Tehisintellektil põhinev vastavus

Dokumentidest struktureeritud vastavustööruumini

Tehisintellektil põhinev vastavus tähendab tehisintellekti kasutamist struktureeritud ja ülevaadatava vastavusprotsessi sees, mitte lihtsalt vestlusroboti lisamist dokumendihoidlale. Tööpõhimõte on lihtne: tehisintellekt kiirendab ettevalmistust ja analüüsi, inimesed kiidavad heaks olulised otsused ning tõendid jäävad seotuks iga toetatud väitega.

Tehnoloogiajuhi jaoks on arhitektuuriline küsimus see, kas süsteem suudab esitada organisatsiooni tegelikke meetmeid. Poliitika kirjeldab kavandatud käitumist. Konfiguratsiooni eksport näitab seadet. Lõpetatud juurdepääsu ülevaatus tõendab tegevust. Need on eri liiki tõendid ja ladusa teksti genereerimine ei muuda neid omavahel asendatavaks.

Kasulik tööruum seob nõuded, meetmed, süsteemid, tõendid, omanikud, ülesanded ja otsused. See struktuur võimaldab meeskondadel toetatud teavet raamistike vahel korduvkasutada, ajamata segi sarnaseid nõudeid samaväärsete kohustustega.

Miks eraldi raamistikuprojektid tekitavad tehnilist võlga

Organisatsioonid hoiavad sageli poliitikaid dokumentides, tõendeid kaustades, riske arvutustabelites ja parandusülesandeid projektitööriistades. Auditikirjeldused luuakse seejärel nendest hajutatud allikatest uuesti. Uue raamistiku lisamine tekitab sageli veel ühe koopia samast teabest.

Tagajärjed ulatuvad kaugemale halduskoormusest. Eri meeskonnad võivad anda inseneridele sama juurdepääsukontrolli protsessi kohta vastuolulisi juhiseid. Üks hindamine võib kasutada vananenud arhitektuurikirjeldust, teine praegust versiooni. Viimistletud aruanne võib varjata lahendamata rakenduspuudujääki.

Praktiline alternatiiv on jagatud meetmete mudel raamistikupõhiste vaadetega. Hooldage rakendust üks kord, lisage asjakohased tõendid ja hinnake eraldi, milliseid nõudeid see toetab. See vähendab topeltpäringuid, kustutamata erinevusi ulatuses, hindamisperioodides või õiguslikes kohustustes.

Määratlege kohaldatavus enne, kui palute tehisintellektil meetmeid vastendada

Alustage organisatsiooni piirist: milline teenus, juriidiline isik, süsteemid, asukohad ja teenuseosutajad on hõlmatud? Salvestage raamistiku versioon ja põhjus, miks iga kohustus kohaldub. Vastasel juhul võib tehisintellekt koostada usutavaid vastendusi nõuetele, mis jäävad tegelikust ulatusest välja.

Eristused on olulised:

• BSI IT-Grundschutz, mis on Secani dokumenteeritud töövoogude põhifookus, ühendab infoturbe metoodika moodulite kompendiumiga. Modelleerige ulatusse kuuluvad sihtobjektid ja valige kohaldatavad moodulid, selle asemel et käsitleda kompendiumi universaalse kontroll-loendina.
• ISO/IEC 27001 käsitleb kindlaksmääratud ulatusega infoturbe juhtimissüsteemi. Selle juhtimissüsteemi nõuded, riskikäsitlus, kohaldatavusavaldus, siseaudit ja juhtkonna ülevaatus jäävad eraldi tulemusteks.
• NIS2 rakendatakse riigisisese õiguse kaudu. Kohaldatavus sõltub sektorist, suurusest, teenustest ja kaasamisreeglitest; sertifitseerimine ei tõenda vastavust.
• DORA hõlmab peamiselt kindlaksmääratud finantsüksusi. IKT-teenuse osutajatel võivad olla lepingulised kohustused, samal ajal kui määratud kriitiliste teenuseosutajate suhtes kehtib eraldi järelevalvekord.
• GDPR-i kohustused sõltuvad töötlemisest ja organisatsioonilistest rollidest. Ainult turvatõendid ei tõenda määrusele vastavust.

Käsitlege kohaldatavust heakskiidetud sisendina, mitte järeldusena, mille mudel vaikides teeb. Ebakindlatel juhtudel looge selgesõnaline tõlgendusülesanne vastutava ülevaatajaga.

