سياسات أمن معلومات مكتوبة بالذكاء الاصطناعي: اختصار مفيد أم خطر في التدقيق؟

كانت كتابة سياسات الأمن في الماضي الخطوة الأولى البطيئة في كل برنامج امتثال. أما اليوم فتستطيع أداة ذكاء اصطناعي توليدي أن تنتج مجموعة كاملة (أمن المعلومات، والتحكم في الوصول، والاستجابة للحوادث، والتشفير، وأمن الموردين) خلال دقائق، منسقة وبنبرة واثقة. بالنسبة لكثير من المؤسسات، هذه مساعدة حقيقية. لكنها أيضاً طريقة جديدة للرسوب في التدقيق.

أين يساعد الذكاء الاصطناعي

• لم تعد الصفحة البيضاء عائقاً. مسودة بنية لكل سياسة، تتضمن الأقسام المعتادة، توفر وقتاً حقيقياً.
• لغة واضحة. الذكاء الاصطناعي جيد في تحويل نصوص المعايير الكثيفة إلى جمل يمكن للناس قراءتها.
• فحوص الاتساق. إذا طُلب منه ذلك بالطريقة الصحيحة، يمكنه رصد التناقضات بين الوثائق.
• مسودات الربط. يمكنه اقتراح متطلبات الإطار التي يرتبط بها قسم من السياسة، كنقطة بداية للتحقق.

أين يضر

• السياسات تصف ممارسات لا تملكها. ستعد السياسة المولّدة للتحكم في الوصول بمراجعات ربع سنوية للوصول المميز، وبالمصادقة متعددة العوامل في كل مكان، وبموافقات موثقة. إذا لم تكن تنفذ هذه الأمور فعلاً، فكل وعد منها سيصبح ملاحظة تدقيق مستقبلية. المدققون يختبرون ما كتبته.
• المراجع قد تكون خاطئة. النص المولّد قد يستشهد بأرقام ضوابط من إصدارات ملغاة، أو بمتطلبات غير موجودة. سياسة تستشهد بأرقام بنود ISO 27001:2013 في تدقيق عام 2022 تقوّض كل ما عداها.
• لا أحد يملكها. السياسة التي وصلت مكتملة الصياغة لا يوجد لها مؤلف يفهم سبب وجود كل سطر فيها، ولا مالك يبقيها صحيحة.
• الحجم يحل محل الحكم. خمسون صفحة من سياسة تبدو معقولة قد تخفي القرارات الثلاثة التي تهم مؤسستك فعلاً.

كيفية الاستخدام الجيد

1. قرر أولاً، ثم ولّد. دوّن كيف تشغّل كل ضابط فعلياً (المالك، والتكرار، والمعيار)، ثم اطلب من الذكاء الاصطناعي صياغة نص السياسة من هذه الوقائع. راجع أيضاً مقالنا عن مجموعة سياسات واحدة لأطر كثيرة.
2. اختصر بلا رحمة. احذف كل جملة لا تستطيع إثباتها بدليل.
3. تحقق من كل مرجع مقابل نص الإطار الحالي. صفحات المتطلبات لدينا، مثل ISO 27001 A.5.1، تعرض المعرفات والعناوين الحالية.
4. امنح كل سياسة مالكاً بشرياً قرأها ويعتمدها ويراجعها سنوياً.
5. لا تدع الذكاء الاصطناعي يكتب تقييم المخاطر نيابة عنك. يمكنه اقتراح التهديدات، لكنه لا يعرف أنظمتك أو أفرادك أو أعمالك.

اختبار سريع لأي سياسة مولّدة

قبل اعتماد أي سياسة، سواء كانت مولّدة أم لا، اقرأها مع أخذ ثلاثة أسئلة في الاعتبار:

1. هل يمكننا أن نعرض على المدقق دليلاً لكل “يجب” في هذه الوثيقة؟ ينبغي أن يشير كل التزام إلى ضابط يعمل وينتج سجلات. إذا لم يكن كذلك، فإما أن تبني الضابط أو تحذف الجملة.
2. هل كل مرجع موجود في الإصدار الحالي؟ تحقق من أرقام البنود والضوابط مقابل الإطار الذي ستُدقَّق وفقه. صفحات المتطلبات لدينا، مثل ISO 27001 A.5.15 أو SOC 2 CC6.1، تعرض المعرفات الحالية ومكافئاتها في أطر أخرى.
3. هل سيفهم الموظف الجديد ما يجب فعله؟ السياسات موجودة لتغيير السلوك. النص العام المحشو يفشل في هذا الاختبار حتى لو كان صحيحاً تقنياً.

السياسة التي تجتاز الأسئلة الثلاثة جميعها سياسة جيدة، أياً كان من صاغها بشراً أم آلة. أما التي تفشل في أي منها فهي عبء، مهما بدا نصها مصقولاً.

أبرز النقاط

• الذكاء الاصطناعي طريق سريع إلى مسودة أولى، وخطر بوصفه نسخة نهائية.
• حدد كيف تعمل أولاً، ثم ولّد النص من هذه الوقائع.
• احذف كل ما لا تستطيع إثباته، وتحقق من كل مرجع، وامنح كل سياسة مالكاً بشرياً.

الإجابة الصريحة

السياسات المكتوبة بالذكاء الاصطناعي اختصار مفيد للوصول إلى مسودة أولى، وخطر بوصفها نسخة نهائية. الاختبار لم يتغير: هل تصف الوثيقة ما تفعله مؤسستك فعلاً، وهل يمكنك إثبات ذلك؟ استخدم الذكاء الاصطناعي للوصول إلى هناك أسرع، لا لتتجاوز الجزء الذي تقرر فيه. وإذا كنت على وشك شراء الأدوات قبل كتابة السياسات، فالمبدأ نفسه ينطبق.

الأسئلة

هل يمكنني استخدام سياسات أمن مولّدة بالذكاء الاصطناعي لـ ISO 27001 أو SOC 2؟

يمكنك استخدام الذكاء الاصطناعي لصياغتها، لكن المدققين يختبرون ما إذا كانت السياسات تطابق ما تفعله المؤسسة فعلاً. المسودات العامة التي تصف ممارسات لا تتبعها تؤدي إلى ملاحظات تدقيق.

ما مخاطر السياسات المكتوبة بالذكاء الاصطناعي؟

سياسات تلزمك بضوابط لا تشغّلها، ومراجع مختلقة أو قديمة للمعايير، وتناقض بين الوثائق، وسياسات لم يقرأها أحد أو يعتمدها.

هل يعترض المدققون على السياسات المعانة بالذكاء الاصطناعي؟

ليس بحد ذاته. يهتم المدققون بما إذا كانت السياسات معتمدة ومحدّثة ومطبّقة عملياً. كيفية إعداد المسودة الأولى أقل أهمية بكثير من مدى مطابقة الوثيقة النهائية للواقع.