كانت شركة أدوية تتلقى تقارير أسبوعية عن المراقبة الأمنية بالذكاء الاصطناعي من مزود خدماتها الأمنية المُدارة، الذي يعمل برنامجه للمراقبة بمنصة SIEM واكتشاف قائمة على الذكاء الاصطناعي. وكانت التقارير منسقة باحترافية، وتُسلَّم بانتظام، وتتضمن بيانات حقيقية: أحجام التنبيهات حسب الفئة، ومتوسط زمن الاكتشاف للأسبوع الماضي، ومعدلات معالجة التنبيهات، وإحصاءات التغطية حسب مجال التقنية الخاضع للمراقبة. وكانت القيادة الأمنية في شركة الأدوية تراجع التقارير في اجتماعها الأمني الأسبوعي وتجدها مُرضية عمومًا، إذ كانت المقاييس ضمن النطاقات المتوقعة، وكانت مؤشرات التغطية الخضراء توحي بمراقبة شاملة. أما ما لم تتضمنه التقارير فكان بيانًا صادقًا لقيود البرنامج: فئات الأساليب التي لا تغطيها قدرات اكتشاف فعالة، والأنظمة والبيئات المحددة غير المدمجة في المراقبة، وفئات التنبيهات التي كانت معدلات الإيجابيات الكاذبة فيها مرتفعة بما يكفي لإضعاف فعالية المحللين، والمجالات التي كان معروفًا أن منطق الاكتشاف لدى الذكاء الاصطناعي أقل ثقة فيها، والظروف المحددة التي كانت تستلزم تكملة من المحللين البشريين لأن الذكاء الاصطناعي لا يستطيع تصنيف السلوك بموثوقية. وصفت التقارير ما كان البرنامج يكتشفه، ولم تصف ما لم يكن يكتشفه، أو ما لا يستطيع اكتشافه، أو ما كان يكتشفه على نحو غير موثوق. وبعد اكتشاف اختراق ظل يتطور ستة أسابيع داخل بيئة لم يكن برنامج المراقبة يغطيها، عادت القيادة الأمنية في شركة الأدوية إلى ستة أسابيع من تقارير المراقبة الخضراء بالكامل التي لم تقدم أي إشارة إلى وجود الفجوة.
ما حقيقة المراقبة الأمنية الشاملة بالذكاء الاصطناعي؟
لا تتطلب المراقبة الأمنية الشاملة بالذكاء الاصطناعي أن يُبلغ برنامج المراقبة عما يكتشفه فحسب، بل أن يقدم بيانًا صادقًا لما لا يكتشفه، والمواضع التي تنخفض فيها ثقة الاكتشاف لديه، وأنشطة المحللين البشريين اللازمة لتعويض قيود الذكاء الاصطناعي. وتقرير المراقبة الذي لا يعرض إلا نجاحات البرنامج، أي ما اكتُشف وبأي سرعة وبأي معدل معالجة، دون الإفصاح عن نقاطه العمياء وفجوات تغطيته وقيود ثقته، يقدم صورة متفائلة منهجيًا تمنع المؤسسة من فهم وضعها الأمني الحقيقي.
مشكلة الإبلاغ عن فجوات التغطية هي القصور الأساسي في المساءلة. فبرامج المراقبة الأمنية بالذكاء الاصطناعي التي تعمل مع فجوات تغطية معروفة، من فئات أساليب لا يغطيها الاكتشاف وأنظمة غير مدمجة وبيئات غير خاضعة للمراقبة، ينبغي أن تُبلغ المؤسسة المتلقية لخدمة المراقبة بتلك الفجوات. وتقرير المراقبة الذي يعرض مؤشرات تغطية خضراء لجميع الفئات المُهيأة دون الإفصاح عن أن فئات أساليب مهمة غير مُهيأة يقدم طمأنة زائفة. فالمؤشرات الخضراء تصف التغطية المُهيأة، أما التغطية غير المُهيأة فغير مرئية: ليست حمراء ولا كهرمانية على لوحة المعلومات، بل غائبة ببساطة.
مشكلة الإبلاغ عن قيود الثقة هي فجوة المساءلة الثانية. فأنظمة الاكتشاف بالذكاء الاصطناعي تتفاوت ثقتها عبر فئات الأساليب المختلفة؛ فبعض السلوكيات تُكتشف بثقة عالية (تطابقات التوقيعات التامة)، وبعضها بثقة أدنى (حالات الشذوذ السلوكي التي تتطلب سياقًا إضافيًا لتصنيفها بموثوقية). وتقارير المراقبة التي تعرض جميع التنبيهات على أنها متكافئة في الموثوقية دون الإفصاح عن تفاوت الثقة حسب الفئة تمنع المؤسسة من تطبيق التدقيق المناسب على التنبيهات منخفضة الثقة. والتنبيه منخفض الثقة الذي يتطلب تحقيقًا بشريًا إضافيًا قبل تصنيفه ينبغي الإفصاح عنه بوصفه كذلك، لا عرضه إلى جانب التنبيهات عالية الثقة بوصفه دليلًا مكافئًا على التغطية الأمنية.
