CREST新制上路：滲透測試導入AI須通過獨立認證

國際資安認證機構 CREST（Council for Registered Ethical Security Testers）近日正式發布「AI 輔助滲透測試」（AI-Enabled Penetration Testing）認證規範，作為既有滲透測試認證標準的選配附加模組。這套規範提供給已將 AI 導入日常營運與服務交付的資安服務商，業者可透過獨立評估，向客戶與監管機關證明自身的 AI 治理作為負責任且可受檢視。

CREST 說明，這項新模組不會影響既有的標準會員資格，而是讓使用 AI 的服務商多一個管道，可以驗證自身作法，並取得進一步的信任背書。無論是現有 CREST 會員，或希望在 AI 使用上進一步獲得認可的資安服務商，目前皆可提出申請。

推出背景

這項模組的發布，延續了 CREST 今年以來一系列 AI 治理相關作為。CREST 於今年 3 月發布《AI 在滲透測試中的應用》（AI in Penetration Testing）研究報告，發現有 76% 的資安服務商在過去一年增加了 AI 使用量，其中 69% 已將 AI 整合進日常服務交付。報告公布後，CREST 同月發布 AI 原則（AI Principles），並於 6 月正式推出 AI 憲章（AI Charter），吸引超過百家資安組織公開聯署。這次的「AI 輔助滲透測試」認證規範，由 CREST 旗下 AI 工作小組制定，未來也將持續修訂與完善。

正式納入申訴與紀律機制

CREST 執行長 Nick Benson 指出，這一系列作為是為了補上「AI 導入速度超前治理」的落差。他強調，與自願性協議不同，這次的正式認證直接整合進 CREST 既有的申訴與紀律處理流程，讓 CREST 有能力對整個生態系採取行動、落實合規要求。Benson 並預估，首個取得「AI 輔助滲透測試」模組認證的組織，將於一個月內出現。

美國 CREST 會員機構 LRQA Cybersecurity 美洲區保證服務資深副總裁 Chris Oakley 表示，CREST 新的 AI 標準以資安業界領導者的集體經驗為基礎，為資安領域的 AI 治理提供一套一致的準則。

杜拜 CREST 會員機構 Closed Door Security 執行長 William Wright 則指出，這項標準推出的時機相當關鍵。隨著 AI 系統逐漸走向成為關鍵基礎設施的一環，並開始被用來支援資安維運、找出並修補漏洞，這類系統需要一套如同此次新標準所提供的負責任使用框架。

本文轉載自 InfosecurityMagazine。