Uzticēšanās, uzticamība un Zero Trust: kāpēc uzticēšanās nākotnei jābūt pārbaudāmai

Uzticēšanos nevajadzētu maksimizēt. Tā ir jānopelna, jāpamato ar pierādījumiem un nepārtraukti jākalibrē.

Gandrīz katrs tehnoloģiju uzņēmums apgalvo, ka veido uzticēšanos. Taču frāze „uzticieties mums” jau atklāj pamatproblēmu: tā lūdz uzticēšanos, pirms ir sniegts pietiekams pamats tai. Programmatūras piegādātājs var apgalvot, ka klientu dati ir drošībā. Klients var šim apgalvojumam noticēt un nolemt piegādātājam uzticēties. Tomēr tas, vai piegādātājs patiešām ir uzticams, ir cits jautājums. Tikai pierādījumi par ieviestajām drošības kontrolēm, to efektivitāti, tvērumu un nepārtrauktu darbību var sniegt racionālu pamatu šādai uzticēšanās. Tieši šeit tādi jēdzieni kā uzticēšanās, uzticamība, garantija, paļaušanās, atbilstība, digitālā uzticēšanās un Zero Trust bieži tiek sajaukti kopā. Tomēr tie apraksta dažādus vienas un tās pašas problēmas aspektus.

Šo atšķirību izpratne palīdz atbildēt uz daudz plašāku jautājumu:

Ko uzticēšanās nozīmē digitālā pasaulē, kurā sistēmas, organizācijas un riski nepārtraukti mainās?

Uzticēšanās sākas tur, kur beidzas noteiktība

Organizāciju un psiholoģijas pētījumos uzticēšanās parasti tiek saistīta ar gatavību pieņemt ievainojamību. Rousseau et al. apraksta uzticēšanos kā psiholoģisku stāvokli, kas ietver nodomu pieņemt ievainojamību, balstoties uz pozitīvām gaidām par otras puses nodomiem vai rīcību [1]. Mayer, Davis un Schoorman līdzīgi definē uzticēšanos kā gatavību kļūt ievainojamam attiecībā pret otru pusi pat tad, ja šo pusi nevar pilnībā uzraudzīt vai kontrolēt [2]. (ResearchGate) Tāpēc uzticēšanās prasa vismaz divus nosacījumus: ir jābūt nenoteiktībai, un uz spēles jābūt kaut kam būtiskam.

Ja iznākums ir pilnīgi noteikts, uzticēšanās nav vajadzīga. Ja nepastāv iespējami zaudējumi vai atkarība, tas, kas izskatās pēc uzticēšanās, var būt vienkārši ērtība. Uzticēšanās kļūst būtiska tad, kad esam atkarīgi no citas personas, organizācijas vai sistēmas un šī atkarība rada ievainojamību. Tas arī nozīmē, ka uzticēšanās nekad nav tikai universāla kādas vienības īpašība. Precīzāks formulējums būtu šāds:

A uzticas B attiecībā uz X, nosacījumos Y, konkrētā brīdī.

Uzņēmums var uzticēties mākoņpakalpojumu sniedzējam publiskas mārketinga informācijas glabāšanā, taču automātiski neuzticēties tam pašam sniedzējam ļoti sensitīvas veselības informācijas apstrādē. Sistēma var būt pietiekami uzticama vienam lietojumgadījumam un pilnīgi nepiemērota citam. Tāpēc uzticēšanās ir relacionāla, kontekstspecifiska un atkarīga no riska.

Būt uzticētam nenozīmē būt uzticamam

Ikdienas valodā „uzticēts” un „uzticams” bieži tiek lietoti kā sinonīmi. Konceptuāli tomēr tie apraksta divas dažādas lietas. Uzticēts nozīmē, ka vienībai faktiski tiek uzticēts. Uzticams nozīmē, ka vienība šo uzticēšanos ir pelnījusi. Pārliecinošam krāpniekam var uzticēties, lai gan viņš nav uzticams. Savukārt rūpīgi izstrādāta un labi pārvaldīta sistēma var būt uzticama, taču tomēr neiegūt lietotāju uzticēšanos, jo tās spējas, kontroles un ierobežojumi paliek neredzami. Mayer et al. identificē trīs plaši izmantotas uztvertās uzticamības dimensijas: spējas, godprātību un labvēlību [2].

