國際資安認證組織CREST推出AI輔助資安服務認證

國際資安認證組織CREST推出AI輔助資安服務認證

國際資安認證組織CREST於7月28日推出AI輔助資安服務認證，讓資安服務業者透過獨立審查，證明其在提供資安服務時，能以負責任方式使用AI，並落實治理、監督及透明度要求。這項認證是基於CREST先前公布的AI憲章（CREST AI Charter），以及「資安領域AI九項原則」（9 Principles for AI in Cybersecurity）而設。

背景分析

隨著資安業者將AI用於滲透測試、弱點分析、報告製作及工作流程自動化，企業客戶、監管機關及採購團隊也開始要求資安服務業者提出獨立證明，說明其AI輔助服務是否具備安全性、透明度及專業治理機制。根據CREST調查顯示，69%的滲透測試服務供應商已使用AI，76%在過去12個月提高AI使用程度，85%則預期客戶將要求業者更清楚說明資安服務如何使用AI。這些數據表明，AI在資安服務中的應用已經成為趨勢，同時也帶來了新的挑戰和要求。

認證標準

CREST此次增訂兩部分認證標準，首先是在適用所有服務供應商的「公司通用要求」（Company General Requirements）中，新增第7領域「負責任使用AI」（Responsible AI Use），審查業者如何在組織內治理及監督AI的使用，並落實透明度與負責任使用原則。這意味著資安服務業者需要建立明確的AI使用政策和程序，確保AI的使用是安全、透明和負責任的。

另一項則是在滲透測試認證標準中，加入附錄B「AI輔助滲透測試」（AI-Enabled Penetration Testing），針對業者在滲透測試服務中使用AI訂出要求，確保AI用於強化測試人員的專業判斷，同時維持CREST認證服務應有的品質、完整性及可信度。這項認證標準將有助於確保AI輔助滲透測試的質量和安全性，讓企業客戶和監管機關對資安服務業者的AI輔助服務有更大的信心。

未來展望

CREST推出AI輔助資安服務認證，是資安服務業者的一個重要里程碑。隨著AI在資安服務中的應用越來越廣泛，資安服務業者需要不斷地提升其AI使用能力和安全性，以滿足企業客戶和監管機關的要求。未來，CREST的AI輔助資安服務認證將成為資安服務業者的一個重要指標，幫助企業客戶和監管機關評估資安服務業者的AI輔助服務是否符合安全性、透明度和專業治理的要求。同時，資安服務業者也需要不斷地關注AI技術的發展和應用，確保其AI輔助服務能夠滿足未來的安全性和品質要求。