Mark Emelianov

Security compliance you can prove, even when AI agents do the work.

I am a security compliance specialist: ISO 27001, SOC 2, ISO 42001 and the EU AI Act, from gap analysis to audit. I help security and compliance leaders keep their controls and evidence solid as AI agents join the work.

My working rule: agents will be wrong, so build so it doesn't matter. I run my own work with a fleet of AI agents under approval gates, isolation and evidence, and bring that method to governance, risk and compliance. The projects and guides here show it in practice.

Travailler avec moi Lire les sept principes Essayer les barrières

Mark Emelianov, security compliance specialist. Track record

Laboratoire de barrières une petite simulation

  1. 🤖Agent
  2. 🔍Relecture
  3. 🛡Analyse
  4. 👤Responsable
  5. 🏁Noyau
  • L'agent propose une modification
  • Relecture : lit le commit exact, tout semble correct
  • Analyse : aucune donnée d'organisation trouvée
  • Responsable : a approuvé la fusion
  • Noyau : fusionné, enregistrement conservé

1fusionnée0erreurs contenues

La relecture est liée au commit exact ; l'analyse bloque les données d'organisation ; le responsable approuve la fusion. Rien ici n'est une donnée réelle.

Sept principes

Une approche en sept principes. Chacun renvoie à ses preuves.

  1. 1Les agents se tromperont.Partez du principe que tout agent peut se tromper ou être manipulé ; concevez de façon qu'une erreur ne porte pas loin.
  2. 2Les contrôles stricts valent mieux que les bonnes intentions.Le bac à sable, l'isolation et les identifiants limités protègent davantage que des prompts ou des fichiers d'instructions.
  3. 3Barrière, isolation, enregistrement.Aucun changement important sans barrière ; ce qui doit rester séparé le reste ; chaque étape laisse un enregistrement.
  4. 4Les personnes détiennent les décisions et les preuves.Les agents font le travail de fond ; les personnes décident et détiennent les preuves.
  5. 5La conformité est un sous-produit du bon travail.Les preuves devraient provenir du travail lui-même, afin que leur collecte et leur vérification puissent être automatisées.
  6. 6Les relations sont des données.Exigence, contrôle, preuve, risque et constat vont ensemble, sous forme d'enregistrements liés avec un historique.
  7. 7Montrer la méthode, pas l'installation.La méthode est partagée ouvertement ; les noms, les hôtes et les données d'entreprise ne le sont pas.

Lire les principes en entier

Comment ce site est organisé

Quatre parties, des idées à la personne. Commencez où vous voulez.

Idées

Ce que je pense et pourquoi.

Pratique

À quoi cela ressemble une fois construit.

Référence

Où lire plus loin.

Personne

Qui est derrière tout cela.

Derniers écrits

Tous les écrits