एआई-लिखित सुरक्षा नीतियाँ: उपयोगी शॉर्टकट या ऑडिट जोखिम?

सुरक्षा नीतियाँ लिखना पहले हर अनुपालन कार्यक्रम का धीमा पहला चरण हुआ करता था। अब एक जेनरेटिव एआई टूल कुछ ही मिनटों में पूरा सेट (सूचना सुरक्षा, पहुँच नियंत्रण, घटना प्रतिक्रिया, क्रिप्टोग्राफी, आपूर्तिकर्ता सुरक्षा) तैयार कर देता है, सुव्यवस्थित प्रारूप और आत्मविश्वास भरी भाषा में। कई संगठनों के लिए यह वास्तविक मदद है। लेकिन यह ऑडिट में असफल होने का एक नया तरीका भी है।

एआई कहाँ मदद करता है

• खाली पन्ने की समस्या खत्म हो जाती है। हर नीति के लिए सामान्य खंडों वाली मसौदा संरचना वास्तविक समय बचाती है।
• सरल भाषा। एआई घने मानक-भाषा वाले पाठ को ऐसे वाक्यों में बदलने में अच्छा है जिन्हें लोग पढ़ना चाहें।
• स्थिरता जाँच। सही तरीके से पूछे जाने पर यह दस्तावेज़ों के बीच विरोधाभास पहचान सकता है।
• मैपिंग मसौदे। यह सुझा सकता है कि कोई नीति खंड किन फ़्रेमवर्क आवश्यकताओं से संबंधित है, जाँच के लिए एक प्रारंभिक बिंदु के रूप में।

एआई कहाँ नुकसान पहुँचाता है

• नीतियाँ उन प्रथाओं का वर्णन करती हैं जो आपके पास नहीं हैं। तैयार की गई पहुँच नियंत्रण नीति त्रैमासिक विशेषाधिकार-प्राप्त पहुँच समीक्षा, हर जगह MFA और दस्तावेज़ित स्वीकृतियों का वादा करेगी। यदि आप ये काम नहीं करते, तो हर वादा भविष्य का ऑडिट निष्कर्ष है। ऑडिटर वही जाँचते हैं जो आपने लिखा है।
• संदर्भ गलत हो सकते हैं। तैयार किया गया पाठ अप्रचलित संस्करणों के नियंत्रण संख्याएँ, या ऐसी आवश्यकताएँ उद्धृत कर सकता है जो मौजूद ही नहीं हैं। 2022 के ऑडिट में ISO 27001:2013 की खंड संख्याएँ उद्धृत करने वाली नीति बाकी सब कुछ कमज़ोर कर देती है।
• इनका कोई मालिक नहीं होता। जो नीति पूरी तरह तैयार होकर आई है, उसमें ऐसा कोई लेखक नहीं होता जो समझे कि हर पंक्ति क्यों है, और न ही कोई मालिक जो उसे सटीक बनाए रखे।
• मात्रा विवेक की जगह ले लेती है। विश्वसनीय लगने वाली पचास पन्नों की नीति उन तीन निर्णयों को छिपा सकती है जो आपके संगठन के लिए वास्तव में मायने रखते हैं।

इसका अच्छा उपयोग कैसे करें

1. पहले निर्णय लें, फिर जनरेट करें। लिखें कि आप हर नियंत्रण वास्तव में कैसे चलाते हैं (मालिक, आवृत्ति, मानक), फिर उन तथ्यों से नीति का पाठ तैयार करने के लिए एआई से कहें। कई फ़्रेमवर्क के लिए एक नीति सेट पर हमारी पोस्ट भी देखें।
2. निर्दयतापूर्वक काट-छाँट करें। हर ऐसा वाक्य हटाएँ जिसका साक्ष्य आप नहीं दे सकते।
3. हर संदर्भ की जाँच करें वर्तमान फ़्रेमवर्क पाठ से। उदाहरण के लिए, हमारे आवश्यकता पृष्ठ, जैसे ISO 27001 A.5.1, वर्तमान ID और शीर्षक दिखाते हैं।
4. हर नीति का एक मानव मालिक तय करें जो उसे पढ़े, स्वीकृत करे और सालाना समीक्षा करे।
5. जोखिम मूल्यांकन एआई से कभी न लिखवाएँ। यह संभावित खतरों के सुझाव दे सकता है, लेकिन यह आपके सिस्टम, लोगों या व्यवसाय को नहीं जानता।

