Gli standard di sicurezza internazionali e nazionali, dalle norme ISO/IEC 27000 alle pubblicazioni del NIST fino alle linee guida AgID, stabiliscono i requisiti che un software deve rispettare. Sono però scritti per essere letti da persone: tradurli in controlli verificabili richiede settimane di lavoro specialistico, da ripetere a ogni nuova versione del documento.
The new study AI4Cyber, prodotto dai Cyber Studios di T-Defence, illustra il quinto capitolo relativo al sistema basato su Retrieval Augmented Generation (RAG) e ne presenta un nuovo caso d’uso, “Security Standard”, appoggiandosi al modulo di scoring introdotto nel terzo capitolo, dedicato alla standardizzazione dei dati e al confronto semantico.
Il sistema legge uno standard di sicurezza, individua i requisiti che un software deve rispettare e li confronta con i comportamenti tipici degli attaccanti, raccolti nella matrice MITRE ATT&CK. Tutto avviene in locale, senza che i documenti lascino l’infrastruttura.
Il risultato è un elenco che uno strumento esterno può usare per capire se un software rispetta quei requisiti: un controllo prezioso quando si scelgono componenti di terze parti, perché basta che uno solo sia compromesso per colpire molte organizzazioni.
Il presente studio indica, infine, le prossime evoluzioni: estendere l’approccio ad altre linee guida e buone pratiche, ricavare nuovi requisiti dai report su attacchi reali e introdurre il feedback dell’analista per rendere il sistema adattivo.
If you wish to learn more, here is the link to our comprehensive study.
In addition, you can subscribe to the specific mailing list Cyber Studios by T-Defence, to receive updates on upcoming research:
