Tekoäly GRC:ssä: lähdeviite ei ole tarkistus

Tekoälyagentti lukee tietoturvapolitiikan, löytää asiaankuuluvan kappaleen ja merkitsee vaatimuksen täytetyksi. Sen selitys kuulostaa uskottavalta ja sisältää lähdelinkin. Mutta mikä muutos vaatimukseen tai näyttöön muuttaisi tuon ratkaisun?

Tuore hallintoa, riskienhallintaa ja vaatimustenmukaisuutta (GRC) koskeva tutkimus tekee tästä kysymyksestä väistämättömän. Malli voi antaa oikean vastauksen väärästä syystä, viitata aitoon lähteeseen, joka liittyy väärään järjestelmään, tai sekoittaa kirjoitetun politiikan toimivaan hallintakeinoon. Secanissa pidämme tätä tuotesuunnittelun haasteena: vaatimuksen, havainnon ja päätöksen välisen yhteyden on oltava tarkastettavissa.

Testaa, riippuuko ratkaisu säännöstä

Esijulkaisu Verdict Without the Rule pitää tapauksen muuttumattomana ja poistaa, korvaa tai kumoaa sitä koskevan säännön. Viidellä paikallisesti ajetulla mallilla ja 20 alueella säännön poistaminen muutti ratkaisua keskimäärin vain 5,3 prosentissa tapauksista. Muuttumaton ratkaisu ei automaattisesti ole väärä: eri säännöt voivat johtaa samaan lopputulokseen. Pelkkä oikea vastaus ei kuitenkaan voi osoittaa, että järjestelmä käytti annettua sääntöä.

Tämä edellyttää katselmoituja tapauspareja, ei pelkkiä yhden vastauksen vertailutestejä. Jos käyttöoikeuskatselmointia koskeva vaatimus muuttuu neljännesvuosittaisesta kuukausittaiseksi saatavilla olevien lokien pysyessä samoina, arvion voi olla tarpeen muuttua. Jos sama vaatimus muotoillaan uudelleen sen merkitystä muuttamatta, arvion tulisi pysyä ennallaan. Molemmilla reaktioilla on merkitystä.

Erota politiikan kattavuus operatiivisesta näytöstä

PACE erottaa asiaankuuluvien politiikkakohtien hakemisen sen arvioinnista, kattavatko ne tietoturvavaatimuksen kokonaan, osittain vai eivät lainkaan. Sen raportoidut tulokset koskevat dokumentaation kattavuutta, eivät sitä, toimivatko kuvatut toimenpiteet käytännössä. Politiikka voi edellyttää monivaiheista tunnistautumista etuoikeutetulle pääsylle todistamatta, mitkä tilit on teknisesti suojattu tai mitä poikkeuksia on olemassa.

ReCon dokumentoi vielä yksinkertaisemman virheen: joissakin esimerkeissä mallit käsittelevät kehotteeseen sisällytettyä vaatimustekstiä ikään kuin se olisi yrityksen näyttöä. Vaatimuksilla ja yrityksen kirjauksilla on siksi oltava tietomallissa erilliset identiteetit. Lähdeviitteen tulee osoittaa siihen kohtaan, joka todella tukee väitettä.

Tämä erottelu tekee havainnoista toimintaan ohjaavia. ”Politiikka on olemassa, mutta kolmen etuoikeutetun tilin osalta tekninen näyttö puuttuu” kertoo konsultille, mitä on selvitettävä. ”Osittain vaatimustenmukainen” ei kerro.

Tarkista suhde, älä vain lähdettä

Julkaisun From Legacy Documentation to OSCAL putki poimii omaisuuseriä järjestelmäkuvauksista ja käyttää jäsenneltyä uhkatietoa vaatimustenmukaisuusaineistojen tuottamiseen. Sen virheanalyysi osoittaa, miksi todellinen lähde voi silti tukea väärää johtopäätöstä: jos omaisuuserä poimitaan virheellisesti, myöhemmät kyselyt voivat palauttaa aitoja haavoittuvuuksia toisesta tuotteesta.

