Építsen olyan kockázati nyilvántartást, amely döntéseket változtat meg

Egy kockázati nyilvántartás akkor éri meg a helyét, ha megváltoztatja a prioritásokat, az erőforrásokat vagy a megvalósítást. Segítenie kell egy mérnöki vezetőt annak eldöntésében, hogy elhalasszon-e egy kiadást, korlátozzon-e egy jogosultságot, finanszírozzon-e helyreállítási munkát, vagy elfogadjon-e egy kitettséget egy meghatározott időszakra. Egy piros, sárga és zöld bejegyzésekből álló lista nem elég.

Kezdjen olyan forgatókönyvekkel, amelyeket az üzlet felismer, ne olyan címkékkel, mint a „kiberkockázat”. Ezután kapcsolja minden forgatókönyvet az érintett szolgáltatáshoz, az értékelési bizonyítékokhoz, a kontrollokhoz, a kezelési munkához és az elszámoltatható döntéshozóhoz. A nyilvántartás akkor válik hasznossá, ha valaki végig tudja követni ezt a láncot, és meg tudja magyarázni, miért számít a következő lépés.

Határozza meg a döntéseket, mielőtt megtervezné a nyilvántartást

Kezdjen egyetlen termékkel, üzleti folyamattal vagy felügyelt szolgáltatással. Azonosítsa annak kritikus függőségeit, fontos információit, külső szolgáltatóit és működési korlátait. Egy fókuszált határ megkönnyíti a módszer tesztelését, mielőtt az egész szervezetre kiterjesztené.

Kérdezze meg azokat, akik a nyilvántartást használni fogják, milyen döntéseket kell meghozniuk. Egy platformvezetőnek választania kell a helyreállítás javítása és egy örökölt komponens lecserélése között. Egy ügyfélszolgálati vezetőnek esetleg szűkebb hozzáférést kell jóváhagynia anélkül, hogy megzavarná az ügyfélkiszolgálást. Egy technológiai vezetőnek (CTO) el kell döntenie, hogy egy bevezetés folytatható-e befejezetlen kezelési munkával.

Az értékelési módszert és a jóváhagyási szabályokat a pontszámok gyűjtése előtt határozza meg. Gyakorlati ajánlásként dokumentálja:

• Az értékelési időtávot, például a következő tizenkét hónap kitettségét.
• A valószínűségi és hatásdefiníciókat, beleértve azt, hogyan kezelik az egymásnak ellentmondó hatásdimenziókat.
• A kockázatvállalási hajlandóságot és a működési tűréshatárokat.
• Azt, hogy ki hagyhatja jóvá a kezelést és ki fogadhatja el a maradványkitettséget.
• A felülvizsgálati időközöket és az újraértékelést igénylő eseményeket.

A kockázatvállalási hajlandóság azt fejezi ki, milyen fajtájú és szintű kockázatot hajlandó a szervezet vállalni vagy megtartani. A tűréshatár ezt az álláspontot használható határokká fordítja le, például a maximálisan elfogadható kiesésre vagy az ügyféladatok ellenőrizetlen exportjának korlátozására vonatkozóan.

Az ISO/IEC 27001 szerinti IBIR esetében a 6.1.2 és 6.1.3 szakasz foglalkozik a kockázatértékeléssel és a kockázatkezeléssel. A 8.2 szakasz tervezett időközönként, valamint jelentős változások bekövetkezésekor vagy javaslatakor ír elő értékeléseket. A szabvány nem ír elő egyetlen egyetemes éves ütemezést vagy pontozási mátrixot. Módszerének a tényleges IBIR-hatókörön belül kell működnie.

Adjon minden bejegyzésnek elég struktúrát ahhoz, hogy cselekvést támogasson

Egy nyilvántartás indulhat táblázatban. Hasznossága a kapcsolatoktól, a felelősségektől és a karbantartástól függ, nem a fájlformátumtól. Az összekapcsoltabb eszközök akkor válnak értékessé, amikor a kézi egyeztetés megbízhatatlanná teszi ezeket a kapcsolatokat.

Használjon stabil azonosítót és néhány olyan mezőt, amely gyakorlati kérdésekre válaszol. A terjedelmes műszaki bizonyítékokat kapcsolt rekordokban tartsa, ahelyett hogy minden sorba bemásolná őket.

