Ağ Ev bu yaxınlarda dünyanın ən böyük süni intellekt (Sİ) şirkətlərini sistemlərinin təhlükəsizliyini təmin etmək üçün nəzərdə tutulmuş təminatlara müstəqil nəzarət barədə mühüm öhdəlik ətrafında bir araya gətirdi. Sentyabrın 29-da açıqlanan razılaşma tərtibatçıları riskləri izləməyə, daxili nəzarətlər yaratmağa və bu nəzarətlərin işlədiyini qiymətləndirmək üçün kənar auditorları və ya qiymətləndiriciləri cəlb etməyə çağırır. Bu, şirkətlərin öz texnologiyalarını qiymətləndirmək məsuliyyətini əsasən öz üzərlərinə götürdüyü bir sənaye üçün ruhlandırıcı bir inkişafdır. Lakin razılaşma kritik bir boşluq buraxır. O, müstəqil qiymətləndirmələri kimin aparmaq hüququna malik olduğunu, müstəqilliyin nə tələb etdiyini və maraq toqquşmalarının necə idarə edilməli olduğunu müəyyən etmədən müstəqil qiymətləndirmələrə çağırır. Bu standartlar olmadan, iki tərtibatçı eyni öhdəliyi xeyli fərqli sərtlik və obyektivlik səviyyələrinə malik qiymətləndirmələr vasitəsilə yerinə yetirə bilər ki, bu da müəssisələri və tənzimləyiciləri nəticələrə nə qədər etibar edəcəkləri barədə qeyri-müəyyənlikdə qoyur. Schellman şirkətində biz akkreditə olunmuş Sİ təminatı təqdim edirik və bu işin etibarlılığının müstəqillikdən, aydın əhatə dairəsindən və ixtisaslı mütəxəssislərdən necə asılı olduğunu öz gözlərimizlə görmüşük. Təminat peşəsi maliyyə hesabatı, kibertəhlükəsizlik və məxfilik sahələrində səriştə, müstəqillik və keyfiyyət nəzarəti üçün standartlar müəyyən etmək üçün on illər sərf etmişdir. Bu standartlar mövcuddur, çünki müstəqil rəy yalnız qiymətləndirməni aparan şəxslər və onların nəticələrini dəstəkləyən sübutlar qədər etibarlıdır. Müstəqillik sadəcə bəyan etdiyiniz bir şey deyil. Bu, nümayiş etdirməli olduğunuz bir şeydir. Müstəqillik praktikada özünü doğrultmalıdır. Bir Sİ tərtibatçısının təhlükəsizlik nəzarətlərini qiymətləndirmək üçün bir firma işə götürdüyünü düşünün. Qiymətləndirici dar bir əhatə dairəsi ilə razılaşır, sınaqlar aparır və müsbət bir hesabat verir. Əgər eyni firma nəzərdən keçirilən nəzarətlərin dizaynına kömək etmişsə, onun obyektivliyi diqqətlə araşdırılmalıdır. Əgər əsas risklər əhatə dairəsindən kənarda qalırsa, müştərilər məhdud tapıntıları sistemin daha geniş təsdiqi ilə səhv sala bilərlər. Sİ satıcılarını seçən rəhbərlər üçün bu fərqlər satınalma və tətbiq qərarlarını formalaşdırır. Onlar qiymətləndirməni kimin apardığını, onların düzgün təcrübəyə malik olub-olmadığını, hansı təminatları araşdırdıqlarını və nələri istisna etdiklərini bilməlidirlər. Qiymətləndirici həmçinin kifayət qədər sübutlara çıxışa və əlverişsiz tapıntıları bildirmək azadlığına malik olmalıdır. Hesabat yalnız oxucular onun nəticələrini və məhdudiyyətlərini başa düşdükdə faydalıdır. Qiymətləndiricilər işə başlamazdan əvvəl müvafiq kommersiya əlaqələrini açıqlamalı və maraq toqquşmalarını necə idarə etdiklərini sənədləşdirməlidirlər. Onlar müəyyən edilmiş meyarlardan istifadə etməli, metodlarını izah etməli və müstəqil keyfiyyət nəzarəti ilə üzləşməlidirlər. Akkreditasiya, müvafiq hallarda, səriştə və qərəzsizliyi yoxlamaq üçün başqa bir yol əlavə edir. Problemlər ortaya çıxdıqda müstəqillik ən vacibdir. Müstəqil nəzarətin əsl sınağı, qiymətləndirmənin tərtibatçının eşitmək istəmədiyi bir şeyi aşkar etdiyi zaman gəlir. Razılaşma müəyyən edilmiş riskləri aradan qaldırmaq üçün daxili komandaları, tapıntılara və cavablara nəzarət edən müstəqil idarə heyəti komitəsini nəzərdə tutur. Lakin bu təminatlar qiymətləndiricilərin nəticələrini yumşaltmaq üçün təzyiq olmadan narahatlıqları