Umjetna inteligencija u GRC-u: navođenje izvora nije provjera

UI agent čita sigurnosnu politiku, pronalazi relevantan odlomak i označava zahtjev kao ispunjen. Njegovo objašnjenje zvuči uvjerljivo i uključuje poveznicu na izvor. No koja bi promjena zahtjeva ili dokaza promijenila tu presudu?

Nedavna istraživanja u području upravljanja, rizika i usklađenosti (GRC) čine to pitanje neizbježnim. Model može dati točan odgovor iz pogrešnog razloga, navesti stvarni izvor koji se odnosi na pogrešan sustav ili zamijeniti pisanu politiku za učinkovitu kontrolu. U Secaniju to shvaćamo kao izazov dizajna proizvoda: veza između zahtjeva, zapažanja i odluke mora biti otvorena za provjeru.

Testirajte ovisi li presuda o pravilu

Preprint Verdict Without the Rule zadržava slučaj nepromijenjenim, a briše, zamjenjuje ili negira mjerodavno pravilo. Kod pet lokalno pokrenutih modela i 20 područja brisanje pravila promijenilo je presudu u prosjeku u samo 5,3 posto slučajeva. Nepromijenjena presuda nije automatski pogrešna: različita pravila mogu dovesti do istog ishoda. No sam točan odgovor ne može dokazati da je sustav koristio zadano pravilo.

To zahtijeva pregledane parove slučajeva, a ne samo referentne testove s jednim odgovorom. Ako se zahtjev za pregled pristupa promijeni s tromjesečnog na mjesečni, a dostupni zapisnici ostanu isti, procjena se možda mora promijeniti. Preformuliranje istog zahtjeva bez promjene značenja trebalo bi ostaviti procjenu stabilnom. Obje su reakcije važne.

Razdvojite pokrivenost politikom od operativnog dokaza

PACE razdvaja dohvaćanje relevantnih odlomaka politike od procjene pokrivaju li oni sigurnosni zahtjev u potpunosti, djelomično ili nimalo. Njegovi prijavljeni rezultati odnose se na pokrivenost dokumentacijom, a ne na to funkcioniraju li opisane mjere u praksi. Politika može zahtijevati višefaktorsku autentifikaciju za povlašteni pristup, a da ne dokazuje koji su računi tehnički zaštićeni ili koje iznimke postoje.

ReCon dokumentira još jednostavniji neuspjeh: u nekim primjerima modeli tekst zahtjeva uključen u upit tretiraju kao da je riječ o dokazima tvrtke. Zahtjevi i zapisi tvrtke stoga trebaju zasebne identitete u podatkovnom modelu. Navod izvora treba upućivati na odlomak koji stvarno podupire tvrdnju.

To razlikovanje čini nalaze upotrebljivima. „Politika postoji, ali za tri povlaštena računa nedostaju tehnički dokazi“ govori konzultantu što treba istražiti. „Djelomično usklađeno“ ne govori.

Provjerite odnos, a ne samo izvor

Cjevovod u radu From Legacy Documentation to OSCAL izvlači imovinu iz opisa sustava i koristi strukturirane obavještajne podatke o prijetnjama za izradu artefakata usklađenosti. Njegova analiza pogrešaka pokazuje zašto stvarni izvor i dalje može podupirati pogrešan zaključak: ako je imovina pogrešno izvučena, kasniji upiti mogu vratiti stvarne ranjivosti za drugi proizvod.

Ljudski pregled najvrjedniji je upravo kod takvih veza s velikim učinkom: verzije proizvoda, granice sustava, lokacije ili dodjele kontrole o kojoj ovise mnogi kasniji nalazi. Izvučeni prijedlog treba ostati razlučiv od potvrđene stavke popisa. Kada se ispravi temeljna veza, izvedene procjene moraju biti sljedive.

Dajte dokazima opseg i vremenski okvir

Rad Compliance-as-Code for AI-Driven Identity Systems predlaže „ugovore o dokazima“ koji određuju potrebne vrste dokaza, mapiranja, polja, izdanja i razdoblja promatranja. Njegov prototip koristi sintetičke tijekove rada s identitetima, pa je studija arhitektonski primjer, a ne široka validacija u poduzećima.

Izvješće o testiranju iz ožujka ne dokazuje automatski da kontrola i dalje funkcionira nakon promjene sustava u rujnu. Izvoz konfiguracije za jedno društvo kćer ne utvrđuje stanje drugog. Dokaz treba subjekt, podrijetlo, razdoblje i tvrdnju koju podupire. Ako integracija prestane isporučivati aktualne podatke, trenutačno stanje je nedokazano; to je nešto drugo od dokazanog zakazivanja kontrole.

Učinite dogovorene provjere ponovljivima

Rad Ontological Knowledge Blocks opisuje strukturirani međuprikaz obveza koje definiraju stručnjaci, preveden u izvršna pravila validacije. Normativno tumačenje ostaje ljudska odgovornost. Zaseban preprint o procjeni rizika mapira uočljive tehničke artefakte na ordinalne ishode s pomoću verzioniranih pravila i neka svojstva dosljednosti provjerava formalno. Nijedna studija ne utvrđuje univerzalni mehanizam za usklađenost ni empirijski kalibrirane vjerojatnosti incidenata.

Korisno je načelo razlikovati tumačenje od ponovljivog izvršavanja. Agent može predložiti kriterije iz politike. Kada ih stručnjaci odobre, provjere poput nedostajućeg polja, isteklog razdoblja promatranja ili prekoračenog praga ne bi trebale pri svakom pokretanju zahtijevati novo tumačenje modela. Presuda treba bilježiti verziju zahtjeva, verzije dokaza i primijenjenu logiku.

Ponovno otvorite odluke kada se njihove pretpostavke promijene

Kontinuirana usklađenost nije zahtjev da se nakon svake izmjene dokumenta ponovno otvori svaka kontrola. Ona zahtijeva znanje o tome koji zaključci ovise o informacijama koje su se promijenile. Ispravljen naslov možda nema nikakav učinak. Nova iznimka za povlašteni pristup može utjecati na više okvira.

Povijesna odluka treba ostati netaknuta: u svoje je vrijeme možda bila opravdana. No ne bi trebala neograničeno opstati kao aktualna tvrdnja nakon što su se njezine pretpostavke promijenile. Izričiti, verzionirani odnosi omogućuju konzultantima da se usredotoče na procjene koje zaista treba ponovno pogledati.

Ovi radovi ne dokazuju da GRC može biti potpuno autonoman. Nekoliko njih su preprinti ili evaluacije uskih prototipova. Ipak, upućuju na koristan standard za Secani: agenti trebaju pripremati informacije, predlagati mapiranja, objašnjavati nedostatke i pomagati konzultantima da brže dođu do obranjivih odluka.

Zeleni status je izlazni rezultat. Sljediva veza između zahtjeva, stvarnosti i odluke je proizvod.