किसी भी तैयार नीति की त्वरित जाँच

कोई नीति मंज़ूर करने से पहले, चाहे वह तैयार की गई हो या नहीं, इन तीन प्रश्नों को ध्यान में रखकर पढ़ें:

1. क्या हम इस दस्तावेज़ के हर "अनिवार्य" के लिए ऑडिटर को साक्ष्य दिखा सकते हैं? हर दायित्व ऐसे नियंत्रण की ओर इशारा करे जो चलता है और रिकॉर्ड बनाता है। यदि नहीं, तो या तो नियंत्रण बनाएँ या वाक्य हटाएँ।
2. क्या हर संदर्भ वर्तमान संस्करण में मौजूद है? खंड और नियंत्रण संख्याओं की जाँच उस फ़्रेमवर्क से करें जिसके विरुद्ध आपका ऑडिट होता है। हमारे आवश्यकता पृष्ठ, जैसे ISO 27001 A.5.15 या SOC 2 CC6.1, वर्तमान ID और अन्य फ़्रेमवर्क में उनके समकक्ष दिखाते हैं।
3. क्या एक नया कर्मचारी समझ पाएगा कि उसे क्या करना है? नीतियाँ व्यवहार बदलने के लिए होती हैं। सामान्य, भरावदार पाठ इस परीक्षा में असफल होता है, भले ही वह तकनीकी रूप से सही हो।

जो नीति तीनों में पास होती है, वह एक अच्छी नीति है, चाहे उसे किसी व्यक्ति ने लिखा हो या किसी मशीन ने। जो नीति इनमें से किसी में भी असफल होती है, वह देनदारी है, चाहे वह कितनी भी परिष्कृत दिखे।

मुख्य बिंदु

• एआई पहले मसौदे तक पहुँचने का तेज़ तरीका है, और अंतिम संस्करण के रूप में जोखिम।
• पहले तय करें कि आप कैसे काम करते हैं, फिर उन तथ्यों से पाठ तैयार करें।
• जिसका साक्ष्य न दे सकें उसे हटाएँ, हर संदर्भ की जाँच करें और हर नीति का एक मानव मालिक तय करें।

ईमानदार उत्तर

एआई-लिखित नीतियाँ पहले मसौदे तक पहुँचने का उपयोगी शॉर्टकट हैं, और अंतिम संस्करण के रूप में जोखिम। कसौटी नहीं बदली है: क्या दस्तावेज़ वर्णन करता है कि आपका संगठन वास्तव में क्या करता है, और क्या आप इसे साबित कर सकते हैं? एआई का उपयोग वहाँ तेज़ी से पहुँचने के लिए करें, न कि उस हिस्से को छोड़ने के लिए जहाँ आपको निर्णय लेना है। और यदि आप नीतियाँ लिखने से पहले टूल खरीदने वाले हैं, तो वही सिद्धांत लागू होता है।

प्रश्न

क्या मैं ISO 27001 या SOC 2 के लिए एआई-तैयार सुरक्षा नीतियाँ उपयोग कर सकता हूँ?

आप उनका मसौदा तैयार करने के लिए एआई का उपयोग कर सकते हैं, लेकिन ऑडिटर यह जाँचते हैं कि नीतियाँ संगठन वास्तव में जो करता है उससे मेल खाती हैं या नहीं। ऐसे सामान्य मसौदे जो उन प्रथाओं का वर्णन करते हैं जिनका आप पालन नहीं करते, निष्कर्ष पैदा करते हैं।

एआई-लिखित नीतियों के जोखिम क्या हैं?

ऐसी नीतियाँ जो उन नियंत्रणों के लिए प्रतिबद्ध करती हैं जिन्हें आप संचालित नहीं करते, मानकों के गढ़े हुए या पुराने संदर्भ, दस्तावेज़ों के बीच असंगति, और ऐसी नीतियाँ जिन्हें किसी ने पढ़ा या स्वीकृत नहीं किया।

क्या ऑडिटर एआई-सहायता प्राप्त नीतियों पर आपत्ति करते हैं?

सीधे तौर पर नहीं। ऑडिटर इस बात की परवाह करते हैं कि नीतियाँ स्वीकृत, वर्तमान हैं और व्यवहार में उनका पालन होता है। पहला मसौदा कैसे तैयार हुआ, इससे कहीं कम फर्क पड़ता है कि अंतिम दस्तावेज़ वास्तविकता से मेल खाता है या नहीं।