MI GRC jomā: citēšana nav pārbaude

MI aģents izlasa drošības politiku, atrod būtisku rindkopu un atzīmē prasību kā izpildītu. Tā skaidrojums izklausās ticams un ietver saiti uz avotu. Bet kādas prasības vai pierādījumu izmaiņas mainītu šo spriedumu?

Jaunākie pētījumi par pārvaldību, risku un atbilstību (GRC) padara šo jautājumu neizbēgamu. Modelis var sniegt pareizu atbildi nepareiza iemesla dēļ, citēt īstu avotu, kas attiecas uz nepareizu sistēmu, vai sajaukt rakstisku politiku ar efektīvu kontroli. Secani mēs to uztveram kā produkta dizaina izaicinājumu: saiknei starp prasību, novērojumu un lēmumu jābūt pārbaudāmai.

Pārbaudiet, vai spriedums ir atkarīgs no noteikuma

Preprints Verdict Without the Rule saglabā gadījumu nemainīgu, vienlaikus dzēšot, aizstājot vai noliedzot noteicošo noteikumu. Piecos lokāli darbinātos modeļos un 20 jomās noteikuma dzēšana mainīja spriedumu vidēji tikai 5,3 procentos gadījumu. Nemainīgs spriedums nav automātiski nepareizs: dažādi noteikumi var novest pie tā paša rezultāta. Taču pareiza atbilde viena pati nevar pierādīt, ka sistēma izmantoja sniegto noteikumu.

Tas prasa pārskatītus gadījumu pārus, nevis tikai vienas atbildes etalontestus. Ja piekļuves pārskatīšanas prasība mainās no reizi ceturksnī uz reizi mēnesī, bet pieejamie žurnāli paliek tie paši, novērtējumam var nākties mainīties. Tās pašas prasības pārformulēšanai, nemainot tās nozīmi, novērtējums jāatstāj stabils. Abas reakcijas ir svarīgas.

Nošķiriet politikas pārklājumu no darbības pierādījuma

PACE nošķir būtisku politikas fragmentu izgūšanu no novērtējuma, vai tie aptver drošības prasību pilnībā, daļēji vai nemaz. Tā ziņotie rezultāti attiecas uz dokumentācijas pārklājumu, nevis uz to, vai aprakstītie pasākumi praksē darbojas. Politika var prasīt daudzfaktoru autentifikāciju priviliģētai piekļuvei, nepierādot, kuri konti ir tehniski aizsargāti vai kādi izņēmumi pastāv.

ReCon dokumentē vēl vienkāršāku kļūmi: dažos piemēros modeļi uzvednē iekļauto prasības tekstu uztver tā, it kā tas būtu uzņēmuma pierādījums. Tāpēc prasībām un uzņēmuma ierakstiem datu modelī nepieciešamas atšķirīgas identitātes. Citātam jānorāda uz fragmentu, kas faktiski pamato apgalvojumu.

Šī nošķiršana padara konstatējumus izmantojamus rīcībai. „Politika pastāv, taču trim priviliģētajiem kontiem trūkst tehnisku pierādījumu” konsultantam pasaka, ko izmeklēt. „Daļēji atbilstošs” to nepasaka.

Pārbaudiet attiecību, ne tikai avotu

Konveijers rakstā From Legacy Documentation to OSCAL izgūst aktīvus no sistēmu aprakstiem un izmanto strukturētu draudu izlūkošanas informāciju, lai izveidotu atbilstības artefaktus. Tā kļūdu analīze parāda, kāpēc īsts avots joprojām var pamatot nepareizu secinājumu: ja aktīvs ir izgūts nepareizi, vēlāki vaicājumi var atgriezt īstas ievainojamības citam produktam.

