
# מנוע ביניים סמנטי לנירמול שאלונים בין‑מסגרתי

> **TL;DR**: שכבת ביניים סמנטית ממירה שאלוני אבטחה הטרוגניים למייצג אחיד המוכן ל‑AI, ובכך מאפשרת מענה מדויק בלחיצה אחת לכל מסגרת תקינה.

---  

## 1. למה נירמול חשוב ב‑2025

שאלוני האבטחה הפכו ל**בצור מנעול של מיליוני דולר** לחברות SaaS הצומחות במהירות:

| סטטיסטיקה (2024) | השפעה |
|-------------------|-------|
| זמן ממוצע למענה על שאלון ספק | **12‑18 ימים** |
| מאמץ ידני לכל שאלון (שעות) | **8‑14 שעות** |
| מאמץ כפול בין מסגרות | **≈ 45 %** |
| סיכון לתשובות לא עקביות | **חשיפה רבה לתקנות** |

כל מסגרת — [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), GDPR, [PCI‑DSS](https://www.pcisecuritystandards.org/pci_security/), FedRAMP, או טופס ספק מותאם — משתמשת במינוח, היררכיה וציפיות הוכחה משלה. מענה נפרד לכל אחת יוצר **החסרת סמנטיקה** ומחריף עלויות תפעוליות.

**ביניים סמנטי** פותר זאת על‑ידי:

* מיפוי כל שאלה נכנסת אל **אונטולוגיית תקינה קנונית**.
* העשרת הצומת הקנונית בהקשר רגולטורי בזמן אמת.
* הפניית הכוונה המנועלת למנוע תשובות LLM המייצר נרטיבים מותאמים למסגרת.
* תחזוקת **נתיב ביקורת** הקושר כל תגובה מיוצרת חזרה לשאלת המקור.

התוצאה היא **מקור יחיד של אמת** ללוגיקת שאלונים, שמפחית משמעותית את זמן הסגירה ומבטל חוסר עקביות בתשובות.

---  

## 2. עמודי האדריכלות המרכזיים

להלן תצוגה ברמת‑גבוה של ערימת הביניים.  

```mermaid
graph LR
  A[שאלון נכנס] --> B[קידוד מקדים]
  B --> C[זיהוי כוונה (LLM)]
  C --> D[ממיר אונטולוגיה קנונית]
  D --> E[מעניק גרף ידע רגולטורי]
  E --> F[מחולל תשובות AI]
  F --> G[מעצב פורמט ספציפי למסגרת]
  G --> H[פורטל אספקת תשובות]
  subgraph Audit
    D --> I[ספר חשבונות מעקב]
    F --> I
    G --> I
  end
```

### 2.1 קידוד מקדים

* **פיענוח מבנה** – PDF, Word, XML או טקסט רגיל מנותחים באמצעות OCR וניתוח פריסה.
* **נרמול ישויות** – זיהוי ישויות נפוצות (למשל “הצפנה במנוחה”, “בקרת גישה”) בעזרת מודלי זיהוי ישויות (NER) מותאמים למאגרים של תקינה.

### 2.2 זיהוי כוונה (LLM)

* אסטרטגיית **few‑shot prompting** עם LLM קל משקל (למשל Llama‑3‑8B) מסווגת כל שאלה ל**כוונה ברמה גבוהה**: *Reference של מדיניות*, *הוכחת תהליך*, *בקרת טכנית*, *אמצעי ארגוני*.
* ציוני ביטחון > 0.85 מתקבלים אוטומטית; ציונים נמוכים מעוררים **בקרת אדם**.

### 2.3 ממיר אונטולוגיה קנונית

* האונטולוגיה היא **גרף של 1,500+ צמתים** המייצגים מושגים כלליים של תקינה (לדוגמה “שימור נתונים”, “תגובה לאירוע”, “ניהול מפתחות הצפנה”).
* המיפוי נעשה באמצעות **דמיון סמנטי** (וקטורי sentence‑BERT) ומנוע חוקים **רך‑מוגבל** לפתרון חפיפות.

### 2.4 מעשר גרף ידע רגולטורי

* משיכת עדכונים בזמן אמת ממקורות RegTech (למשל [NIST CSF](https://www.nist.gov/cyberframework), ועדת האיחוד האירופי, עדכוני ISO) דרך GraphQL.
* הוספת **מטה‑נתונים גרסתי** לכל צומת: תחום שיפוט, תאריך יעיל, סוג ההוכחה הנדרש.
* מאפשרת **גילוי שדרוגים אוטומטי** כאשר תקנה משתנה.