Különböztesse meg a kockázat állapotát a feladat állapotától. A „kezelés folyamatban” nem jelenti azt, hogy a kitettség csökkent. Az „elfogadva” nem jelenti azt, hogy a forgatókönyv eltűnt. A lezárást tartsa fenn olyan körülményekre, mint az érintett tevékenység megszűnése vagy a forgatókönyv alkalmazhatóságának megszűnése, és őrizze meg az indoklást.

Hasonlóképpen, egy sebezhetőség, egy sikertelen kontroll és egy kockázat összefüggő, de különböző rekordok. Egy hiányzó javítócsomag gyengeség. Egy sikertelen telepítési ellenőrzés kontrollprobléma. A kockázat azt írja le, mi történhet e feltételek miatt, és miért számít. A részletes megállapításokat kapcsolja ehhez a forgatókönyvhöz, ahelyett hogy minden szkennereredményhez külön vállalati kockázatot hozna létre.

Tárja fel a forgatókönyveket a szolgáltatás működéséből

A kockázatok azonosításához használjon architekturális és működési bizonyítékokat. Vonja be a mérnöki, biztonsági, szolgáltatásfelelősi, ügyfélszolgálati és releváns üzleti területeket egy fókuszált megbeszélésbe. A szabályzatok önmagukban ritkán tárják fel, hol tágabbak a jogosultságok a szándékoltnál, hol függ a helyreállítás egyetlen személytől, vagy mikor vált egy beszállító kritikus függőséggé.

Hasznos bemenetek lehetnek az adatáramlási ábrák, a hozzáférés-felülvizsgálatok, az incidensnyilvántartások, a visszaállítási tesztek, a beszállítói értékelések, a sebezhetőségi megállapítások, a változási javaslatok és a nyitott auditmegállapítások. A fenyegetésmodellezés segíthet a csapatoknak megvizsgálni a bizalmi határokat és a valószerű hibaútvonalakat.

Egy hasznos forgatókönyv ezt a mintát követi: egy esemény egy azonosítható gyengeségen keresztül érint egy adott szolgáltatást, és meghatározott következményekkel jár.

Például: egy kompromittált ügyfélszolgálati fiók a túlzott jogosultságok miatt lehetővé teszi ügyfélrekordok exportálását, ami jogosulatlan adatfelfedéshez és reagálási munkához vezet. Ez jobban kezelhető, mint a „fiókkompromittálódás”. Egy támadási útvonalat és az azt megszakítani képes kontrollokat is azonosítja.

Tekintsen túl a bizalmasságon. Vegye figyelembe a kieséseket, a sérült rekordokat, a sikertelen helyreállítást, a beszállítói zavarokat, az adminisztratív visszaéléseket és a nem elérhető szakértelmet. MI-alapú funkciók esetén gondoljon arra, hogy helytelen kimenetek alapján cselekszenek, érzékeny információ kerül egy alkalmatlan szolgáltatásba, vagy egy ágens a tervezett jogkörén túl hajt végre műveleteket.

A forgatókönyveket gondosan szűrje a duplikációktól. Két szolgáltatás osztozhat egy identitásszolgáltatón, de eltérőek lehetnek a következmények és a kezelési lehetőségek. Fordítva: több megállapítás is hozzájárulhat egyetlen exportforgatókönyvhöz. Ott vonja össze őket, ahol a döntés és a felelős közös; ott válassza szét, ahol az üzleti következmények vagy a kezelési döntések eltérnek.

A feltárási hiányosságokat munkaként rögzítse. Ha senki sem tudja, mely ügyfelek használnak egy exportfunkciót, ebből a bizonytalanságból vizsgálati feladat legyen, ne pedig kitalált hatásbecslés.

Értékelje a kitettséget anélkül, hogy pontosságot gyártana

Alakítson ki közös pontozási nyelvet

A valószínűséghez és a hatáshoz olyan definíciók szükségesek, amelyeket az értékelők következetesen alkalmazhatnak. A valószínűségnél különböztesse meg a fenyegetési aktivitást attól a valószínűségtől, hogy a teljes forgatókönyv sikeres lesz. A gyakori adathalász-kísérletek nem jelentenek automatikusan gyakori tömeges adatfelfedést: a hitelesítés, a jogosultságok, a munkamenet-kontrollok és az exportkorlátozások befolyásolják az útvonalat.

A hatásnak az üzleti eredményt kell tükröznie. Ahol releváns, vegye figyelembe a szolgáltatáskiesést, az adatfelfedést, a sértetlenség elvesztését, a reagálási költségeket, a szerződéses következményeket és az érintett személyeknek okozott kárt. Dokumentálja az összesítési szabályt. Ha a módszer a legmagasabb lényeges hatásdimenziót használja, mondja ki; egy átlag egyébként elrejthet egy súlyos bizalmassági következményt kisebb működési hatások mögött.

Egy egyszerű ordinális mátrix támogathatja az előzetes rangsorolást. Két kategóriaszám összeszorzása azonban indexet ad, nem mért valószínűséget vagy pénzbeli veszteséget. Ne adja össze ezeket a pontszámokat a szolgáltatásokon átívelően, és ne nevezze az eredményt a vállalat teljes kitettségének. A besorolást az indoklással, a sürgősséggel, a bizonytalansággal és a kezelési függőségekkel együtt használja.

Az értékeléseket közösen kalibrálja. Kérje meg a felelősöket, hogy néhány reprezentatív forgatókönyvet egymástól függetlenül pontozzanak, hasonlítsák össze érvelésüket, és a definíciók alapján oldják fel az eltéréseket. Ez hasznosabb, mint hagyni, hogy minden részleg kialakítsa a „magas” saját értelmezését.

Válassza szét az eredendő, a jelenlegi maradvány- és a célzott maradványkockázatot

Az eredendő kockázat alapállapotát kifejezetten határozza meg. Leírhatja a forgatókönyvet a kiválasztott biztonsági kontrollok nélkül, de meg kell határoznia a feltételezett szolgáltatásarchitektúrát és üzleti tevékenységet. Ellenkező esetben az értékelők a „kontrollok nélkül” egymással összeegyeztethetetlen változatait képzelhetik el.

A jelenlegi maradványkockázat azokat a kontrollokat tükrözi, amelyek meg vannak valósítva, és amelyeket releváns hatékonysági bizonyítékok támasztanak alá. A célzott maradványkockázat a javasolt kezelés utáni várt kitettség. Mindkettőt tartsa láthatóan: egy tervezett hozzáférés-korlátozás nem csökkentheti a mai besorolást.

Nem minden kontroll változtatja meg mindkét dimenziót. Az erősebb hitelesítés csökkentheti a valószínűséget. A szűkebb exportjogosultságok korlátozhatják a kitett adatmennyiséget. A tesztelt reagálási eljárások az észlelés után korlátozhatják a következményeket. Írja le a mechanizmust, ahelyett hogy egy kontroll puszta létezése miatt általános százalékos csökkentést alkalmazna.

Őrizze meg a bizonytalanságot, és a kvantitatív elemzést szelektíven használja

Rögzítse a feltevéseket, a bizonyítékok dátumait, a lefedettségi hiányosságokat és a megbízhatóságot. A „nem volt korábbi incidens” gyenge bizonyíték, ha a naplózás nem képes észlelni az eseményt. Az alacsony megbízhatóságnak vizsgálatot kell kiváltania; nem kell automatikusan a legmagasabb pontszámot kikényszerítenie.

Költséges kezelési döntéseknél a kvalitatív értékelést egészítse ki forgatókönyv-alapú pénzügyi elemzéssel. Használjon tartományokat az események gyakoriságára és a következményekre, azonosítsa a fő költségtényezőket, és tesztelje, hogyan változik a döntés különböző feltevések mellett. A szimuláció segíthet e tartományok feltárásában, de nem javíthatja ki a megalapozatlan bemeneteket.

Szemléltető számításként tegyük fel, hogy az esemény gyakorisága évi 0,05 és 0,2 között van, a veszteség pedig eseményenként 100 000 és 400 000 euró között. A végpontok összeszorzása durván évi 5000 és 80 000 euró közötti tartományt ad. Ez a megbeszélés bemenete, nem előrejelzés, és nem igazolja a ritka, súlyos kimenetelek figyelmen kívül hagyását. Magyarázza el, milyen további bizonyítékok szűkítenék a tartományt.

Kapcsolja a kontrollokat a hibaútvonalhoz

A kontrollmegfeleltetésnek az ok-okozati összefüggést kell megmagyaráznia. Az ügyfélszolgálati fiók forgatókönyvében a hitelesítés a fiókátvétellel foglalkozik, a jogosultságkezelés korlátozza az elérhető rekordokat, az exportkorlátozások korlátozzák az adatkinyerést, a monitorozás pedig támogatja az észlelést. Egy hozzáférési felelősségeket elismerő szabályzat releváns, de nem bizonyítja, hogy ezek a műszaki korlátozások működnek.

