NIST በሳይበር ደህንነት ማዕቀፍ ትንተና AI ለመጠቀም መመሪያን አዘጋጅቷል።

ምን ተፈጠረ

ExecutiveGov እንደዘገበው NIST በሳይበር ደህንነት ማዕቀፍ 2.0 ትንተና እና ዘገባ አወጣጥ ላይ ጄኔሬቲቭ AI ለመጠቀም የመጀመሪያ ፈጣን አጀማመር መመሪያን አሳትሟል። ረቂቁ የተዋቀሩ ጥያቄዎችን እና ሶስት ሀሳባዊ አጠቃቀሞችን ይገልፃል፡- ፖሊሲዎችን እና የአደጋ አስተዳደርን መገምገም፣ የአሁን-ግዛት መገለጫን ማዳበር እና ኢላማ-ግዛት መገለጫ ማቀድ። NIST እስከ ኦክቶበር 15 ድረስ አስተያየቶችን እየተቀበለ ነው ተብሏል።

አስፈፃሚ ጎቭ እንደዘገበው ብሔራዊ የደረጃዎች እና ቴክኖሎጂ ኢንስቲትዩት የመጀመሪያ ደረጃ “የፈጣን ጅምር መመሪያን ለሳይበር ደህንነት ማዕቀፍ ትንተና እና ዘገባ አቅርቧል። እንደ መውጫው፣ መመሪያው የሚያተኩረው ጀነሬቲቭ AIን ከሳይበር ደህንነት ማዕቀፍ 2.0 ጋር፣ የ NIST ማዕቀፍ ድርጅቶችን የሳይበር ደህንነት ስጋትን ለመቆጣጠር እና ለማስተላለፍ የሚረዳ ነው። ሪፖርቱ ህትመቱን እንደ ረቂቅ የገለፀ ሲሆን የግምገማው ጊዜ እስከ ኦክቶበር 15 ድረስ ይቆያል ብሏል።

የተዘገበው መመሪያ ተራ ድርጅታዊ ግብአቶችን ወደ የተዋቀሩ የሲኤስኤፍ 2.0 ውጤቶች በመቀየር ላይ ያተኮረ ነው። ExecutiveGov የተፈጥሮ ቋንቋ መረጃን ወደ ተወሰኑ የማዕቀፍ ውጤቶች ለመተርጎም የተነደፉ የተዋቀሩ AI ጥያቄዎችን እንደያዘ ተናግሯል። ጽሁፉ በተጨማሪም NIST ተጠቃሚዎች አቀራረቡን መተግበር እንዲጀምሩ ለመርዳት የታቀዱ የማስመሰል ድርጅታዊ ፋይሎችን፣ ምሳሌዎችን እና ምክሮችን ያካትታል ይላል። እነዚያ ዝርዝሮች NIST የተለየ የንግድ AI ስርዓት ማፅደቁን ወይም ለምርት ዝግጁ የሆነ አውቶሜሽን ደረጃን እንዳቋቋመ ከማስረጃ ይልቅ ሰነዱ አስተማሪ እና ገላጭ መሆኑን ይጠቁማሉ።

ExecutiveGov ሶስት የሐሳብ አጠቃቀም ጉዳዮችን ይገልጻል። የመጀመሪያው የድርጅቱን የሳይበር ደህንነት ፖሊሲ፣ ስትራቴጂ እና የአደጋ አስተዳደርን በCSF 2.0 ውጤቶች ላይ መገምገምን ያካትታል። ሁለተኛው የድርጅት ቅርሶችን እና የሰራተኞች ቃለ መጠይቅ ማስታወሻዎችን በመጠቀም ረቂቅ የአሁን-ግዛት ፕሮፋይል ለመፍጠር፣ ግምቶችን፣ የማስረጃ ክፍተቶችን እና በቃለ መጠይቆች ላይ ክፍተቶችን ይመዘግባል። ሶስተኛው የኢላማ-ግዛት መገለጫን የሚመለከት ነው፡ የውስጥ እና የኢንዱስትሪ ማጣቀሻዎችን በመጠቀም የሚፈለጉትን የሳይበር ደህንነት ውጤቶች፣ የተልእኮ አላማዎች፣ የባለድርሻ አካላት የሚጠበቁትን፣ የታወቁ ስጋቶችን እና መስፈርቶችን ለመግለፅ።

