CREST Meluncurkan Piagam AI dengan Sembilan Prinsip untuk Layanan Keamanan Siber yang Didukung AI

Pada 9 Juli 2026, CREST — badan keanggotaan internasional yang mengakreditasi penyedia pengujian penetrasi, respons insiden, intelijen ancaman, dan SOC (serta menjalankan skema yang diakui pemerintah seperti UK NCSC CHECK, CBEST, dan Dubai Cyber Force) — meluncurkan CREST AI Charter, didukung oleh 60-73 perusahaan penandatangan pendiri di 17+ negara. Piagam ini dibangun di sekitar sembilan prinsip untuk penggunaan AI yang bertanggung jawab dalam penyampaian layanan keamanan siber: akuntabilitas dan tata kelola, transparansi penggunaan, dokumentasi dan auditabilitas, batasan dan kontrol (pengawasan manusia), penanganan data/kedaulatan/kontrol klien, keamanan dan kerahasiaan, pengembangan AI yang aman untuk tooling, jaminan rantai pasokan, dan ketahanan/kontinuitas bisnis. Prinsip-prinsip tersebut awalnya ditampilkan dalam pratinjau pada Maret 2026 dan diselesaikan setelah masukan kelompok kerja teknis CREST dan validasi dari acara industri CRESTCon. CREST telah menyatakan bahwa mereka akan mengembangkan standar keamanan AI yang formal dan dapat dinilai secara independen sebagai tindak lanjut dari Piagam, bersama dengan kelompok kerja kolaboratif dan penelitian.

Ini adalah kerangka kerja regulasi diri industri lintas batas pertama yang secara khusus mengatur bagaimana penyedia layanan keamanan siber (yang memiliki akses istimewa ke sistem klien) dapat menggunakan AI dalam penyampaian layanan mereka sendiri — sebagai lawan dari kerangka kerja yang mengatur sistem AI sebagai target serangan (misalnya, OWASP LLM Top 10, MITRE ATLAS) atau AI sebagai produk yang harus diamankan (NIST AI RMF). Karena akreditasi CREST mendukung skema nasional yang diakui (UK NCSC CHECK, Bank of England CBEST, Dubai DESC Cyber Force, UK CAA ASSURE), prinsip-prinsip AI CREST dapat menjadi dasar de facto yang ditunjukkan regulator dan pembeli ketika menilai pengujian penetrasi yang didukung AI, red teaming, dan layanan SOC — CREST sendiri mengatakan bahwa mereka mencari dukungan pemerintah/regulator untuk mengurangi fragmentasi kepatuhan di masa depan.

Pembeli layanan keamanan harus menanyakan kepada penyedia apakah mereka adalah penandatangan CREST AI Charter dan meminta artefak transparansi/dokumentasi yang dimandatkan oleh Piagam (pengungkapan penggunaan AI, kontrol pengawasan manusia, istilah kedaulatan data). Penyedia harus memetakan praktik internal tooling AI terhadap sembilan prinsip sekarang, sebelum standar yang formal dan dapat diaudit yang direncanakan CREST.