Usklađenost temeljena na umjetnoj inteligenciji

Od dokumenata do strukturiranog radnog prostora za usklađenost

Usklađenost temeljena na umjetnoj inteligenciji znači korištenje umjetne inteligencije unutar strukturiranog procesa usklađenosti koji se može pregledati, a ne samo dodavanje chatbota spremištu dokumenata. Načelo rada je jednostavno: umjetna inteligencija ubrzava pripremu i analizu, ljudi odobravaju odluke s posljedicama, a dokazi ostaju povezani sa svakom tvrdnjom koju podupiru.

Za tehničkog direktora arhitektonsko je pitanje može li sustav prikazati stvarne kontrole organizacije. Politika opisuje namjeravano ponašanje. Izvoz konfiguracije pokazuje postavku. Dovršeni pregled pristupa dokazuje aktivnost. To su različite vrste dokaza, a generiranje tečnog teksta ne čini ih međusobno zamjenjivima.

Koristan radni prostor povezuje zahtjeve, kontrole, sustave, dokaze, odgovorne osobe, zadatke i odluke. Ta struktura omogućuje timovima da potkrijepljene informacije ponovno koriste u više okvira, a da pritom slične zahtjeve ne zamijene s jednakovrijednim obvezama.

Zašto zasebni projekti za pojedine okvire stvaraju tehnički dug

Organizacije često drže politike u dokumentima, dokaze u mapama, rizike u proračunskim tablicama, a zadatke otklanjanja u alatima za upravljanje projektima. Narativi za audit zatim se ponovno sastavljaju iz tih raspršenih izvora. Dodavanje novog okvira često stvara još jednu kopiju istih informacija.

Posljedice nadilaze administrativni napor. Odvojeni timovi mogu inženjerima davati proturječne upute o istom procesu kontrole pristupa. Jedna procjena može koristiti zastarjeli opis arhitekture, a druga trenutačnu verziju. Uglađeno izvješće može prikriti neriješeni nedostatak u provedbi.

Praktična je alternativa zajednički model kontrola s prikazima specifičnima za pojedine okvire. Provedbu održavajte jednom, priložite odgovarajuće dokaze i zasebno ocijenite koje zahtjeve podupire. Time se smanjuju dvostruki zahtjevi, a da se ne brišu razlike u opsegu, razdobljima ocjenjivanja ili zakonskim dužnostima.

Definirajte primjenjivost prije nego što umjetnu inteligenciju zatražite da mapira kontrole

Počnite od organizacijske granice: koja su usluga, pravni subjekt, sustavi, lokacije i pružatelji uključeni? Evidentirajte verziju okvira i razlog zbog kojeg se svaka obveza primjenjuje. U protivnom umjetna inteligencija može izraditi uvjerljiva mapiranja za zahtjeve izvan stvarnog opsega.

Razlike su važne:

• BSI IT-Grundschutz, jedno od ključnih težišta Secanijevih dokumentiranih tijekova rada, kombinira metodologiju informacijske sigurnosti s kompendijem modula. Modelirajte ciljne objekte u opsegu i odaberite primjenjive module umjesto da kompendij tretirate kao opći kontrolni popis.
• ISO/IEC 27001 odnosi se na sustav upravljanja informacijskom sigurnošću s definiranim opsegom. Njegovi zahtjevi za sustav upravljanja, postupanje s rizicima, Izjava o primjenjivosti, interni audit i upravin pregled ostaju zasebni rezultati.
• NIS2 se provodi nacionalnim zakonodavstvom. Primjenjivost ovisi o sektoru, veličini, uslugama i pravilima o uključivanju; certifikacija ne dokazuje usklađenost.
• DORA, Uredba o digitalnoj operativnoj otpornosti, prvenstveno obuhvaća određene financijske subjekte. Pružatelji IKT usluga mogu imati ugovorne obveze, dok za određene ključne pružatelje vrijedi zaseban režim nadzora.
• Obveze iz GDPR-a (Opća uredba o zaštiti podataka) ovise o obradi i organizacijskim ulogama. Sami sigurnosni dokazi ne dokazuju usklađenost s Uredbom.

Primjenjivost tretirajte kao odobreni ulazni podatak, a ne kao zaključak koji model prešutno izvodi. Za nesigurne slučajeve otvorite izričit zadatak tumačenja s odgovornim recenzentom.

