AI编写的安全策略：实用捷径还是审计风险？

过去，编写安全策略是每个合规项目中耗时的第一步。现在，生成式AI工具几分钟内就能产出一整套完整文件（信息安全、访问控制、事件响应、密码学、供应商安全），格式规范、语气笃定。对许多组织来说，这确实是实实在在的帮助。但它也是通过审计的一种新的失败方式。

AI的帮助之处

• 不再面对空白页。 为每项策略提供包含常规章节的草稿结构，能节省大量时间。
• 语言通俗易懂。 AI擅长把晦涩的标准化术语转化为人们愿意阅读的句子。
• 一致性检查。 如果提问方式得当，它能发现文件之间的矛盾之处。
• 对照映射草稿。 它可以提示某项策略条款可能与哪些框架要求相关，作为核对的起点。

AI的弊端之处

• 策略描述的是你并不具备的实践。 生成的访问控制策略可能会承诺每季度审查特权访问、所有场景均启用MFA并留存审批记录。如果你并未落实这些事项，每项承诺都会成为未来的审计发现。审计人员检验的是你所写的内容。
• 引用可能有误。 生成的文本可能引用已被取代版本中的控制编号，或引用根本不存在的要求。在2022版的审计中，策略里若引用ISO 27001:2013的条款编号，会动摇整份文件的可信度。
• 无人负责。 一份成品式到达的策略，没有能够解释每一行存在理由的作者，也没有负责使其持续保持准确的责任人。
• 数量取代了判断。 五十页看似合理的策略，可能掩盖对贵组织真正重要的三项决策。

如何善用AI

1. 先决策，后生成。 写下你实际运行每项控制的方式（负责人、频率、标准），然后让AI依据这些事实起草策略文本。可参阅我们关于一套策略适配多个框架的文章。
2. 大刀阔斧地删减。 删除每一句你无法提供证据支撑的内容。
3. 对照当前框架原文核查每一处引用。 例如，我们的要求页面ISO 27001 A.5.1展示了当前的编号和标题。
4. 为每项策略指定一位人工负责人。 该负责人须阅读、批准并每年审查该策略。
5. 切勿让AI替你编写风险评估。 它可以提出威胁建议，但它不了解你的系统、人员和业务。

对任何生成的策略做一次快速检验

在批准一项策略之前，无论其是否由生成工具起草，都应带着三个问题通读：

1. 对于本文件中的每一条“必须”，我们能否向审计人员提供证据？ 每项义务都应指向一项正在运行并产生记录的控制。如果没有，要么建立该控制，要么删除该句。
2. 每项引用在当前版本中是否都确实存在？ 对照你所接受审计的框架核对条款和控制编号。我们的要求页面，例如ISO 27001 A.5.15或SOC 2 CC6.1，展示了当前编号以及其在其他框架中的对应项。
3. 一名新员工能否理解该做什么？ 策略的存在是为了改变行为。即便在技术上正确，泛泛而谈、充斥冗词的文本也无法通过这一检验。

通过全部三项检验的策略就是好策略，无论是谁或什么起草的。未能通过其中任何一项的策略就是一种负债，无论它读起来多么精致。

核心要点

• AI能快速产出初稿，但作为最终版本则存在风险。
• 先确定你的运作方式，再依据这些事实生成文本。
• 删除所有无法提供证据支撑的内容，核查每一处引用，并为每项策略指定一位人工负责人。

坦率的结论

AI编写的策略可以是获得初稿的实用捷径，但作为最终版本则存在风险。检验标准并未改变：这份文件是否描述了贵组织真实的运作方式，你能否证明这一点？用AI更快地抵达目标，而不是跳过由你做决策的那一环。如果你正准备在编写策略之前先购买工具，同样的原则也适用。

常见问题

能否在ISO 27001或SOC 2中使用AI生成的安全策略？

可以用AI起草，但审计人员检验的是策略是否与组织的实际做法相符。描述你并未遵循的做法的通用草稿，会引发审计发现。

AI编写的策略有哪些风险？

策略承诺了你并未运行的控制措施、捏造或过时的标准引用、文件之间相互矛盾，以及无人阅读或批准的策略。

审计人员是否反对AI辅助编写的策略？

本身并不反对。审计人员关注的是策略是否经过批准、保持最新，并在实践中得到执行。初稿如何产生远没有最终文件是否与实际情况相符重要。