Spējas nozīmē, vai puse, kurai uzticas, ir pietiekami kompetenta attiecīgā uzdevuma veikšanai. Godprātība nozīmē, vai tās paziņojumi, principi un faktiskā rīcība ir saskaņoti. Labvēlība nozīmē, vai no tās var sagaidīt, ka tā ņems vērā uzticētājas puses intereses, nevis tiecas tikai pēc sava labuma. (JSTOR) Tehniskām sistēmām šīs dimensijas ir jāpārtulko. Spējas kļūst par tehnisko kapacitāti, uzticamību, noturību un drošību. Godprātība kļūst par prognozējamu rīcību, konsekventiem noteikumiem, izsekojamu apstrādi un patiesu komunikāciju par ierobežojumiem. Labvēlību nevar vienkārši piedēvēt mašīnai. To tomēr var novērtēt attiecībā uz organizāciju, kas sistēmu izstrādā un ekspluatē: vai organizācija aizsargā lietotāju intereses? Vai tā godīgi informē par riskiem? Vai tā nodrošina pārskatatbildības un tiesiskās aizsardzības mehānismus?

NIST pieiet uzticamībai no sistēmu inženierijas perspektīvas. Uzticama sistēma nav vienkārši tāda, kurai cilvēki nejauši uzticas. Tās uzticamībai jābūt pamatotai ar pierādījumiem, ka tā spēj izpildīt tai izvirzītās kritiskās prasības. Atkarībā no konteksta šīs prasības var ietvert drošību, funkcionālo drošumu, uzticamību, noturību, privātumu vai citas sistēmas īpašības [3]. Šī atšķirība ir fundamentāla:

Uzticēšanās pastāv uzticētājas puses prātā. Uzticamība pastāv tās vienības īpašībās un rīcībā, kurai uzticas.

Abas var sakrist, taču tās nesakrīt automātiski.

Uzticēšanās, paļaušanās un atbilstība nav viens un tas pats

Vēl viena svarīga atšķirība pastāv starp uzticēšanos un paļaušanos. Uzticēšanās ir attieksme, gaidas vai spriedums. Paļaušanās ir novērojama rīcība. Cilvēks var neuzticēties MI sistēmai un tomēr sekot tās ieteikumam, jo nav citas alternatīvas, jo laika spiediens ir liels vai jo to prasa organizācijas process. Un otrādi: cilvēks var kopumā uzticēties sistēmai, bet konkrētā gadījumā apzināti ignorēt tās ieteikumu. Šī atšķirība ir svarīga, jo aptaujas, kurās lietotājiem jautā, vai viņi uzticas sistēmai, ne vienmēr paredz, kad šie lietotāji uz to paļausies. Tāpēc jaunākie cilvēka un MI mijiedarbības pētījumi arvien biežāk nošķir uztverto uzticēšanos, uzvedības paļaušanos, sistēmas veiktspēju un pieņemtā lēmuma piemērotību [8]–[10]. (ACM Digital Library)

Arī atbilstība nav līdzvērtīga uzticamībai. Atbilstība sākotnēji atbild uz šaurāku jautājumu:

Vai noteiktā tvērumā ir izpildīts noteikts prasību kopums?

Sertifikāts, audita ziņojums vai novērtējums var sniegt svarīgu iemeslu uzticēties. Tomēr tas nav neierobežots un pastāvīgs apgalvojums, ka organizācija ir droša. Audits var apstiprināt, ka konkrēta pārvaldības sistēma ir pienācīgi ieviesta konkrētā tvērumā un konkrētā periodā. Tas automātiski nepierāda, ka katra pašreizējā konfigurācija ir pareiza, ka katra no jauna ieviestā sistēma ir aptverta vai ka nevar notikt neviens drošības incidents. Tāpēc NIST brīdina neuzskatīt atbilstību par vienīgo pierādījumu bāzi garantijai vai uzticamībai. Atbilstība var sniegt vērtīgus pierādījumus, taču pieeja, kas balstās tikai uz atbilstību, var radīt drošības šķietamību, pienācīgi nepierādot pamatā esošās sistēmas efektivitāti [3]. (NIST Publikationen)

Atbilstība ir svarīga. Taču atbilstība ir viens no pamatotas uzticēšanās veidotājiem, nevis tās pilnīgs aizstājējs.

