
# מודלינג כוונת רגולציה בזמן אמת לאוטומציה מותאמת של שאלוני אבטחה

במערכת האקולוגית ההיפר‑מחוברת של SaaS של היום, שאלוני אבטחה וביקורות ציות אינם עוד טפסים סטטיים שהצוות המשפטי ממלא פעם לשנה. תקנות כגון [GDPR](https://gdpr.eu/), [CCPA](https://oag.ca.gov/privacy/ccpa), [ISO 27001](https://www.iso.org/standard/27001) ומסגרות חדשות המיועדות ל‑AI מתפתחות **שעה אחרי שעה**. הגישה המסורתית “מתעד‑פעם‑אחת‑משתמש‑מאוחר יותר” הופכת במהירות לאחרת מסוכנת.  

**Procurize** הציגה יכולת משנת משחק: **מודלינג כוונת רגולציה (RIM)**. על‑ידי שילוב מודלים גדולים של שפה, רשתות גרף נוירונים זמניות, והזנת משאבי רגולציה רציפים, RIM מתרגמת את *כוונת המשמעות* מאחורי תקנה חדשה לעדכוני ראיות ניתנים לביצוע **בזמן אמת**. מאמר זה חוקר את ערמת הטכנולוגיה, זרימת העבודה, והתוצאות העסקיות המוחשיות עבור צוותי אבטחה וציות.

---  

## מדוע מודלינג כוונה חשוב

| אתגר | גישה קונבנציונלית | פער מונחה‑כוונה |
|------|--------------------|----------------|
| **החזרות רגולטוריות** – סעיפים חדשים מופיעים בין מחזורי ביקורת. | סקירה ידנית של מדיניות כל רבעון. | איתור מיידי והתאמה. |
| **שפה דו‑משמעית** – “אמצעי אבטחה סבירים”. | פרשנות משפטית בתיעוד סטטי. | AI מחלץ את הכוונה וממפה לבקרות קונקרטיות. |
| **חפיפה בין מסגרות** – ISO 27001 מול SOC 2. | טבלאות השוואה ידניות. | גרף כוונה מאוחד ממזג מושגים. |
| **זמן תגובה** – ימים עד עדכון תשובות שאלון. | עריכה ידנית + אישור בעלי‑עניין. | שניות לעדכון אוטומטי של תשובות. |

מודלינג כוונה מעביר את המיקוד מ‑*מה* אומרת הרגולציה אל *מה* היא **רוצה להשיג** — פרטיות, הפחתת סיכון, שלמות נתונים, וכו׳. מבט סמנטיקה‑ראשון זה מאפשר למערכות אוטומטיות להיגז, לתעדף וליצור ראיות התואמות למטרות הרגולטור, ולא רק לטקסט המילולי.

---  

## ארכיטקטורת מודלינג כוונה בזמן אמת

להלן דיאגרמת Mermaid ברמה גבוהה המתארת את זרימת הנתונים מהזנת משאבי רגולציה ועד יצירת תשובות לשאלון.

```mermaid
flowchart TD
    A["Regulatory Feed API"] --> B["Raw Document Store"]
    B --> C["Legal NLP Parser"]
    C --> D["Intent Extraction Engine"]
    D --> E["Temporal Knowledge Graph (TKG)"]
    E --> F["Evidence Mapping Service"]
    F --> G["Questionnaire Answer Engine"]
    G --> H["Procurize UI / API"]
    style A fill:#f9f,stroke:#333,stroke-width:2px
    style H fill:#bbf,stroke:#333,stroke-width:2px
```

### 1. Regulatory Feed API  
*מקורות*: כתב העת הרשמי של האיחוד האירופי, הודעות SEC בארה״ב, וועדות טכניות של ISO, קונסורצומי תעשייה. המשאבים נמשכים **כל 5 דקות**, ומפוענחים כ‑JSON‑LD לאחידות.

### 2. Raw Document Store  
מאגר אובייקטים עם גרסאות (לדוגמה MinIO) מכיל את קבצי ה‑PDF, XML, ו‑HTML המקוריים. תמונות מצב בלתי ניתנות לשינוי מאפשרות יכולת ביקורת.

