ماذا حدث
تفيد تقارير ExecutiveGov أن NIST نشرت دليل البدء السريع الأولي لاستخدام الذكاء الاصطناعي التوليدي في التحليل وإعداد التقارير لـ Cybersecurity Framework 2.0. وتصف المسودة مطالب منظمة وثلاثة استخدامات نظرية: مراجعة السياسات وإدارة المخاطر، وتطوير ملف الحالة الراهنة، والتخطيط لملف الحالة المستهدفة. ويقال إن NIST يقبل التعليقات حتى 15 أكتوبر.
تفيد تقارير ExecutiveGov أن المعهد الوطني للمعايير والتكنولوجيا قد أصدر "دليل البدء السريع" الأولي لاستخدام الذكاء الاصطناعي لتحليل إطار عمل الأمن السيبراني وإعداد التقارير عنه. وفقًا للمنفذ، يركز الدليل على استخدام الذكاء الاصطناعي التوليدي مع Cybersecurity Framework 2.0، وهو إطار عمل NIST لمساعدة المؤسسات على إدارة مخاطر الأمن السيبراني والإبلاغ عنها. يصف التقرير المنشور بأنه مسودة ويقول إن فترة المراجعة تستمر حتى 15 أكتوبر. ولم يتم تأكيد هذا الحساب بشكل مستقل من وثيقة NIST الأولية المرفقة بالقصة.
يركز الدليل المذكور على تحويل المدخلات التنظيمية العادية إلى مخرجات منظمة لـ CSF 2.0. تقول شركة ExecutiveGov إنها تحتوي على مطالبات منظمة للذكاء الاصطناعي مصممة لترجمة معلومات اللغة الطبيعية إلى مخرجات إطارية محددة. تقول المقالة أيضًا أن NIST يتضمن ملفات تنظيمية محاكاة لشركة وهمية وأمثلة ونصائح تهدف إلى مساعدة المستخدمين على البدء في تطبيق هذا النهج. تشير هذه التفاصيل إلى أن الوثيقة تعليمية واستكشافية، وليست دليلاً على موافقة NIST على نظام ذكاء اصطناعي تجاري معين أو إنشاء معيار أتمتة جاهز للإنتاج.
يصف ExecutiveGov ثلاث حالات استخدام افتراضية. يتضمن الأول مراجعة سياسة الأمن السيبراني واستراتيجيته وإدارة المخاطر الخاصة بالمؤسسة مقابل نتائج CSF 2.0. ويستخدم الثاني الأدوات التنظيمية وملاحظات مقابلات الموظفين لإنشاء مسودة لمحة عن الوضع الحالي، مع تسجيل الافتراضات وفجوات الأدلة والفجوات في المقابلات. ويتعلق الثالث بمسودة ملف تعريف الحالة المستهدفة: استخدام المراجع الداخلية والصناعية لوصف نتائج الأمن السيبراني المرغوبة، وأهداف المهمة، وتوقعات أصحاب المصلحة، والمخاطر المعروفة، والمتطلبات.
ولا يحدد المصدر نماذج الذكاء الاصطناعي أو البائعين أو بيئات البرامج أو مجموعات بيانات التقييم أو ضوابط الأمان المستخدمة لإنتاج الأمثلة. كما أنه لا يُبلغ عن الدقة المُقاسة، أو توفير الوقت، أو معدلات الخطأ، أو نتائج مراجعة الخبراء، أو النشر بواسطة مؤسسة محددة. يقول المقال إن NIST نشر مؤخرًا مسودة أولية لملف تعريف CSF الذي يركز على الذكاء الاصطناعي أيضًا، لكنه لا يوضح ما إذا كانت تلك المسودة المنفصلة جزءًا من دليل البداية السريعة أو كيفية ارتباط الوثيقتين. إن هذه الإغفالات تحد مما يمكن استخلاصه بشأن الاستعداد التشغيلي.
تفاصيل المصدر: executivegov.com ↗
لماذا يهم
يمكن أن تمنح المسودة فرق الأمن السيبراني طريقة أكثر تكرارًا لاستخدام الذكاء الاصطناعي لتنظيم الأدلة وإعداد المواد المتعلقة بالإطار. وتعتمد قيمته العملية على مدى نجاح المستخدمين في التحقق من الخرائط التي ينشئها الذكاء الاصطناعي، وحماية المعلومات الحساسة، والتمييز بين الأدلة الموثقة والافتراضات. لا يثبت التقرير أن NIST قد تحقق من صحة هذا النهج في المنظمات الحية.