Garantija savieno uzticēšanos ar uzticamību

Starp puses subjektīvo uzticēšanos un sistēmas faktisko uzticamību atrodas vēl viens jēdziens: garantija (assurance). NIST apraksta garantiju kā pamatu pamatotai pārliecībai, ka apgalvojums ir vai tiks izpildīts [3]. Tāpēc garantija nav ne sajūta, ne galvojums. Tā ir strukturēts pamatojums. Spēcīgai garantijas struktūrai būtu jāpadara redzami vismaz pieci elementi: Apgalvojumi: kas tieši tiek apgalvots? Argumenti: kāpēc pieejamajai informācijai būtu jāatbalsta apgalvojums? Pierādījumi: kuri ieraksti, novērojumi, testi vai artefakti apliecina ieviešanu un efektivitāti?

Pieņēmumi: kādos apstākļos secinājums paliek spēkā? Tvērums: kuras sistēmas, procesi, dati, atrašanās vietas un periodi ir aptverti? NIST izmanto garantijas lietas (assurance case) jēdzienu, lai aprakstītu strukturētu un pārskatāmu saistību starp apgalvojumiem, argumentiem, pieņēmumiem un pamatojošiem pierādījumiem [3]. Aplūkosim šādu drošības apgalvojumu:

Visi ražošanas dati glabāšanā ir šifrēti.

Uzņēmuma šifrēšanas politika apliecina, ka pastāv nodoms un prasība. Tā nepierāda, ka katra ražošanas glabāšanas sistēma šo prasību faktiski īsteno. Ekrānuzņēmums no vienas datubāzes konfigurācijas sniedz pierādījumu par šo konkrēto datubāzi konkrētā brīdī. Tas ne vienmēr apliecina pilnīgu pārklājumu. Spēcīgāka garantijas lieta varētu apvienot:

• pilnīgu ražošanas datu krātuvju inventāru,
• konfigurācijas datus no katras attiecīgās sistēmas,
• atslēgu pārvaldības prasības,
• automatizētas konfigurācijas pārbaudes,
• testu rezultātus,
• uzraudzības datus,
• atbildīgos īpašniekus,
• pārskatīšanas ierakstus,
• un skaidru laika zīmogu katram pierādījumam.

Dažādi pierādījumu veidi kalpo dažādiem mērķiem. Politika atbalsta paredzēto dizainu. Konfigurācija atbalsta tehnisko ieviešanu. Tests vai nepārtraukta telemetrija atbalsta faktisko darbību. Pārskatīšana atbalsta secinājumu, ka pierādījumus ir izvērtējusi un pieņēmusi atbildīgā puse. Neviens no šiem elementiem pats par sevi ne vienmēr ir pietiekams. Garantija rodas no izsekojamas saistības starp sākotnējo apgalvojumu, aptverto tvērumu, ieviešanu un pieejamajiem pierādījumiem. Nobriedušai garantijas sistēmai jāspēj arī izdarīt negatīvus secinājumus. Tai jāspēj konstatēt, ka:

• pieejamie pierādījumi ir nepietiekami,
• pierādījumi ir novecojuši,
• daļa no attiecīgā tvēruma trūkst,
• ieviešana ir pretrunā apgalvojumam,
• pieņēmumu vairs nevar pamatot,
• vai darbības efektivitāte vēl nav pierādīta.

NIST skaidri atzīst, ka garantijas analīze var dot nelabvēlīgus rezultātus, ja pierādījumi neatbalsta apgalvojumu [3]. (NIST Publikationen) Sistēma, kas spēj ģenerēt tikai zaļas atzīmes, var radīt nomierinājumu. Tā ne vienmēr rada ticamu garantiju.

Zero Trust nenozīmē neuzticēties nevienam

No pirmā acu uzmetiena Zero Trust šķiet pretrunā ar mērķi veidot lielāku uzticēšanos. Tā nav. Zero Trust risina problēmu citā līmenī. Tā galvenokārt nav psiholoģiska vai kultūras filozofija. Tā ir arhitektūras pieeja piekļuves lēmumiem. Zero Trust modelī uzticēšanās netiek piešķirta tikai tāpēc, ka lietotājs vai ierīce atrodas uzņēmuma tīklā, pieder organizācijai vai ir iepriekš autentificēta. Piekļuve tiek izvērtēta attiecībā uz konkrētu resursu, identitāti, ierīci, kontekstu un pieprasījumu. Atļaujām jābūt ierobežotām, nepārtraukti pārvērtētām un piešķirtām, pieņemot, ka tīkls vai sistēma jau var būt kompromitēta [4].