ምንጩ ምሳሌዎችን ለማምረት ጥቅም ላይ የሚውሉትን የ AI ሞዴሎችን፣ አቅራቢዎችን፣ የሶፍትዌር አካባቢዎችን፣ የግምገማ ዳታ ስብስቦችን ወይም የደህንነት መቆጣጠሪያዎችን አይለይም። እንዲሁም የሚለካውን ትክክለኛነት፣ የጊዜ ቁጠባን፣ የስህተት ተመኖችን፣ የባለሙያ ግምገማ ውጤቶችን፣ ወይም በተሰየመ ድርጅት መሰማራትን ሪፖርት አያደርግም። ጽሑፉ NIST በቅርቡ AI ላይ ያተኮረ የCSF መገለጫ የመጀመሪያ ረቂቅ አሳትሟል፣ ነገር ግን ያ የተለየ ረቂቅ የፈጣን ጅምር መመሪያ አካል ስለመሆኑ ወይም ሁለቱ ሰነዶች እንዴት እንደሚዛመዱ አይገልጽም። እነዚህ ግድፈቶች ስለ ተግባራዊ ዝግጁነት መደምደም የሚችሉትን ይገድባሉ።

የምንጭ ዝርዝሮች: executivegov.com ↗

ለምን አስፈላጊ ነው።

ረቂቁ የሳይበር ደህንነት ቡድኖች ማስረጃን ለማደራጀት እና ከማዕቀፍ ጋር የተያያዙ ቁሳቁሶችን ለማዘጋጀት AI ለመጠቀም የበለጠ ተደጋጋሚ መንገድ ሊሰጥ ይችላል። ተግባራዊ እሴቱ ተጠቃሚዎች በኤአይአይ የመነጨ ካርታዎችን በሚያረጋግጡበት፣ ሚስጥራዊነት ያለው መረጃን ለመጠበቅ እና የሰነድ ማስረጃዎችን ከግምቶች በሚለዩበት ሁኔታ ይወሰናል። NIST በቀጥታ ድርጅቶች ውስጥ ያለውን አካሄድ እንዳረጋገጠ ሪፖርቱ አላረጋገጠም።

አንድ ድርጅት አሁን ያለበትን አኳኋን ከመግለጹ ወይም የታለመውን ሁኔታ ከመግለጹ በፊት የሲኤስኤፍ ትንታኔ ብዙውን ጊዜ ከፖሊሲዎች፣ ሂደቶች፣ ቃለመጠይቆች፣ ምርቶች እና የአደጋ መዛግብት ማስረጃዎችን መሰብሰብን ስለሚጠይቅ የተዘገበው ፕሮፖዛል አሳሳቢ ነው። የተዋቀረ የ AI የስራ ፍሰት ባለሙያዎች እነዚያን ቁሳቁሶች እንዲያደራጁ እና የጎደሉትን ማስረጃዎች እንዲለዩ ሊረዳቸው ይችላል። ጥቅሙ አስተዳደራዊ እና ትንተናዊ ወጥነት ነው እንጂ ራሱን የቻለ የሳይበር ደህንነት ውሳኔ አሰጣጥ አይደለም። ጽሑፉ መመሪያው የ AI ስርዓት የደህንነት ድክመቶችን በራሱ እንዲገመግም ወይም እንዲያስተካክል እንደሚያስችል ምንም ማረጋገጫ አይሰጥም።

ግምቶችን እና የተስተዋሉ ክፍተቶችን ለመመዝገብ የረቂቁ አጽንዖት አስፈላጊ ነው። የ AI ሲስተሞች የምንጭ ቁስ ያልተሟላ፣ አሻሚ ወይም ወጥነት ባይኖረውም እንኳ አሳማኝ የካርታ ስራዎችን መስራት ይችላሉ። ተጠቃሚዎች ማስረጃዎችን ከግምቶች እንዲለዩ ማድረግ ግምገማን ቀላል ያደርገዋል እና ያልተረጋገጠ መረጃ ይፋዊ የደህንነት መገለጫ አካል የመሆን ስጋትን ሊቀንስ ይችላል። ነገር ግን፣ አስፈፃሚ ጎቭ መመሪያው ቅርሶችን ለማግኘት ጥቅሶችን፣ ለእያንዳንዱ ካርታ ስራ የሰው ማፅደቅን፣ የመተማመን መለያዎችን ወይም ሆን ተብሎ ከሚሳሳቱ ግብዓቶች ላይ መሞከር ስለመሆኑ አልተናገረም።

