DI GRC srityje: citavimas nėra patikrinimas

DI agentas perskaito saugumo politiką, randa susijusią pastraipą ir pažymi reikalavimą kaip įvykdytą. Jo paaiškinimas skamba įtikinamai ir pateikiama nuoroda į šaltinį. Tačiau koks reikalavimo ar įrodymų pakeitimas pakeistų šį verdiktą?

Naujausi valdymo, rizikos ir atitikties (GRC) tyrimai šio klausimo išvengti neleidžia. Modelis gali pateikti teisingą atsakymą dėl neteisingos priežasties, cituoti tikrą šaltinį, susietą su netinkama sistema, arba supainioti parašytą politiką su veiksminga kontrole. „Secani“ tai vertiname kaip produkto projektavimo uždavinį: ryšys tarp reikalavimo, stebėjimo ir sprendimo turi būti atviras patikrinimui.

Patikrinkite, ar verdiktas priklauso nuo taisyklės

Preprinte Verdict Without the Rule atvejis paliekamas nepakitęs, o taikoma taisyklė ištrinama, pakeičiama arba paneigiama. Penkiuose lokaliai paleistuose modeliuose ir 20 sričių taisyklės ištrynimas pakeitė verdiktą vidutiniškai tik 5,3 procento atvejų. Nepakitęs verdiktas savaime nėra klaidingas: skirtingos taisyklės gali lemti tą patį rezultatą. Tačiau vien teisingas atsakymas negali įrodyti, kad sistema panaudojo pateiktą taisyklę.

Todėl reikia peržiūrėtų atvejų porų, o ne tik vieno atsakymo etalonų. Jei prieigos peržiūros reikalavimas pasikeičia iš kas ketvirtį į kas mėnesį, o turimi žurnalai lieka tie patys, vertinimą gali tekti pakeisti. To paties reikalavimo perfrazavimas nekeičiant jo prasmės turėtų palikti vertinimą stabilų. Abi reakcijos yra svarbios.

Atskirkite politikos aprėptį nuo veiklos įrodymų

PACE atskiria susijusių politikos ištraukų paiešką nuo vertinimo, ar jos visiškai, iš dalies ar visai neapima saugumo reikalavimo. Jo pateikti rezultatai susiję su dokumentacijos aprėptimi, o ne su tuo, ar aprašytos priemonės veikia praktiškai. Politika gali reikalauti daugiaveiksnio autentifikavimo privilegijuotai prieigai, neįrodydama, kurios paskyros yra techniškai apsaugotos ar kokios yra išimtys.

ReCon dokumentuoja dar paprastesnę klaidą: kai kuriuose pavyzdžiuose modeliai užklausoje pateiktą reikalavimo tekstą traktuoja taip, lyg tai būtų įmonės įrodymas. Todėl reikalavimai ir įmonės įrašai duomenų modelyje turi turėti atskiras tapatybes. Citata turėtų nurodyti ištrauką, kuri iš tikrųjų pagrindžia teiginį.

Šis skirtumas daro išvadas pritaikomas praktiškai. „Politika yra, bet trims privilegijuotoms paskyroms trūksta techninių įrodymų“ konsultantui pasako, ką tirti. „Iš dalies atitinka“ nepasako.

Tikrinkite ryšį, o ne tik šaltinį

Darbe From Legacy Documentation to OSCAL aprašytas konvejeris iš sistemų aprašymų išgauna turtą ir, naudodamas struktūrizuotą grėsmių žvalgybą, kuria atitikties artefaktus. Jo klaidų analizė parodo, kodėl tikras šaltinis vis tiek gali pagrįsti klaidingą išvadą: jei turtas išgaunamas neteisingai, vėlesnės užklausos gali grąžinti tikras kito produkto pažeidžiamumų informacijas.

