NIST ร่างคู่มือการใช้ AI ในการวิเคราะห์กรอบความปลอดภัยทางไซเบอร์

เกิดอะไรขึ้น

ExecutiveGov รายงานว่า NIST เผยแพร่คู่มือเริ่มต้นอย่างรวดเร็วเบื้องต้นสำหรับการใช้ generative AI ในการวิเคราะห์และการรายงาน Cybersecurity Framework 2.0 ร่างนี้อธิบายพร้อมท์ที่มีโครงสร้างและการใช้งานเชิงคาดการณ์สามประการ: การทบทวนนโยบายและการกำกับดูแลความเสี่ยง การพัฒนาโปรไฟล์สถานะปัจจุบัน และการวางแผนโปรไฟล์สถานะเป้าหมาย มีรายงานว่า NIST ยอมรับความคิดเห็นจนถึงวันที่ 15 ต.ค.

ExecutiveGov รายงานว่าสถาบันมาตรฐานและเทคโนโลยีแห่งชาติได้เปิดตัว “คู่มือเริ่มต้นฉบับย่อสำหรับการใช้ปัญญาประดิษฐ์เพื่อการวิเคราะห์และการรายงานกรอบความปลอดภัยทางไซเบอร์” ตามรายงาน คู่มือนี้มุ่งเน้นไปที่การใช้ AI เชิงสร้างสรรค์กับ Cybersecurity Framework 2.0 ซึ่งเป็นเฟรมเวิร์กของ NIST เพื่อช่วยองค์กรจัดการและสื่อสารความเสี่ยงด้านความปลอดภัยทางไซเบอร์ รายงานระบุลักษณะของสิ่งพิมพ์ว่าเป็นฉบับร่างและระบุว่าช่วงการตรวจสอบดำเนินไปจนถึงวันที่ 15 ตุลาคม บัญชีนี้ไม่ได้รับการยืนยันอย่างอิสระจากเอกสาร NIST หลักที่มาพร้อมกับเรื่องราว

คู่มือที่รายงานมุ่งเน้นไปที่การเปลี่ยนอินพุตขององค์กรธรรมดาให้เป็นเอาต์พุต CSF 2.0 ที่มีโครงสร้าง ExecutiveGov กล่าวว่ามีข้อความแจ้ง AI ที่มีโครงสร้างซึ่งออกแบบมาเพื่อแปลข้อมูลภาษาธรรมชาติเป็นผลลัพธ์ของกรอบงานที่ระบุ บทความนี้ยังระบุด้วยว่า NIST รวมถึงไฟล์องค์กรจำลองสำหรับบริษัทสมมติ ตัวอย่าง และเคล็ดลับที่มีไว้เพื่อช่วยให้ผู้ใช้เริ่มนำแนวทางดังกล่าวไปใช้ รายละเอียดเหล่านั้นชี้ให้เห็นว่าเอกสารดังกล่าวเป็นคำแนะนำและเป็นเชิงสำรวจ ไม่ใช่หลักฐานที่แสดงว่า NIST ได้อนุมัติระบบ AI เชิงพาณิชย์โดยเฉพาะ หรือสร้างมาตรฐานระบบอัตโนมัติที่พร้อมสำหรับการผลิต

ExecutiveGov อธิบายกรณีการใช้งานตามรูปแบบสามกรณี ประการแรกเกี่ยวข้องกับการทบทวนนโยบาย กลยุทธ์ และการกำกับดูแลความปลอดภัยทางไซเบอร์ขององค์กรเทียบกับผลลัพธ์ CSF 2.0 ส่วนที่สองใช้สิ่งประดิษฐ์ขององค์กรและบันทึกการสัมภาษณ์บุคลากรเพื่อสร้างร่างโปรไฟล์สถานะปัจจุบัน ขณะเดียวกันก็บันทึกสมมติฐาน ช่องว่างของหลักฐาน และช่องว่างในการสัมภาษณ์ ประการที่สามเกี่ยวข้องกับร่างโปรไฟล์รัฐเป้าหมาย: การใช้การอ้างอิงภายในและอุตสาหกรรมเพื่ออธิบายผลลัพธ์ด้านความปลอดภัยทางไซเบอร์ที่ต้องการ วัตถุประสงค์ของภารกิจ ความคาดหวังของผู้มีส่วนได้ส่วนเสีย ความเสี่ยงที่ทราบ และข้อกำหนด

