Políticas de segurança escritas por IA: atalho útil ou risco de auditoria?

Redigir políticas de segurança costumava ser a primeira etapa lenta de todo programa de conformidade. Agora, uma ferramenta de IA generativa produz um conjunto completo (segurança da informação, controle de acesso, resposta a incidentes, criptografia, segurança de fornecedores) em minutos, bem formatado e com aparência de confiança. Para muitas organizações, isso é uma ajuda real. Também é uma nova forma de reprovar em uma auditoria.

Onde a IA ajuda

• A página em branco deixou de existir. Uma estrutura de rascunho para cada política, com as seções habituais, economiza tempo real.
• Linguagem clara. A IA é boa em transformar texto normativo denso em frases que as pessoas possam de fato ler.
• Verificações de consistência. Quando solicitada da forma certa, ela consegue identificar contradições entre documentos.
• Rascunhos de mapeamento. Ela pode sugerir a quais requisitos de framework uma seção da política se relaciona, como ponto de partida para verificação.

Onde ela prejudica

• As políticas descrevem práticas que você não tem. Uma política de controle de acesso gerada vai prometer revisões trimestrais de acesso privilegiado, MFA em todos os lugares e aprovações documentadas. Se você não faz essas coisas, cada promessa é uma futura constatação de auditoria. Auditores testam o que você escreveu.
• As referências podem estar erradas. O texto gerado cita números de controles de versões substituídas, ou requisitos que não existem. Uma política que cita números de cláusulas da ISO 27001:2013 em uma auditoria de 2022 compromete todo o resto.
• Ninguém é dono delas. Uma política que chegou totalmente pronta não tem um autor que entenda por que cada linha está ali, nem um responsável para mantê-la atualizada.
• O volume substitui o julgamento. Cinquenta páginas de política plausível podem esconder as três decisões que realmente importam para a sua organização.

Como usar bem

1. Decida primeiro, gere depois. Registre como você de fato opera cada controle (responsável, frequência, padrão) e então peça à IA que redija o texto da política a partir desses fatos. Veja nosso artigo sobre um conjunto de políticas para vários frameworks.
2. Corte sem piedade. Exclua toda frase que você não consegue comprovar.
3. Verifique cada referência no texto atual do framework. Nossas páginas de requisitos, por exemplo ISO 27001 A.5.1, mostram os IDs e títulos atuais.
4. Atribua a cada política um responsável humano que a leia, a aprove e a revise anualmente.
5. Nunca deixe a IA redigir a avaliação de riscos por você. Ela pode sugerir ameaças, mas não conhece seus sistemas, pessoas ou negócio.

Um teste rápido para qualquer política gerada

Antes de aprovar uma política, gerada ou não, leia-a com três perguntas em mente:

1. Conseguiríamos mostrar a um auditor evidências para cada “deve” deste documento? Cada obrigação deve apontar para um controle que é executado e produz registros. Se não apontar, ou você implementa o controle, ou exclui a frase.
2. Toda referência existe na versão atual? Verifique os números de cláusulas e controles contra o framework pelo qual você será auditado. Nossas páginas de requisitos, como ISO 27001 A.5.15 ou SOC 2 CC6.1, mostram os IDs atuais e seus equivalentes em outros frameworks.
3. Um novo funcionário entenderia o que fazer? Políticas existem para mudar comportamentos. Um texto genérico e inflado falha nesse teste, mesmo quando tecnicamente está correto.

Uma política que passa nos três testes é uma boa política, independentemente de quem ou do que a redigiu. Uma que falha em qualquer um deles é um passivo, por mais polida que seja a redação.

Principais conclusões

• A IA é um caminho rápido para um primeiro rascunho e um risco como versão final.
• Decida primeiro como a organização opera e só então gere o texto a partir desses fatos.
• Exclua tudo o que não consegue comprovar, verifique cada referência e atribua a cada política um responsável humano.

A resposta honesta

Políticas escritas por IA são um atalho útil até um primeiro rascunho e um risco como versão final. O teste não mudou: o documento descreve o que sua organização realmente faz, e você consegue provar isso? Use a IA para chegar lá mais rápido, não para pular a etapa em que você decide. E se você está prestes a comprar ferramentas antes de escrever as políticas, o mesmo princípio se aplica.

Perguntas

Posso usar políticas de segurança geradas por IA para ISO 27001 ou SOC 2?

Você pode usar IA para redigi-las, mas os auditores testam se as políticas correspondem ao que a organização realmente faz. Rascunhos genéricos que descrevem práticas que você não segue geram constatações.

Quais são os riscos das políticas escritas por IA?

Políticas que o comprometem com controles que você não opera, referências inventadas ou desatualizadas a normas, inconsistência entre documentos e políticas que ninguém leu ou aprovou.

Os auditores se opõem a políticas elaboradas com auxílio de IA?

Não, em si. Os auditores se preocupam com o fato de as políticas estarem aprovadas, atualizadas e sendo seguidas na prática. Como o primeiro rascunho foi produzido importa muito menos do que o documento final corresponder à realidade.