የውሂብ-አስተዳደር አንድምታዎችም አሉ. የአሁን-ግዛት ትንተና ስለስርዓት አርክቴክቸር፣ ተጋላጭነቶች፣ የመዳረሻ ቁጥጥሮች፣ ክስተቶች፣ ሰራተኞች ወይም አቅራቢዎች ሚስጥራዊነት ያለው መረጃን ሊያካትት ይችላል። ሪፖርቱ የNIST ምሳሌዎች የአካባቢ ወይም የግል ሞዴል ማሰማራትን፣ የማቆያ ፖሊሲዎችን፣ የመዳረሻ ቁጥጥሮችን፣ ፈጣን ምዝግብ ማስታወሻዎችን፣ ማሻሻያዎችን፣ ወይም የሳይበር ደህንነት መረጃን ወደ ውጫዊ AI አቅራቢ የመላክ ገደቦችን አይገልጽም። ስለዚህ ድርጅቶች የስራ ሂደቱ በሚስጥር ወይም በቁጥጥር ስር ላለው መረጃ ደህንነቱ የተጠበቀ መሆኑን ከዚህ ሪፖርት መረዳት አይችሉም።

መመሪያው ቀደም ሲል CSF 2.0ን ለሚያውቁ ለፌዴራል ኤጀንሲዎች እና ለግል ድርጅቶች ጠቃሚ ሊሆን ይችላል፣ ነገር ግን ተመልካቹ እና የሚፈለገው የዕውቀት ደረጃ ግልጽ አልሆነም። አፋጣኝ አብነት የባለሙያዎችን ግምገማ አስፈላጊነት በማሳደግ ረቂቅ ፕሮፋይልን ለማምረት እንቅፋት ሊቀንስ ይችላል፡ ቀላል ሂደት የማይደገፍ ውፅዓት ስልጣን ያለው እንዲመስልም ያደርጋል። ሪፖርቱ አቀራረቡ የአደጋ ውሳኔዎችን ጥራት እንደሚያሻሽል፣ የተሟሉ ግዴታዎችን እንደሚያሟላ፣ ወይም የተቋቋሙ የአስተዳደር እና የግምገማ ሂደቶችን እንደሚተካ አላስቀመጠም።

ሰፋ ያለ ጠቀሜታው NIST አመንጪ AIን እራሱን የሳይበር ደህንነት አስተዳደርን ለመተንተን እንደ መሳሪያ አድርጎ እየወሰደ ነው ተብሏል። ያ ተጨባጭ የፖሊሲ እና የተግባር ልማት ነው, ነገር ግን እየተገመገመ ያለ ረቂቅ ዘዴ ነው. ያለው ምንጭ በታቀደው የስራ ሂደት እና አስተያየት ጊዜ ላይ ሪፖርት ማድረግን ይደግፋል; NIST የተለየ ሞዴል ደግፏል፣ የቁሳቁስ ደህንነት ማሻሻያዎችን አሳይቷል፣ ወይም በ AI የመነጨ የሲኤስኤፍ ትንተና ያለ ሰው ቁጥጥር አስተማማኝ ነው የሚለውን አባባል አይደግፍም።

ቀጥሎ ምን እንደሚታይ

ቁልፍ ጥያቄዎች የመመሪያው ትክክለኛ ፈጣን ንድፎች፣ የማረጋገጫ መስፈርቶች፣ ሚስጥራዊ የሳይበር ደህንነት መረጃ አያያዝ እና የመጨረሻው እትም ምሳሌዎችን ወይም ምክሮችን ይለውጣል ወይ የሚለው ናቸው። ያልተደገፉ ድምዳሜዎች ወይም ግልጽ የመስጠት አደጋዎችን ሳያስተዋውቅ የስራ ፍሰቱ ትንተናን እንደሚያሻሽል አንባቢዎች ለዋና የNIST ልቀት፣ የህዝብ አስተያየቶች እና ማስረጃዎችን መመልከት አለባቸው።

የመጀመርያው ቅድሚያ የ NIST ህትመቱን ማግኘት እና የሰነዱን ቁጥር፣ የታተመበት ቀን፣ ወሰን እና ትክክለኛ የአስተያየት መመሪያዎችን ማረጋገጥ ነው። የExecutiveGov ሪፖርት ለኦክቶበር 15 ቀነ ገደብ ይሰጣል ነገር ግን ዋናውን ሰነድ ለዪ ወይም ቀጥተኛ የNIST አገናኝ አይሰጥም። ዋና ምንጭ አንባቢዎች በሁለተኛ ማጠቃለያ ላይ ከመተማመን ይልቅ መጠየቂያዎቹን፣ የተመሰሉ ፋይሎችን፣ ግምቶችን፣ ማስጠንቀቂያዎችን እና ማናቸውንም የተገለጹ ገደቦችን እንዲፈትሹ ያስችላቸዋል።

