AI în GRC: a cita nu înseamnă a verifica

Un agent AI citește o politică de securitate, găsește un paragraf relevant și marchează o cerință ca îndeplinită. Explicația sa sună plauzibil și include un link către sursă. Dar ce modificare a cerinței sau a dovezilor ar schimba acel verdict?

Cercetările recente în domeniul guvernanței, riscului și conformității (GRC) fac această întrebare inevitabilă. Un model poate da răspunsul corect din motivul greșit, poate cita o sursă autentică atașată sistemului greșit sau poate confunda o politică scrisă cu un control eficace. La Secani, tratăm acest lucru ca pe o provocare de design al produsului: legătura dintre cerință, observație și decizie trebuie să poată fi inspectată.

Testați dacă verdictul depinde de regulă

Preprintul Verdict Without the Rule menține un caz neschimbat, în timp ce șterge, înlocuiește sau neagă regula aplicabilă. Pentru cinci modele rulate local și 20 de domenii, ștergerea regulii a schimbat verdictul în medie doar în 5,3 la sută dintre cazuri. Un verdict neschimbat nu este automat greșit: reguli diferite pot duce la același rezultat. Dar un răspuns corect nu poate, singur, să stabilească faptul că sistemul a folosit regula furnizată.

Aceasta impune perechi de cazuri revizuite, nu doar teste de referință cu un singur răspuns. Dacă o cerință privind revizuirea accesului se schimbă de la trimestrială la lunară, în timp ce jurnalele disponibile rămân aceleași, evaluarea ar putea trebui să se schimbe. Reformularea aceleiași cerințe fără schimbarea sensului ei ar trebui să lase evaluarea stabilă. Ambele reacții contează.

Separați acoperirea prin politici de dovada operațională

PACE separă regăsirea pasajelor relevante din politici de evaluarea faptului că acestea acoperă o cerință de securitate integral, parțial sau deloc. Rezultatele raportate se referă la acoperirea prin documentație, nu la funcționarea în practică a măsurilor descrise. O politică poate cere autentificare multifactor pentru accesul privilegiat fără a dovedi ce conturi sunt protejate tehnic sau ce excepții există.

ReCon documentează un eșec și mai simplu: în unele exemple, modelele tratează textul cerinței inclus în prompt ca și cum ar fi o dovadă a companiei. Prin urmare, cerințele și înregistrările companiei au nevoie de identități distincte în modelul de date. O citare ar trebui să indice pasajul care susține efectiv afirmația.

Această distincție face constatările acționabile. „Politica există, dar lipsesc dovezile tehnice pentru trei conturi privilegiate” îi spune unui consultant ce să investigheze. „Parțial conform” nu.

Verificați relația, nu doar sursa

Fluxul de procesare din From Legacy Documentation to OSCAL extrage active din descrierile sistemelor și folosește informații structurate despre amenințări pentru a produce artefacte de conformitate. Analiza erorilor arată de ce o sursă reală poate susține totuși o concluzie greșită: dacă un activ este extras incorect, interogările ulterioare pot returna vulnerabilități autentice pentru un alt produs.

Revizuirea umană este cea mai valoroasă la astfel de legături cu impact mare: o versiune de produs, o limită de sistem, o locație sau o atribuire a unui control de care depind multe constatări ulterioare. O sugestie extrasă ar trebui să rămână distinctă de un element de inventar confirmat. Atunci când o legătură fundamentală este corectată, evaluările derivate trebuie să poată fi urmărite.

Dați dovezilor un perimetru și o fereastră de timp

Compliance-as-Code for AI-Driven Identity Systems propune „contracte de dovezi” care specifică tipurile de dovezi, corespondențele, câmpurile, versiunile și perioadele de observare necesare. Prototipul său folosește fluxuri de identitate sintetice, așa că studiul este un exemplu de arhitectură, nu o validare amplă în mediul enterprise.

Un raport de test din martie nu dovedește automat că un control mai funcționează după o modificare a sistemului din septembrie. Un export de configurație pentru o filială nu stabilește starea alteia. Dovezile au nevoie de un subiect, o origine, o perioadă și o afirmație pe care o susțin. Dacă o integrare încetează să livreze date actuale, starea prezentă este nedovedită; acest lucru este diferit de o deficiență demonstrată a controlului.

Faceți repetabile verificările convenite

Ontological Knowledge Blocks descrie o reprezentare intermediară structurată a obligațiilor definite de experți, compilată în reguli de validare executabile. Interpretarea normativă rămâne o responsabilitate umană. Un preprint separat privind evaluarea riscurilor pune în corespondență artefacte tehnice observabile cu rezultate ordinale, folosind reguli versionate, și verifică formal unele proprietăți de consecvență. Niciun studiu nu stabilește un motor universal de conformitate sau probabilități de incident calibrate empiric.

Principiul util este distingerea interpretării de execuția repetabilă. Un agent poate sugera criterii pornind de la o politică. Odată ce experții le aprobă, verificări precum un câmp lipsă, o perioadă de observare expirată sau un prag depășit nu ar trebui să necesite o nouă interpretare a modelului la fiecare rulare. Un verdict ar trebui să înregistreze versiunea cerinței, versiunile dovezilor și logica aplicată.

Redeschideți deciziile atunci când premisele lor se schimbă

Conformitatea continuă nu este o cerință de a redeschide fiecare control după fiecare modificare a unui document. Ea presupune să știți ce concluzii depind de informațiile care s-au schimbat. Un titlu corectat poate să nu aibă niciun efect. O nouă excepție pentru accesul privilegiat poate afecta mai multe cadre.

Decizia istorică ar trebui să rămână intactă: este posibil să fi fost justificată la momentul respectiv. Dar ea nu ar trebui să continue la nesfârșit ca afirmație actuală după ce premisele ei s-au schimbat. Relațiile explicite și versionate le permit consultanților să se concentreze pe evaluările care au cu adevărat nevoie de o nouă analiză.

Aceste lucrări nu dovedesc că GRC poate fi complet autonom. Mai multe dintre ele sunt preprinturi sau evaluări ale unor prototipuri restrânse. Ele indică totuși un standard util pentru Secani: agenții ar trebui să pregătească informațiile, să propună corespondențe, să explice lacunele și să îi ajute pe consultanți să ajungă mai repede la decizii care pot fi apărate.

Un status verde este un rezultat. Legătura trasabilă dintre cerință, realitate și decizie este produsul.