### 2.5 מחולל תשובות AI

* צינור **RAG (Retrieval‑Augmented Generation)** משאב מסמכי מדיניות רלוונטיים, יומני ביקורת, ומטא‑נתוני המוצרים.
* ההנחיות מודע‑למסגרת, מה שמבטיח שהתגובה תזכיר את סגנון הציטוט הנכון (למשל SOC 2 § CC6.1 מול ISO 27001‑A.9.2).

### 2.6 מעצב פורמט ספציפי למסגרת

* יוצר **פלט מובנה**: Markdown לתיעוד פנימי, PDF לפורטלים של ספקים, ו‑JSON לצריכת API.
* משבץ **מזהי עקבות** שמצביעים חזרה לצומת האונטולוגיה ולגרף הידע בגרסה הרלוונטית.

### 2.7 מסלול ביקורת & ספר חשבונות מעקב

* לוגים בלתי‑ניתנים לשינוי באחסון **Append‑Only Cloud‑SQL** (או רשת בלוקצ'יין לשימושים מיוחדים).
* מספק **אימות הוכחה בלחיצה אחת** לבודקי תקינה.

---  

## 3. בניית האונטולוגיה הקנונית

### 3.1 בחירת מקורות

| מקור | תרומה |
|------|--------|
| [NIST SP 800‑53](https://www.nist.gov/cyberframework) | 420 בקרים |
| [ISO 27001 Annex A](https://www.iso.org/isoiec-27001-information-security.html) | 114 בקרים |
| תקני SOC 2 Trust Services | 120 קריטריונים |
| מאמרי GDPR | 99 חובות |
| תבניות ספק מותאמות | 60‑200 פריטים לכל לקוח |

המקורות ממוזגים בעזרת **אלגוריתמים ליישור אונטולוגיה** (למשל *Prompt‑Based Equivalence Detection*). מושגים כפולים מצומצמים, תוך שמירת **מזהים מרובים** (כדוגמת “בקרת גישה – לוגית” ממופה ל‑`NIST:AC-2` ו‑`ISO:A.9.2`).

### 3.2 מאפייני צומת

| מאפיין | תיאור |
|--------|--------|
| `node_id` | UUID |
| `label` | שם קריא לבן‑אדם |
| `aliases` | מערך של ניסוחים חלופיים |
| `framework_refs` | רשימת מזהים מקוריים |
| `evidence_type` | {policy, process, technical, architectural} |
| `jurisdiction` | {US, EU, Global} |
| `effective_date` | ISO‑8601 |
| `last_updated` | חותמת זמן |

### 3.3 תהליך תחזוקה

1. **יבוא** משורת תקינה חדשה → הרצת **אלגוריתם diff**.
2. **בודק אנושי** מאשר הוספות/שינויים.
3. **עדכון גרסה** (`v1.14 → v1.15`) נרשם אוטומטית בספר החשבונות.

---  

## 4. הנחיות Prompt למודל LLM לזיהוי כוונה

```goat
You are a compliance intent classifier. Classify the following questionnaire item into one of the intents:
- PolicyReference
- ProcessEvidence
- TechnicalControl
- OrganizationalMeasure

Return JSON:
{
  "intent": "<Intent>",
  "confidence": <0.0‑1.0>,
  "extracted_entities": ["<entity1>", "<entity2>", ...]
}
```

**מדוע זה עובד**:

* **דוגמאות few‑shot** מעגנות את המודל בשפה של תקינה.
* **פלט JSON** מבטיל צורך בפרסינג מורכב.
* **ציון ביטחון** מאפשר תיוג אוטומטי של משימות.

---  

## 5. צינור Retrieval‑Augmented Generation (RAG)

1. **בניית שאילתה** – משלב את תווית הצומת הקנונית עם מטה‑נתוני גרסת הרגולציה.
2. **חיפוש באחסון וקטורי** – מציאת המסמכים הרלוונטיים ביותר באינדקס **FAISS** של PDF מדיניות, יומנים, ומלאי הוכחות.
3. **איחוד הקשר** – חיבור הפסקאות שהוצאו לשאלת המקור.
4. **הפקת תשובה** – העברת הפסקה המשולבת למודל **Claude‑3‑Opus** או **GPT‑4‑Turbo** עם טמפרטורה 0.2 לתשובות דטרמיניסטיות.
5. **עיבוד לאחר‑הפקה** – הפעלת פורמט ציטוט בהתאם למסגרת היעד.

