Tehisintellekt GRC-s: viitamine ei ole kontrollimine

Tehisintellekti agent loeb turvapoliitikat, leiab asjakohase lõigu ja märgib nõude täidetuks. Selle selgitus kõlab usutavalt ja sisaldab allikaviidet. Aga milline muudatus nõudes või tõendis muudaks seda otsust?

Hiljutised uuringud juhtimise, riskide ja vastavuse (GRC) valdkonnas muudavad selle küsimuse vältimatuks. Mudel võib anda õige vastuse vale põhjusega, viidata ehtsale allikale, mis käib vale süsteemi kohta, või ajada kirjapandud poliitika segi toimiva kontrollimeetmega. Secanis käsitleme seda tootedisaini väljakutsena: nõude, tähelepaneku ja otsuse vaheline seos peab olema kontrollimiseks avatud.

Kontrollige, kas otsus sõltub reeglist

Eeltrükk Verdict Without the Rule hoiab juhtumi muutumatuna, kustutades, asendades või eitades samal ajal seda reguleerivat reeglit. Viie lokaalselt käitatud mudeli ja 20 valdkonna lõikes muutis reegli kustutamine otsust keskmiselt vaid 5,3 protsendil juhtudest. Muutumatu otsus ei ole automaatselt vale: erinevad reeglid võivad viia sama tulemuseni. Kuid ainuüksi õige vastus ei tõenda, et süsteem kasutas talle antud reeglit.

Selleks on vaja ülevaadatud juhtumipaare, mitte ainult üksikvastustega võrdlustestid. Kui juurdepääsuõiguste ülevaatuse nõue muutub kord kvartalis tehtavast igakuiseks, samal ajal kui saadaolevad logid jäävad samaks, võib hinnang vajada muutmist. Sama nõude ümbersõnastamine ilma selle tähendust muutmata peaks hinnangu stabiilsena hoidma. Mõlemad reaktsioonid on olulised.

Eristage poliitika katvust tegevuslikust tõendist

PACE eraldab asjakohaste poliitikalõikude leidmise hindamisest, kas need katavad turvanõude täielikult, osaliselt või üldse mitte. Selle esitatud tulemused puudutavad dokumentatsiooni katvust, mitte seda, kas kirjeldatud meetmed praktikas toimivad. Poliitika võib nõuda privilegeeritud juurdepääsuks mitmikautentimist, tõendamata, millised kontod on tehniliselt kaitstud või millised erandid on olemas.

ReCon dokumenteerib veelgi lihtsamat viga: mõnes näites käsitlevad mudelid viipas sisalduvat nõudeteksti nii, nagu oleks see ettevõtte tõend. Seetõttu vajavad nõuded ja ettevõtte kirjed andmemudelis eraldi identiteeti. Viide peaks osutama lõigule, mis väidet tegelikult toetab.

See eristus muudab leiud rakendatavaks. „Poliitika on olemas, kuid kolme privilegeeritud konto kohta puudub tehniline tõend“ ütleb nõustajale, mida uurida. „Osaliselt vastav“ seda ei ütle.

Kontrollige seost, mitte ainult allikat

Töös From Legacy Documentation to OSCAL kirjeldatud töövoog eraldab süsteemikirjeldustest varad ja kasutab struktureeritud ohuteavet vastavusartefaktide loomiseks. Selle veaanalüüs näitab, miks ehtne allikas võib siiski toetada vale järeldust: kui vara on valesti eraldatud, võivad hilisemad päringud tagastada ehtsaid haavatavusi hoopis teise toote kohta.

Inimese tehtud ülevaatus on kõige väärtuslikum just selliste suure mõjuga seoste puhul: toote versioon, süsteemi piir, asukoht või kontrollimeetme määramine, millest sõltuvad paljud hilisemad leiud. Eraldatud ettepanek peaks jääma kinnitatud inventarikirjest eristatavaks. Kui alusseost parandatakse, peavad sellest tuletatud hinnangud olema jälgitavad.

Andke tõendile ulatus ja ajaaken

Töö Compliance-as-Code for AI-Driven Identity Systems pakub välja „tõendilepingud“, mis määravad nõutavad tõenditüübid, vastendused, väljad, väljalasked ja vaatlusperioodid. Selle prototüüp kasutab sünteetilisi identiteedi töövooge, seega on uuring pigem arhitektuurinäide kui laiapõhjaline valideerimine ettevõtte keskkonnas.

Märtsikuine testiaruanne ei tõenda automaatselt, et kontrollimeede toimib endiselt pärast septembrikuist süsteemimuudatust. Ühe tütarettevõtte konfiguratsiooni eksport ei näita teise olukorda. Tõendil peavad olema subjekt, päritolu, periood ja väide, mida see toetab. Kui integratsioon lakkab ajakohaseid andmeid edastamast, on praegune olukord tõendamata; see erineb tõendatud kontrollimeetme tõrkest.

Muutke kokkulepitud kontrollid korratavaks

Töö Ontological Knowledge Blocks kirjeldab ekspertide määratletud kohustuste struktureeritud vahepealset esitust, mis kompileeritakse käivitatavateks valideerimisreegliteks. Normatiivne tõlgendus jääb inimese vastutusele. Eraldi riskihindamise eeltrükk vastendab jälgitavad tehnilised artefaktid järjestusskaala tulemustega, kasutades versioonitud reegleid, ja kontrollib mõnda kooskõlaomadust formaalselt. Kumbki uuring ei loo universaalset vastavusmootorit ega empiiriliselt kalibreeritud intsidenditõenäosusi.

Kasulik põhimõte on eristada tõlgendamist korratavast täitmisest. Agent võib pakkuda poliitikast tulenevaid kriteeriume. Kui eksperdid on need heaks kiitnud, ei tohiks sellised kontrollid nagu puuduv väli, aegunud vaatlusperiood või ületatud lävend vajada igal käivitamisel mudeli uut tõlgendust. Otsus peaks salvestama nõude versiooni, tõendite versioonid ja rakendatud loogika.

Avage otsused uuesti, kui nende eeldused muutuvad

Pidev vastavus ei tähenda nõuet avada pärast iga dokumendimuudatust uuesti iga kontrollimeede. See eeldab teadmist, millised järeldused sõltuvad muutunud teabest. Parandatud pealkirjal ei pruugi olla mingit mõju. Uus erand privilegeeritud juurdepääsule võib mõjutada mitut raamistikku.

Ajalooline otsus peaks jääma puutumata: see võis omal ajal olla põhjendatud. Kuid see ei tohiks pärast eelduste muutumist jääda lõputult kehtima praeguse väitena. Selged, versioonitud seosed võimaldavad nõustajatel keskenduda hinnangutele, mis tõesti uut pilku vajavad.

Need tööd ei tõenda, et GRC saab olla täielikult autonoomne. Mitu neist on eeltrükid või kitsaste prototüüpide hindamised. Kuid need osutavad Secani jaoks kasulikule standardile: agendid peaksid teavet ette valmistama, vastendusi välja pakkuma, lünki selgitama ja aitama nõustajatel jõuda kiiremini põhjendatud otsusteni.

Roheline olek on väljund. Toode on jälgitav seos nõude, tegelikkuse ja otsuse vahel.