ΤΝ στο GRC: η παραπομπή δεν είναι επαλήθευση

Ένας πράκτορας ΤΝ διαβάζει μια πολιτική ασφάλειας, βρίσκει μια σχετική παράγραφο και χαρακτηρίζει μια απαίτηση ως ικανοποιημένη. Η εξήγησή του ακούγεται εύλογη και περιλαμβάνει σύνδεσμο προς την πηγή. Ποια αλλαγή στην απαίτηση ή στα τεκμήρια θα άλλαζε όμως αυτή την ετυμηγορία;

Η πρόσφατη έρευνα στη διακυβέρνηση, τη διαχείριση κινδύνων και τη συμμόρφωση (GRC) καθιστά αυτό το ερώτημα αναπόφευκτο. Ένα μοντέλο μπορεί να δώσει τη σωστή απάντηση για λάθος λόγο, να παραπέμψει σε μια γνήσια πηγή που αφορά λάθος σύστημα ή να συγχέει μια γραπτή πολιτική με μια αποτελεσματική δικλίδα. Στη Secani, το αντιμετωπίζουμε αυτό ως πρόκληση σχεδιασμού προϊόντος: η σύνδεση μεταξύ απαίτησης, παρατήρησης και απόφασης πρέπει να είναι ανοιχτή σε έλεγχο.

Ελέγξτε αν η ετυμηγορία εξαρτάται από τον κανόνα

Η προδημοσίευση Verdict Without the Rule διατηρεί μια περίπτωση σταθερή ενώ διαγράφει, αντικαθιστά ή αντιστρέφει τον κανόνα που τη διέπει. Σε πέντε μοντέλα που εκτελέστηκαν τοπικά και σε 20 τομείς, η διαγραφή του κανόνα άλλαξε την ετυμηγορία μόνο σε ποσοστό 5,3 τοις εκατό των περιπτώσεων κατά μέσο όρο. Μια αμετάβλητη ετυμηγορία δεν είναι αυτομάτως λανθασμένη: διαφορετικοί κανόνες μπορεί να οδηγούν στο ίδιο αποτέλεσμα. Όμως μια σωστή απάντηση από μόνη της δεν μπορεί να αποδείξει ότι το σύστημα χρησιμοποίησε τον κανόνα που του δόθηκε.

Αυτό απαιτεί επισκοπημένα ζεύγη περιπτώσεων, όχι μόνο σημεία αναφοράς με μία απάντηση. Αν μια απαίτηση επισκόπησης πρόσβασης αλλάξει από τριμηνιαία σε μηνιαία ενώ τα διαθέσιμα αρχεία καταγραφής παραμένουν ίδια, η αξιολόγηση μπορεί να χρειάζεται να αλλάξει. Η αναδιατύπωση της ίδιας απαίτησης χωρίς αλλαγή του νοήματός της πρέπει να αφήνει την αξιολόγηση σταθερή. Και οι δύο αντιδράσεις έχουν σημασία.

Διαχωρίστε την κάλυψη από πολιτικές από τη λειτουργική απόδειξη

Το PACE διαχωρίζει την ανάκτηση σχετικών αποσπασμάτων πολιτικών από την αξιολόγηση του αν αυτά καλύπτουν μια απαίτηση ασφάλειας πλήρως, μερικώς ή καθόλου. Τα αποτελέσματα που αναφέρει αφορούν την κάλυψη στην τεκμηρίωση, όχι το αν τα περιγραφόμενα μέτρα λειτουργούν στην πράξη. Μια πολιτική μπορεί να απαιτεί πολυπαραγοντική αυθεντικοποίηση για προνομιακή πρόσβαση χωρίς να αποδεικνύει ποιοι λογαριασμοί προστατεύονται τεχνικά ή ποιες εξαιρέσεις υπάρχουν.

Το ReCon τεκμηριώνει μια ακόμη απλούστερη αστοχία: σε ορισμένα παραδείγματα, τα μοντέλα αντιμετωπίζουν το κείμενο της απαίτησης που περιλαμβάνεται στην εντολή σαν να ήταν τεκμήριο της εταιρείας. Οι απαιτήσεις και οι εγγραφές της εταιρείας χρειάζονται επομένως διακριτές ταυτότητες στο μοντέλο δεδομένων. Μια παραπομπή πρέπει να δείχνει στο απόσπασμα που στηρίζει πράγματι τον ισχυρισμό.

Η διάκριση αυτή κάνει τα ευρήματα αξιοποιήσιμα. Η διαπίστωση «η πολιτική υπάρχει, αλλά λείπουν τεχνικά τεκμήρια για τρεις προνομιακούς λογαριασμούς» λέει σε έναν σύμβουλο τι να διερευνήσει. Το «μερικώς συμμορφούμενο» δεν το λέει.

Ελέγξτε τη σχέση, όχι μόνο την πηγή

Η διαδικασία στο From Legacy Documentation to OSCAL εξάγει πόρους από περιγραφές συστημάτων και χρησιμοποιεί δομημένες πληροφορίες απειλών για να παραγάγει τεκμήρια συμμόρφωσης. Η ανάλυση σφαλμάτων της δείχνει γιατί μια πραγματική πηγή μπορεί παρ' όλα αυτά να στηρίζει λάθος συμπέρασμα: αν ένας πόρος εξαχθεί λανθασμένα, τα μεταγενέστερα ερωτήματα μπορεί να επιστρέψουν γνήσιες ευπάθειες για ένα διαφορετικό προϊόν.