إن الاقتراح المبلغ عنه مهم لأن تحليل CSF غالبًا ما يتطلب جمع الأدلة من السياسات والإجراءات والمقابلات وقوائم الجرد وسجلات المخاطر قبل أن تتمكن المنظمة من وصف وضعها الحالي أو تحديد الحالة المستهدفة. يمكن لسير عمل الذكاء الاصطناعي المنظم أن يساعد الممارسين على تنظيم تلك المواد وتحديد الأدلة المفقودة. والفائدة المحتملة هي الاتساق الإداري والتحليلي، وليس اتخاذ قرارات مستقلة في مجال الأمن السيبراني. لا تقدم المقالة أي دليل على أن الدليل يمكّن نظام الذكاء الاصطناعي من تقييم نقاط الضعف الأمنية أو معالجتها بشكل مستقل.
إن التركيز الوارد في المسودة على توثيق الافتراضات والفجوات الملحوظة أمر مهم. يمكن لأنظمة الذكاء الاصطناعي إنتاج خرائط معقولة حتى عندما تكون المادة المصدر غير مكتملة، أو غامضة، أو غير متسقة. إن مطالبة المستخدمين بالتمييز بين الأدلة والافتراضات يمكن أن يجعل المراجعة أسهل ويقلل من خطر أن يصبح الاستدلال الذي لم يتم التحقق منه جزءًا من ملف تعريف الأمان الرسمي. ومع ذلك، لم توضح ExecutiveGov ما إذا كان الدليل يتطلب الاستشهادات بالعناصر المصدرية، أو موافقة الإنسان على كل رسم خرائط، أو علامات الثقة، أو اختبار المدخلات المضللة عمدًا.
هناك أيضًا آثار تتعلق بحوكمة البيانات. قد يتضمن تحليل الحالة الحالية معلومات حساسة حول بنية النظام أو نقاط الضعف أو عناصر التحكم في الوصول أو الحوادث أو الموظفين أو الموردين. لا يذكر التقرير ما إذا كانت أمثلة NIST تتناول نشر النماذج المحلية أو الخاصة، أو سياسات الاحتفاظ، أو عناصر التحكم في الوصول، أو التسجيل الفوري، أو التنقيح، أو القيود المفروضة على إرسال معلومات الأمن السيبراني إلى مزود ذكاء اصطناعي خارجي. ولذلك لا يمكن للمؤسسات أن تستنتج من هذا التقرير أن سير العمل آمن للبيانات السرية أو المنظمة.
يمكن أن يكون الدليل مفيدًا للوكالات الفيدرالية والمنظمات الخاصة المطلعة بالفعل على CSF 2.0، لكن جمهوره ومستوى الخبرة المطلوبة لا يزالان غير واضحين. قد يؤدي النموذج السريع إلى تقليل العوائق التي تحول دون إنتاج مسودة ملف تعريف مع زيادة أهمية مراجعة الخبراء: يمكن لعملية أسهل أيضًا أن تجعل المخرجات غير المدعومة تبدو موثوقة. ولا يثبت التقرير أن هذا النهج يحسن جودة القرارات المتعلقة بالمخاطر، أو يفي بالتزامات الامتثال، أو يحل محل عمليات الحوكمة والتقييم المعمول بها.
تكمن الأهمية الأوسع في أن NIST تتعامل مع الذكاء الاصطناعي التوليدي كأداة لتحليل إدارة الأمن السيبراني نفسها. وهذا يمثل تطويرًا ملموسًا للسياسات والممارسات، ولكن يجب أن يُفهم على أنه مشروع طريقة قيد المراجعة. المصدر المتاح يدعم إعداد التقارير حول سير العمل المقترح وفترة التعليق؛ إنه لا يدعم الادعاءات بأن NIST قد أيدت نموذجًا محددًا، أو أظهرت تحسينات أمنية مادية، أو وجدت أن تحليل CSF الناتج عن الذكاء الاصطناعي يمكن الاعتماد عليه دون إشراف بشري.
