ארכיטקטורת AI — BUY vs BUILD

1. ההחלטה הגדולה: BUY or BUILD?

כל פרויקט AI מתחיל בשאלה שנראית פשוטה אבל כרוכה בהשלכות של מיליונים: האם אנחנו קונים פתרון קיים, או בונים מאפס?

זו לא שאלה טכנית — זו שאלה אסטרטגית.

הטעות הנפוצה: לבחור "Build" מתוך גאווה ("יהיה לנו משלנו") או "Buy" מתוך עצלות ("נחסוך זמן"). ההחלטה הנכונה מתבססת על ניתוח מובנה.

2. מסגרת ההחלטה BUY vs BUILD

מטריצת ההחלטה

| קריטריון | BUY (רכישה) | BUILD (פיתוח) | |---------|------------|---------------| | זמן לשוק | מהיר (שבועות) | איטי (חודשים) | | עלות ראשונית | נמוכה | גבוהה | | עלות שוטפת | ידועה (מנוי) | משתנה (תחזוקה) | | התאמה לצרכים | חלקית | מלאה | | שליטה | נמוכה | מלאה | | תלות בספק | גבוהה | אין | | אבטחה | תלוי בספק | שליטה מלאה | | עדכונים | אוטומטיים | ידניים |

כלל אצבע:

BUY כאשר:
✅ הצורך הוא "גנרי" (קיים בהרבה ארגונים)
✅ הפתרון הקיים מכסה 80%+ מהצרכים
✅ אין רגישות גבוהה של נתונים
✅ נדרש מהיר לשוק
✅ הצוות קטן / אין capacity לפיתוח

BUILD כאשר:
✅ הצורך ייחודי לתהליכים הממשלתיים
✅ נתונים סודיים / מסווגים
✅ נדרשת שליטה מלאה על הנתונים
✅ יש צוות פיתוח מוסמך
✅ תלות ספק לא מקובלת

3. ארכיטקטורת ענן ממשלתי — נימבוס

פרויקט נימבוס — הבסיס לכל

נימבוס הוא הסכם המסגרת של ממשלת ישראל לשירותי ענן ציבורי. שני זוכים: AWS ו-Google Cloud (GCP).

מה נימבוס נותן:

• תמחור מוסכם ומפוקח
• עמידה בדרישות אבטחה ממשלתיות
• Region ישראלי (נתונים נשארים בישראל)
• תמיכה מקומית

שני סוגי Landing Zone:

┌─────────────────────────────────────────────────────┐
│           Landing Zone ממשלתי (מרכזי)              │
│  הוקם ומנוהל ע"י מערך הדיגיטל הלאומי               │
│  • הקמה מהירה (כבר מוכן)                           │
│  • ביקורת ואבטחה מרכזית                             │
│  • תיאום עם מ"דט נדרש                               │
│  • מתאים לרוב המשרדים                               │
└─────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────┐
│           Landing Zone עצמאי (ייעודי)               │
│  נפרד מהתשתית המרכזית, בפיקוח עצמי                │
│  • גמישות מקסימלית                                  │
│  • אחריות אבטחה על המשרד                            │
│  • נדרשת צוות IT מוסמך                              │
│  • מתאים לדרשמים עם צרכים מיוחדים                 │
└─────────────────────────────────────────────────────┘

בחירה: רוב המשרדים → Landing Zone ממשלתי. משרדים עם יכולת IT גבוהה ונתונים רגישים → שקול עצמאי.

4. שכבות האבטחה — Defense in Depth

ארכיטקטורת אבטחה ל-AI בממשלה בנויה שכבות:

שכבה 1: הרשת
─────────────
VPC מבודד לכל פרויקט AI
Firewall rules: רק פורטים נדרשים
IP Allowlisting: רק כתובות מאושרות
Private endpoints: ה-API לא חשוף לאינטרנט

שכבה 2: הזהות
─────────────
Authentication: MFA חובה
Authorization: Role-Based Access (RBAC)
Service Accounts: עם הרשאות מינימליות
Secrets Manager: לא מפתחות ב-קוד

שכבה 3: הנתונים
────────────────
Encryption at rest: נתונים מוצפנים בדיסק
Encryption in transit: TLS 1.3+
Data Classification: מיון לפי רגישות
DLP: מניעת דליפת מידע

שכבה 4: הבקרה
─────────────
Audit Trail: כל פעולה מתועדת
Monitoring & Alerting: חריגות מגלות בזמן אמת
Penetration Testing: בדיקות אבטחה תקופתיות
Incident Response Plan: תכנית לאירועים

5. ארכיטקטורה טיפוסית לפרויקט AI ממשלתי

                    [אינטרנט / רשת ממשלתית]
                              │
                    ┌─────────▼──────────┐
                    │    API Gateway      │
                    │  (Rate Limiting,    │
                    │   Authentication)   │
                    └─────────┬──────────┘
                              │
                    ┌─────────▼──────────┐
                    │    Load Balancer    │
                    └──┬──────────────┬──┘
                       │              │
              ┌────────▼───┐   ┌──────▼──────┐
              │  AI Service │   │  AI Service  │
              │  (replica 1)│   │  (replica 2) │
              └────────┬───┘   └──────┬───────┘
                       │              │
              ┌────────▼──────────────▼───────┐
              │        LLM API Layer           │
              │  (Claude / GPT / Gemini)        │
              │  [Private Endpoint, No Internet]│
              └────────────────┬──────────────┘
                               │
              ┌────────────────▼──────────────┐
              │          Data Layer            │
              │  Vector DB │ SQL DB │ Cache    │
              │  [Encrypted, Region: Israel]   │
              └───────────────────────────────┘

6. רשימת בדיקות לפני פריסה (Pre-Deployment Checklist)

לפני פריסת פרויקט AI לסביבת ייצור:
רשת ואבטחה:
[ ] VPC ייעודי הוגדר ובודד
[ ] Firewall rules מוגדרות ומתועדות
[ ] ה-LLM API מחובר דרך Private Endpoint (לא דרך אינטרנט)
[ ] כל traffic מוצפן (TLS 1.3+)
זהות והרשאות:
[ ] MFA מופעל לכל גישה מנהלתית
[ ] Service Account עם הרשאות מינימליות בלבד
[ ] Secrets ב-Secret Manager (לא ב-קוד / config files)
[ ] RBAC מוגדר לפי תפקיד
נתונים:
[ ] Data Classification בוצע
[ ] Encryption at rest מופעל
[ ] Backup Policy מוגדרת
[ ] Data Retention Policy מוגדרת
[ ] נתונים נשארים ב-Region ישראל/EU (לפי דרישה)
בקרה ותיעוד:
[ ] Audit Trail מופעל
[ ] Monitoring & Alerting מוגדר
[ ] Incident Response Plan קיים ומוכר לצוות
[ ] CISO אישר את הארכיטקטורה
תפעול:
[ ] SLA מוגדר
[ ] Runbook לתפעול קיים
[ ] On-call מוגדר
[ ] DR (Disaster Recovery) נבדק

7. תרגילים