《Journal of King Saud University Computer and Information Sciences》：Leveraging artificial intelligence for cross-framework cybersecurity control mapping: a hybrid natural language processing approach
编辑推荐：
随着网络安全标准与法规的持续演进，跨框架控制映射对于追求统一合规的组织而言日益复杂。已有映射方法大多为手工、静态且局限于特定标准对，导致高工作量与不一致的结果。尽管大语言模型（LLM）能够捕获控制之间的语义关系，但完全生成式方法可能产生不一致输出，且对合规导向
随着网络安全标准与法规的持续演进，跨框架控制映射对于追求统一合规的组织而言日益复杂。已有映射方法大多为手工、静态且局限于特定标准对，导致高工作量与不一致的结果。尽管大语言模型（LLM）能够捕获控制之间的语义关系，但完全生成式方法可能产生不一致输出，且对合规导向应用的可解释性与可审计性有限。本文提出一种人工智能赋能的框架，用于在异构标准之间映射网络安全控制，同时兼顾术语与粒度差异。所提出的混合自然语言处理（NLP）流水线将控制映射形式化为双向排序问题，并结合控制元数据抽取、稠密—稀疏语义检索、基于本体的相似度、词汇重叠以及大语言模型辅助的聚合来识别和排序候选映射。为提升透明度与可审计性，该框架为每个提议映射提供分解的相似度得分、结构化关系分类和自然语言论证。该框架以沙特国家网络安全局发布的《沙特基本网络安全控制》（ECC）与 ISO/IEC 27001:2022 作为代表性案例进行评估。独立专家验证得出，将沙特基本网络安全控制映射至 ISO/IEC 27001 的 top-1 精确率为 98.0%，反向为 98.5%。在等预算评估下，所提框架在第一方向精确率达 90.5%，反向达 91.9%，优于稠密—稀疏嵌入基线（77.0% 与 78.9%）和词汇基线（68.7% 与 66.7%）。这些发现表明，国家监管要求可通过可解释、可审计的映射决策系统性地对齐国际标准。
研究背景方面，现代组织依赖 ISO/IEC 27001、NIST 网络安全框架（CSF）、COBIT 等众多网络安全标准与框架来管理信息安全风险与监管合规，已有系统综述识别出十余个主要网络安全框架和十七项以上广泛采用的安全标准，呈现丰富但高度碎片化的格局。实践中许多组织需同时遵循多个框架，导致控制要求重叠、部分冗余或范围不同。尽管各标准独立制定，但许多控制共享相似目标、要求与实施范围，组织常重复执行相同合规活动以满足不同框架，造成重复劳动、合规成本增加与资源利用低效。因此有效的控制映射成为识别重叠、减少冗余、支持差距分析并简化多标准合规的关键机制。然而手工维护跨标准一致性劳动密集且易出错，已有映射多由领域专家手工开发，维护成本高、难以扩展且难以与演进中的监管要求同步；各框架在术语、结构和抽象层级上各异，使直接比较与解释困难。既有研究多聚焦结构化知识表示或统计文本相似度之一，鲜有同时兼顾语义准确性与可解释性的集成方案，组织仍缺乏可靠、透明的人工智能辅助工具。为此研究人员开展本研究，提出混合 NLP 方法，将数据驱动的语义知识抽取与基于深度学习的控制匹配相结合，利用自动归纳的本体捕获共享安全概念与关系，并结合预训练变换器嵌入模型对齐控制语义内容，且流水线各阶段均设计为满足可解释性要求。研究得出，所提方法取得稳健映射性能并提供支持专家验证的透明解释，可显著降低网络安全合规映射的人工负担并增强对人工智能辅助合规工具的信心。其重要意义在于为跨异构标准的控制映射提供可解释、可审计的自动化途径，并为国家监管要求与国际标准的系统性对齐提供示范。研究方法上，主要关键技术方法包括：以结构化文本记录（控制标识符与完整自然语言控制声明）统一表示标准；采用大语言模型（gpt-oss-120b）进行控制元数据抽取（主体、动作、上下文）；采用 BGE-M3 变换器嵌入模型生成稠密与稀疏向量表示并基于倒数排名融合（RRF）进行混合检索；从控制语料自动归纳标准内本体并计算基于本体的相似度评分；使用大语言模型生成自然语言解释并进行关系分类与聚合；评估采用三位领域专家验证与 Gemini 2.5 Flash 作为大语言模型评审（LLM-as-a-Judge）的互补自动评估，并在等预算协议下与 TF-IDF、Jaccard 及 BGE-M3 嵌入基线及本体消融配置比较。样本队列来源为沙特国家网络安全局发布的 ECC 2-2024（108 项主控制与 92 项子控制，共 200 项控制）与 ISO/IEC 27001:2022（109 项条款级控制与 93 项附录 A 控制，共 202 项控制）。研究结果方面：在示例性映射结果中，系统能为复杂源要求识别多个有效 ISO 27001 目标控制，并以向量与本体相似度子分数及最终关系分类清晰归类，同时自动抽取连接源与目标的元数据与相似性关键词并生成论证。