Przed wybraniem uprawnień agenta organizacje podlegające regulacjom muszą wiedzieć, jakie obowiązki mają zastosowanie do konkretnego podmiotu, danych i przepływu pracy. Nie ma jednej konfiguracji środowiska regulowanego, która zapewnia zgodność agenta uwierzytelniania. Zacznij od ograniczonego przypadku użycia, zmapuj obowiązujące wymagania z odpowiedzialnymi specjalistami i zachowaj dowody na to, jak działają wybrane kontrole.
Dokładnie zdefiniuj regulowany przepływ pracy
Zidentyfikuj podmiot, jurysdykcje, klientów, których to dotyczy, kategorie danych, usługi zlecane na zewnątrz i proponowane działania agentów. Analiza różnicowa raporty zbiorcze od przetwarzania pełnych próbek wiadomości, zatwierdzania zmian DNS lub wysyłania komunikatów do klientów. Każde działanie może skutkować innym obowiązkiem prawnym, dotyczącym prywatności, operacyjnym lub dotyczącym prowadzenia rejestrów.
Używać NIST AI RMF jako dobrowolne ramy (AI RMF 1.0, z aktualizacją w toku, jak podano na stronie NIST ) do organizacji zarządzania, kontekstu, pomiarów i zarządzania, a nie jako certyfikacja lub substytut obowiązującego prawa. Jeśli GDPR ma zastosowanie, sprawdź odpowiednie zasady przetwarzania, podstawę prawną, ustalenia dotyczące przetwarzania, wymogi dotyczące bezpieczeństwa i transferu międzynarodowego w rozporządzenie. Należy zbadać wymagania specyficzne dla sektora dla konkretnej instytucji, a nie zgadywać na podstawie jej etykiety branżowej.
Zamień obowiązki w obserwowalne kontrole
Utwórz mapowanie każdego mającego zastosowanie wymagania do właściciela, implementacji, testu i zachowanego artefaktu. Na przykład cel minimalizacji danych można odwzorować na listę dozwolonych pól raportu i skontrolowaną przekształconą próbkę. Wymóg kontroli zmian może być odwzorowany na dokładnie zatwierdzoną różnicę, uwierzytelnioną osobę zatwierdzającą, dziennik wykonania i weryfikację po zmianie. Określ, które mapowania są polityką organizacji, a które wynikają z obowiązujących wymagań.
Oddziel organ rekomendujący od organu wykonawczego. OWASP Nadmierna swoboda zaleca ograniczanie funkcji i uprawnień oraz wykorzystywanie ludzkiej zgody w przypadku działań o dużym wpływie. Analityk nie powinien przyznawać sobie nowego dostępu, ponieważ raport sugeruje, że szersze uprawnienia ułatwiłyby diagnozę.
Określ ograniczony łańcuch dowodów
W przypadku proponowanego zadania GOV-01 załóżmy, że najemca otrzymuje pocztę rozliczeniową z adresem From invoice@billing.test , SPF tożsamość bounce@billing.test i DKIM d=service.test. No actual results are supplied, so do not infer a DMARC werdykt. Proponowana zmiana polega na skonfigurowaniu obsługiwanej tożsamości podpisującej d=billing.test; to, czy dostawca to obsługuje, pozostaje niezweryfikowane.
- Spożycie: proponowany właściciel usługi definiuje podmiot, jurysdykcje i zakres danych; nie dostarczono dowodów.
- Minimalizacja: proponowany właściciel prywatności zatwierdza niezbędne pola raportu i przechowywanie; sprawdzona próbka nie została dostarczona.
- Zalecenie: proponowany właściciel poczty rejestruje dokładne obsługiwane różnice w konfiguracji i wpływ; brak dowodów dostawcy.
- Zatwierdzenie: nazwana uwierzytelniona osoba zatwierdzająca, zakres i data ważności nie są podane. Fikcyjna flaga Authenticated=false blokuje wykonanie, a nie zezwala na demonstrację do działania.
- Wykonanie: nie podano identyfikatora operacji, bajtów przed/po i wyniku dostawcy; nie zapewniono wykonania.
- Weryfikacja: brak wyników zaufanego odbiorcy i braku akceptacji biznesowej; pakiet niekompletny.
Każdy wiersz jest wymogiem redakcyjnym, a nie zatwierdzonym odwzorowaniem prawnym. Sama kompletność nie może stanowić podstawy prawnej, uprawnień zatwierdzających, zgodności z umową ani pomyślnej zmiany. Nie wykonano żadnej konfiguracji lokalnej ani programu łańcucha dowodów.
Zachowaj dowody, nie zachowując wszystkiego
Ustaw przechowywanie i dostęp zgodnie z obowiązującymi obowiązkami i celem każdego rekordu. Chroń próbki wejściowe, zatwierdzenia, wyniki i dzienniki przed nieuprawnionymi zmianami i ujawnieniem. Hashe pomagają wykryć zmiany w bajtach, ale nie dowodzą, że dana osoba je zatwierdziła ani samodzielnie nie ustanawiają wystarczającego prawnie łańcucha dostaw.
Rejestruj wyjątki i kontrole kompensacyjne z odpowiedzialnym właścicielem i datą przeglądu. Zachowaj możliwość zawieszania zapisów lub wysyłania, zachowując jednocześnie bezpieczny dostęp do celów dochodzeniowych. Przetestuj odzyskiwanie i eskalację incydentów przed szerokim wdrożeniem i uwzględnij w ocenie komponenty zlecone na zewnątrz.
Zachowaj oświadczenia uwierzytelniające w ich zakresie
RFC 9989 definiuje zachowanie DMARC , a nie zgodność z pełnymi obowiązkami bezpieczeństwa sektora. Przechodząca wiadomość może w dalszym ciągu być złośliwa, nieautoryzowana lub stwarzać problemy prawne. Przydatny zapis zarządzania łączy zatem dowody protokołu z decyzją biznesową, nie myląc tych dwóch.
Dokonaj ponownej oceny po istotnych zmianach w modelu, narzędziach, miejscu docelowym danych, referencjach, zachowaniu dostawcy lub mających zastosowanie wymaganiach. Rezultatem powinien być możliwy do sprawdzenia przepływ pracy z wyraźnymi ograniczeniami, a nie plakietka zgodności wywnioskowana z udanej demonstracji.