แหล่งที่มาไม่ได้ระบุโมเดล AI ผู้จำหน่าย สภาพแวดล้อมซอฟต์แวร์ ชุดข้อมูลการประเมิน หรือการควบคุมความปลอดภัยที่ใช้ในการสร้างตัวอย่าง นอกจากนี้ยังไม่รายงานความแม่นยำที่วัดได้ การประหยัดเวลา อัตราข้อผิดพลาด ผลการตรวจสอบโดยผู้เชี่ยวชาญ หรือการปรับใช้โดยองค์กรที่ระบุชื่อ บทความระบุว่า NIST เพิ่งเผยแพร่ร่างเบื้องต้นของโปรไฟล์ CSF ที่เน้น AI เช่นกัน แต่ไม่ได้อธิบายว่าร่างที่แยกต่างหากนั้นเป็นส่วนหนึ่งของคู่มือเริ่มต้นใช้งานฉบับย่อหรือว่าเอกสารทั้งสองเกี่ยวข้องกันอย่างไร การละเว้นเหล่านี้จำกัดสิ่งที่สามารถสรุปได้เกี่ยวกับความพร้อมในการปฏิบัติงาน

รายละเอียดที่มา: executivegov.com ↗

ทำไมมันถึงสำคัญ

ร่างดังกล่าวอาจช่วยให้ทีมรักษาความปลอดภัยทางไซเบอร์มีวิธีใช้ AI ซ้ำมากขึ้นเพื่อจัดระเบียบหลักฐานและเตรียมเอกสารที่เกี่ยวข้องกับกรอบงาน คุณค่าในทางปฏิบัติขึ้นอยู่กับว่าผู้ใช้ตรวจสอบการแมปที่สร้างโดย AI ปกป้องข้อมูลที่ละเอียดอ่อน และแยกแยะหลักฐานที่เป็นเอกสารจากสมมติฐานได้ดีเพียงใด รายงานไม่ได้ระบุว่า NIST ได้ตรวจสอบแนวทางดังกล่าวในองค์กรที่ใช้งานจริงแล้ว

ข้อเสนอที่รายงานมีความสำคัญเนื่องจากการวิเคราะห์ CSF มักต้องมีการรวบรวมหลักฐานจากนโยบาย ขั้นตอน การสัมภาษณ์ สินค้าคงคลัง และบันทึกความเสี่ยง ก่อนที่องค์กรจะสามารถอธิบายสถานะปัจจุบันหรือกำหนดสถานะเป้าหมายได้ ขั้นตอนการทำงาน AI ที่มีโครงสร้างสามารถช่วยผู้ปฏิบัติงานจัดระเบียบเอกสารเหล่านั้นและระบุหลักฐานที่ขาดหายไป ประโยชน์ที่เป็นไปได้คือความสอดคล้องด้านการบริหารและการวิเคราะห์ ไม่ใช่การตัดสินใจด้านความปลอดภัยทางไซเบอร์แบบอัตโนมัติ บทความนี้ไม่ได้แสดงหลักฐานว่าคู่มือนี้ช่วยให้ระบบ AI สามารถประเมินหรือแก้ไขจุดอ่อนด้านความปลอดภัยได้อย่างอิสระ

การเน้นการรายงานของร่างในการบันทึกสมมติฐานและช่องว่างที่สังเกตเป็นสิ่งสำคัญ ระบบ AI สามารถสร้างการแมปที่เป็นไปได้แม้ว่าแหล่งข้อมูลจะไม่สมบูรณ์ ไม่ชัดเจน หรือไม่สอดคล้องกันก็ตาม การกำหนดให้ผู้ใช้แยกแยะหลักฐานจากสมมติฐานอาจทำให้การตรวจสอบง่ายขึ้นและลดความเสี่ยงที่การอนุมานที่ไม่ได้รับการยืนยันจะกลายเป็นส่วนหนึ่งของโปรไฟล์ความปลอดภัยอย่างเป็นทางการ อย่างไรก็ตาม ExecutiveGov ไม่ได้บอกว่าคู่มือนี้จำเป็นต้องมีการอ้างอิงถึงแหล่งที่มาของสิ่งประดิษฐ์ การอนุมัติโดยมนุษย์สำหรับการทำแผนที่แต่ละรายการ ป้ายความเชื่อมั่น หรือการทดสอบกับข้อมูลที่จงใจทำให้เข้าใจผิดหรือไม่

