Pertanyaan Kepatuhan yang Lebih Baik Mengalahkan Analisis Kerangka Kerja yang Lebih Besar

Artefak kepatuhan paling berbahaya dalam keamanan tidak selalu berupa kebijakan yang hilang. Kadang, artefak itu adalah kuesioner yang sudah selesai, diarsipkan dengan keyakinan seremonial, diam-diam hanya membuktikan bahwa semua orang yang terlibat mampu bertahan melewati PDF panjang tanpa kehilangan kemauan untuk menambal celah. Kolumnis SecurityWeek, Matt Honea, punya penawar yang berguna untuk ritual pemanggilan arwah berbasis dokumen ini: berhentilah memuja kerangka kerja yang lebih besar dan ajukan pertanyaan yang lebih baik. Argumennya bukan anti-kepatuhan, yang akan terdengar mudah tetapi keliru. Argumennya anti-teater, jenis teater ketika sebuah kontrol dianggap ada karena sebuah sel di spreadsheet mengatakan kontrol itu ada, sementara sistem produksi mengangguk sopan sambil melakukan hal yang sama sekali berbeda.

Laporan Insiden: SecurityWeek Menemukan Lubang Berbentuk Daftar Periksa

Honea dari SecurityWeek membuka dengan pelajaran dari luar dunia keamanan: pada 2009, Atul Gawande dan sebuah tim yang didukung oleh Organisasi Kesehatan Dunia menunjukkan bahwa daftar periksa bedah berisi 19 item dapat memangkas komplikasi dan kematian secara dramatis di delapan rumah sakit di seluruh dunia. Honea juga menunjuk ke dunia penerbangan, di mana daftar periksa pra-penerbangan muat di tangan pilot, bukan di dalam binder. Pelajarannya bukan bahwa bedah, penerbangan, atau tata kelola AI itu sederhana. Pelajarannya adalah bahwa pekerjaan berdampak besar membaik ketika pertanyaan-pertanyaan kritis cukup singkat untuk digunakan dan cukup spesifik untuk menangkap kegagalan.

Itu adalah versi kepatuhan dari menyadari bahwa alarm asap seharusnya terhubung ke langit-langit, bukan dilaminasi di dalam rencana darurat. Kerangka kerja dapat mendefinisikan wilayah, tetapi pertanyaanlah yang menentukan apakah seseorang dapat membuktikan bahwa kontrol itu hidup. Jika sebuah tim tidak dapat menjawab dari mana bukti berasal, siapa yang menggunakannya, dan keputusan rekayasa apa yang berubah karenanya, kontrol itu mungkin hanya dekorasi. Kontrol dekoratif sangat populer sampai tinjauan insiden mulai mengajukan pertanyaan yang tidak nyaman.

Radius Ledakan: SecurityWeek Melihat Kuesioner Membengkak

Honea dari SecurityWeek mengatakan tim keamanan mengirimkan kuesioner berisi 300 pertanyaan kepada vendor AI, banyak di antaranya dimulai dengan meminta vendor menjelaskan pendekatan mereka, dan hanya sedikit yang kemungkinan akan menangkap kegagalan nyata. Beginilah kepatuhan berubah menjadi mesin kabut dengan merek pengadaan. Vendor menulis prosa yang meyakinkan, pembeli menyimpannya, dan semua orang berharap model tidak pernah berubah dengan cara yang membuat jawaban itu basi sebelum siklus tinjauan berikutnya.

Radius ledakan praktisnya bukan hanya waktu yang terbuang. Ini adalah rasa percaya diri yang salah tempat, yaitu utang keamanan yang memakai blazer. Kuesioner 300 pertanyaan masih bisa melewatkan satu hal yang perlu diketahui engineering: apakah kontrol yang diklaim menghasilkan bukti yang dapat diamati dan diulang ketika sistem berperilaku buruk. Pelaku ancaman tidak peduli seberapa elegan taksonomi kebijakan Anda. Begitu juga gangguan layanan, kebocoran data, atau perilaku model yang tidak terpikirkan untuk diuji karena spreadsheet sudah berwarna hijau.