مشكلة تفاوت معدلات الإيجابيات الكاذبة هي بُعد الفعالية التشغيلية. فمنصات المراقبة الأمنية بالذكاء الاصطناعي تُنتج تنبيهات إيجابية كاذبة بمعدلات تتفاوت حسب فئة التنبيه؛ فبعض الفئات معدلات الإيجابيات الكاذبة فيها منخفضة جدًا، وبعضها مرتفعة بما يجعل معظم التنبيهات في تلك الفئة إيجابيات كاذبة. والمعدلات المرتفعة للإيجابيات الكاذبة في فئات محددة تُضعف فعالية المحللين في تلك الفئات، إذ تطغى الضوضاء على الإشارة. وتقارير المراقبة التي لا تعرض إلا المعدلات الإجمالية للإيجابيات الكاذبة دون تفصيلها حسب الفئة تُخفي الفئات التي يولّد فيها الذكاء الاصطناعي ضوضاء أكثر من الإشارة.
لماذا يهم هذا
تهم المراقبة الأمنية الشاملة بالذكاء الاصطناعي TPRM لأن الضمان الأمني الذي توفره تقارير المراقبة يعتمد على تمثيل تلك التقارير بدقة لقدرات البرنامج وقيوده معًا. فتقارير المراقبة الخضراء بالكامل التي لا تصف إلا ما يعمل تقدم طمأنة زائفة، إذ تؤكد أن البرنامج يعمل ضمن معاييره المُهيأة بينما تُخفي الفجوات التي يستهدفها المهاجمون المصممون تحديدًا.
أين تخطئ معظم الفرق
يتمثل الإخفاق الأكثر تكرارًا في قبول تقارير مراقبة تصف أداء البرنامج دون طلب تقارير تصف قيوده. فتقارير الأداء تؤكد ما يعمل، وتقارير القيود تُمكّن المؤسسة من فهم المواضع التي تحتاج فيها إلى تكملة بشرية أو ضوابط إضافية أو تغطية موسعة.
- مراجعة تقارير المراقبة دون طلب الإفصاح عن الفجوات
- عدم اشتراط الإبلاغ عن فجوات التغطية: عدم الإفصاح عن الفجوات في التقارير الأسبوعية
- عدم الإبلاغ عن معدل الإيجابيات الكاذبة حسب الفئة: المعدلات الإجمالية فقط
- عدم الإفصاح عن تفاوت الثقة حسب الفئة
- عدم تضمين متطلبات التكملة البشرية في تقارير المراقبة
كيف تبدو الممارسة الجيدة
تتضمن التقارير الناضجة للمراقبة الأمنية بالذكاء الاصطناعي مقاييس الأداء والإفصاح عن القيود معًا، وتحديدًا فجوات التغطية، وتفاوت الثقة حسب فئة التنبيه، ومعدلات الإيجابيات الكاذبة حسب الفئة، والظروف المحددة التي تستلزم تكملة من المحللين البشريين.
- الإفصاح عن فجوات التغطية: الإبلاغ الصريح عن فئات الأساليب غير المُهيأة
- معدل الإيجابيات الكاذبة حسب الفئة، لا المعدلات الإجمالية فقط
- الإفصاح عن تفاوت الثقة: تحديد فئات التنبيهات ذات ثقة الاكتشاف الأدنى
- متطلبات التكملة البشرية: المواضع التي لا يستطيع فيها الذكاء الاصطناعي التصنيف بموثوقية دون مراجعة المحللين
- تتبّع معالجة الفجوات: التقدم نحو سد فجوات التغطية المحددة
الأدوات
التقارير الأمنية: لوحات معلومات Splunk مع مقاييس الفجوات، ومصنفات Microsoft Sentinel لتحليل التغطية
توفر منصات التقارير الأمنية التي يمكن تهيئتها للإبلاغ عن فجوات التغطية إلى جانب أداء التغطية الصورةَ الكاملة للمراقبة التي لا توفرها لوحات معلومات الأداء المعيارية. وبالنسبة إلى ممارسي TPRM، فإن السؤال عما إذا كانت تقارير المراقبة لدى المورد تتضمن الإفصاح عن فجوات التغطية ومعدلات الإيجابيات الكاذبة حسب الفئة، إلى جانب مقاييس الأداء المعيارية، يوفر سؤالًا محددًا عن اكتمال التقارير.