Tartsa fenn a több-a-többhöz kapcsolatokat: egy identitáskontroll több kockázatot is támogathat, egy kockázat pedig több kontrolltól is függhet. Rögzítse a hatókört és a függőségeket. Egy hitelesítési kontroll, amely a munkatársakra kiterjed, de a beszállítói fiókokat kizárja, nem támaszthatja alá ugyanazt a következtetést mindkét csoportra.

Értékeljen három külön kérdést:

• Kialakítás: Megszakítaná vagy korlátozná-e a kontroll a forgatókönyvet, ha a szándékoknak megfelelően működne?
• Megvalósítás: Telepítve van-e a releváns rendszerekben, identitásokban és munkafolyamatokban?
• Működés: Az aktuális bizonyítékok azt mutatják-e, hogy továbbra is működik?

A hozzáférés-korlátozásoknál a bizonyítékok között szerepelhetnek szerepkör-definíciók, tényleges hozzárendelések, negatív jogosultsági tesztek és elvégzett jogosultság-megszüntetések. A helyreállításnál egy mentési konfiguráció kevesebbet bizonyít, mint egy integritás-ellenőrzésekkel és mért helyreállítási eredménnyel végzett visszaállítási teszt. Az exportmonitorozásnál mutassa meg, hogy az eseményt rögzítik, a riasztás eljut egy reagálóhoz, és a reagáló ki tudja vizsgálni.

A bizonyítékokkal együtt őrizze meg azok eredetét: a forrást, a gyűjtés időpontját, a hatókört, a felülvizsgálót és a korlátokat. A bizonyítékok kora kontextusfüggő. Egy konfigurációs export egy telepítés után elavulhat; egy gyakorlat eredménye hasznos maradhat, amíg az architektúra vagy a felelősségek meg nem változnak.

Ne csökkentse a maradványkockázatot az elvégzett feladatokkal egyenes arányban. Négyből három lezárt jegy nem jelent 75%-os csökkenést. A hiányzó jegy valósíthatja meg azt az egyetlen kontrollt, amely korlátozza az adatfelfedést. Az ellenőrzött változtatások után vizsgálja felül a forgatókönyvet, majd rögzítse, miért változott a következtetés.

Válassza ki a kezelést, és tegye egyértelművé a kompromisszumot

A szokásos kezelési lehetőségek a kockázat elkerülése, csökkentése, megosztása vagy áthárítása, valamint elfogadása. Ezek kombinálhatók, de mindegyikhez kimondott cél szükséges.

Az elkerülés megszünteti vagy megváltoztatja a kitettséget előidéző tevékenységet. Nem feltétlenül szünteti meg az összes kapcsolódó kockázatot. Egy funkció megszüntetése olyan kézi folyamatokat vezethet be, amelyek saját értékelést igényelnek.

A csökkentésnél a megelőző kontrollokat és a következményeket korlátozó intézkedéseket is vegye figyelembe. Hasonlítsa össze a mérnöki ráfordítást, a működési súrlódást, a függőségeket, a várható hasznot és a hatás bekövetkezéséig eltelő időt. Egy azonnali korlátozás előnyösebb lehet egy erősebb architekturális változtatásnál, amely több hónapig nem valósítható meg; a nyilvántartásnak mindkét szakaszt rögzítenie kell.

A szerződéses áthárítás és a biztosítás nem szüntet meg minden működési következményt. Egy beszállítói kártalanítás nem állítja helyre a szolgáltatását, és a biztosítás nem teszi meg nem történtté az adatfelfedést. Ahol személyes adatok kezelése is érintett, a kiszervezés a GDPR szerinti szerepspecifikus kötelezettségeket is megtartja; a 28. és 32. cikk továbbra is releváns az adatfeldolgozói megállapodások és a biztonsági intézkedések szempontjából.

Az elfogadás megerősítő döntés, nem a költségvetés hiánya vagy egy lejárt határidejű jegy. Rögzítse az üzleti indoklást, az aktuális bizonyítékokat, a megtartott kitettséget, a jóváhagyó szervet, az időtartamot és a felülvizsgálatot igénylő feltételeket. A költség releváns, de nem az egyetlen kritérium: jogi kötelezettségek, ügyfeleknek tett vállalások és következmények kizárhatnak egy egyébként kényelmes lehetőséget.

Minden kezelési intézkedéshez rendeljen megvalósítási felelőst, erőforrás-kötelezettségvállalást, céldátumot, függőséget és teljesítési tesztet. A kockázatfelelős továbbra is elszámoltatható az átfogó értékelésért és válaszért; a feladatfelelősök az egyes változtatásokat valósítják meg. Egy jogosult felülvizsgáló hagyja jóvá a kezelési döntést és bármely megtartott kitettséget a szervezet szabályai szerint.

Határozza meg az eszkalációt, mielőtt a munka elakadna. Egy közelgő bevezetést érintő elmulasztott mérföldkőnek például bevezetési döntést kell kiváltania, nem pedig egyszerűen a határidő áthelyezését. Az elvetett alternatívákat is rögzítse, különösen ha megmagyarázzák, miért választottak ideiglenes kezelést.

Kidolgozott példa: egy ügyfélszolgálati fiókhoz kapcsolódó exportkockázat

Az alábbi példa szemléltető jellegű. Tegyük fel, hogy egy szoftverszolgáltatásnak húsz ügyfélszolgálati felhasználója van, az ügyfélrekordok egy ügyfélszolgálati konzolon keresztül érhetők el, és egy korábbi működési modellből örökölt tömeges exportfunkció létezik. Az egyszeri bejelentkezés meg van valósítva, de a tömeges exportjogosultságok széles körben ki vannak osztva. A meglévő naplók rögzítik az exportokat, de egyetlen riasztást sem teszteltek.

A forgatókönyv: egy támadó kompromittál egy ügyfélszolgálati munkamenetet, és a túlzott jogosultságok révén ügyfélrekordokat exportál, ami jogosulatlan adatfelfedéshez és ügyfélkezelési reagálási munkához vezet.

A kockázatért a szolgáltatásfelelős elszámoltatható. A hitelesítési változtatásokért az identitáskezelési vezető, a jogosultságkezelésért az alkalmazásfejlesztő csapat, az észlelési tesztekért pedig a biztonsági üzemeltetés felel.

E hipotetikus szervezet ötfokozatú módszere szerint az eredendő besorolás: valószínűség 4, hatás 4. A jelenlegi maradványértékelés: valószínűség 3, hatás 4: a meglévő hitelesítés nyújt némi védelmet, de a széles jogosultságok jelentős adatfelfedési útvonalat hagynak nyitva. A megbízhatóság közepes, mert a munkamenet-védelmeket és a maximális exportmennyiséget még nem tesztelték. Ezek a számok szemléltető kategóriabesorolások, nem valószínűségek.

A csapat három lehetőséget hasonlít össze: a tömeges exportok megszüntetését, azok jóváhagyott felhasználókra való korlátozását, vagy a meglévő hozzáférés megtartását erősebb monitorozással. Az ügyfélszolgálat igazolja, hogy jogos igénye van korlátozott exportokra. A felelős a csökkentést választja: korlátozott hozzáférés, erősebb hitelesítés a megmaradó kiemelt felhasználóknak, és tesztelt exportriasztások.

Tegyük fel, hogy a megvalósítás négy hét alatt tizenkét mérnöki napot igényel. Ezek tervezési feltevések, nem piaci referenciaértékek. A nyilvántartás a munkát a megvalósítási tervhez kapcsolja, és rögzíti az átmeneti korlátozásokat, amíg a megvalósítás nem teljes.

A célzott maradványbesorolás: valószínűség 2, hatás 3, ellenőrzés függvényében. Ez mindaddig cél marad, amíg a tesztek sikeresek nem lesznek. A telepítés után a felülvizsgáló felfedezi, hogy egy régebbi végpont megkerüli az új mennyiségi korlátozást. A hatásbesorolás ezért 4 marad, a megkerülés pedig blokkoló kezelési feladattá válik.

A javítás és az újratesztelés után a felelős újraértékeli a teljes útvonalat. Bármely fennmaradó kitettség kifejezett jóváhagyást és felülvizsgálati dátumot kap. Egy új exportintegráció, egy sikertelen hozzáférés-felülvizsgálat vagy az elérhető rekordok számának lényeges növekedése korábbi újraértékelést vált ki. A nyilvántartás így megváltoztatta a megvalósítást, a sorrendet és a jóváhagyást, nem csupán dokumentálta az aggodalmat.

