ИИ в GRC: цитирането не е проверка

ИИ агент прочита политика за сигурност, намира подходящ параграф и отбелязва дадено изискване като изпълнено. Обяснението му звучи правдоподобно и включва връзка към източника. Но каква промяна в изискването или в доказателствата би променила това заключение?

Последните изследвания в областта на управлението, риска и съответствието (GRC) правят този въпрос неизбежен. Един модел може да даде правилния отговор по грешната причина, да цитира истински източник, отнасящ се до друга система, или да обърка писмена политика с ефективен контрол. В Secani приемаме това като предизвикателство пред дизайна на продукта: връзката между изискване, наблюдение и решение трябва да бъде отворена за проверка.

Проверете дали заключението зависи от правилото

Предпечатната публикация Verdict Without the Rule запазва даден случай непроменен, докато изтрива, заменя или отрича приложимото правило. При пет локално изпълнявани модела и 20 области изтриването на правилото е променило заключението средно само в 5,3 процента от случаите. Непромененото заключение не е автоматично грешно: различни правила могат да доведат до един и същ резултат. Но само верният отговор не може да установи, че системата е използвала предоставеното правило.

Това изисква прегледани двойки случаи, а не само сравнителни тестове с един отговор. Ако изискване за преглед на достъпа се промени от тримесечен на месечен, докато наличните логове остават същите, оценката може да трябва да се промени. Преформулирането на същото изискване без промяна на смисъла му трябва да остави оценката стабилна. И двете реакции имат значение.

Разграничете покритието от политиките от оперативното доказателство

PACE разделя извличането на относими пасажи от политиките от оценката дали те покриват дадено изискване за сигурност напълно, частично или изобщо не го покриват. Докладваните резултати се отнасят до покритието от документацията, а не до това дали описаните мерки работят на практика. Една политика може да изисква многофакторно удостоверяване за привилегирован достъп, без да доказва кои акаунти са технически защитени или какви изключения съществуват.

ReCon документира още по-прост неуспех: в някои примери моделите третират текста на изискването, включен в подканата, като доказателство от компанията. Затова изискванията и записите на компанията се нуждаят от отделни идентичности в модела на данните. Цитатът трябва да сочи към пасажа, който действително подкрепя твърдението.

Това разграничение прави констатациите приложими на практика. „Политиката съществува, но липсват технически доказателства за три привилегировани акаунта“ казва на консултанта какво да проучи. „Частично в съответствие“ не казва.

Проверявайте връзката, а не само източника

Процесът в From Legacy Documentation to OSCAL извлича активи от описания на системи и използва структурирано разузнаване за заплахи, за да създава артефакти за съответствие. Анализът на грешките в него показва защо истински източник все пак може да подкрепи грешно заключение: ако даден актив е извлечен неправилно, последващите заявки могат да върнат реални уязвимости за друг продукт.

Човешкият преглед е най-ценен при такива връзки с голямо въздействие: версия на продукт, граница на система, обект или присвояване на контрол, от които зависят много последващи констатации. Извлеченото предложение трябва да остане различимо от потвърден елемент на описа. Когато основополагаща връзка бъде коригирана, производните оценки трябва да бъдат проследими.

Дайте на доказателствата обхват и времеви прозорец

Compliance-as-Code for AI-Driven Identity Systems предлага „договори за доказателства“, които определят изискваните видове доказателства, съпоставки, полета, издания и периоди на наблюдение. Прототипът използва синтетични процеси за идентичности, така че изследването е архитектурен пример, а не широко валидиране в корпоративна среда.

Доклад от тест през март не доказва автоматично, че даден контрол все още работи след промяна в системата през септември. Експорт на конфигурация за едно дъщерно дружество не установява състоянието на друго. Доказателствата се нуждаят от предмет, произход, период и твърдение, което подкрепят. Ако дадена интеграция спре да доставя актуални данни, текущото състояние е недоказано; това е различно от доказан неуспех на контрола.

Направете договорените проверки повторяеми

Ontological Knowledge Blocks описва структурирано междинно представяне на задължения, определени от експерти, които се компилират в изпълними правила за валидиране. Нормативното тълкуване остава човешка отговорност. Отделна предпечатна публикация за оценка на риска съпоставя наблюдаеми технически артефакти с поредни резултати чрез версионирани правила и проверява формално някои свойства на съгласуваност. Нито едно от изследванията не установява универсален механизъм за съответствие или емпирично калибрирани вероятности за инциденти.

Полезният принцип е да се разграничава тълкуването от повторяемото изпълнение. Агентът може да предложи критерии въз основа на политика. След като експертите ги одобрят, проверки като липсващо поле, изтекъл период на наблюдение или надвишен праг не би трябвало да изискват ново тълкуване от модела при всяко изпълнение. Заключението трябва да записва версията на изискването, версиите на доказателствата и приложената логика.

Отваряйте отново решенията, когато предпоставките им се променят

Непрекъснатото съответствие не е изискване всеки контрол да се отваря отново след всяка редакция на документ. То изисква да се знае кои заключения зависят от информацията, която се е променила. Коригирано заглавие може да няма никакъв ефект. Ново изключение за привилегирован достъп може да засегне няколко рамки.

Историческото решение трябва да остане непокътнато: то може да е било обосновано в онзи момент. Но не бива да продължава да съществува безкрайно като актуално твърдение, след като предпоставките му са се променили. Изричните, версионирани връзки позволяват на консултантите да се съсредоточат върху оценките, които наистина се нуждаят от нов поглед.

Тези публикации не доказват, че GRC може да бъде напълно автономно. Няколко от тях са предпечатни публикации или оценки на тесни прототипи. Те обаче сочат полезен стандарт за Secani: агентите трябва да подготвят информация, да предлагат съпоставки, да обясняват пропуските и да помагат на консултантите да достигат по-бързо до защитими решения.

Зеленият статус е резултат. Проследимата връзка между изискване, реалност и решение е продуктът.