นอกจากนี้ยังมีผลกระทบต่อการกำกับดูแลข้อมูลด้วย การวิเคราะห์สถานะปัจจุบันอาจเกี่ยวข้องกับข้อมูลที่ละเอียดอ่อนเกี่ยวกับสถาปัตยกรรมระบบ ช่องโหว่ การควบคุมการเข้าถึง เหตุการณ์ บุคลากร หรือซัพพลายเออร์ รายงานไม่ได้ระบุว่าตัวอย่างของ NIST กล่าวถึงการปรับใช้โมเดลภายในหรือส่วนตัว นโยบายการเก็บรักษา การควบคุมการเข้าถึง การบันทึกทันที การแก้ไข หรือข้อจำกัดในการส่งข้อมูลความปลอดภัยทางไซเบอร์ไปยังผู้ให้บริการ AI ภายนอก ดังนั้นองค์กรต่างๆ จึงไม่สามารถอนุมานได้จากรายงานนี้ว่าขั้นตอนการทำงานปลอดภัยสำหรับข้อมูลที่เป็นความลับหรือมีการควบคุม

คู่มือนี้อาจเป็นประโยชน์สำหรับหน่วยงานรัฐบาลกลางและองค์กรเอกชนที่คุ้นเคยกับ CSF 2.0 อยู่แล้ว แต่กลุ่มเป้าหมายและระดับความเชี่ยวชาญที่จำเป็นยังไม่ชัดเจน เทมเพลตพร้อมท์อาจลดอุปสรรคในการสร้างโปรไฟล์แบบร่างในขณะที่เพิ่มความสำคัญของการตรวจสอบโดยผู้เชี่ยวชาญ: กระบวนการที่ง่ายกว่ายังสามารถทำให้ผลลัพธ์ที่ไม่ได้รับการสนับสนุนปรากฏว่าเชื่อถือได้ รายงานไม่ได้กำหนดว่าแนวทางดังกล่าวช่วยปรับปรุงคุณภาพของการตัดสินใจด้านความเสี่ยง ตอบสนองภาระผูกพันในการปฏิบัติตามข้อกำหนด หรือแทนที่กระบวนการกำกับดูแลและการประเมินที่กำหนดไว้

ความสำคัญที่กว้างขึ้นคือ มีรายงานว่า NIST กำลังปฏิบัติต่อ generative AI เป็นเครื่องมือในการวิเคราะห์การกำกับดูแลความปลอดภัยทางไซเบอร์ นั่นเป็นนโยบายและการพัฒนาแนวปฏิบัติที่เป็นรูปธรรม แต่ควรเข้าใจว่าเป็นวิธีร่างที่อยู่ระหว่างการทบทวน แหล่งที่มาที่มีอยู่สนับสนุนการรายงานเกี่ยวกับขั้นตอนการทำงานที่เสนอและระยะเวลาแสดงความคิดเห็น ไม่สนับสนุนการกล่าวอ้างว่า NIST ได้รับรองแบบจำลองเฉพาะ แสดงให้เห็นถึงการปรับปรุงความปลอดภัยของวัสดุ หรือพบว่าการวิเคราะห์ CSF ที่สร้างโดย AI มีความน่าเชื่อถือโดยไม่ต้องมีการควบคุมดูแลโดยมนุษย์

จะดูอะไรต่อไป.

คำถามสำคัญคือการออกแบบที่รวดเร็วของคู่มือ ข้อกำหนดในการตรวจสอบ การรักษาข้อมูลความปลอดภัยทางไซเบอร์ที่เป็นความลับ และการตีพิมพ์ครั้งสุดท้ายเปลี่ยนแปลงตัวอย่างหรือคำแนะนำหรือไม่ ผู้อ่านควรดูการเผยแพร่ NIST หลัก ความคิดเห็นสาธารณะ และหลักฐานว่าขั้นตอนการทำงานปรับปรุงการวิเคราะห์โดยไม่แนะนำข้อสรุปที่ไม่ได้รับการสนับสนุนหรือความเสี่ยงในการเปิดเผยหรือไม่