Cilvēka pārskatīšana ir visvērtīgākā šādās augstas ietekmes saitēs: produkta versijā, sistēmas robežā, atrašanās vietā vai kontroles piešķīrumā, no kura atkarīgi daudzi vēlāki konstatējumi. Izgūtam ieteikumam jāpaliek atšķiramam no apstiprināta saraksta vienuma. Kad tiek labota pamata saite, atvasinātajiem novērtējumiem jābūt izsekojamiem.

Piešķiriet pierādījumiem tvērumu un laika logu

Raksts Compliance-as-Code for AI-Driven Identity Systems piedāvā „pierādījumu līgumus”, kas nosaka nepieciešamos pierādījumu veidus, sasaistes, laukus, laidienus un novērošanas periodus. Tā prototips izmanto sintētiskas identitāšu darba plūsmas, tāpēc pētījums ir arhitektūras piemērs, nevis plaša uzņēmumu līmeņa validācija.

Marta testa ziņojums automātiski nepierāda, ka kontrole joprojām darbojas pēc septembra sistēmas izmaiņām. Viena meitasuzņēmuma konfigurācijas eksports nenosaka cita meitasuzņēmuma stāvokli. Pierādījumiem nepieciešams subjekts, izcelsme, periods un pamatotais apgalvojums. Ja integrācija pārstāj piegādāt aktuālus datus, pašreizējais stāvoklis ir nepierādīts; tas atšķiras no pierādītas kontroles kļūmes.

Padariet saskaņotās pārbaudes atkārtojamas

Raksts Ontological Knowledge Blocks apraksta ekspertu definētu pienākumu strukturētu starpposma attēlojumu, kas tiek kompilēts izpildāmos validācijas noteikumos. Normatīvā interpretācija paliek cilvēka atbildībā. Atsevišķs preprints par riska novērtēšanu sasaista novērojamus tehniskus artefaktus ar kārtas skalas rezultātiem, izmantojot versijētus noteikumus, un formāli pārbauda dažas konsekvences īpašības. Neviens no pētījumiem nepierāda universālu atbilstības dzinēju vai empīriski kalibrētas incidentu varbūtības.

Noderīgais princips ir nošķirt interpretāciju no atkārtojamas izpildes. Aģents var ieteikt kritērijus no politikas. Kad eksperti tos apstiprina, tādām pārbaudēm kā trūkstošs lauks, beidzies novērošanas periods vai pārsniegts slieksnis nevajadzētu prasīt jaunu modeļa interpretāciju katrā izpildē. Spriedumā jāreģistrē prasības versija, pierādījumu versijas un piemērotā loģika.

Atkārtoti atveriet lēmumus, kad mainās to priekšnoteikumi

Nepārtraukta atbilstība nav prasība atkārtoti atvērt katru kontroli pēc katra dokumenta labojuma. Tā prasa zināt, kuri secinājumi ir atkarīgi no mainītās informācijas. Labots virsraksts var neko neietekmēt. Jauns izņēmums priviliģētai piekļuvei var ietekmēt vairākus ietvarus.

Vēsturiskajam lēmumam jāpaliek neskartam: tas tajā brīdī var būt bijis pamatots. Taču tam nevajadzētu bezgalīgi turpināt pastāvēt kā aktuālam apgalvojumam pēc tam, kad tā priekšnoteikumi ir mainījušies. Skaidras, versijētas attiecības ļauj konsultantiem koncentrēties uz novērtējumiem, kurus patiešām nepieciešams pārskatīt vēlreiz.

Šie raksti nepierāda, ka GRC var būt pilnībā autonoma. Vairāki no tiem ir preprinti vai šauru prototipu izvērtējumi. Tomēr tie norāda uz noderīgu standartu Secani: aģentiem jāsagatavo informācija, jāierosina sasaistes, jāizskaidro nepilnības un jāpalīdz konsultantiem ātrāk pieņemt aizstāvamus lēmumus.

Zaļš statuss ir rezultāts. Izsekojamā saikne starp prasību, realitāti un lēmumu ir produkts.