Tradicionālā uz perimetru balstītā drošība bieži saspiež sarežģītu uzticēšanās lēmumu vienā plašā pieņēmumā:

Atrašanās uzņēmuma tīklā nozīmē uzticamību.

Zero Trust sadala šo pieņēmumu mazākos lēmumos:

Vai šī identitāte, izmantojot šo ierīci, šajos apstākļos, drīkst piekļūt šim resursam tagad?

Tāpēc Zero Trust nav uzticēšanās beigas. Tās ir netiešas, plašas un pastāvīgi mantotas uzticēšanās beigas. Precīzāka interpretācija būtu šāda:

Nulle netiešas uzticēšanās. Nulle nenopelnītu privilēģiju.

Organizācijai vienlaikus var būt augstas uzticēšanās kultūra un Zero Trust arhitektūra. Darbiniekiem nav personīgi jāturas aizdomās vienam pret otru tikai tāpēc, ka piekļuves lēmumi tiek tehniski pārbaudīti. Patiesībā labi izstrādātas kontroles var atvieglot starppersonu uzticēšanos. Tās samazina iespējamību, ka individuāla kļūda, kompromitēts konts vai ļaunprātīgs pieprasījums radīs neierobežotu kaitējumu. Zero Trust aizstāj vienu lielu un neskaidru uzticēšanās pieņēmumu ar daudziem mazākiem, kontekstuāliem, īslaicīgiem un atsaucamiem lēmumiem. Tas ir lieliski savietojams ar mūsdienīgu uzticēšanās izpratni.

Digitālā uzticēšanās paplašina perspektīvu

Uzticamība bieži koncentrējas uz konkrētas organizācijas, sistēmas vai attiecību īpašībām. Digitālā uzticēšanās paplašina perspektīvu līdz visai digitālajai ekosistēmai. Pasaules Ekonomikas forums apraksta digitālo uzticēšanos kā gaidas, ka digitālās tehnoloģijas un pakalpojumi, kā arī organizācijas, kas tos nodrošina, aizsargās ieinteresēto pušu intereses un ievēros attiecīgās sabiedrības gaidas un vērtības. Tā ietvars saista digitālo uzticēšanos ar tādām dimensijām kā kiberdrošība, privātums, pārredzamība, auditējamība, taisnīgums, sadarbspēja, drošums un tiesiskās aizsardzības mehānismi [5]. (World Economic Forum) ISACA līdzīgi skata digitālo uzticēšanos kā pārliecību par attiecību, mijiedarbību un darījumu integritāti digitālajā ekosistēmā, ko veido cilvēki, organizācijas, procesi, informācija un tehnoloģijas [6]. (ISACA)

Šī ekosistēmas perspektīva ir svarīga, jo digitāla produkta uzticamība reti ir atkarīga tikai no paša produkta. SaaS pakalpojumu sniedzējs var paļauties uz:

• mākoņinfrastruktūras pakalpojumu sniedzēju,
• identitātes pakalpojumu sniedzēju,
• programmatūras bibliotēkām,
• maksājumu pakalpojumiem,
• uzraudzības platformām,
• ārējiem datu avotiem,
• un, iespējams, trešo pušu MI modeļiem.

Tāpēc redzamā produkta uzticamība ir atkarīga arī no kontrolēm, pieņēmumiem un atkarībām, kas lietotājiem lielākoties paliek neredzamas. Digitālo uzticēšanos var saprast kā plašāku ekonomisko un sabiedrisko iznākumu. Uzticamība apraksta īpašības, kas padara ekosistēmu uzticēšanās cienīgu. Garantija nodrošina tiltu starp šīm īpašībām un ieinteresētās puses lēmumu uzticēties.

MI parāda, kāpēc uzticēšanās maksimizēšana ir nepareizs mērķis

Mākslīgais intelekts padara atšķirību starp uztverto uzticēšanos un faktisko uzticamību īpaši redzamu. MI sistēma var komunicēt raiti, pārliecināti un pārliecinoši, lai gan nav konsekventi pareiza. Saskarne var signalizēt pārredzamību un kompetenci pat tad, ja pamatā esošais modelis nav pietiekami uzticams paredzētajam uzdevumam. Skaidrojumi, ticamības rādītāji vai cilvēkam līdzīga valoda var ietekmēt lietotāju uztveri. Tie automātiski nav pierādījums tam, ka atbilde ir pareiza. Tāpēc NIST nedefinē uzticamu MI ar vienu īpašību. MI riska pārvaldības ietvars identificē vairākas īpašības, tostarp derīgumu un uzticamību, drošumu, drošību un noturību, pārskatatbildību un pārredzamību, izskaidrojamību un interpretējamību, privātumu un kaitīgas neobjektivitātes pārvaldību. NIST arī uzsver, ka šīs īpašības ir kontekstuālas un var ietvert kompromisus [7].