Építsen döntéseket eredményező monitorozási ciklust

Az ütemezett felülvizsgálatok továbbra is hasznosak, de a felülvizsgálatok közötti változásoknak el kell jutniuk a felelőshöz. Kapcsolja a működési jelzéseket azokhoz a forgatókönyvekhez, amelyeket érintenek. A releváns kiváltó események közé tartoznak a sikertelen jogosultság-megszüntetések, az új beszállítók, az architekturális változások, az incidensek, a kontrolltesztek hibái és az új fenyegetési információk.

Minden kiváltó eseményhez határozza meg a forrást, az érintett hatókört, az irányítást, a várt reagálási időt és a felülvizsgálót. Gyakorlati ajánlásként különböztesse meg az azonnali operatív beavatkozást igénylő sürgős kitettséget a rutinszerű bizonyítékfrissítéstől. Ne várjon egy kockázati megbeszélésre egy aktív incidens megfékezésével.

A monitorozás gyakorisága tükrözze, milyen gyorsan változik egy kontroll, és milyen súlyos következményekkel járna a hibája. Az automatikus konfigurációs ellenőrzések gyakran futhatnak; egy helyreállítási gyakorlat vagy egy beszállítói felülvizsgálat más ritmust igényel. A „folyamatos” egy folyamatban lévő működési folyamatot írjon le, ne azt sugallja, hogy minden kontrollt másodpercenként tesztelnek.

Építsen hibakezelést magára a monitorozásra is. Egy lekapcsolódott forrás vagy egy elavult leltár ismeretlen lefedettségként jelenjen meg, ne megfelelő kontrollként. Szűrje az ismétlődő riasztásokat, és csoportosítsa a közös hibákat, hogy a felelősök tucatnyi azonos értesítés helyett cselekvésre alkalmas kontextust kapjanak.

Amikor egy jelzés beérkezik, rögzítse, mi változott, mely forgatókönyveket vették figyelembe, mi volt az azonnali intézkedés, és hogy az újraértékelés megváltoztatta-e a kezelési döntést. Egy sikertelen hozzáférés-felülvizsgálat vizsgálatot indokolhat anélkül, hogy automatikusan minden kapcsolódó pontszámot megváltoztatna. Fordítva: az érzékeny rekordokhoz való megerősített túlzott hozzáférés azonnal érvénytelenítheti a meglévő maradványértékelést.

A folyamatos kontrollmonitorozás akkor a legértékesebb, ha eredményei a kontrollok üzemeltetőihez és a kapcsolódó kitettségért felelős személyekhez egyaránt eljutnak.

Az MI-t az értékelések előkészítésére használja, ne a jóváhagyásukra

Az MI segíthet forgatókönyvek megfogalmazásában, bizonyítékok egyeztetésében, változások összefoglalásában, lehetséges kontrollmegfeleltetések azonosításában és prioritások javaslásában. Kimenete felülvizsgálható vázlat maradjon.

Kezdjen egy szűk munkafolyamattal, amelynek eredményei ellenőrizhetők. Követeljen meg forráshivatkozásokat, és különböztesse meg a kinyert tényeket a kikövetkeztetett következtetésektől. Ellenőrizze a hiányzó lefedettséget, az egymásnak ellentmondó rekordokat, az elavult dokumentumokat és a megalapozatlan feltevéseket. Egy kidolgozott összefoglaló nem bizonyítja, hogy a mögöttes források egyeznek.

A sebezhetőségek rangsorolásánál a külső jelzések mellett az üzleti kontextust is használja. A súlyosság a lehetséges műszaki következményeket írja le; a kihasználás valószínűsége és a megerősített kihasználás a fenyegetési aktivitás különböző aspektusait jelzi. Egyik sem mondja meg, hogy az érintett komponens telepítve van-e, elérhető-e, kiemelt jogosultságú-e, vagy egy kritikus szolgáltatás része-e. Az MI segítheti az összefüggések feltárását, de a leltár és a kitettség ellenőrzése továbbra is elengedhetetlen.

A beszállítói információkhoz hasonló fegyelem szükséges: különböztesse meg a szerződött szolgáltatóra és szolgáltatásra vonatkozó tényeket egy kapcsolt vállalatra vonatkozó találgatásoktól. A viselkedéselemzés is körültekintést igényel, mert a szokatlan tevékenység nem automatikusan rosszindulatú, a munkavállalók monitorozása pedig adatvédelmi és munkajogi kérdéseket vethet fel.