Ehitage tõendimudel enne dokumentide genereerimist

Praktiline miinimummudel peaks eristama nõuet, rakendatud meedet, toetavaid tõendeid ja ülevaatusotsust. Üles laaditud fail ei ole iseenesest meede ja heakskiidetud poliitika ei tõenda, et protseduur toimib järjepidevalt.

Mudelisse kuuluvad ka sõltuvused. Kliendile suunatud rakendus võib tugineda identiteediteenuse pakkujale, pilvetaristule ja hallatud tugimeeskonnale. Ühe sõltuvuse tõendeid ei tohi automaatselt käsitleda kogu teenuse tõendina.

See struktuur muudab nõrga katvuse nähtavaks: juurdepääsupoliitika võib olla ajakohane, samal ajal kui ülevaatuskirjed puuduvad, või konfiguratsiooni ekraanipilt võib hõlmata ainult üht keskkonda.

Kasutage tehisintellekti vastenduste kandidaatide jaoks, mitte automaatse samaväärsuse jaoks

Tehisintellekt võib aidata asjakohaseid lõike välja võtta, seoseid soovitada, puuduvat tuge tuvastada ja meetmete kirjelduste mustandeid koostada. Andke talle tuvastatud allikaversioonid ja tegelik rakendus, mitte ainult meetmete pealkirjad.

Kasulik vastendusettepanek selgitab, milline osa kattub, millised tõendid seda kattuvust toetavad ja mis jääb käsitlemata. Seosed on sageli mitu-mitmele: üks meede toetab mitut nõuet, samal ajal kui üks nõue vajab mitut meedet.

Intsidentide käsitlemine illustreerib piiri. Jagatud reageerimisprotsess võib toetada mitut raamistikku, kuid teavitamise lävendid, vastuvõtjad, käivitajad ja tähtajad võivad erineda. Tegevusprotsessi korduvkasutamine ei täida kõiki teavitamiskohustusi.

Ülevaatajad peaksid enne korduvkasutuse heakskiitmist kontrollima puuduvat ulatust, vastuolulisi allikaid, vananenud viiteid ja põhjendamata väiteid. Säilitage põhjendus koos seosega, et hilisemat raamistiku või rakenduse muudatust saaks arukalt hinnata. Meie tegevusriskide registri juhend rakendab sama üle vaadatud abi põhimõtet stsenaariumidele ja käsitlusotsustele.

Tõendite kogumine ja mustandite koostamine vajavad erinevaid kaitsemeetmeid

Koguge tõendeid autoriteetsetest süsteemidest kontrollitud protsessi kaudu, olgu selleks käsitsi ekspordid või hinnatud kogumismehhanism. Salvestage, kes need kogus, millal ja millist populatsiooni need hõlmavad. Ärge eeldage, et tehisintellekti kasutaval tootel on automaatselt juurdepääs tegevussüsteemidele.

Tehisintellekti abil väljavõtmine peaks säilitama iga järeldust toetava lähtelõigu või -kirje. Vaadake eriti hoolikalt üle juhud, kui dokumendid sisaldavad vastuolulisi väiteid, ekraanipiltidel puuduvad kuupäevad või eksporditud andmetest on mõned kontod välja jäänud. Puuduvad tõendid peaksid tekitama küsimuse või ülesande, mitte väljamõeldud väite, et meede toimib.

Genereeritud dokumentatsiooni puhul kasutage järjepidevat koostamismustrit: eesmärk, ulatus, rakendus, omanik, tõendid, erandid ja ülevaatuse olek. Eristage kavandatud protseduure vaadeldud toimimisest. Aruanded peaksid kasutama üle vaadatud meetmeid ja avalikustama olulised puudujäägid, selle asemel et muuta mustandsoovitused lõplikuks kindlustandmiseks.

Ka üles laaditud materjali tuleb käsitleda ebausaldusväärse sisendina. Dokumentidesse põimitud juhised ei tohi tühistada ülevaatuse töövoogu ega lubada toiminguid. Lugemisjuurdepääs analüüsiks ei tohiks tähendada luba muuta meetmeid, kiita heaks otsuseid või levitada aruandeid.

Näide: üks juurdepääsu ülevaatus, mitu kasutust

Vaatleme illustreerivat SaaS-meeskonda, mis dokumenteerib üht tootmisteenust. Oletame, et tal on heakskiidetud juurdepääsupoliitika, dateeritud identiteediteenuse pakkuja eksport, kvartaalsed ülevaatuskirjed ja lahtine ülesanne eemaldada kaks tarbetut administraatorikontot. Säästusid ega toote jõudlust ei eeldata.

