
# אוטומציה בזמן אמת של שאלונים מותאמים עם מנוע ה‑AI של Procurize

שאלוני אבטחה, הערכות סיכוני ספקים ובקרות ציות היו במשך זמן רב צוואר בקבוק לחברות טכנולוגיה. צוותים מבלים שעות אינסופיות בחיפוש אחר ראיות, כתיבה מחדש של אותן תשובות בטפסים מרובים ועד עדכון מדיניות ידנית בכל פעם שהנוף הרגולטורי משתנה. **Procurize** מתמודדת עם נקודת הכאב הזאת על‑ידי חיבור **מנוע AI אדפטיבי בזמן אמת** עם **גרף ידע סמנטי** שלומד באופן רציף מכל אינטראקציה, שינוי מדיניות ותוצאה של ביקורת.

במאמר זה נסקור:

1. הסבר על המרכיבים המרכזיים של המנוע האדפטיבי.  
2. הדגמה כיצד **לולאת הסקה מונחית מדיניות** ממירה מסמכים סטטיים לתשובות חיות.  
3. מעבר לדוגמת אינטגרציה פרקטית באמצעות REST, webhook וצינוריות CI/CD.  
4. הצגת מדדי ביצוע וחישובי ROI.  
5. דיון בכיווני פיתוח עתידיים כגון גרפים משותפים והסקה שמרתחת פרטיות.

---

## 1. עמודי תשתית ארכיטקטוניים

```mermaid
graph TD
    "User Interface" --> "Collaboration Layer"
    "Collaboration Layer" --> "Task Orchestrator"
    "Task Orchestrator" --> "Adaptive AI Engine"
    "Adaptive AI Engine" --> "Semantic Knowledge Graph"
    "Semantic Knowledge Graph" --> "Evidence Store"
    "Evidence Store" --> "Policy Registry"
    "Policy Registry" --> "Adaptive AI Engine"
    "External Integrations" --> "Task Orchestrator"
```

| עמוד | תיאור | טכנולוגיות מפתח |
|------|-------|-------------------|
| **שכבת שיתוף פעולה** | שרשורי תגובות בזמן אמת, משימות, ותצוגות מקדימות של תשובות. | WebSockets, CRDTs, GraphQL Subscriptions |
| **מתזמן משימות** | מתזמן סעיפי שאלונים, מפנה אותם למודל ה‑AI המתאים, ומפעיל הערכות מדיניות. | Temporal.io, RabbitMQ |
| **מנוע AI אדפטיבי** | מייצר תשובות, מעריך רמת בטחון, ומחליט מתי לבקש אימות אנושי. | Retrieval‑Augmented Generation (RAG), LLM משודרגים, reinforcement learning |
| **גרף ידע סמנטי** | מאחסן ישויות (בקרות, נכסים, מסמכי ראיה) וקשריהן, ומאפשר שליפה מודעת הקשר. | Neo4j + GraphQL, RDF/OWL schemas |
| **מאגר ראיות** | מאגר מרכזי לקבצים, לוגים והצהרות עם גרסאות בלתי ניתנות לשינוי. | אחסון תואם S3, DB מבוסס אירועים |
| **רישום מדיניות** | מקור קנוני של מדיניות ציות ([SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [GDPR](https://gdpr.eu/)) המוגדרת כהגבלות קריאה למכונה. | Open Policy Agent (OPA), JSON‑Logic |
| **אינטגרציות חיצוניות** | מחברים למערכות ניהול טיקט, צינוריות CI/CD ופלטפורמות אבטחה SaaS. | OpenAPI, Zapier, Azure Functions |

**לולאת המשוב** היא מה שמעניקה למנוע את היכולת האדפטיבית: בכל שינוי מדיניות, **רישום המדיניות** משדר אירוע שינוי שמועבר דרך **מתזמן המשימות**. מנוע ה‑AI משנה את דירוג הביטחון של תשובות קיימות, מסמן תשובות שמתחת לסף הביטחון ומציג אותן למבקרים לאישור או תיקון מהירים. עם הזמן, רכיב הלמידה בחיזוק מאמץ את תבניות התיקון, ובכך מעלה את הביטחון עבור שאלות עתידיות דומות.

---

## 2. לולאת הסקה מונחית מדיניות

הלולאה ניתנת לחלוקה לחמש שלבים קבועים:

1. **זיהוי טריגר** – מגיע שאלון חדש או אירוע שינוי מדיניות.  
2. **שליפה קונטקסטואלית** – המנוע שואל את גרף הידע אחר בקרות, נכסים וראיות קודמות קשורות.  
3. **הפקת LLM** – נבנה פרומפט הכולל את ההקשר שהושג, את כלל המדיניות ואת השאלה הספציפית.  
4. **דירוג ביטחון** – המודל מחזיר דירוג ביטחון (0‑1). תשובות מתחת ל‑`0.85` מנותבות אוטומטית למבקר אנושי.  
5. **שילוב משוב** – עריכות אנושיות נשמרות, וסוכן הלמידה בחיזוק מעדכן את המשקלים המודעים למדיניות.

### 2.1 תבנית פרומפט (דוגמה)

```text
You are an AI compliance assistant.
Policy: "{{policy_id}} – {{policy_description}}"
Context: {{retrieved_evidence}}

Question: {{question_text}}

Provide a concise answer that satisfies the policy and cite the evidence IDs used.
```

### 2.2 נוסחת דירוג הביטחון

\[
\text{Confidence} = \alpha \times \text{RelevanceScore} + \beta \times \text{EvidenceCoverage}
\]

- **RelevanceScore** – דמיון קוסינוס בין הטבעת השאלה לטבעות ההקשר שהושגו.  
- **EvidenceCoverage** – חלק הפריטים הנדרשים שנציינו בפועל.  
- **α, β** – פרמטרים ניתנים לכוונון (ברירת מחדל α = 0.6, β = 0.4).

