L’IA dans la GRC : citer n’est pas vérifier

Un agent IA lit une politique de sécurité, trouve un paragraphe pertinent et marque une exigence comme satisfaite. Son explication paraît plausible et comporte un lien vers la source. Mais quelle modification de l’exigence ou de la preuve changerait ce verdict ?

Les recherches récentes sur la gouvernance, la gestion des risques et la conformité (GRC) rendent cette question incontournable. Un modèle peut donner la bonne réponse pour une mauvaise raison, citer une source authentique rattachée au mauvais système ou confondre une politique écrite avec une mesure effective. Chez Secani, nous y voyons un défi de conception produit : le lien entre exigence, observation et décision doit pouvoir être examiné.

Tester si le verdict dépend de la règle

La prépublication Verdict Without the Rule conserve un cas à l’identique tout en supprimant, remplaçant ou niant la règle applicable. Sur cinq modèles exécutés localement et 20 domaines, la suppression de la règle n’a modifié le verdict que dans 5,3 % des cas en moyenne. Un verdict inchangé n’est pas automatiquement faux : des règles différentes peuvent conduire au même résultat. Mais une réponse correcte ne suffit pas à établir que le système a utilisé la règle fournie.

Cela appelle des paires de cas revues, et pas seulement des bancs d’essai à réponse unique. Si une exigence de revue des accès passe d’une fréquence trimestrielle à une fréquence mensuelle alors que les journaux disponibles restent les mêmes, l’évaluation peut devoir changer. Reformuler la même exigence sans en modifier le sens devrait laisser l’évaluation stable. Les deux réactions comptent.

Distinguer la couverture par les politiques de la preuve opérationnelle

PACE sépare la recherche des passages de politique pertinents de l’évaluation de leur couverture d’une exigence de sécurité : totale, partielle ou nulle. Ses résultats portent sur la couverture documentaire, et non sur le fonctionnement effectif des mesures décrites. Une politique peut exiger l’authentification multifacteur pour les accès à privilèges sans prouver quels comptes sont techniquement protégés ni quelles exceptions existent.

ReCon documente une défaillance encore plus simple : dans certains exemples, les modèles traitent le texte de l’exigence inclus dans l’invite comme s’il s’agissait d’une preuve de l’entreprise. Les exigences et les enregistrements de l’entreprise doivent donc avoir des identités distinctes dans le modèle de données. Une citation doit renvoyer au passage qui étaye réellement l’affirmation.

Cette distinction rend les constats exploitables. « La politique existe, mais les preuves techniques manquent pour trois comptes à privilèges » indique à un consultant ce qu’il doit examiner. « Partiellement conforme » ne le fait pas.

Vérifier la relation, pas seulement la source

La chaîne de traitement décrite dans From Legacy Documentation to OSCAL extrait des actifs à partir de descriptions de systèmes et utilise du renseignement sur les menaces structuré pour produire des artefacts de conformité. Son analyse des erreurs montre pourquoi une source réelle peut néanmoins étayer une conclusion erronée : si un actif est mal extrait, les requêtes ultérieures peuvent renvoyer des vulnérabilités authentiques concernant un autre produit.

La revue humaine apporte le plus de valeur sur ces liens à fort impact : une version de produit, une limite de système, un site ou une affectation de mesure dont dépendent de nombreux constats ultérieurs. Une suggestion extraite doit rester distinguable d’un élément d’inventaire confirmé. Lorsqu’un lien fondamental est corrigé, les évaluations qui en dérivent doivent être traçables.

Donner aux preuves un périmètre et une fenêtre temporelle

Compliance-as-Code for AI-Driven Identity Systems propose des « contrats de preuve » qui précisent les types de preuves requis, les correspondances, les champs, les versions et les périodes d’observation. Son prototype s’appuie sur des processus d’identité synthétiques ; l’étude constitue donc un exemple d’architecture plutôt qu’une validation à grande échelle en entreprise.

Un rapport de test de mars ne prouve pas automatiquement qu’une mesure fonctionne encore après un changement de système en septembre. Un export de configuration pour une filiale n’établit pas l’état d’une autre. Une preuve a besoin d’un objet, d’une origine, d’une période et d’une affirmation qu’elle étaye. Si une intégration cesse de fournir des données actuelles, l’état présent est non démontré ; c’est différent d’une défaillance avérée de la mesure.

Rendre les contrôles convenus reproductibles

Ontological Knowledge Blocks décrit une représentation intermédiaire structurée d’obligations définies par des experts, compilée en règles de validation exécutables. L’interprétation normative reste une responsabilité humaine. Une autre prépublication sur l’appréciation des risques associe des artefacts techniques observables à des résultats ordinaux au moyen de règles versionnées et vérifie formellement certaines propriétés de cohérence. Aucune de ces études n’établit un moteur de conformité universel ni des probabilités d’incident calibrées empiriquement.

Le principe utile consiste à distinguer l’interprétation de l’exécution reproductible. Un agent peut suggérer des critères à partir d’une politique. Une fois qu’ils ont été approuvés par des experts, des contrôles tels qu’un champ manquant, une période d’observation expirée ou un seuil dépassé ne devraient pas exiger une nouvelle interprétation par le modèle à chaque exécution. Un verdict doit consigner la version de l’exigence, les versions des preuves et la logique appliquée.

Rouvrir les décisions lorsque leurs prémisses changent

La conformité continue n’exige pas de rouvrir chaque mesure après chaque modification de document. Elle exige de savoir quelles conclusions dépendent de l’information qui a changé. Un titre corrigé peut n’avoir aucun effet. Une nouvelle exception concernant les accès à privilèges peut toucher plusieurs référentiels.

La décision historique doit rester intacte : elle était peut-être justifiée à l’époque. Mais elle ne doit pas survivre indéfiniment comme une affirmation actuelle une fois que ses prémisses ont changé. Des relations explicites et versionnées permettent aux consultants de se concentrer sur les évaluations qui méritent réellement un nouvel examen.

Ces travaux ne prouvent pas que la GRC puisse être entièrement autonome. Plusieurs sont des prépublications ou des évaluations de prototypes restreints. Ils dessinent toutefois une norme utile pour Secani : les agents doivent préparer l’information, proposer des correspondances, expliquer les écarts et aider les consultants à parvenir plus vite à des décisions défendables.

Un statut vert est un résultat. Le lien traçable entre exigence, réalité et décision, voilà le produit.