Akar Masalah: SecurityWeek Mengatakan Kerangka Kerja Bukan Garis Akhir

SecurityWeek melaporkan bahwa waktunya penting karena gigi penegakan EU AI Act untuk AI serbaguna tiba pada Agustus ini, kewajiban berisiko tinggi mulai bertahap menyusul di belakangnya, ISO/IEC 42001 mulai muncul secara eksplisit dalam kuesioner risiko pihak ketiga, dan AI Risk Management Framework dari NIST telah menjadi jawaban default Amerika Utara untuk membuktikan bahwa program risiko AI memang ada. Itu adalah banyak gravitasi yang menarik tim menuju peta kepatuhan yang lebih besar.

Peta itu berguna. Mengira peta sebagai jalan adalah cara organisasi berakhir patuh secara teori dan terkejut di produksi. Langkah yang lebih baik adalah memperlakukan setiap persyaratan kerangka kerja sebagai pemicu desain rekayasa. Pertanyaan apa yang akan mengungkap kegagalan? Log, hasil pengujian, kartu model, catatan tinjauan, atau keputusan akses apa yang akan menjawabnya? Siapa yang melihat bukti itu sebelum pelanggan, regulator, atau komandan insiden melihatnya? Jika jawabannya adalah paragraf yang dimulai dengan nuansa tata kelola, selamat, Anda telah menciptakan piñata berbentuk kontrol.

Mitigasi: Pelajaran SecurityWeek Untuk Pembuat Dan Pembeli

Poin inti SecurityWeek adalah bahwa program terbaik dibangun di atas daftar singkat pertanyaan yang dapat dijawab dan tetap bertahan ketika model berubah. Untuk pembeli, itu berarti mengganti puisi vendor yang luas dengan permintaan bukti yang dapat diuji. Untuk pembuat, itu berarti merancang kontrol yang menghasilkan bukti sebagai produk sampingan dari pekerjaan nyata, bukan sebagai penggalian arkeologis triwulanan melalui tiket, tangkapan layar, dan pesan Slack yang tidak seorang pun ingin masukkan sebagai barang bukti.

Di sinilah kepatuhan menjadi berguna, bukan sekadar bisa dilewati. Tanyakan apakah kontrol itu akan menangkap kegagalan nyata, apakah buktinya cukup segar untuk berarti, dan apakah seorang engineer dapat bertindak berdasarkan bukti itu tanpa harus memecahkan kode sebuah binder. Jawabannya tidak akan membuat kerangka kerja menghilang, dan memang tidak seharusnya. Jawaban itu akan membuatnya tidak terlalu seperti seni dinding dan lebih seperti instrumentasi.

Apa Arti Sebenarnya Bagi Anda

Kolom SecurityWeek adalah pengingat untuk berhenti mengukur kepatuhan berdasarkan jumlah halaman. Jika Anda menjalankan keamanan, pengadaan, privasi, atau produk untuk sistem AI, uji tekanan kerangka kerja favorit Anda dengan satu pertanyaan brutal: bukti apa yang akan membuktikan bahwa kontrol ini mengurangi risiko rekayasa nyata hari ini? Jika tidak ada yang bisa menjawab tanpa menjadwalkan lokakarya, itulah item backlog Anda.

Fase berikutnya dari kepatuhan AI akan memberi penghargaan kepada tim yang dapat menghubungkan regulasi, tinjauan vendor, dan realitas rekayasa tanpa tenggelam dalam kuesioner. Perhatikan organisasi yang bergerak dari jelaskan pendekatan Anda ke tunjukkan buktinya. Yang pertama adalah dokumen administratif. Yang kedua adalah cara kita menjaga internet agar tidak menjadi museum kepatuhan dengan notifikasi pelanggaran di toko suvenir.