Η ανθρώπινη επισκόπηση έχει τη μεγαλύτερη αξία σε τέτοιους συνδέσμους υψηλού αντικτύπου: μια έκδοση προϊόντος, ένα όριο συστήματος, μια εγκατάσταση ή μια ανάθεση δικλίδας από την οποία εξαρτώνται πολλά μεταγενέστερα ευρήματα. Μια εξαγόμενη πρόταση πρέπει να παραμένει διακριτή από ένα επιβεβαιωμένο στοιχείο απογραφής. Όταν διορθώνεται ένας θεμελιώδης σύνδεσμος, οι παράγωγες αξιολογήσεις πρέπει να είναι ιχνηλάσιμες.

Δώστε στα τεκμήρια πεδίο και χρονικό παράθυρο

Το Compliance-as-Code for AI-Driven Identity Systems προτείνει «συμβόλαια τεκμηρίων» που ορίζουν τους απαιτούμενους τύπους τεκμηρίων, τις αντιστοιχίσεις, τα πεδία, τις εκδόσεις και τις περιόδους παρατήρησης. Το πρωτότυπό του χρησιμοποιεί συνθετικές ροές εργασιών ταυτοτήτων, οπότε η μελέτη είναι αρχιτεκτονικό παράδειγμα και όχι ευρεία επικύρωση σε επιχειρησιακό περιβάλλον.

Μια έκθεση δοκιμής του Μαρτίου δεν αποδεικνύει αυτόματα ότι μια δικλίδα εξακολουθεί να λειτουργεί μετά από μια αλλαγή συστήματος τον Σεπτέμβριο. Μια εξαγωγή διαμόρφωσης για μία θυγατρική δεν αποδεικνύει την κατάσταση μιας άλλης. Τα τεκμήρια χρειάζονται υποκείμενο, προέλευση, περίοδο και τον ισχυρισμό που στηρίζουν. Αν μια ενοποίηση σταματήσει να παρέχει τρέχοντα δεδομένα, η παρούσα κατάσταση είναι μη αποδεδειγμένη· αυτό διαφέρει από μια αποδεδειγμένη αστοχία δικλίδας.

Κάντε τους συμφωνημένους ελέγχους επαναλήψιμους

Το Ontological Knowledge Blocks περιγράφει μια δομημένη ενδιάμεση αναπαράσταση υποχρεώσεων που ορίζουν ειδικοί, η οποία μεταγλωττίζεται σε εκτελέσιμους κανόνες επικύρωσης. Η κανονιστική ερμηνεία παραμένει ανθρώπινη ευθύνη. Μια χωριστή προδημοσίευση για την αξιολόγηση κινδύνων αντιστοιχίζει παρατηρήσιμα τεχνικά τεκμήρια σε διατακτικά αποτελέσματα με κανόνες που έχουν εκδόσεις και ελέγχει τυπικά ορισμένες ιδιότητες συνέπειας. Καμία από τις δύο μελέτες δεν θεμελιώνει έναν καθολικό μηχανισμό συμμόρφωσης ή εμπειρικά βαθμονομημένες πιθανότητες περιστατικών.

Η χρήσιμη αρχή είναι η διάκριση της ερμηνείας από την επαναλήψιμη εκτέλεση. Ένας πράκτορας μπορεί να προτείνει κριτήρια από μια πολιτική. Μόλις τα εγκρίνουν οι ειδικοί, έλεγχοι όπως ένα πεδίο που λείπει, μια περίοδος παρατήρησης που έχει λήξει ή ένα κατώφλι που έχει ξεπεραστεί δεν πρέπει να χρειάζονται νέα ερμηνεία από το μοντέλο σε κάθε εκτέλεση. Μια ετυμηγορία πρέπει να καταγράφει την έκδοση της απαίτησης, τις εκδόσεις των τεκμηρίων και τη λογική που εφαρμόστηκε.

Ανοίξτε ξανά τις αποφάσεις όταν αλλάζουν οι προϋποθέσεις τους

Η συνεχής συμμόρφωση δεν είναι απαίτηση να ανοίγει ξανά κάθε δικλίδα μετά από κάθε επεξεργασία εγγράφου. Απαιτεί να γνωρίζετε ποια συμπεράσματα εξαρτώνται από την πληροφορία που άλλαξε. Μια διορθωμένη επικεφαλίδα μπορεί να μην έχει καμία επίδραση. Μια νέα εξαίρεση για προνομιακή πρόσβαση μπορεί να επηρεάζει αρκετά πλαίσια.

Η ιστορική απόφαση πρέπει να παραμένει ανέπαφη: μπορεί να ήταν δικαιολογημένη εκείνη τη στιγμή. Δεν πρέπει όμως να συνεχίζει επ' αόριστον να ισχύει ως τρέχων ισχυρισμός αφού έχουν αλλάξει οι προϋποθέσεις της. Οι ρητές σχέσεις με εκδόσεις επιτρέπουν στους συμβούλους να εστιάζουν στις αξιολογήσεις που χρειάζονται πράγματι νέα εξέταση.

Αυτές οι εργασίες δεν αποδεικνύουν ότι το GRC μπορεί να είναι πλήρως αυτόνομο. Αρκετές είναι προδημοσιεύσεις ή αξιολογήσεις στενών πρωτοτύπων. Υποδεικνύουν ωστόσο ένα χρήσιμο πρότυπο για τη Secani: οι πράκτορες πρέπει να προετοιμάζουν πληροφορίες, να προτείνουν αντιστοιχίσεις, να εξηγούν κενά και να βοηθούν τους συμβούλους να καταλήγουν ταχύτερα σε υπερασπίσιμες αποφάσεις.

Μια πράσινη κατάσταση είναι αποτέλεσμα. Η ιχνηλάσιμη σύνδεση μεταξύ απαίτησης, πραγματικότητας και απόφασης είναι το προϊόν.