Meeskond määratleb esmalt piiri: tootmiskeskkonna kontod on hõlmatud; eraldi teaduskeskkond on välja jäetud. Seejärel seob ta poliitika kavandatud ülevaatusprotsessiga ja lõpetatud kirjed ülevaatustegevusega.

Tehisintellekt pakub välja juurdepääsukontrolli kirjelduse ja raamistike vastenduste kandidaadid. Ülevaataja leiab kolm probleemi:

• Eksport hõlmab inimeste kontosid, kuid mitte teenuseidentiteete.
• Ülevaatuskirjed näitavad otsuseid, kuid kahe administraatorikonto eemaldamise tõendid puuduvad.
• Poliitika nimetab kvartaalseid ülevaatusi, kuid üks lõpetatud ülevaatus hilines.

Ülevaataja kiidab heaks toetatud kirjelduse, lükkab tagasi väite, et kogu privilegeeritud juurdepääs vaadatakse üle, ning loob ülesanded teenuseidentiteetide katvuse ja eemaldamise kontrollimise jaoks. Raamistikupõhised vastendused säilitavad need piirangud.

Tulemuseks on üle vaadatud meetmekirje piiritletud tõendite ja lahtise parandustööga. See on kasulikum kui mitu enesekindlat kirjeldust, sest insenerid teavad, mida parandada, ja audiitorid saavad kontrollida, mis väidet toetab.

Muutke vastavuse hooldamine sündmuspõhiseks

Pidev vastavus peaks tähendama tõendite ja otsuste hooldamist asjakohaste muudatuste toimumisel. See ei tohiks vihjata, et tehisintellekt tõendab pidevalt iga meetme tõhusust.

Praktilise soovitusena kombineerige plaanilised ülevaatused muudatuspõhiste käivitajatega: uus teenuseosutaja, muudetud autentimislahendus, uuendatud raamistik, aegunud tõendiperiood või oluline intsident. Tehke kindlaks mõjutatud meetmed, vastendused, omanikud ja aruanded ning küsige vajaduse korral värskeid tõendeid.

Hoidke olekud lahus: ettepanek, tõendite ootel, üle vaadatud, heaks kiidetud ja lahtine parandustöö ei tohiks sulanduda üheks roheliseks näitajaks. Jälgige mõõdikuid, nagu hilinenud ülevaatused, toetamata väited, lahendamata erandid ja tõendite vanus. Need näitavad töökoormust ja kindlustandmise kvaliteeti selgemalt kui dokumentide arv.

Kaitske vastavustööruumi ennast

Vastavusmaterjal paljastab arhitektuuri, nõrkusi, sisemisi protsesse ja mõnikord isikuandmeid. Hinnake majutuskohta koos teenuseosutaja juurdepääsu, alamtöötlejate, säilitamise, kustutamise, mudeli kasutustingimuste ja kohaldatava edastamiskorraldusega. Ainult andmete asukoht ELis või Saksamaal ei tõenda suveräänsust ega GDPR-ile vastavust.

Rakendage vähimate õiguste põhimõtet ja eraldage mustandite koostamine heakskiitmisest. Kaitske mandaate ja tarbetuid isikuandmeid enne tõendite üleslaadimist. Nõudke oluliste muudatuste jälgitavust ja kehtestage, kuidas ülevaatajad tehisintellekti järeldust vaidlustavad. Inimese heakskiit peab tähendama toetuse kontrollimist ja ebakindluse lahendamist, mitte järjekorra läbi klõpsamist.

Alustage ühest ülevaadatavast töövoost

Secani toetab fokusseeritud algust: modelleerige teenus või organisatsiooniüksus tegelike sihtobjektide abil, siduge selle süsteemid ja välised teenuseosutajad ning nimetage omanikud ja ülevaatajad. Laadige üles olemasolevad poliitikad, ekspordid, ekraanipildid ja kirjeldused; siduge need nõuete, meetmete, süsteemide või otsustega, mida need toetavad. Kasutage tehisintellekti abil tehtud soovitusi mustanditena, kontrollige nende allikaid ning säilitage kommentaarid, heakskiidud ja ajatemplid. Muutke puuduvad või vananenud tõendid ülesanneteks, selle asemel et jätta need dokumentidesse peitu.

Valige esimeseks tsükliks üks meetmete perekond ja lühike ülevaatusrütm. Nõudke enne laiendamist selget rakenduse kirjeldust, ajakohaseid toetavaid tõendeid, üle vaadatud vastendusi ja määratud puudujääke. Secani dokumentatsioon selgitab seda alustamise töövoogu. Edu on jälgitav otsus, mida järgmine ülevaataja suudab korrata, mitte lihtsalt suurem kogum genereeritud teksti.