Sistēma var būt precīza, bet netaisnīga. Tā var būt pārredzama, bet nedroša. Tā var aizsargāt privātumu, bet palikt neuzticama paredzētajam mērķim. Tā var vidēji darboties labi, bet neprognozējami kļūdīties tieši vissvarīgākajos gadījumos. Apzīmējums „uzticams MI” nedrīkst aizēnot šīs atšķirības. Tāpēc cilvēka un MI mijiedarbības pētījumos arvien biežāk runā par piemērotu uzticēšanos, kalibrētu uzticēšanos un piemērotu paļaušanos. Mērķis nav panākt, lai lietotāji sistēmai uzticētos pēc iespējas vairāk. Mērķis ir palīdzēt lietotājiem veidot precīzu izpratni par sistēmas spējām un ierobežojumiem un paļauties uz to tikai tad, kad šāda paļaušanās ir pamatota.

Mehrotra et al. sistemātiskajā pārskatā konstatēts, ka literatūrā joprojām nav vienotas, konsekventi lietotas piemērotas uzticēšanās definīcijas. Pētījumos tiek izmantoti dažādi konstrukti un mērījumi uzticēšanās, nodomu, paļaušanās, uztverto spēju un faktiskās sistēmas veiktspējas raksturošanai [8]. (ACM Digital Library) Visser et al. līdzīgi nošķir uzticēšanos, neuzticēšanos un piemērotu paļaušanos. Viņu pārskats liecina, ka empīriskā saistība starp izskaidrojamu MI, lietotāju uzticēšanos un piemērotu paļaušanos joprojām ir neviennozīmīga un daudzos kontekstos nepārliecinoša [9]. (ScienceDirect) Raees un Papangelis 2026. gada priekšpublikācijā vēl tiešāk apgalvo, ka subjektīvie uzticēšanās mērījumi automātiski neliecina par to, vai cilvēki pienācīgi paļaujas uz MI ieteikumiem. Tā kā šis darbs publicēts kā priekšpublikācija, tā secinājumi jāuzskata par aktuālu pētniecisku ieguldījumu, nevis galīgu konsensu [10]. (arXiv)

Arī neuzticēšanās ne vienmēr ir pretstats labai sistēmas lietošanai. Zināma skepse var veicināt pārbaudi un kļūdu atklāšanu. Taču neizvēlīga neuzticēšanās var arī likt lietotājiem noraidīt pareizus ieteikumus. Peters, Biermeier un Scharlau 2026. gada eksperimentālajā pētījumā pārbaudīja, vai vizuālā uzmanība varētu palīdzēt identificēt „veselīgu neuzticēšanos” cilvēka un MI mijiedarbībā. Rezultāti nebija pārliecinoši un ilustrē, cik grūti joprojām ir izmērīt, vai uzticēšanās un neuzticēšanās ir pienācīgi kalibrētas [11]. (Frontiers) Vēlamo attiecību var ilustrēt šādi:

Mērķis nav vienkārši pārvietot katru lietotāju uz apakšējo labo stūri, palielinot uzticēšanos. Mērķis ir panākt, lai uztvertā uzticēšanās un uzvedības paļaušanās pēc iespējas precīzāk atbilstu sistēmas faktiskajai uzticamībai, kļūmes sekām un lietošanas kontekstam. 2026. gada jūlija rakstā Busuioc un Maggetti iestājas par pāreju no uzticēšanās maksimizēšanas uz kalibrētu uzticēšanos. Viņi brīdina, ka uzticēšanās var atrauties no faktiskās uzticamības, ja organizācijas fabricē uzticēšanās signālus, nevis risina pamatā esošos apstākļus, kas uzticēšanos padara pamatotu. Viņu analīze uzsver arī ievainojamību, pārskatatbildību un konstruktīvo lomu, ko var spēlēt neuzticēšanās [12]. (OUP Academic)

Eiropas Mākslīgā intelekta akts seko līdzīgai operatīvai loģikai. Attiecīgām augsta riska sistēmām tas prasa procesus un dokumentāciju attiecībā uz riska pārvaldību, datu pārvaldību, tehnisko dokumentāciju, reģistrēšanu, pārredzamību, cilvēka virsvadību, precizitāti, robustumu un kiberdrošību [13]. Šīs prasības nepierāda, ka katra regulētā MI sistēma būs uzticama. Tās tomēr mēģina pārvērst abstraktas uzticamības gaidas konkrētās pārvaldības darbībās un pārskatāmos pierādījumos. (EUR-Lex) Tāpēc uzticams MI nav saskarnes stils vai mārketinga apzīmējums. Tā ir nepārtraukta pārvaldības un garantijas problēma.