Žmogaus peržiūra vertingiausia būtent tokiose didelį poveikį turinčiose sąsajose: produkto versijoje, sistemos riboje, buveinėje ar kontrolės priskyrime, nuo kurių priklauso daug vėlesnių išvadų. Išgautas pasiūlymas turi išlikti atskiriamas nuo patvirtinto inventoriaus įrašo. Kai pataisoma pamatinė sąsaja, išvestiniai vertinimai turi būti atsekami.

Suteikite įrodymams taikymo sritį ir laiko langą

Darbe Compliance-as-Code for AI-Driven Identity Systems siūlomos „įrodymų sutartys“, kuriose nurodomi reikalaujami įrodymų tipai, susiejimai, laukai, leidimai ir stebėjimo laikotarpiai. Jo prototipas naudoja sintetinius tapatybės darbo procesus, todėl tyrimas yra architektūrinis pavyzdys, o ne platus patikrinimas įmonių aplinkoje.

Kovo mėnesio testo ataskaita savaime neįrodo, kad kontrolė vis dar veikia po rugsėjo mėnesio sistemos pakeitimo. Vienos dukterinės bendrovės konfigūracijos eksportas nenustato kitos bendrovės būklės. Įrodymams reikia subjekto, kilmės, laikotarpio ir pagrindžiamo teiginio. Jei integracija nustoja teikti dabartinius duomenis, esama būklė yra neįrodyta; tai skiriasi nuo įrodyto kontrolės sutrikimo.

Padarykite sutartus patikrinimus pakartojamus

Darbe Ontological Knowledge Blocks aprašomas struktūrizuotas tarpinis ekspertų apibrėžtų įpareigojimų atvaizdavimas, kompiliuojamas į vykdomas validavimo taisykles. Normatyvinis aiškinimas lieka žmogaus atsakomybė. Atskirame rizikos vertinimo preprinte stebimi techniniai artefaktai susiejami su ranginiais rezultatais naudojant versijuojamas taisykles, o kai kurios nuoseklumo savybės tikrinamos formaliai. Nė vienas tyrimas nesukuria universalaus atitikties variklio ar empiriškai kalibruotų incidentų tikimybių.

Naudingas principas yra atskirti aiškinimą nuo pakartojamo vykdymo. Agentas gali pasiūlyti kriterijus iš politikos. Kai ekspertai juos patvirtina, tokiems patikrinimams kaip trūkstamas laukas, pasibaigęs stebėjimo laikotarpis ar viršyta riba nereikėtų naujo modelio aiškinimo kiekvieno paleidimo metu. Verdikte turėtų būti užfiksuota reikalavimo versija, įrodymų versijos ir pritaikyta logika.

Iš naujo atverkite sprendimus, kai pasikeičia jų prielaidos

Nuolatinė atitiktis nėra reikalavimas po kiekvieno dokumento pakeitimo iš naujo atverti kiekvieną kontrolę. Ji reikalauja žinoti, kurios išvados priklauso nuo pasikeitusios informacijos. Pataisyta antraštė gali neturėti jokio poveikio. Nauja privilegijuotos prieigos išimtis gali paveikti kelias sistemas.

Istorinis sprendimas turėtų likti nepakitęs: tuo metu jis galėjo būti pagrįstas. Tačiau jis neturėtų neribotai gyvuoti kaip dabartinis teiginys, kai jo prielaidos jau pasikeitė. Aiškūs, versijuojami ryšiai leidžia konsultantams sutelkti dėmesį į vertinimus, kuriuos iš tiesų reikia peržiūrėti dar kartą.

Šie darbai neįrodo, kad GRC gali būti visiškai autonomiškas. Keli iš jų yra preprintai arba siaurų prototipų vertinimai. Tačiau jie nurodo naudingą standartą „Secani“: agentai turėtų parengti informaciją, pasiūlyti susiejimus, paaiškinti spragas ir padėti konsultantams greičiau priimti pagrįstus sprendimus.

Žalia būsena yra rezultatas. Atsekamas ryšys tarp reikalavimo, tikrovės ir sprendimo yra produktas.