الآلية التفاعلية: كيف تعمل فعليًا
استكشف التكنولوجيا الأساسية وراء هذا التطور بشكل تفاعلي.
crm_get_transaction(id='4092').Why can ethical evaluation not be reduced to one model score?
ماذا تشاهد بعد ذلك
الأسئلة الرئيسية هي التصميمات السريعة الدقيقة للدليل، ومتطلبات التحقق من الصحة، ومعالجة بيانات الأمن السيبراني السرية، وما إذا كان المنشور النهائي يغير الأمثلة أو التوصيات. يجب على القراء أيضًا مراقبة إصدار NIST الأساسي والتعليقات العامة والأدلة حول ما إذا كان سير العمل يحسن التحليل دون تقديم استنتاجات غير مدعومة أو مخاطر الكشف.
الأولوية الأولى هي تحديد موقع منشور NIST الأساسي والتحقق من رقم المستند وتاريخ النشر والنطاق وتعليمات التعليق الدقيقة. ويعطي تقرير ExecutiveGov موعدًا نهائيًا في 15 أكتوبر ولكنه لا يقدم معرف الوثيقة الأساسية أو رابط NIST المباشر. سيسمح المصدر الأساسي للقراء بفحص المطالبات والملفات المحاكية والافتراضات والتحذيرات وأي قيود معلنة بدلاً من الاعتماد على ملخص ثانوي.
يجب على المراجعين فحص ما إذا كان الدليل النهائي يتطلب إمكانية التتبع من كل خريطة CSF تم إنشاؤها بواسطة الذكاء الاصطناعي إلى الأدلة الأساسية. ويجب عليهم أيضًا البحث عن تعليمات حول التعامل مع المقابلات المتناقضة، والقطع الأثرية المفقودة، والسياسات التي عفا عليها الزمن، والتصنيفات غير المؤكدة. ستحدد هذه التفاصيل ما إذا كان سير العمل يدعم التحليل المسؤول أو ينتج بشكل أساسي مسودات مصقولة لا تزال تتطلب إعادة بناء يدوية واسعة النطاق.
تستحق الضوابط الأمنية لسير عمل الذكاء الاصطناعي اهتمامًا خاصًا. يجب أن توضح الوثائق المستقبلية ما إذا كان يجوز للمؤسسات استخدام موفري نماذج خارجيين، وما هي المعلومات التي يجب إزالتها قبل المطالبة، وكيف يجب الاحتفاظ بالمطالبات والمخرجات، ومن يمكنه الوصول إليها. ويجب أن تتناول أيضًا الحقن الفوري أو المحتوى الضار المضمن في الملفات التنظيمية، نظرًا لأن سجلات الأمن السيبراني قد تحتوي على نص معادٍ أو مضلل. لم يتم وصف أي من هذه الضوابط في التقرير المرفق.
ومن شأن الأدلة المستمدة من التجارب العملية أن تساعد في تحديد ما إذا كان الدليل يقدم أكثر من مجرد عرض معقول. وستشمل المتابعة المفيدة تقييمات مستقلة لجودة رسم الخرائط، وخلاف الخبراء، والأدلة المفقودة، والادعاءات المهلوسة، والوقت اللازم للتحقق، والأداء عبر مختلف الأحجام والقطاعات التنظيمية. يذكر التقرير الحالي حالات الاستخدام النظرية ولكن لا يوجد نشر مباشر أو معيار أو نتيجة مُقاسة.
وأخيرا، ينبغي للقراء أن يراقبوا عملية التعليق العام والانتقال من المسودة إلى التوجيه النهائي. قد تؤدي التعليقات إلى قيام NIST بتضييق نطاق الاستخدامات الموصى بها، أو إضافة وسائل حماية، أو مراجعة المطالبات. وإلى أن يحدث ذلك، يجب على المؤسسات التعامل مع أي مواد CSF تم إنشاؤها بواسطة الذكاء الاصطناعي كمسودة قابلة للمراجعة والاحتفاظ بالمسؤولية عن أحكام الأمن السيبراني الأساسية. لا يحدد التقرير تاريخ النشر النهائي أو يشير إلى ما إذا كان NIST سينشر ردًا على التعليقات.