Mūsu nostāja: uzticēšanās jābūt pamatotai un kalibrētai

Secani mēs neizprotam uzticēšanos kā sajūtu, kas vienkārši būtu jāpastiprina. Mēs to arī nedefinējam kā absolūtu noteiktību. Reālās digitālās sistēmās absolūta drošība nepastāv. Pat spēcīgi pierādījumi nevar garantēt, ka nekad nenotiks neviena kļūme vai uzbrukums. Pierādījumi samazina nenoteiktību un palīdz pieņemt labākus lēmumus, taču tie nenovērš risku. Ja visu nenoteiktību varētu novērst, uzticēšanās vairs nebūtu vajadzīga. Tāpēc mēs apzināti runājam par pamatotu pārliecību, nevis noteiktību. Mūsu definīcija ir šāda:

Uzticēšanās ir pamatota, kontekstspecifiska pārliecība, ka drošības apgalvojums ir patiess tagad, jo apgalvojums, tā ieviešana un aktuālie pierādījumi pārbaudāmi sakrīt.

Pamatā esošā ķēde ir šāda:

Apgalvojums → Ieviešana → Pierādījumi → Garantija → Kalibrēta uzticēšanās

Organizācija izsaka apgalvojumu par savu drošību. Šis apgalvojums tiek pārvērsts konkrētās kontrolēs, sistēmās, atbildībās un sagaidāmajos rezultātos. Aktuāli pierādījumi parāda, vai un kā šīs kontroles ir ieviestas. Garantijas process izvērtē, vai pierādījumi patiešām atbalsta sākotnējo apgalvojumu. Tikai tad rodas racionāls pamats uzticēšanās. Šī definīcija ietver piecus apzinātus ierobežojumus.

Uzticēšanās ir specifiska apgalvojumam

„Mēs esam droši” ir pārāk plašs apgalvojums, lai to varētu jēgpilni pārbaudīt. „Visas ražošanas datu krātuves izmanto apstiprinātas šifrēšanas konfigurācijas” ir šaurāks un pārbaudāms. Jo vispārīgāks kļūst apgalvojums, jo grūtāk ir noteikt tā tvērumu, nepieciešamos pierādījumus, pieņēmumus un spēkā esamības nosacījumus.

Uzticēšanās ir kontekstspecifiska

Kontrole var būt efektīva vienai sistēmai un neefektīva citai. MI modelis var būt piemērots iekšējo dokumentu apkopošanai, bet nepiemērots drošības izņēmumu autonomai apstiprināšanai. Uzticēšanos nevar pārnest starp kontekstiem, neizvērtējot, vai attiecīgie apstākļi joprojām ir salīdzināmi.

Uzticēšanās ir atkarīga no laika

Organizācijas nepārtraukti mainās. Tiek ieviesti jauni aktīvi. Tiek mainītas konfigurācijas. Darbinieki maina lomas. Piegādātāji atjaunina savus pakalpojumus. Tiek atklātas ievainojamības. Kontroles, kas vakar darbojās pareizi, šodien var vairs nedarboties pareizi. Tāpēc pierādījumi laika gaitā zaudē vērtību. Uzticamam secinājumam jāpaziņo ne tikai tas, kas tika pārbaudīts, bet arī tas, kad tas tika pārbaudīts un cik ilgi šim secinājumam jāpaliek spēkā.

Uzticēšanās balstās uz pierādījumiem, bet nav absolūta

Pierādījumi padara nenoteiktību redzamu un lēmumus aizstāvamus. Tie nenovērš nenoteiktību pilnībā. Pat spēcīgiem pierādījumiem ir ierobežojumi. Tie var aptvert tikai daļu sistēmas, balstīties uz pieņēmumiem, saturēt mērījumu kļūdas vai novecot. Ticamai garantijai šie ierobežojumi ir jāpaziņo, nevis jāslēpj aiz binārā statusa.