כאשר הביטחון יורד בעקבות תנאי רגולטורי חדש, המערכת **מייצרת מחדש** את התשובה עם ההקשר המעודכן, ובכך מקצרת משמעותית את מחזור התיקון.

---

## 3. תכנון אינטגרציה: מקוד מקור לשאלון

להלן דוגמה שלב‑אחר‑שלב המראה כיצד מוצר SaaS יכול לשלב את Procurize בצינוריית CI/CD, כך שכל שחרור מעדכן אוטומטית את תשובות הציות שלו.

```mermaid
sequenceDiagram
    participant Dev as Developer
    participant CI as CI/CD
    participant Proc as Procurize API
    participant Repo as Policy Repo
    Dev->>CI: Push code + updated policy.yaml
    CI->>Repo: Commit policy change
    Repo-->>CI: Acknowledgement
    CI->>Proc: POST /tasks (new questionnaire run)
    Proc-->>CI: Task ID
    CI->>Proc: GET /tasks/{id}/status (poll)
    Proc-->>CI: Status=COMPLETED, answers.json
    CI->>Proc: POST /evidence (attach build logs)
    Proc-->>CI: Evidence ID
    CI->>Customer: Send questionnaire package
```

### 3.1 דוגמת `policy.yaml`

```yaml
policy_id: "ISO27001-A.9.2"
description: "Access control for privileged accounts"
required_evidence:
  - type: "log"
    source: "cloudtrail"
    retention_days: 365
  - type: "statement"
    content: "Privileged access reviewed quarterly"
```

### 3.2 קריאת API – יצירת משימה

```http
POST https://api.procurize.io/v1/tasks
Content-Type: application/json
Authorization: Bearer <API_TOKEN>

{
  "questionnaire_id": "vendor-risk-2025",
  "policy_refs": ["ISO27001-A.9.2", "SOC2-CC6.2"],
  "reviewers": ["alice@example.com", "bob@example.com"]
}
```

התגובה כוללת `task_id` שהצינורייה עוקבת אחריו עד שהסטטוס משתנה ל‑`COMPLETED`. באותו רגע, קובץ `answers.json` שנוצר ניתן לצרף לדוא"ל אוטומטי שנשלח לספק המבקש.

---

## 4. יתרונות מדידים & ROI

| מדד | תהליך ידני | תהליך אוטומטי ב‑Procurize | שיפור |
|-----|-----------|---------------------------|--------|
| זמן ממוצע לתשובה לשאלה | 30 דק' | 2 דק' | ירידה של 94 % |
| משך מלא של שאלון | 10 ימים | 1 יום | ירידה של 90 % |
| שעות ביקורת אנושית | 40 שעת עבודה לכל ביקורת | 6 שעת עבודה לכל ביקורת | ירידה של 85 % |
| זמן גילוי סטיית מדיניות | 30 יום (ידני) | < יום אחד (אירוע‑מונע) | ירידה של 96 % |
| עלות ביקורת (USD) | $3,500 | $790 | חסכון של 77 % |

מחקר מקרה מחברת SaaS בינונית (רבעון שלישי 2024) הראה **הפחתה של 70 %** בזמן המענה לבדיקת [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), שהסתכמה בחיסכון של **$250 k** לשנה אחרי חישובי רישוי ויישום.

---

## 5. כיווני פיתוח עתידיים

### 5.1 גרפים משותפים (Federated Knowledge Graphs)

ארגונים עם מדיניות בעלות נתונים קפדנית יכולים לארח **תתי‑גרפים מקומיים** המסנכרנים מטא‑נתונים בגבול עם גרף ה‑Procurize העולמי באמצעות **הוכחות אפסים‑ידע (Zero‑Knowledge Proofs)**. זה מאפשר שיתוף ראיות בין ארגונים מבלי לחשוף את המסמכים המקוריים.

### 5.2 הסקה שמרתחת פרטיות

באמצעות **פרטיות דיפרנציאלית** במהלך שיפור המודל, מנוע ה‑AI לומד ממדיניות אבטחה קנייניות תוך הבטחה שאין מסמך יחיד שניתן לשחזר מהמשקלים של המודל.

### 5.3 שכבת AI מוסברת (XAI)

לוח מחוונים XAI מתכנן ייתן ויזואליזציה של **נתיב ההיגיון**: ממדיניות → צמתים משוחזרים → פרומפט LLM → תשובה נוצרה → דירוג ביטחון. שקיפות זו עומדת בדרישות ביקורת המחפשות “הצדקה ברת‑הבנה אנושית” עבור הצהרות ציות שנוצרו באינטליגנציה מלאכותית.

---

## מסקנה

מנוע ה‑AI האדפטיבי בזמן אמת של Procurize משנה את תהליך הציות המסורתי, תגובתי וכבד המסמכים למערכת פרואקטיבית, מתעצמת עצמאית. חיבור הדוק של **גרף ידע סמנטי**, **לולאת הסקה מונחית מדיניות**, ו‑**משוב אנושי מתמשך** מסיר צווארי בקבוק ידניים, מצמצם סיכון של סטיות מדיניות ומספק חיסכון בעלות מדד.

ארגונים שמאמצים ארכיטקטורה זו יכולים לצפות למחזורי עסקה מהירים יותר, מוכנות ביקורת חזקה ותוכנית ציות בת‑קיימא המתייחסת לצמיחת המוצרים שלהם.

---

## <span class='highlight-content'>ראו</span> גם

- [תיעוד Open Policy Agent (OPA) – האתר הרשמי](https://www.openpolicyagent.org/docs/latest/)