Ihmisen tekemä katselmointi on arvokkaimmillaan tällaisissa suuren vaikutuksen linkeissä: tuoteversiossa, järjestelmän rajassa, toimipaikassa tai hallintakeinon osoituksessa, josta monet myöhemmät havainnot riippuvat. Poimitun ehdotuksen on pysyttävä erotettavissa vahvistetusta inventaarion kohteesta. Kun perustava linkki korjataan, siitä johdettujen arvioiden on oltava jäljitettävissä.

Anna näytölle soveltamisala ja aikaikkuna

Compliance-as-Code for AI-Driven Identity Systems ehdottaa ”näyttösopimuksia” (evidence contracts), jotka määrittävät vaaditut näyttötyypit, vastaavuudet, kentät, julkaisut ja havainnointijaksot. Sen prototyyppi käyttää synteettisiä identiteettityönkulkuja, joten tutkimus on arkkitehtuuriesimerkki eikä laaja validointi yritysympäristössä.

Maaliskuun testiraportti ei automaattisesti todista, että hallintakeino toimii yhä syyskuun järjestelmämuutoksen jälkeen. Yhden tytäryhtiön konfiguraatiovienti ei osoita toisen tilaa. Näytöllä on oltava kohde, alkuperä, jakso ja tuettu väite. Jos integraatio lakkaa toimittamasta ajantasaisia tietoja, nykytila on osoittamaton; se on eri asia kuin osoitettu hallintakeinon pettäminen.

Tee sovituista tarkistuksista toistettavia

Ontological Knowledge Blocks kuvaa asiantuntijoiden määrittelemien velvoitteiden jäsenneltyä välimuotoa, joka käännetään suoritettaviksi validointisäännöiksi. Normatiivinen tulkinta pysyy ihmisen vastuulla. Erillinen riskinarviointia käsittelevä esijulkaisu kuvaa havaittavat tekniset artefaktit järjestysasteikollisiksi tuloksiksi versioitujen sääntöjen avulla ja tarkistaa joitakin johdonmukaisuusominaisuuksia formaalisti. Kumpikaan tutkimus ei osoita yleispätevää vaatimustenmukaisuusmoottoria tai empiirisesti kalibroituja poikkeamien todennäköisyyksiä.

Hyödyllinen periaate on erottaa tulkinta toistettavasta suorittamisesta. Agentti voi ehdottaa kriteerejä politiikan pohjalta. Kun asiantuntijat ovat hyväksyneet ne, tarkistukset, kuten puuttuva kenttä, vanhentunut havainnointijakso tai ylittynyt kynnysarvo, eivät saisi vaatia mallilta uutta tulkintaa jokaisella ajokerralla. Ratkaisun tulee kirjata vaatimuksen versio, näytön versiot ja sovellettu logiikka.

Avaa päätökset uudelleen, kun niiden lähtöoletukset muuttuvat

Jatkuva vaatimustenmukaisuus ei tarkoita, että jokainen hallintakeino avattaisiin uudelleen jokaisen asiakirjamuutoksen jälkeen. Se edellyttää tietoa siitä, mitkä johtopäätökset riippuvat muuttuneesta tiedosta. Korjatulla otsikolla ei välttämättä ole vaikutusta. Uusi etuoikeutettua pääsyä koskeva poikkeus voi vaikuttaa useisiin viitekehyksiin.

Historiallisen päätöksen on pysyttävä koskemattomana: se on voinut olla tuolloin perusteltu. Sen ei kuitenkaan pidä elää loputtomiin ajantasaisena väitteenä sen jälkeen, kun sen lähtöoletukset ovat muuttuneet. Nimenomaiset, versioidut suhteet antavat konsulttien keskittyä arvioihin, jotka todella vaativat uutta tarkastelua.

Nämä julkaisut eivät todista, että GRC voisi olla täysin autonominen. Useat niistä ovat esijulkaisuja tai kapeiden prototyyppien arviointeja. Ne kuitenkin osoittavat Secanille hyödyllisen mittapuun: agenttien tulee valmistella tietoa, ehdottaa vastaavuuksia, selittää puutteita ja auttaa konsultteja tekemään perusteltavissa olevia päätöksiä nopeammin.

Vihreä tila on tuotos. Vaatimuksen, todellisuuden ja päätöksen välinen jäljitettävä yhteys on tuote.