Политики ИБ, написанные ИИ: полезная экономия или риск для аудита?

Раньше написание политик ИБ было медленным первым шагом любой программы соответствия. Теперь инструмент на основе генеративного ИИ за несколько минут выдаст полный комплект (информационная безопасность, управление доступом, реагирование на инциденты, криптография, безопасность поставщиков), аккуратно оформленный и уверенный в себе. Для многих организаций это реальная помощь. Но это и новый способ провалить аудит.

Где ИИ помогает

• Чистого листа больше нет. Черновая структура каждой политики с обычными разделами действительно экономит время.
• Простой язык. ИИ хорошо переводит плотный стандартизированный текст в предложения, которые люди готовы читать.
• Проверка согласованности. При правильной постановке задачи он может находить противоречия между документами.
• Черновики соответствий. Он может предложить, с какими требованиями стандартов связан раздел политики, как отправную точку для проверки.

Где он вредит

• Политики описывают практики, которых у вас нет. Сгенерированная политика управления доступом пообещает ежеквартальные проверки привилегированного доступа, MFA везде и документированные согласования. Если вы этого не делаете, каждое обещание — будущее замечание аудита. Аудиторы проверяют то, что вы написали.
• Ссылки могут быть неверными. Сгенерированный текст ссылается на номера контролей из утративших силу версий или на несуществующие требования. Политика со ссылками на пункты ISO 27001:2013 в аудите 2022 года подрывает доверие ко всему остальному.
• У них нет владельца. Политика, которая появилась уже готовой, не имеет автора, понимающего, зачем нужна каждая строка, и ответственного, который будет поддерживать её в актуальном состоянии.
• Объём заменяет суждение. Пятьдесят страниц правдоподобной политики могут скрыть три решения, которые действительно важны для вашей организации.

Как использовать его правильно

1. Сначала решите, потом генерируйте. Запишите, как вы на самом деле выполняете каждый контроль (владелец, периодичность, стандарт), и затем попросите ИИ составить текст политики на основе этих фактов. См. нашу статью один комплект политик для многих стандартов.
2. Безжалостно сокращайте. Удаляйте каждое предложение, которое не можете подтвердить доказательствами.
3. Проверяйте каждую ссылку по актуальному тексту стандарта. Например, наши страницы требований, такие как ISO 27001 A.5.1, показывают актуальные идентификаторы и названия.
4. Назначьте каждой политике ответственного человека, который её прочитал, утверждает и пересматривает ежегодно.
5. Никогда не поручайте ИИ оценку рисков. Он может предложить угрозы, но не знает ваших систем, людей и бизнеса.

Быстрая проверка любой сгенерированной политики

Перед утверждением политики, созданной ИИ или нет, прочитайте её, держа в голове три вопроса:

1. Можем ли мы показать аудитору доказательства для каждого «должен» в этом документе? Каждое обязательство должно указывать на контроль, который работает и создаёт записи. Если нет, либо внедрите контроль, либо удалите предложение.
2. Существует ли каждая ссылка в актуальной версии? Проверьте номера пунктов и контролей по стандарту, по которому вас проверяют. Наши страницы требований, такие как ISO 27001 A.5.15 или SOC 2 CC6.1, показывают актуальные идентификаторы и их эквиваленты в других стандартах.
3. Поймёт ли новый сотрудник, что делать? Политики существуют, чтобы менять поведение. Общий, раздутый текст не проходит этот тест, даже если он формально верен.

Политика, которая проходит все три проверки, — хорошая политика, кто бы или что бы её ни составил. Политика, которая не проходит хотя бы одну, — обязательство, как бы гладко она ни читалась.

Ключевые выводы

• ИИ — быстрый путь к первому черновику и риск как окончательной версии.
• Сначала решите, как вы работаете, а затем генерируйте текст на основе этих фактов.
• Удаляйте всё, что не можете подтвердить, проверяйте каждую ссылку и назначайте каждой политике ответственного человека.

Честный ответ

Политики, написанные ИИ, — полезная экономия времени на пути к первому черновику и риск как окончательная версия. Критерий не изменился: описывает ли документ то, что организация реально делает, и можете ли вы это доказать? Используйте ИИ, чтобы прийти к результату быстрее, а не чтобы пропустить часть, где вы принимаете решения. А если вы собираетесь покупать инструменты до написания политик, тот же принцип применим и здесь.

Вопросы

Можно ли использовать политики ИБ, сгенерированные ИИ, для ISO 27001 или SOC 2?

Вы можете использовать ИИ для их составления, но аудиторы проверяют, соответствуют ли политики тому, что организация реально делает. Общие черновики, описывающие практики, которым вы не следуете, порождают замечания.

Каковы риски политик, написанных ИИ?

Политики, которые обязывают вас к контролям, которые вы не выполняете, выдуманные или устаревшие ссылки на стандарты, несогласованность между документами и политики, которые никто не читал и не утверждал.

Возражают ли аудиторы против политик, составленных с помощью ИИ?

Сами по себе нет. Аудиторов интересует, утверждены ли политики, актуальны ли они и выполняются ли на практике. То, как был получен первый черновик, важно гораздо меньше, чем то, соответствует ли итоговый документ реальности.