Magát az MI-munkafolyamatot is szabályozza. Alkalmazza a legkisebb jogosultság elvét, korlátozza az érzékeny bemeneteket, őrizze meg a felülvizsgálható kimeneti előzményeket, és határozza meg, mikor igényel újratesztelést egy modell- vagy promptváltozás. A korábbi incidensadatok vakfoltokat kódolhatnak: a gyengén monitorozott szolgáltatások pusztán azért tűnhetnek biztonságosabbnak, mert kevesebb eseményt rögzítettek.

Az előrejelző kimenetek felelőssel és validálási feladatokkal rendelkező hipotézisek legyenek. Egy generált pontszám javaslat maradjon, amíg nem ellenőrzik az egyeztetett módszer alapján. Az értékelést és a kezelést a felelős személy hagyja jóvá.

Az MI kockázatkezelési munkára való használata nem teszi automatikusan magas kockázatúvá a rendszert az uniós mesterségesintelligencia-rendelet (EU AI Act) szerint. A besorolás a felhasználási esettől és a szereptől függ; a 9. cikk kockázatkezelési követelményei a magas kockázatú rendszerekre vonatkoznak. Az alkalmazhatóságért és az ütemezésért tekintse meg a Bizottság aktuális áttekintését. A NIST AI RMF önkéntes irányítási útmutatást nyújt, nem megfelelési garanciát.

Számoljon be a döntési nyomvonalról, és tesztelje, működik-e a nyilvántartás

A mérnöki csapatnak az érintett rendszerekre, a blokkoló függőségekre, az ellenőrzési kritériumokra és a közelgő döntésekre van szüksége. A vezetésnek a lényeges kitettségre, a kezelési lehetőségekre, az erőforráskérésekre és az előző felülvizsgálat óta bekövetkezett változásokra. Mindkét nézetnek ugyanabból a mögöttes értékelésből kell származnia.

Az értékelési előzményeket őrizze meg, ne írja felül őket. Őrizze meg a korábbi következtetést, az új bizonyítékokat, a megváltozott feltevéseket, a felülvizsgálót, a jóváhagyást és a dátumot. Az elfogadott kockázatokat tartsa láthatóan, beleértve a közelgő lejárati dátumokat és a már nem teljesülő feltételeket.

Hasznos működési mutatók lehetnek a döntésre váró kockázatok kora, a lejárt kezelési mérföldkövek, a lényeges változás és az újraértékelés között eltelt idő, valamint az aktuális kontrollbizonyítékokkal alátámasztott jelentős forgatókönyvek aránya. A mérőszámokat a saját kiindulási állapotához hasonlítsa. A bejegyzések vagy a generált ajánlások száma főként a tevékenységet írja le, nem a jobb döntéseket. Az IBIR-mutatóknak segíteniük kell feltárni az elakadt felelősségeket és a megalapozatlan következtetéseket.

A Secani egy IBIR-munkaterületen kapcsolja össze a kockázatokat, követelményeket, kontrollokat és bizonyítékokat. Egy fókuszált első hatókörnél modellezze a támogató rendszereket és szolgáltatókat, csatolja a meglévő bizonyítékokat azokhoz a kontrollokhoz vagy döntésekhez, amelyeket alátámasztanak, és a hiányosságokat alakítsa felelőssel rendelkező feladatokká. Az MI által támogatott javaslatokat vesse össze a forrásaikkal, és őrizze meg az emberi jóváhagyásokat, megjegyzéseket és időbélyegeket. A dokumentáció ismerteti ezt a bizonyítékközpontú munkafolyamatot.

Kezdjen öt jelentős forgatókönyvvel. Mindegyiknél erősítse meg a felelőst, az aktuális értékelés indoklását, a kezelési döntést, az ellenőrzési bizonyítékokat és a következő felülvizsgálatot kiváltó eseményt. Ezután vigyen el egyet egy valódi tervezési megbeszélésre, és kérdezze meg, minek kellene megváltoznia. Ha a válasz egy jogosultsági határ, egy megvalósítási sorrend, egy finanszírozott feladat vagy egy kifejezett elfogadási döntés, akkor a nyilvántartás hasznos munkát végez.