אם פלטפורמת הצייתנות שלכם תוכל **לחזות** את הפערים *לפני* שהשאלון יפול בתיבת הדואר? זו ההבטחה של **תזמור צייתנות חזוי** — זרם עבודה מונע‑AI שמנטר באופן מתמשך מדיניות, מאגרי הוכחות, ואותות סיכון, ואז מייצר או מרענן את היצירות הדרושות באופן פרואקטיבי.

במאמר זה נעסוק ב:

* פירוק המרכיבים הטכניים של מערכת חזוי.  
* הצגת האינטגרציה עם פלטפורמה קיימת כמו **Procurize**.  
* הדגמת ההשפעה העסקית בעזרת מדדים מהעולם האמיתי.  
* מתן מדריך יישום צעד‑אחר‑צעד לצוותי פיתוח.

---

## 1. למה חיזוי מנצח שליפה

| היבט | שליפה תגובתית | תזמור חזוי |
|------|----------------|--------------|
| **תזמון** | תשובה נוצרה **לאחר** קבלת הבקשה. | הוכחה מוכנה **לפני** הבקשה. |
| **סיכון** | גבוה – נתונים חסרים או מיושנים עלולים לגרום לכשל בצייתנות. | נמוך – אימות מתמשך תופס פערים מוקדם. |
| **מאמץ** | תניות במצב מרוץ לכל שאלון. | מאמץ קבוע, אוטומטי שמפוזר לאורך זמן. |
| **אמון בעלי עניין** | מעורב – תיקונים ברגע האחרון פוגעים באמון. | גבוה – תיעוד, מסלול ניתן לביקורת של פעולות פרואקטיביות. |

המעבר מ*מתי* יש לכם תשובה ל*כמה מוקדם* יש לכם תשובה הוא יתרון תחרותי ליבה. על‑ידי חיזוי ההסתברות ששלטון מסוים יתבקש ב‑30 היום הקרובים, הפלטפורמה יכולה למלא מראש את התשובה, לצרף את ההוכחה העדכנית ביותר, ואפילו לסמן צורך בעדכון.

---

## 2. רכיבי הארכיטקטורה המרכזיים

התרשים הבא מציג את המנוע לתזמור צייתנות חזוי. התרשים נוצר ב‑Mermaid, הבחירה המועדפת על‑פני GoAT.

```mermaid
graph TD
    A["מאגר מדיניות והוכחות"] --> B["גלאי שינוי (מנוע diff)"]
    B --> C["מודל סיכון סדרת‑זמן"]
    C --> D["מנוע תחזית פערים"]
    D --> E["מחולל הוכחות פרואקטיבי"]
    E --> F["שכבת תזמור (Procurize)"]
    F --> G["לוח מחוונים לצייתנות"]
    H["אותות חיצוניים"] --> C
    I["לולאת משוב משתמש"] --> D
```

* **מאגר מדיניות והוכחות** – מאגר מרוכז (git, S3, DB) המכיל מדיניות **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)**, **[ISO 27001](https://www.iso.org/standard/27001)**, **[GDPR](https://gdpr.eu/)**, ואת היצירות התומכות (צילומי מסך, יומנים, תעודות).  
* **גלאי שינוי (מנוע diff)** – מנוע diff רציף שמתריע על כל שינוי במדיניות או בהוכחה.  
* **מודל סיכון סדרת‑זמן** – מאומן על נתוני שאלונים היסטוריים, הוא חוזה את הסבירות שכל שליטה תתבקש בקרוב.  
* **מנוע תחזית פערים** – משלב ציוני סיכון עם אותות שינוי כדי לזהות שלטים “ב‑סיכון” שחסרות להם הוכחות טריות.  
* **מחולל הוכחות פרואקטיבי** – משתמש ב‑RAG (Retrieval‑Augmented Generation) לכתיבת נרטיבים הוכחתיים, לצרף קבצים מווריאנטים, ולאחסן חזרה במאגר ההוכחות.  
* **שכבת תזמור (Procurize)** – מציגה את התוכן שנוצר דרך ה‑API של Procurize, כך שניתן לבחור אותו מיידית עם קבלת שאלון.  
* **לוח מחוונים לצייתנות** – מציג מדדים בזמן אמת ומאפשר ניתוח של ביצועי הצייתנות.  
* **אותות חיצוניים** – משובים מאינטליגנציה אי‑שגרה, עדכונים רגולטוריים, ומגמות ביקורת תעשייתיות שמעשירים את מודל הסיכון.  
* **לולאת משוב משתמש** – אנליסטים מאשרים או מתקנים תשובות אוטומטיות, ומשאירים משוב שמחזיר מידע לשיפור המודל.

