Un Framework basato su Evidenze per Valutare e Tracciare la Conformità in ambito Cybersecurity

The increasing dependence of modern society on information systems has made cybersecurity compliance increasingly important for organizations that must demonstrate that their systems satisfy applicable security requirements. This assessment requires connecting high-level regulatory requirements with concrete evidence from the system being assessed. This is challenging since the information to evaluate compliance is distributed across system configurations, infrastructure definitions, runtime state, and other technical artifacts. In addition to producing a compliance decision, an assessment should preserve a clear connection between the decision and the evidence on which it is based. This thesis work presents a methodology for evidence-grounded and traceable cybersecurity compliance assessment. The proposed methodology organizes the assessment into three main stages: security-control mapping, evidence grounding, and compliance evaluation. Regulatory requirements are mapped to standardized security controls, while relevant properties collected from the assessed system are represented as structured observations. The requirement, its security-control context, and the selected observations form a grounded assessment case, which is evaluated using either deterministic rules or a language-model-based evaluator. Evidence provenance is retained throughout the process to support traceability of the resulting decision. The proposed methodology is assessed through a proof-of-concept implementation and a set of controlled experiments. Four experimental configurations are used to examine different combinations of expert and model-generated security-control mappings, manual and model-generated observation selections, and rule-based and language-model-based compliance evaluation. The results show that changes in security-relevant system properties can be reflected in the collected evidence and propagated to the resulting compliance assessments. They also reveal differences between manually defined and model-generated assessment components, particularly in observation selection and compliance evaluation. In general, the results demonstrate the feasibility of maintaining a traceable connection between regulatory requirements, standardized security-control context, system evidence, and compliance decisions. They also show that the evidence selected for an assessment can influence the resulting compliance decision, highlighting the importance of evaluating the evidence-grounding process in addition to the final decision.

La crescente dipendenza della società moderna dai sistemi informativi ha reso la conformità in materia di cybersicurezza sempre più importante per le organizzazioni, che devono dimostrare che i propri sistemi soddisfano i requisiti di sicurezza previsti. In questo contesto, la valutazione della conformità riveste un ruolo fondamentale. Questa valutazione richiede di collegare requisiti normativi di alto livello a evidenze concrete provenienti dal sistema oggetto di valutazione. Questo processo risulta complesso, poiché le informazioni necessarie per valutare la conformità sono distribuite tra le configurazioni di sistema, le definizioni dell'infrastruttura, lo stato di esecuzione e altri artefatti tecnici. Oltre a produrre una decisione di conformità, queste valutazioni devono mantenere un collegamento chiaro tra le decisioni e le evidenze su cui si basano. Questo lavoro di tesi presenta una metodologia per la valutazione della conformità nell'ambito della cybersicurezza basata sulle evidenze e che risulta tracciabile. La metodologia proposta organizza la valutazione in tre fasi principali: mappatura dei controlli di sicurezza, contestualizzazione delle evidenze e valutazione della conformità. I requisiti normativi sono mappati su controlli di sicurezza standardizzati, mentre le proprietà rilevanti raccolte dal sistema valutato sono rappresentate come osservazioni strutturate. Il requisito, il relativo contesto dei controlli di sicurezza e le osservazioni selezionate formano un caso di valutazione basato sulle evidenze, che viene valutato mediante regole deterministiche oppure mediante un modello linguistico. La provenienza delle evidenze viene preservata durante l'intero processo per garantire la tracciabilità della decisione risultante. La metodologia proposta è stata valutata con un'implementazione mirata a stabilirne la fattibilità e con una serie di esperimenti controllati. Quattro configurazioni sperimentali sono state utilizzate per esaminare diverse combinazioni di mappature dei controlli di sicurezza definite da esperti e generate dal modello, selezioni delle osservazioni definite manualmente e generate dal modello, e valutazioni della conformità basate su regole e su modelli linguistici. I risultati mostrano che le variazioni delle proprietà del sistema rilevanti per la sicurezza si riflettono nelle evidenze raccolte e si propagano alle conseguenti valutazioni di conformità. Emergono inoltre differenze tra i componenti della valutazione definiti manualmente e quelli generati dal modello, in particolare per quanto riguarda la selezione delle osservazioni e la valutazione della conformità. In generale, i risultati dimostrano la fattibilità di mantenere un collegamento tracciabile tra requisiti normativi, contesto dei controlli di sicurezza standardizzati, evidenze di sistema e decisioni di conformità. Mostrano inoltre che le evidenze selezionate per una valutazione possono influenzare la conseguente decisione di conformità, evidenziando l'importanza di valutare il processo di contestualizzazione delle evidenze oltre alla decisione finale.