在映射评估与结果中，专家验证作为主要评估方法，由三位具备 ISO/IEC 27001 Lead Implementer、ISO/IEC 27001 Lead Auditor、CISSP、CISM 等资质的独立领域专家对全部控制进行双向独立评估，按语义对齐、范围覆盖、实践相关性判断相关性并确认或否定关系范围（Superset/Subset/Equal）与程度（Primary/Secondary）标签，以多数表决确定正确性；结果显示 ECC 至 ISO/IEC 27001 的 P@1 为 98.0%、反向为 98.5%，P@3 分别为 92.0% 与 93.6%，MRR 分别为 0.982 与 0.987；错误分析显示 59% 为目??相关但关系范围或程度标签错误，41% 为目标本身不相关。在大语言模型作为评审的评估中，采用与流水线不同的模型家族 Gemini 2.5 Flash 仅基于原始控制文本评分，按语义对齐、可操作性匹配、范围覆盖三维度打分并归一化为连续相关性分数，结合 Precision、MRR 与归一化折损累计增益（nDCG）评估；等预算协议下框架平均保留 7.5 个推荐映射（检索 top-10 中），弃权率 0%、推荐覆盖率 100%；比较显示 BGE-M3 嵌入持续优于词汇基线，所提框架在两方向取得最高 Precision@X 与 MRR@X，ECC 至 ISO 方向 Precision@X 由 BGE-M3 的 77.0% 提升至 90.5%、MRR@X 由 0.885 升至 0.965，ISO 至 ECC 方向由 78.9% 升至 91.9%、MRR@X 由 0.890 升至 0.969。本体消融显示移除本体证据后 ECC 至 ISO 的 Precision@X 由 90.5% 降至 85.0%、MRR@X 由 0.965 降至 0.920、nDCG@X 由 0.964 降至 0.960，ISO 至 ECC 的 Precision@X 由 91.9% 降至 83.0%、MRR@X 由 0.969 降至 0.910、nDCG@X 由 0.943 降至 0.940，表明本体层对识别与优先排序最强映射有可测贡献。讨论部分总结：专家验证表明框架在两方向均准确识别正确映射，最高排名推荐在几乎所有评估案例中被认为正确，正确映射持续出现在推荐列表前列；关于过拟合的考量指出嵌入与语言模型均为现成使用、未在 ECC 或 ISO/IEC 27001 数据上训练或微调，专家判断仅用于测量性能而非选择模型、阈值或评分权重，唯一调优参数为本体混合权重且在独立留出开发子集上固定，精度随 K 单调下降（K=10 时为 79.0% 与 82.0%）与记忆化相反，符合真实良好排序的候选列表特征；关系分类误差解释指出精度随 K 下降不仅反映排名靠后候选本身更难，也反映聚合大语言模型对低置信、不清晰配对分配细粒度关系标签的可靠性下降，与既有研究报告的生成式大语言模型在细粒度语义相似与释义边界判断上的弱点一致；基线比较指出 BGE-M3 嵌入在两方向持续优于 TF-IDF 与 Jaccard 词汇基线，证实变换器稠密—稀疏检索提供更强语义信号，所提框架在两方向取得最高 Precision@X 与 MRR@X，且本体消融结果澄清本体层的具体贡献，nDCG@X 上本体消融与完整配置差异相对较小，表明 BGE-M3 与其余下游组件已保留大部分分级相关性排序，而本体证据在精确率与高度相关控制的排名位置上改善更明显；总体解释认为框架持续优于词汇与仅嵌入基线并提供更准确、更好优先排序的网络安全控制映射。局限性方面，当前尚无 ECC 与 ISO/IEC 27001 的权威地面真值映射数据集，评估依赖专家评估与大语言模型评估，专家面板为三位且未设盲，未进行统计显著性检验，未纳入更强的当代检索与直接大语言模型基线，本体质量依赖归纳本体的完整性与正确性，大语言模型输出具模型依赖性且生成解释存在残余幻觉风险，框架当前评估限于 ECC 与 ISO/IEC 27001:2022，跨更多标准的泛化性有待未来验证。研究结论翻译如下：网络安全标准与监管框架数量的增长，使跨框架控制映射成为寻求统一合规的组织一项必要却日益繁重的任务。现有方法以手工、框架特定为主，且往往缺乏可审计性所需的透明度，限制了其实际采用。本工作通过提出一种利用人工智能实现自动化跨框架网络安全控制映射的混合 NLP 方法应对这些挑战。所提流水线集成了基于变换器的稠密与稀疏语义检索、为领域感知相似度评估而自动构建的标准内本体、用于生成人类可读论证的可解释人工智能（XAI）技术，以及按映射范围与程度对关系进行分类的基于大语言模型的聚合机制。该框架以《沙特基本网络安全控制》（ECC）-2024 与 ISO/IEC 27001:2022 之间的双向映射进行实现与评估。实验结果表明，所提方法在专家验证与互补的大语言模型作为评审评估中均取得强劲性能，证明结合语义检索、基于本体的推理与可解释关系分类的益处。除取得高映射准确率外，该框架还产生分解的相似度得分、关系分类与自然语言解释，使审计人员与合规专业人员能够检查、验证和理解单个映射决策。除控制映射外，为每个候选生成的分解范围标签（superset、subset、equal、unrelated）以及非对称的仅源与仅目标概念列表，原则上可直接用于标准差距分析，揭示重叠领域、部分覆盖与框架特定要求；研究人员将此作为前瞻性应用而非已验证能力呈现，差距检测性能在本研究中未单独评估，留待未来工作。该框架设计为在结构化控制声明上运行而无需框架特定规则工程。尽管此设计旨在支持跨多样网络安全与合规框架的应用，当前评估仅限于 ECC 与 ISO/IEC 27001:2022，跨更多网络安全与合规标准的更广泛实验验证仍属未来工作。