ገምጋሚዎች የመጨረሻው መመሪያ ከእያንዳንዱ AI የመነጨ የሲኤስኤፍ ካርታ እስከ መሰረታዊ ማስረጃዎች መከታተልን የሚፈልግ መሆኑን መመርመር አለባቸው። እርስ በርሳቸው የሚቃረኑ ቃለመጠይቆችን፣ የጎደሉ ቅርሶችን፣ ጊዜ ያለፈባቸውን ፖሊሲዎች እና እርግጠኛ ያልሆኑ ምደባዎችን አያያዝ ላይ መመሪያዎችን መፈለግ አለባቸው። እነዚህ ዝርዝሮች የስራ ፍሰቱ ተጠያቂነት ያለው ትንታኔን እንደሚደግፍ ወይም በዋናነት አሁንም ሰፊ የእጅ ተሃድሶ የሚያስፈልጋቸው የተጣራ ረቂቆችን እንደሚያመርት ይወስናሉ።

ለ AI የስራ ፍሰት የደህንነት ቁጥጥሮች ልዩ ትኩረት ሊሰጣቸው ይገባል. የወደፊት ሰነዶች ድርጅቶች የውጭ ሞዴል አቅራቢዎችን መጠቀም ይችሉ እንደሆነ፣ ከመጠየቁ በፊት ምን ዓይነት መረጃ መወገድ እንዳለበት፣ ጥያቄዎች እና ውጤቶች እንዴት እንደሚቆዩ እና ማን ሊደርስባቸው እንደሚችል ግልጽ ማድረግ አለባቸው። እንዲሁም የሳይበር ደህንነት መዝገቦች ጠላት ወይም አሳሳች ጽሁፍ ሊይዙ ስለሚችሉ ፈጣን መርፌ ወይም በድርጅታዊ ፋይሎች ውስጥ የተካተቱ ተንኮል አዘል ይዘቶችን መፍታት አለበት። ከእነዚህ መቆጣጠሪያዎች ውስጥ አንዳቸውም በቀረበው ሪፖርት ውስጥ አልተገለጹም።

ከተግባራዊ ሙከራዎች የተገኙ ማስረጃዎች መመሪያው ከአሳማኝ ማሳያ በላይ ማቅረቡን ለማረጋገጥ ይረዳል። ጠቃሚ ክትትል የካርታ ስራ ጥራትን ፣የባለሙያዎችን አለመግባባት ፣ያመለጡ ማስረጃዎችን ፣የተሳሳተ የይገባኛል ጥያቄዎችን ፣ለማረጋገጫ የሚያስፈልገው ጊዜ እና በተለያዩ ድርጅታዊ መጠኖች እና ዘርፎች ያሉ አፈፃፀምን ያካትታል። የአሁኑ ዘገባ የአጠቃቀም ጉዳዮችን ይጠቅሳል ነገር ግን የቀጥታ ስርጭት፣ መለኪያ ወይም የተለካ ውጤት የለም።

በመጨረሻም አንባቢዎች የህዝብ አስተያየት ሂደቱን እና ከረቂቅ ወደ የመጨረሻ መመሪያ የሚደረገውን ሽግግር መከታተል አለባቸው. አስተያየቶች NIST የሚመከሩትን አጠቃቀሞች ለማጥበብ፣መከላከያዎችን ለመጨመር ወይም ጥያቄዎቹን እንዲከልስ ሊያደርጉ ይችላሉ። ይህ እስኪሆን ድረስ ድርጅቶች ማንኛውንም በ AI የመነጨ የሲኤስኤፍ ቁሳቁስ እንደ ሊገመገም የሚችል ረቂቅ ሊይዙ እና ለስር የሳይበር ደህንነት ፍርዶች ሀላፊነታቸውን ሊጠብቁ ይገባል። ሪፖርቱ የመጨረሻውን የህትመት ቀን አልያዘም ወይም NIST ለአስተያየቶች ምላሹን ማተም አለመጀመሩን አያመለክትም።

ተዛማጅ መመሪያዎች እና ጥያቄዎች