---  

## 6. השפעה בשטח: תמצית מקרה

| מדד | לפני הביניים | אחרי הביניים |
|------|--------------|--------------|
| זמן ממוצע למענה (לשאלון) | 13 ימים | 2.3 ימים |
| מאמץ ידני (שעות) | 10 שעות | 1.4 שעות |
| חוסר עקביות בתשובות (אחוז) | 12 % | 1.2 % |
| כיסוי הוכחות מוכנות לבדיקה (אחוז) | 68 % | 96 % |
| חיסכון שנתי (דולרים) | — | **≈ 420 אלף $** |

> *חברת X* אינטגרטה את הביניים עם **Procurize AI** וצמצמה את מחזור האיום של ספקים מ‑**30 ימים לתחת שבוע**, מה שאפשר סגירת עסקאות מהירה יותר והפחתת חיכוך במכירות.

---  

## 7. רשימת בדיקות ליישום

| שלב | משימות | אחראי | כלי |
|------|---------|-------|------|
| **גילוי** | מיפוי כל מקורות השאלונים; הגדרת מטרות כיסוי | מוביל ציות | AirTable, Confluence |
| **בניית אונטולוגיה** | מזג של בקרים ממקורות; יצירת סכמת גרף | מהנדס נתונים | Neo4j, GraphQL |
| **הכשרת מודלים** | התאמת זיהוי כוונות על 5 k נתונים מתוייגים | מהנדס ML | HuggingFace, PyTorch |
| **הקמת RAG** | אינדקס מסמכי מדיניות; הגדרת אחסון וקטורי | מהנדס תשתיות | FAISS, Milvus |
| **אינטגרציה** | חיבור הביניים ל‑API של Procurize; מיפוי מזהי עקבות | מפתח Backend | Go, gRPC |
| **בדיקות** | הרצת מבחנים מקצה‑אל‑מקצה על 100 שאלונים היסטוריים | QA | Jest, Postman |
| **שחרור** | הטמעה הדרגתית לספקים נבחרים | מנהל מוצר | Feature Flags |
| **מעקב** | ניטור ציוני ביטחון, זמן השהייה, לוגי ביקורת | SRE | Grafana, Loki |

---  

## 8. שיקולי אבטחה ופרטיות

* **הצפנה במנוחה** – AES‑256 לכל המסמכים המאוחסנים.
* **במעבר** – TLS הדדי בין רכיבי הביניים.
* **Zero‑Trust** – גישה מבוססת תפקיד לכל צומת אונטולוגיה; עיקרון המינימום של הרשאות.
* **פרטיות דיפרנציאלית** – כאשר מאגרים סטטיסטיקות תשובות לשיפור המוצר.
* **צייתנות** – טיפול בבקשות להסרת מידע של נושא‑הנתונים בהתאם ל‑GDPR באמצעות חיבורים מובנים של שלילת זכויות.

---  

## 9. שיפורים עתידיים

1. **גרפים של ידע פדרלים** – שיתוף עדכונים אנונימיים של אונטולוגיה עם ארגונים שותפים תוך שמירת ריבונות הנתונים.
2. **חילוץ ראיות רב‑מודלי** – שילוב תמונות (לדוגמת דיאגרמות ארכיטקטורה) עם טקסט למענה עשיר יותר.
3. **חזיית שינוי רגולטורי** – מודלי סדר‑זמן לחיזוי עדכוני תקנות והעדכון האוטומטי של האונטולוגיה.
4. **תבניות מתחדשות עצמאית** – LLM מציע שינויים בתבניות כאשר ציון הביטחון יורד באופן קבוע לצומת מסוים.

---  

## 10. סיכום

**מנוע ביניים סמנטי** הוא הרקמה המחברת שחוסכת את הים ההמוני של שאלוני האבטחה למעגל עבודה מדויק, מונע‑אוטומט. על‑ידי נירמול כוונה, העשרת הקשר באמצעות גרף ידע בזמן אמת, וניצול צינור RAG לתשובות, ארגונים יכולים:

* **להאיץ** את מחזורי הערכת סיכון של ספקים.
* **להבטיח** תשובות עקביות וגבות ראיות.
* **להקטין** מאמץ ידני והוצאות תפעוליות.
* **לשמר** מסלול ביקורת מוכח לרשויות וללקוחות.

השקעה בשכבה זו היום מיישרת את תוכניות הציות מול המורכבות הגוברת של תקנים גלובליים – יתרון תחרותי הכרחי לחברות SaaS ב‑2025 והלאה.