إعادة هندسة الامتثال: إطار تحقق ثنائي الرسوم البيانية لتدقيق مفاهيم أمن تكنولوجيا المعلومات الكلاسيكية

مع تزايد الحاجة للامتثال المستمر والموثق في ظل التوجيهات الجديدة مثل NIS-2، أصبح من الضروري الانتقال من البيانات المستندة إلى الوثائق إلى عناصر امتثال يمكن قراءتها آليًا. حيث يعد Open Security Controls Assessment Language (OSCAL) معيارًا أساسيًا لهذا الغرض، وقد بدأ المكتب الفيدرالي الألماني لأمن المعلومات (BSI) في تكييفه مع Grundschutz++. ومع ذلك، لا تزال المؤسسات تتعامل مع مفاهيم أمن تكنولوجيا المعلومات التقليدية (IT-SCs) القديمة، مما يجعل عملية الانتقال إلى الشكل الجديد بدون تحقق من المخاطر.

بينما تركز الأبحاث الحالية بشكل رئيسي على إنشاء مفاهيم جديدة، يفتقر السوق إلى إطار تحقق يمكنه استخراج مفاهيم أمن تكنولوجيا المعلومات القديمة إلى تمثيل وسيط قابل للتدقيق. لذا، تم تقديم إطار عمل ASSERT (Automated Security Concept Structure Extraction and Reverse Topology-checking) الذي يسد تلك الفجوة عبر استخلاص مستندات قديمة باستخدام الأنطولوجيا وتحويلها إلى رسوم بيانية رسمية.

كما يقدم هذا الإطار فرقًا فريدًا من خمس فئات يقارن بين الرسوم البيانية التي تم استخراجها والحالة المرجعية التي تم التحقق منها، مما يتيح تصدير مستندات OSCAL الصالحة.

من خلال استخدام مجموعة بيانات RecPlast من BSI، كانت هناك مقارنة بين نموذج مفتوح الوزن محلي الطراز ونموذج تجاري عبر ثلاثة تكوينات بمستويات متفاوتة من التعرض للأنطولوجيا المرجعية. أظهرت التقييمات أن إطار ASSERT قادر على قياس التناقضات في البنية التحتية الوثائقية، لكنه يكشف عن توازن بين اكتشاف الكيانات غير الموثقة وإنفاذ المخطط، مما يجعل النتائج مثيرة للتفكير في مجال أمن المعلومات.