Kebijakan keamanan yang ditulis AI: jalan pintas yang berguna atau risiko audit?

Menulis kebijakan keamanan dulunya merupakan langkah awal yang lambat dalam setiap program kepatuhan. Kini sebuah alat AI generatif dapat menghasilkan satu set lengkap (keamanan informasi, kontrol akses, respons insiden, kriptografi, keamanan pemasok) dalam hitungan menit, sudah terformat dan terdengar meyakinkan. Bagi banyak organisasi, ini benar-benar membantu. Namun, ini juga merupakan cara baru untuk gagal dalam audit.

Di mana AI membantu

• Halaman kosong tidak lagi menjadi kendala. Draf struktur untuk setiap kebijakan, dengan bagian-bagian yang lazim, menghemat waktu yang nyata.
• Bahasa yang mudah dipahami. AI cukup baik dalam mengubah bahasa standar yang padat menjadi kalimat yang mungkin benar-benar dibaca orang.
• Pemeriksaan konsistensi. Jika diminta dengan cara yang tepat, AI dapat menemukan kontradiksi antardokumen.
• Draf pemetaan. AI dapat menyarankan persyaratan kerangka kerja mana yang berkaitan dengan bagian kebijakan tertentu, sebagai titik awal untuk diperiksa.

Di mana AI merugikan

• Kebijakan menggambarkan praktik yang belum Anda miliki. Kebijakan kontrol akses yang dihasilkan AI akan menjanjikan tinjauan hak akses istimewa setiap kuartal, MFA di mana-mana, dan persetujuan yang terdokumentasi. Jika Anda tidak melakukan hal-hal tersebut, setiap janji itu adalah temuan audit di masa depan. Auditor menguji apa yang Anda tulis.
• Referensi bisa keliru. Teks yang dihasilkan dapat mengutip nomor kontrol dari versi yang sudah digantikan, atau persyaratan yang tidak ada. Kebijakan yang mengutip nomor klausul ISO 27001:2013 dalam audit 2022 akan merusak semua bagian lainnya.
• Tidak ada yang memilikinya. Kebijakan yang datang dalam bentuk jadi tidak memiliki penulis yang memahami alasan setiap baris ada, dan tidak memiliki pemilik yang menjaganya tetap akurat.
• Volume menggantikan penilaian. Lima puluh halaman kebijakan yang tampak masuk akal dapat menyembunyikan tiga keputusan yang benar-benar penting bagi organisasi Anda.

Cara menggunakannya dengan baik

1. Putuskan dulu, hasilkan kemudian. Tuliskan bagaimana Anda benar-benar menjalankan setiap kontrol (pemilik, frekuensi, standar), lalu minta AI menyusun teks kebijakan dari fakta-fakta tersebut. Lihat juga tulisan kami tentang satu set kebijakan untuk banyak kerangka kerja.
2. Pangkas tanpa ampun. Hapus setiap kalimat yang tidak dapat Anda buktikan.
3. Periksa setiap referensi terhadap teks kerangka kerja yang berlaku. Halaman persyaratan kami, misalnya ISO 27001 A.5.1, menampilkan ID dan judul yang terkini.
4. Berikan setiap kebijakan seorang pemilik manusia yang telah membacanya, menyetujuinya, dan meninjaunya setiap tahun.
5. Jangan pernah membiarkan AI menyusun penilaian risiko untuk Anda. AI dapat menyarankan ancaman, tetapi AI tidak mengetahui sistem, orang, maupun bisnis Anda.

Uji singkat untuk setiap kebijakan yang dihasilkan

Sebelum menyetujui kebijakan, baik yang dihasilkan maupun tidak, bacalah dengan tiga pertanyaan ini di benak Anda:

1. Dapatkah kami menunjukkan kepada auditor bukti untuk setiap kata "harus" dalam dokumen ini? Setiap kewajiban seharusnya mengarah ke kontrol yang berjalan dan menghasilkan catatan. Jika tidak, bangun kontrolnya atau hapus kalimatnya.
2. Apakah setiap referensi ada dalam versi yang berlaku? Periksa nomor klausul dan kontrol terhadap kerangka kerja yang menjadi dasar audit Anda. Halaman persyaratan kami, seperti ISO 27001 A.5.15 atau SOC 2 CC6.1, menampilkan ID terkini beserta padanannya di kerangka kerja lain.
3. Apakah karyawan baru akan memahami apa yang harus dilakukan? Kebijakan ada untuk mengubah perilaku. Teks yang generik dan bertele-tele gagal dalam uji ini, meskipun secara teknis benar.

Kebijakan yang lolos ketiga uji ini adalah kebijakan yang baik, siapa pun atau apa pun yang menyusunnya. Kebijakan yang gagal dalam salah satunya adalah sebuah kewajiban, betapapun rapi tampilannya.

Poin-poin utama

• AI adalah cara yang cepat untuk mendapatkan draf pertama, tetapi menjadi risiko jika digunakan sebagai versi final.
• Putuskan dulu cara Anda beroperasi, lalu hasilkan teks dari fakta-fakta tersebut.
• Hapus apa pun yang tidak dapat Anda buktikan, periksa setiap referensi, dan berikan setiap kebijakan seorang pemilik manusia.

Jawaban yang jujur

Kebijakan yang ditulis AI adalah jalan pintas yang berguna menuju draf pertama, tetapi menjadi risiko jika digunakan sebagai versi final. Ujiannya tidak berubah: apakah dokumen itu menggambarkan apa yang sebenarnya dilakukan organisasi Anda, dan dapatkah Anda membuktikannya? Gunakan AI untuk mencapai tujuan itu lebih cepat, bukan untuk melewati bagian di mana Anda memutuskan. Dan jika Anda hendak membeli alat sebelum menyusun kebijakan, prinsip yang sama berlaku.

Pertanyaan

Bisakah saya menggunakan kebijakan keamanan yang dihasilkan AI untuk ISO 27001 atau SOC 2?

Anda dapat menggunakan AI untuk menyusun drafnya, tetapi auditor menguji apakah kebijakan sesuai dengan apa yang benar-benar dilakukan organisasi. Draf generik yang menggambarkan praktik yang tidak Anda ikuti akan menghasilkan temuan.

Apa saja risiko dari kebijakan yang ditulis AI?

Kebijakan yang mengikat Anda pada kontrol yang tidak Anda jalankan, referensi standar yang dikarang atau sudah usang, ketidakkonsistenan antardokumen, dan kebijakan yang tidak pernah dibaca atau disetujui siapa pun.

Apakah auditor keberatan dengan kebijakan yang dibantu AI?

Tidak secara langsung. Auditor memperhatikan apakah kebijakan disetujui, mutakhir, dan dijalankan dalam praktik. Cara draf pertama dibuat jauh kurang penting dibandingkan apakah dokumen final sesuai dengan kenyataan.