---

## 3. יסודות הנתונים – הדלק לחיזוי

### 3.1 קורפוס שאלונים היסטוריים

נדרש מינימום של **12 חודשים** של שאלונים נענים כדי לאמן מודל איתם. כל רשומה צריכה לכלול:

* מזהה שאלה (למשל, “SOC‑2 CC6.2”)  
* קטגוריית שליטה (בקרת גישה, הצפנה, וכד’).  
* חותמת זמן של תשובה  
* גרסת ההוכחה שהשתמשו בה  
* תוצאה (אושר, נדרשה הבהרה, נדחתה)

### 3.2 היסטוריית גרסאות ההוכחה

כל יצירה חייבת להיות מבוקרת גרסאות. מטא‑נתונים בסגנון git (hash, מחבר, תאריך) מאפשרים למנוע ה‑Diff להבין *מה* השתנה ו*מתי*.

### 3.3 הקשר חיצוני

* **לוחות שנה רגולטוריים** – עדכונים של **[GDPR](https://gdpr.eu/)**, חידוש של **[ISO 27001](https://www.iso.org/standard/27001)**.  
* **התראות על פריצות תאגידיות** – תנודות ברוב ניסיונות ההתקפה עשויות להגביר את הסבירות לשאלות על תגובת אירועים.  
* **דירוגי סיכון ספק** – דירוג פנימי של צד המשאלות יכול להטות את המודל לתשובות מקיפות יותר.

---

## 4. בניית מנוע החיזוי

להלן מפת דרכים מעשית המיועדת לצוות שכבר משתמש ב‑Procurize.

### 4.1 הגדרת ניטור Diff רציף

```bash
# Example using git diff to detect evidence changes
while true; do
  git fetch origin main
  changes=$(git diff --name-only origin/main HEAD -- evidence/)
  if [[ -n "$changes" ]]; then
    curl -X POST http://orchestrator.local/diff-event \
      -H "Content-Type: application/json" \
      -d "{\"files\": \"$changes\"}"
  fi
  sleep 300  # run every 5 minutes
done
```

הסקריפט משדר webhook לשכבת התזמור בכל פעם שקבצי הוכחה משתנים.

### 4.2 אימון מודל סיכון סדרת‑זמן

```python
from prophet import Prophet
import pandas as pd

# Load historic request data
df = pd.read_csv('questionnaire_log.csv')
df['ds'] = pd.to_datetime(df['request_date'])
df['y'] = df['request_count']  # number of times a control was asked

m = Prophet(yearly_seasonality=True, weekly_seasonality=False)
m.fit(df[['ds','y']])

future = m.make_future_dataframe(periods=30)
forecast = m.predict(future)
forecast[['ds','yhat']].tail()
```

הפלט `yhat` נותן הערכת הסתברות לכל יום בחודש הקרוב.

### 4.3 לוגיקת תחזית פערים

```python
def forecast_gaps(risk_forecast, evidences):
    gaps = []
    for control, prob in risk_forecast.items():
        if prob > 0.7:  # threshold for high risk
            latest = evidences.get_latest_version(control)
            if latest.is_stale(days=30):
                gaps.append(control)
    return gaps
```

הפונקציה מחזירה רשימת שלטים שהסתברות לבקשתם גבוהה והוכחותיהם מיושנות.

### 4.4 יצירת הוכחות אוטומטית עם RAG

Procurize מציע כבר endpoint של RAG. בקשת דוגמה:

```json
POST /api/v1/rag/generate
{
  "control_id": "CC6.2",
  "evidence_context": ["latest SOC2 audit", "access logs from 2024-09"],
  "temperature": 0.2,
  "max_tokens": 500
}
```

התגובה היא קטע Markdown המוכן לשילוב בשאלון, כולל מצייני מקום לקבצים מצורפים.