bildirmək müstəqilliyinə malik olmasından asılıdır. Bir qiymətləndiricinin qabaqcıl modeldə ciddi bir kibertəhlükəsizlik zəifliyini müəyyən etdiyini düşünün. Əgər tərtibatçı tapıntını mübahisələndirirsə və ya onun əhatə dairəsini daraltmağa çalışırsa, qiymətləndirici sübutların arxasında durmalı və riski aydın şəkildə bildirməlidir. Tərtibatçı daha sonra əlavə sınaq, düzəldici tədbir və ya buraxılış məhdudiyyətlərinin zəruri olub-olmadığını müəyyən etməlidir. Orijinal riski dəqiq əks etdirən müstəqil qiymətləndirmə olmadan, hətta yaxşı müəyyən edilmiş bərpa prosesi də qeyri-kafi ola bilər. Etibarlı Sİ təminatı həmçinin düzgün təcrübə tələb edir. Texniki qiymətləndiricilər model davranışını, yaranan imkanları və hücum ssenarilərini başa düşürlər, təminat mütəxəssisləri isə idarəetmə, daxili nəzarətlər və dəstəkləyici sübutların qiymətləndirilməsində təcrübə gətirirlər. Hər iki perspektiv zəruridir, lakin heç biri avtomatik olaraq kimisə bir Sİ sisteminin hər tərəfini qiymətləndirmək üçün ixtisaslandırmır. Sİ təminatı inkişaf etdikcə, sənaye qiymətləndirmələri aparanlardan tələb olunan ixtisaslar, metodologiyalar və nəzarət üçün daha aydın gözləntilərə ehtiyac duyur. Biz artıq Sİ təminatının necə aparılmasında irəliləyiş görürük. AICPA və AIUC bu yaxınlarda SOC 2 imtahanlarını AIUC-1 sertifikatı ilə birləşdirən birgə təklif elan etdilər ki, bu da qurulmuş təminat təcrübələrini Sİ agentlərinin texniki sınaqları ilə, o cümlədən risklər inkişaf etdikcə rüblük təkrar sınaqlarla birləşdirir. Bu, daha sərt qiymətləndirmələrə doğru ümidverici bir addımdır, lakin daha güclü metodologiyalar təkbaşına etibarlı nəticələrə zəmanət verə bilməz. Onları tətbiq edən qiymətləndiricilər də etimad qazanmaq üçün zəruri olan təcrübəni, müstəqilliyi və hesabatlılığı nümayiş etdirməlidirlər. Nəzarəti ona etibar edən insanlar üçün faydalı edin. Razılaşmanı imzalayan şirkətlər müstəqil Sİ təminatı üçün daha aydın gözləntilər müəyyən etmək imkanına malikdirlər. Buna qiymətləndiricilər üçün minimum ixtisaslar, şəffaf qiymətləndirmə metodologiyaları, maraq toqquşmalarının açıqlanması və müstəqil keyfiyyət nəzarəti daxil olmalıdır. Hesabatlar öz əhatə dairəsini, məhdudiyyətlərini və əsas tapıntılarını aydın şəkildə bildirməlidir ki, idarə heyətləri, tənzimləyicilər və müştərilər nəyin qiymətləndirildiyini və nəticələrə nə qədər etibar edəcəklərini başa düşsünlər. Standartlar həmçinin kiçik tərtibatçılar üçün praktik olmalıdır. Sİ-nin qəbulu ən böyük texnologiya şirkətlərindən kənara çıxır və kiçik firmaların iştirak edə bilməyəcəyi qədər baha olan bir təminat prosesi bazarda boşluqlar yaradacaqdır. Gözləntilər müstəqilliyi pozmadan əlaqədar risklərə uyğun olmalıdır. Ağ Ev müstəqil nəzarəti Sİ təhlükəsizliyi öhdəliklərinin mərkəzinə qoymaqla mühüm bir addım atmışdır. Lakin bu nəzarətin çəkisi olması üçün sənaye qiymətləndirmələri kimin apara biləcəyi, onların müstəqilliyinin necə yoxlanıldığı və bu standartlara əməl edilmədikdə hesabatlılığın necə olacağı barədə aydın standartlara ehtiyac duyur. Bu gözləntilər olmadan, tərtibatçılar qiymətləndirmənin etibarlı olduğunu sübut etmədən onun baş verdiyini nümayiş etdirə bilərlər. Sİ sistemləri daha böyük məsuliyyət götürdükcə, onları qiymətləndirən insanlar da eyni dərəcədə sərt standartlara cavab verməlidirlər. Fortune.com şərh yazılarında ifadə olunan fikirlər yalnız müəlliflərinin baxışlarıdır və mütləq Fortune-un fikirlərini və inanclarını əks etdirmir. Bu hekayə əvvəlcə Fortune.com saytında yer almışdır. Tövsiyə olunan hekayələr.