### 3. Legal NLP Parser  
צינור היברידי:  
- **OCR + LayoutLMv3** עבור קבצי PDF סרוקים.  
- **פיצול סעיפים** בעזרת מודל BERT מותאם.  
- **זיהוי ישויות בשם** (NER) למונחים משפטיים (כגון “בקרת נתונים”, “גישה מבוססת סיכון”).

### 4. Intent Extraction Engine  
מבוסס על **GPT‑4‑Turbo** עם פרומפט מערכת מותאם שמאלץ את המודל לענות:  
> “מה המטרה הבסיסית של הרגולטור? רשום את הפעולות הקונקרטיות למימוש כוונה זו.”

התוצאות נשמרות כ‑**Intent Statements** מובנים, לדוגמה `{"objective":"protect personal data","actions":["encryption at rest","access control","audit logging"]}`.

### 5. Temporal Knowledge Graph (TKG)  
**רשת גרף נוירונים (GNN)** עם קצוות מודעים לזמן מתעדת יחסים בין:  
- רגולציות → הצהרות כוונה  
- הצהרות כוונה ↔ בקרות (ממפות ממאגר המדיניות הפנימי)  
- בקרות ↔ ראיות (למשל דוחות סריקה, יומנים)

ה‑TKG מתעדכן באופן רציף, ושומר גרסאות היסטוריות לצורך ביקורת ציות.

### 6. Evidence Mapping Service  
באמצעות **הטמעת גרף**, השירות מוצא את **הראייה המתאימה ביותר** לכל פעולה בכוונה. אם אין ראייה קיימת, המערכת מייצרת **טיוטת ראייה מבוססת AI** (כגון פסקת מדיניות או תוכנית תיקון).

### 7. Questionnaire Answer Engine  
כאשר נפתח שאלון אבטחה, המנוע:  
1. משיג את מזהי הרגולציה הרלוונטיים.  
2. שואל את ה‑TKG אחר הכוונות המשוייכות.  
3. מושך את הראיות המתאימות.  
4. מעצב תשובות בהתאם לסכמת השאלון (JSON, CSV או markdown).  

כל השלבים מתבצעים תוך **2‑3 שניות**.

---  

## כיצד RIM משולב עם תכונות קיימות של Procurize

| תכונה קיימת | הרחבת RIM | יתרון |
|--------------|-----------|--------|
| **הקצאת משימות** | פתיחת פטור “סקירת כוונה” אוטומטית כאשר מתגלה כוונה חדשה. | מצמצמת מיון ידני. |
| **שרשורי תגובות** | הצעות הערות מבוססות AI המקושרות להצעות כוונה. | משפרת עקביות וטרום‑מקור של תשובות. |
| **אינטגרציות כלי עבודה** | חיבור לפייפליינים של CI/CD לאיסוף artefacts סריקה עדכניים כראיות. | משמר ראיות עדכניות. |
| **מעקב ביקורתי** | צילומי TKG נשמרים בגרסאות וחתומים עם SHA‑256. | מבטיח עמידות בפני זיופים. |

---  

## השפעה בעולם האמיתי: מבט כמותי

פיילוט עם ספק SaaS בינוני (≈ 150 עובדים) הביא לתוצאות אלו על פני שישה חודשים:

| מדד | לפני RIM | לאחר RIM (3 חודשים) |
|------|-----------|----------------------|
| זמן ממוצע להשבת שאלון | 4.2 ימים | 3.5 שעות |
| מאמץ סקירת מדיניות ידנית | 48 שעות / רבעון | 8 שעות / רבעון |
| תקרות חוסר צייתנות | 7 לשנה | 0 (זוהתה ותוקנה אוטומטית) |
| שיעור הצלחה בביקורת בשלב ראשון | 78 % | 97 % |
| שביעות רצון בעלי‑עניין (NPS) | 32 | 71 |

חיסכון של **≈ $120 k** שנתי לחברה הפיילוטית נובע מצמצום המאמץ הידני, בעוד שיעור הצלחה גבוה יותר בביקורת מקטין חשיפה לקנסות והסכמי שירות.