### 4.5 תזמור בממשק UI של Procurize

הוסיפו לשונית חדשה בשם **“הצעות חזויות”** במעורך השאלונים. כאשר אנליסט פותח שאלון חדש, ה‑backend קורא:

```bash
GET /api/v1/predictive/suggestions?project_id=12345
```

המענה:

```json
{
  "suggestions": [
    {
      "control_id": "CC6.2",
      "generated_answer": "האימות המרובה‑גורמים (MFA) מחולל לכל החשבונות המוגנים…",
      "evidence_id": "evidence-2024-09-15-abcdef",
      "confidence": 0.92
    },
    ...
  ]
}
```

ה‑UI מדגיש תשובות בעלות רמת ביטחון גבוהה, מאפשרת למקבל לאשר, לערוך או לדחות. כל החלטה מתועדת לצורך שיפור מתמשך של המודל.

---

## 5. מדידת האפקטיביות העסקית

| מדד | לפני מנוע חיזוי | לאחר 6 חודשים |
|------|--------------------|------------------|
| זמן ממוצע למילוי שאלון | 12 ימים | **4 ימים** |
| אחוז השאלות שנענו עם הוכחות מיושנות | 28 % | **5 %** |
| שעות שעות נוספות של האנליסטים לרבעון | 160 ש | **45 ש** |
| שיעור כישלון בביקורת (פערי הוכחה) | 3.2 % | **0.4 %** |
| שביעות רצון בעלי עניין (NPS) | 42 | **71** |

הנתונים נלקחו מפיילוט מבוקר בחברת SaaS בינונית (≈ 250 עובדים). קיצור זמן הטיפול תרם לחסכון מוערך של **$280,000** בשנת הפעילות הראשונה.

---

## 6. ממשל ונתיב ניתן לביקורת

אוטומציה חזהית חייבת להישאר **שקופה**. לוג‑audit המובנה של Procurize קולט:

* גרסת המודל ששימשה לכל תשובה שנוצרה.  
* חותמת זמן של תחזית הסיכון והציון של הסיכון.  
* פעולות משוב אנושיות (אישור/דחייה, שינוי שונות).  

ניתן לייצא דוחות CSV/JSON ולצרף אותם ישירות לחבילות ביקורת, כך שמילוי דרישות “AI נגיש” של רגולטורים מתבצע בצורה חלקה.

---

## 7. תחילת העבודה – תכנית מסע של 4 שבועות

| שבוע | מטרה | תוצר |
|------|------|------|
| 1 | ייבוא נתוני שאלונים היסטוריים ומאגר הוכחות לתוך אגירת נתונים (data lake). | CSV מנורמל + מאגר הוכחות מבוסס Git. |
| 2 | הטמעת webhook ניטור diff ויישום מודל סיכון בסיסי (Prophet). | webhook רץ + מחברת תחזית סיכון (notebook). |
| 3 | בניית מנוע תחזית פערים ו‑השתלבות עם API RAG של Procurize. | endpoint `/predictive/suggestions`. |
| 4 | שיפורים בממשק UI, לולאת משוב, והפעלת פיילוט עם 2 צוותים. | לשונית “הצעות חזויות”, לוח ניתוח, משוב משתמש. |

לאחר סיום המסע, המשיכו לחדד ספי מודל, לשלב אותות חיצוניים, ולהרחיב את הכיסוי לשאלונים מרובי שפות.

---

## 8. כיווני עתיד

* **למידה פדרטיבית** – אימון מודלים על‑גבי מספר לקוחות ללא שיתוף נתוני שאלונים גולמיים, לשיפור דיוק תוך שמירה על פרטיות.  
* **הוכחות עם הוכחת‑אפס** – אפשרות להוכיח רעננות הוכחה מבלי לחשוף את המסמכים למבקרי צד שלישי.  
* **למידת חיזוק** – תתירה למערכת ללמוד מדיניות יצירת הוכחות אופטימאלית בהתבסס על תגובות לביקורות.  

הפרדיגמה החזויה משחררת תרבות צייתנות פרואקטיבית, מעבירה צוותי אבטחה ממצבות כיבוי לאסטרטגיית ניהול סיכון.