Izgradite model dokaza prije generiranja dokumenata

Praktičan minimalni model trebao bi razlikovati zahtjev, provedenu kontrolu, dokaze koji je podupiru i odluku iz pregleda. Prenesena datoteka sama po sebi nije kontrola, a odobrena politika nije dokaz da se postupak dosljedno provodi.

U model pripadaju i ovisnosti. Aplikacija namijenjena kupcima može ovisiti o pružatelju identiteta, infrastrukturi u oblaku i upravljanom timu za podršku. Dokazi o jednoj ovisnosti ne smiju se automatski smatrati dokazom za cijelu uslugu.

Ta struktura čini slab obuhvat vidljivim: politika pristupa može biti ažurna dok zapisi o pregledu nedostaju, ili snimka zaslona konfiguracije može obuhvaćati samo jedno okruženje.

Koristite umjetnu inteligenciju za prijedloge mapiranja, a ne za automatsku jednakovrijednost

Umjetna inteligencija može pomoći u izdvajanju relevantnih odlomaka, predlaganju odnosa, utvrđivanju nedostajuće potpore i sastavljanju nacrta opisa kontrola. Dajte joj utvrđene verzije izvora i stvarnu provedbu, a ne samo nazive kontrola.

Koristan prijedlog mapiranja objašnjava koji se dio preklapa, koji dokazi podupiru to preklapanje i što ostaje neriješeno. Odnosi su često tipa više-prema-više: jedna kontrola podupire nekoliko zahtjeva, dok jedan zahtjev treba nekoliko kontrola.

Postupanje s incidentima dobro ilustrira tu granicu. Zajednički proces odgovora može podupirati više okvira, ali pragovi izvješćivanja, primatelji, okidači i rokovi mogu se razlikovati. Ponovna upotreba operativnog procesa ne ispunjava svaku obvezu obavješćivanja.

Recenzenti bi trebali provjeriti nedostajući opseg, proturječne izvore, zastarjele reference i nepotkrijepljene tvrdnje prije nego što odobre ponovnu upotrebu. Sačuvajte obrazloženje uz odnos kako bi se kasnija promjena okvira ili provedbe mogla razumno procijeniti. Naš vodič za operativni registar rizika primjenjuje isto načelo pregledane pomoći na scenarije i odluke o postupanju.

Prikupljanje dokaza i izrada nacrta trebaju različite zaštitne mjere

Prikupljajte dokaze iz mjerodavnih sustava kontroliranim procesom, bilo da je riječ o ručnim izvozima ili o ocijenjenom mehanizmu prikupljanja. Evidentirajte tko ih je prikupio, kada i koju populaciju obuhvaćaju. Ne pretpostavljajte da proizvod s umjetnom inteligencijom automatski ima pristup operativnim sustavima.

Izdvajanje uz pomoć umjetne inteligencije trebalo bi sačuvati izvorni odlomak ili zapis koji podupire svaki zaključak. Pregledajte posebno pažljivo kada dokumenti sadržavaju proturječne izjave, snimke zaslona nemaju datum ili izvezeni podaci izostavljaju neke račune. Nedostajući dokazi trebali bi rezultirati pitanjem ili zadatkom, a ne izmišljenom tvrdnjom da kontrola funkcionira.

Za generiranu dokumentaciju koristite dosljedan obrazac nacrta: svrha, opseg, provedba, odgovorna osoba, dokazi, iznimke i status pregleda. Razlikujte namjeravane postupke od opaženog rada. Izvješća bi trebala koristiti pregledane kontrole i otkrivati bitne nedostatke umjesto da prijedloge iz nacrta pretvaraju u konačno jamstvo.

Preneseni materijal također treba tretirati kao nepouzdan ulaz. Upute ugrađene u dokumente ne smiju nadjačati tijek rada pregleda niti odobravati radnje. Pristup za čitanje radi analize ne bi smio podrazumijevati dopuštenje za izmjenu kontrola, odobravanje odluka ili distribuciju izvješća.

Primjer iz prakse: jedan pregled pristupa, nekoliko upotreba

Uzmimo ilustrativan primjer SaaS tima koji dokumentira jednu produkcijsku uslugu. Pretpostavimo da ima odobrenu politiku pristupa, datirani izvoz iz sustava pružatelja identiteta, zapise o tromjesečnim pregledima i otvoreni zadatak za uklanjanje dvaju nepotrebnih administratorskih računa. Ne pretpostavljaju se nikakve uštede ni performanse proizvoda.