تحديات الحوكمة
يتمثل تحدي الحوكمة في تقارير المراقبة الأمنية الشاملة بالذكاء الاصطناعي في عدم اتساق حوافز الموردين. فلدى موردي المراقبة الأمنية حوافز تجارية لعرض برامجهم في أفضل صورة، بالتركيز على ما يعمل وتقليل الإفصاح عن الفجوات والقيود. واشتراط الإفصاح عن الفجوات ضمن متطلبات الإبلاغ التعاقدية هو آلية الحوكمة التي تواءم تقارير الموردين مع احتياجات المؤسسة من الضمان.
- اشترط تعاقديًا الإفصاح عن الفجوات في تقارير المراقبة
- اطلب معدلات الإيجابيات الكاذبة حسب الفئة لا المعدلات الإجمالية فقط
- اطلب الإفصاح عن تفاوت الثقة حسب فئة التنبيه
- اسأل عن أنشطة المحللين البشريين التي تكمّل المراقبة بالذكاء الاصطناعي
- اشترط الإبلاغ عن معالجة فجوات التغطية مع جداول زمنية
إذا كنت فريقًا صغيرًا
اطلب إضافة واحدة إلى الصيغة المعيارية لتقرير المراقبة: قسم للقيود يُفصح، عن فترة الإبلاغ الحالية، عن أبرز ثلاث فئات أساليب أو بيئات لا تغطيها قدرات اكتشاف فعالة، وفئات التنبيهات ذات أعلى معدلات الإيجابيات الكاذبة، والظروف التي تستلزم مراجعة المحللين البشريين بدلًا من التصنيف الآلي بالذكاء الاصطناعي. فقسم القيود هذا يحوّل تقرير الأداء إلى تقرير مراقبة كامل، وغيابه يكشف الفجوة فيما يعدّه برنامج المراقبة جديرًا بالإبلاغ.
- اطلب قسمًا للقيود في تقارير المراقبة: فجوات التغطية، والفئات ذات معدل FP المرتفع، واحتياجات التكملة البشرية
- اطلب معدلات الإيجابيات الكاذبة حسب الفئة
- اطلب الإفصاح عن فجوات التغطية إلى جانب أداء التغطية
- اشترط تعاقديًا الإفصاح عن الفجوات في تقارير المراقبة
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«هل يمكن أن تتضمن تقارير المراقبة الأسبوعية لديكم قسمًا للقيود يُفصح عن أبرز فجوات التغطية، وفئات التنبيهات ذات أعلى معدلات الإيجابيات الكاذبة، والظروف التي تستلزم تكملة من المحللين البشريين، إلى جانب مقاييس الأداء المعيارية؟»
ما تتوقعه دليلًا
- الإفصاح عن فجوات التغطية في تقارير المراقبة
- معدلات الإيجابيات الكاذبة حسب الفئة
- الإفصاح عن تفاوت الثقة حسب فئة التنبيه
- الإفصاح عن متطلبات التكملة البشرية
ينبغي أن يُطلب من المورد الذي يقدم تقارير أسبوعية عن المراقبة بالذكاء الاصطناعي إضافة قسم للقيود. فمقاييس الأداء تصف ما يعمل، والإفصاح عن القيود يصف ما لا تعرضه مقاييس الأداء. وكلاهما مطلوب لتقرير مراقبة أمنية صادق.
كيف تُثبت ذلك
- صيغة تقرير المراقبة مع الإفصاح عن القيود
- سجلات تتبّع فجوات التغطية
- الإبلاغ عن معدل FP حسب الفئة
- توثيق متطلبات التكملة البشرية
الخلاصة الرئيسية
ستة أسابيع من تقارير المراقبة الخضراء بالكامل. اختراق تطور على مدى ستة أسابيع في بيئة غير خاضعة للمراقبة. كانت التقارير دقيقة فيما عرضته، وما عرضته هو أداء التغطية المُهيأة ضمن المعايير. أما ما لم تعرضه فهو البيئة غير المدمجة في المراقبة، وفئات الأساليب التي لا توجد لها تهيئة للاكتشاف، والمجالات المحددة التي كانت تستلزم تكملة من المحللين البشريين. التقرير الذي لا يعرض إلا ما يعمل هو ملخص أداء، أما تقرير المراقبة فيعرض ما يعمل وما لا يعمل معًا. والإفصاح عن فجوات التغطية، ومعدلات الإيجابيات الكاذبة حسب الفئة، ومتطلبات التكملة البشرية هي القيود التي تكمل الصورة التي لا تعرضها مقاييس الأداء.