Uzticēšanās jābūt atsaucamai

Uzticēšanās lēmumam jāspēj mainīties, kad mainās to pamatojošie apstākļi. Ja jauni pierādījumi ir pretrunā iepriekšējam drošības apgalvojumam, secinājums ir jāatjaunina. Kad pierādījumu derīgums beidzas, pārliecībai jāsamazinās. Kad aptvertais tvērums paplašinās, jāpieprasa papildu pierādījumi. Uzticēšanās, ko nevar pārskatīt, nav kalibrēta uzticēšanās. Tā ir no realitātes atrauta ticība.

No periodiskiem uzticēšanās signāliem uz nepārtrauktu garantiju

Tradicionālā digitālā uzticēšanās bieži tiek veidota ar periodiskiem signāliem: sertifikātiem, anketām, audita ziņojumiem, novērtējuma dokumentiem un drošības prezentācijām. Šie mehānismi joprojām ir svarīgi. Taču pasaulē, kurā digitālās sistēmas var mainīties katru dienu, ar tiem vien nepietiek. Nākotnes modelis virzās citā virzienā:

Nepārtraukta garantija nenozīmē, ka katra darbība organizācijā ir pastāvīgi jāuzrauga. Tai jābūt uz risku balstītai un samērīgai. Kritiskam apgalvojumam par priviliģētu piekļuvi, ražošanas infrastruktūru vai sensitīviem klientu datiem nepieciešami aktuālāki un spēcīgāki pierādījumi nekā maznozīmīgam administratīvam apgalvojumam. Būtiskākā pārmaiņa ir tā, ka uzticēšanās vairs nepaliek piesaistīta vienam dokumentam. Prasībām, ieviešanām, pierādījumiem, pārskatīšanām, konstatējumiem, atbildībām un atkarībām tā vietā jāveido saistīts modelis. Mašīnlasāmas struktūras šajā pārejā var spēlēt svarīgu lomu. Tās ļauj atkārtoti izmantot pierādījumus dažādos ietvaros un novērtējumos, nezaudējot to izcelsmi, sākotnējo tvērumu, savākšanas laiku, atbildīgo īpašnieku vai ierobežojumus.

Tāpēc uzticēšanās nākotne nav tikai nepārtraukta. Tā ir detalizēta, izsekojama, pārnesama un atsaucama.

Zero Trust un augsta uzticēšanās nav pretstati

Tagad dažādos jēdzienus var savienot. Zero Trust nosaka, kā tiek pieņemti atsevišķi piekļuves lēmumi. Uzticamība apraksta, vai sistēma vai organizācija ir pelnījusi uzticēšanos. Garantija sniedz strukturētu pamatojumu šim secinājumam. Pierādījumi atbalsta apgalvojumus par ieviešanu un efektivitāti. Atbilstība novērtē saskaņotību ar definētām prasībām. Paļaušanās apraksta, vai kāds patiešām ir atkarīgs no sistēmas vai seko tai. Digitālā uzticēšanās ir plašāka pārliecība, kas var rasties visā ekosistēmā. Zero Trust novērš to, ka uzticēšanās tiek pieņemta bez pietiekama pamata. Garantija parāda, kur uzticēšanās ir pamatota.

Atbilstība sniedz strukturētas prasības un pārskatīšanas mehānismus. Pierādījumi savieno apgalvojumus ar novērojamu realitāti. Tāpēc šie jēdzieni nav konkurējoši redzējumi. Tie ir dažādas viena saskaņota modeļa daļas. Nākotne nav ne universāls „uzticies visiem”, ne kulturāls „neuzticies nevienam”. Tā ir pārbaudāma, kalibrēta uzticēšanās.

Ko Secani nozīmē „optimizēt uzticēšanos”

„Optimizēt uzticēšanos” nedrīkst nozīmēt optimizēt uzticamības šķietamību. Tas nedrīkst nozīmēt radīt pēc iespējas vairāk zaļu atzīmju, nozīmīšu, sertifikātu vai plašu drošības apgalvojumu. Tas nedrīkst nozīmēt mudināt cilvēkus uzticēties sistēmai vairāk, nekā to pamato tās faktiskās īpašības. Mums tas nozīmē:

Neoptimizē to, lai tev uzticētos. Optimizē to, lai būtu pamatotas uzticēšanās cienīgs.