Tim najprije definira granicu: produkcijski računi su uključeni; zasebno istraživačko okruženje je isključeno. Zatim povezuje politiku s namjeravanim procesom pregleda, a dovršene zapise s aktivnošću pregleda.

Umjetna inteligencija predlaže opis kontrole pristupa i moguća mapiranja na okvire. Recenzent pronalazi tri problema:

• Izvoz obuhvaća ljudske račune, ali ne i servisne identitete.
• Zapisi o pregledu prikazuju odluke, ali nedostaju dokazi o uklanjanju dvaju administratorskih računa.
• Politika navodi tromjesečne preglede, a jedan je dovršeni pregled kasnio.

Recenzent odobrava potkrijepljeni opis, odbacuje tvrdnju da se pregledava sav povlašteni pristup i otvara zadatke za obuhvat servisnih identiteta i provjeru uklanjanja. Mapiranja specifična za pojedine okvire zadržavaju ta ograničenja.

Rezultat je pregledana evidencija kontrole s ograničenim dokazima i otvorenim otklanjanjem. Korisnija je od nekoliko samouvjerenih narativa jer inženjeri znaju što trebaju popraviti, a auditori mogu provjeriti što podupire tvrdnju.

Neka održavanje usklađenosti bude pokretano događajima

Kontinuirana usklađenost trebala bi značiti održavanje dokaza i odluka kako nastaju relevantne promjene. Ne bi smjela podrazumijevati da umjetna inteligencija neprestano dokazuje učinkovitost svake kontrole.

Kao praktičnu preporuku, kombinirajte zakazane preglede s okidačima promjene: novi pružatelj, promijenjeno oblikovanje autentifikacije, izmijenjeni okvir, isteklo razdoblje dokaza ili značajan incident. Utvrdite pogođene kontrole, mapiranja, odgovorne osobe i izvješća, a zatim prema potrebi zatražite nove dokaze.

Držite statuse odvojenima: predloženo, čeka dokaze, pregledano, odobreno i otvoreno otklanjanje ne bi se smjeli stopiti u jedan zeleni pokazatelj. Pratite mjere kao što su zakašnjeli pregledi, nepotkrijepljene tvrdnje, neriješene iznimke i starost dokaza. One jasnije od broja dokumenata otkrivaju opterećenje i kvalitetu jamstva.

Zaštitite i sam radni prostor za usklađenost

Materijali o usklađenosti otkrivaju arhitekturu, slabosti, interne procese, a ponekad i osobne podatke. Ocijenite lokaciju hostinga zajedno s pristupom pružatelja, podizvršiteljima obrade, čuvanjem, brisanjem, uvjetima upotrebe modela i primjenjivim aranžmanima prijenosa. Sama lokacija podataka u EU-u ili Njemačkoj ne dokazuje suverenost ni usklađenost s GDPR-om.

Primijenite pristup prema načelu najmanjih ovlasti i odvojite izradu nacrta od odobravanja. Zaštitite vjerodajnice i nepotrebne osobne podatke prije prijenosa dokaza. Zahtijevajte sljedivost za bitne promjene i utvrdite kako recenzenti mogu osporiti zaključak umjetne inteligencije. Ljudsko odobrenje mora značiti provjeru potpore i razrješavanje nesigurnosti, a ne klikanje kroz red čekanja.

Počnite s jednim tijekom rada koji se može pregledati

Secani podupire usmjeren početak: modelirajte uslugu ili organizacijsku jedinicu pomoću stvarnih ciljnih objekata, povežite njezine sustave i vanjske pružatelje te imenujte odgovorne osobe i recenzente. Prenesite postojeće politike, izvoze, snimke zaslona i opise; povežite ih sa zahtjevima, kontrolama, sustavima ili odlukama koje podupiru. Prijedloge izrađene uz pomoć umjetne inteligencije koristite kao nacrte, provjerite njihove izvore i sačuvajte komentare, odobrenja i vremenske oznake. Nedostajuće ili zastarjele dokaze pretvorite u zadatke umjesto da ostanu zakopani u dokumentima.

Za prvi ciklus odaberite jednu obitelj kontrola i kratak ritam pregleda. Prije proširenja zahtijevajte jasan opis provedbe, ažurne dokaze, pregledana mapiranja i dodijeljene nedostatke. Dokumentacija za Secani objašnjava taj početni tijek rada. Uspjeh je sljediva odluka koju sljedeći recenzent može ponoviti, a ne samo veća zbirka generiranog teksta.