สิ่งสำคัญอันดับแรกคือการค้นหาสิ่งพิมพ์ NIST หลัก และตรวจสอบหมายเลขเอกสาร วันที่ตีพิมพ์ ขอบเขต และคำแนะนำในการแสดงความคิดเห็นที่แน่นอน รายงานของ ExecutiveGov ระบุกำหนดเวลาในวันที่ 15 ตุลาคม แต่ไม่ได้ระบุตัวระบุของเอกสารหลักหรือลิงก์ NIST โดยตรง แหล่งข้อมูลหลักจะช่วยให้ผู้อ่านสามารถตรวจสอบข้อความแจ้ง ไฟล์จำลอง สมมติฐาน คำเตือน และข้อจำกัดใดๆ ที่ระบุไว้ แทนที่จะอาศัยข้อมูลสรุปรอง

ผู้ตรวจสอบควรตรวจสอบว่าคำแนะนำขั้นสุดท้ายจำเป็นต้องมีการตรวจสอบย้อนกลับจากการทำแผนที่ CSF ที่สร้างโดย AI ทุกครั้งไปจนถึงหลักฐานที่ซ่อนอยู่หรือไม่ พวกเขาควรมองหาคำแนะนำในการจัดการกับการสัมภาษณ์ที่ขัดแย้งกัน สิ่งประดิษฐ์ที่หายไป นโยบายที่ล้าสมัย และการจำแนกประเภทที่ไม่แน่นอน รายละเอียดเหล่านี้จะกำหนดว่าขั้นตอนการทำงานสนับสนุนการวิเคราะห์ที่รับผิดชอบหรือสร้างแบบร่างที่สวยงามซึ่งยังคงต้องมีการสร้างใหม่ด้วยตนเองอย่างกว้างขวางหรือไม่

การควบคุมความปลอดภัยสำหรับเวิร์กโฟลว์ AI สมควรได้รับความสนใจเป็นพิเศษ เอกสารประกอบในอนาคตควรให้ความกระจ่างว่าองค์กรอาจใช้ผู้ให้บริการโมเดลภายนอกหรือไม่ ข้อมูลใดควรถูกลบออกก่อนที่จะแจ้ง วิธีเก็บรักษาแจ้งและผลลัพธ์ และใครบ้างที่สามารถเข้าถึงได้ นอกจากนี้ยังควรจัดการกับการแทรกทันทีหรือเนื้อหาที่เป็นอันตรายที่ฝังอยู่ในไฟล์ขององค์กร เนื่องจากบันทึกความปลอดภัยทางไซเบอร์อาจมีข้อความที่ไม่เป็นมิตรหรือทำให้เข้าใจผิด ไม่มีการอธิบายการควบคุมใด ๆ เหล่านี้ไว้ในรายงานที่ให้มา

หลักฐานจากการทดลองภาคปฏิบัติจะช่วยยืนยันว่าคู่มือนี้ให้ผลมากกว่าการสาธิตที่สมเหตุสมผลหรือไม่ การติดตามผลที่เป็นประโยชน์จะรวมถึงการประเมินคุณภาพการทำแผนที่โดยอิสระ ความขัดแย้งของผู้เชี่ยวชาญ หลักฐานที่ไม่ได้รับ การกล่าวอ้างที่มีอาการประสาทหลอน เวลาที่ต้องใช้ในการตรวจสอบ และประสิทธิภาพในขนาดองค์กรและภาคส่วนต่างๆ รายงานปัจจุบันกล่าวถึงกรณีการใช้งานโดยประมาณ แต่ไม่มีการปรับใช้งานจริง การวัดประสิทธิภาพ หรือผลลัพธ์ที่วัดได้

สุดท้ายนี้ ผู้อ่านควรดูกระบวนการแสดงความคิดเห็นของสาธารณะและการเปลี่ยนจากร่างไปสู่คำแนะนำขั้นสุดท้าย ความคิดเห็นอาจทำให้ NIST จำกัดการใช้ที่แนะนำให้แคบลง เพิ่มการป้องกัน หรือแก้ไขพร้อมท์ จนกว่าจะเป็นเช่นนั้น องค์กรควรปฏิบัติต่อสื่อ CSF ที่สร้างโดย AI เป็นฉบับร่างที่ตรวจสอบได้ และยังคงรับผิดชอบต่อการตัดสินด้านความปลอดภัยทางไซเบอร์ที่สำคัญ รายงานไม่ได้กำหนดวันที่ตีพิมพ์ครั้งสุดท้ายหรือระบุว่า NIST จะเผยแพร่การตอบสนองต่อความคิดเห็นหรือไม่

คำแนะนำและแบบทดสอบที่เกี่ยวข้อง