---  

## מדריך יישום RIM שלב‑אחר‑שלב

### שלב 1 – הפעלת חיבור משאבי רגולציה  
1. עבור ל‑**הגדרות → אינטגרציות → משאבי רגולציה**.  
2. הוסף את ה‑URL של המקורות החקיקתיים החשובים לך.  
3. קבע את מרווח המשיכה (ברירת המחדל 5 דקות).

### שלב 2 – אימון מודל חילוץ כוונות  
1. העלה קורפוס קטן של סעיפים חקיקתיים מתוייגים (אופציונלי לשיפור הדיוק).  
2. לחץ **אימון**; המערכת משתמשת בגישת few‑shot עם GPT‑4‑Turbo.  
3. נטר את **לוח בקרה אימות כוונות** עבור מדדי אמינות.

### שלב 3 – מיפוי בקרות פנימיות לפעולות כוונה  
1. ב‑**ספריית הבקרות**, תייג כל בקרה עם קטגוריות כוונה ברמה גבוהה (למשל “סודיות נתונים”).  
2. הפעל את תכונת **קישור אוטומטי**; ה‑TKG יציע קצוות מבוססי דמיון טקסטואלי.

### שלב 4 – חיבור מקורות ראיות  
1. קשר את **מאגר artefacts** שלך (למשל CloudWatch logs, דלי S3).  
2. הגדר **תבניות ראייה** המציינות כיצד לעבד יומנים, סריקות או קטעי מדיניות.

### שלב 5 – הפעלת מנוע תשובות בזמן אמת  
1. פתח שאלון ולחץ **הפעלת סיוע AI**.  
2. המערכת תשלוף את הכוונות הרלוונטיות ותמלא את התשובות אוטומטית.  
3. בדוק, הוסף הערות אם נדרש, ולחץ **שלח**.

---  

## שיקולי אבטחה ומשילות

| חשש | הפחתה |
|------|--------|
| **הזיות מודל** | סף אמינות (בירירת מחדל ≥ 0.85) לפני שימוש אוטומטי; בדיקה אנושית. |
| **דליפת נתונים** | כל העיבוד מתבצע בתוך **צופר חישוב חסוי**; הטמעת זמנית מוצפנת במצב מנוחה. |
| **צייתנות ל‑AI** | RIM עצמו מתועד ב**ספר מנשק לביקורת** (שרשרת בלוקצ’יין). |
| **בקרת גרסאות** | כל גרסת כוונה בלתי ניתנת לשינוי; ניתן לחזור לכל גרסה קודמת. |

---  

## מפת דרכים עתידית

1. **למידת כוונה פדרנטית** – שיתוף גרפים של כוונה מנומסים בין ארגונים לזרז גילוי מגמות רגולטוריות.  
2. **שכבת AI שמסבירה** – הצגת חום תשומת לב (attention heatmaps) למתי ומדוע כוונה מסוימת ממופה לבקרה ספציפית.  
3. **אימות אפס‑ידע** – הוכחת עמידה בכוונה לבודקים מבלי לחשוף ראיות קנייניות.

---  

## סיכום

**כוונה רגולטורית** היא החיבור החסר שהופך מסגרות ציות סטטיות למערכות חיות ומתאימות. מודלינג כוונה בזמן אמת של Procurize מאפשר לצוותי האבטחה להקדים שינויי חקיקה, לצמצם עומס ידני ולשמור על עמדת “audit‑ready” מתמדת. על‑ידי הטמעת הבנה סמנטית ישירות לתוך מחזור חיי השאלון, ארגונים יכולים סוף‑סוף לענות על השאלה החשובה ביותר:

> *“האם אנו עומדים במטרה של הרגולטור, היום ומחר?”*

---  

## ראה גם
- [הבנת גרפים של זמן אמת לצרכי ציות](https://medium.com/@ai-compliance/temporal-knowledge-graphs-4f1d2c)  
- [חישוב חסוי בעומסי AI](https://csrc.nist.gov/publications/detail/sp/800-193/final)