Mēs veidojam Secani, lai nepārtraukti savienotu drošības apgalvojumus, prasības, ieviešanas un pierādījumus. Uzticēšanās nedrīkst rasties tikai no pārliecinošas prezentācijas vai periodiska atbilstības dokumenta. Tai jārodas no aktuāla, pārskatāma un izsekojama pamatojuma. Kodolīgākā šīs idejas izteiksme varētu būt:

Uzticēšanās nav solījums. Tā ir nepārtraukti pamatots secinājums.

Organizācijām nevajadzētu tikai izskatīties uzticamām. Tām jāspēj parādīt, kāpēc tās ir pelnījušas uzticēšanos. Un cilvēkiem nevajadzētu vienkārši lūgt uzticēties vairāk. Viņiem jāļauj uzticēties labāk.

Atsauces

[1] D. M. Rousseau, S. B. Sitkin, R. S. Burt, and C. Camerer, “Not So Different After All: A Cross-Discipline View of Trust,” Academy of Management Review, vol. 23, no. 3, pp. 393–404, 1998, doi: 10.5465/AMR.1998.926617. (DOI)

[2] R. C. Mayer, J. H. Davis, and F. D. Schoorman, “An Integrative Model of Organizational Trust,” Academy of Management Review, vol. 20, no. 3, pp. 709–734, 1995, doi: 10.5465/amr.1995.9508080335. (DOI)

[3] R. Ross, M. Winstead, and M. McEvilley, Engineering Trustworthy Secure Systems, NIST Special Publication 800-160, vol. 1, rev. 1, National Institute of Standards and Technology, Gaithersburg, MD, USA, Nov. 2022, doi: 10.6028/NIST.SP.800-160v1r1. (NIST Publikationen)

[4] S. Rose, O. Borchert, S. Mitchell, and S. Connelly, Zero Trust Architecture, NIST Special Publication 800-207, National Institute of Standards and Technology, Gaithersburg, MD, USA, Aug. 2020, doi: 10.6028/NIST.SP.800-207. (NIST Computer Security Resource Center)

[5] World Economic Forum, Earning Digital Trust: Decision-Making for Trustworthy Technologies, Geneva, Switzerland, Nov. 2022. (World Economic Forum)

[6] K. B. Kelley, “The Digital Trust Imperative: Defining, Establishing and Measuring Digital Trust,” ISACA Journal, vol. 1, Jan. 2023. (ISACA)

[7] National Institute of Standards and Technology, Artificial Intelligence Risk Management Framework (AI RMF 1.0), NIST AI 100-1, Jan. 2023, doi: 10.6028/NIST.AI.100-1. (NIST Publikationen)

[8] S. Mehrotra, C. Degachi, O. Vereschak, C. M. Jonker, and M. L. Tielman, “A Systematic Review on Fostering Appropriate Trust in Human-AI Interaction: Trends, Opportunities and Challenges,” ACM Journal on Responsible Computing, vol. 1, no. 4, Art. no. 26, pp. 1–45, 2024, doi: 10.1145/3696449. (ACM Digital Library)

[9] R. Visser, T. M. Peters, I. Scharlau, and B. Hammer, “Trust, distrust, and appropriate reliance in (X)AI: A conceptual clarification of user trust and survey of its empirical evaluation,” Cognitive Systems Research, vol. 91, Art. no. 101357, 2025, doi: 10.1016/j.cogsys.2025.101357. (ScienceDirect)

[10] M. Raees and K. Papangelis, “From Trust to Appropriate Reliance: Measurement Constructs in Human-AI Decision-Making,” arXiv:2604.23896, Apr. 2026, doi: 10.48550/arXiv.2604.23896. Priekšpublikācija. (arXiv)

[11] T. M. Peters, K. Biermeier, and I. Scharlau, “Assessing healthy distrust in human-AI interaction: Interpreting changes in visual attention,” Frontiers in Psychology, vol. 16, Art. no. 1694367, Jan. 2026, doi: 10.3389/fpsyg.2025.1694367. (Frontiers)

[12] M. Busuioc and M. Maggetti, “Worthy of trust? AI governance and the role of (dis)trust,” Perspectives on Public Management and Governance, Art. no. gvag007, Jul. 2026, doi: 10.1093/ppmgov/gvag007. (OUP Academic)

[13] European Parliament and Council of the European Union, “Regulation (EU) 2024/1689 of 13 June 2024 laying down harmonised rules on artificial intelligence,” Official Journal of the European Union, Jul. 2024. (EUR-Lex)