Gli standard di sicurezza internazionali e nazionali, dalle norme ISO/IEC 27000 alle pubblicazioni del NIST fino alle linee guida AgID, stabiliscono i requisiti che un software deve rispettare. Sono però scritti per essere letti da persone: tradurli in controlli verificabili richiede settimane di lavoro specialistico, da ripetere a ogni nuova versione del documento.
Il nuovo studio AI4Cyber, prodotto dai Cyber Studios di T-Defence, illustra il quinto capitolo relativo al sistema basato su Retrieval Augmented Generation (RAG) e ne presenta un nuovo caso d’uso, “Security Standard”, appoggiandosi al modulo di scoring introdotto nel terzo capitolo, dedicato alla standardizzazione dei dati e al confronto semantico.
Il sistema legge uno standard di sicurezza, individua i requisiti che un software deve rispettare e li confronta con i comportamenti tipici degli attaccanti, raccolti nella matrice MITRE ATT&CK. Tutto avviene in locale, senza che i documenti lascino l’infrastruttura.
Il risultato è un elenco che uno strumento esterno può usare per capire se un software rispetta quei requisiti: un controllo prezioso quando si scelgono componenti di terze parti, perché basta che uno solo sia compromesso per colpire molte organizzazioni.
Il presente studio indica, infine, le prossime evoluzioni: estendere l’approccio ad altre linee guida e buone pratiche, ricavare nuovi requisiti dai report su attacchi reali e introdurre il feedback dell’analista per rendere il sistema adattivo.
Se desideri approfondire ecco il link al nostro studio completo.
Inoltre, puoi registrarti alla mailing list specifica Cyber Studios by T-Defence, per ricevere aggiornamenti sulle prossime ricerche:
