COMBINING POLICY COMPLIANCE AND VULNERABILITY MANAGEMENT FOR RISK ASSESSMENT

An apparatus, a method, and a computer program product are provided that combine policy compliance with vulnerability management to provide a more accurate risk assessment of an environment. The method includes training a policy machine learning model using a first training dataset to generate a policy machine learning model to produce mitigation technique classifications and training a vulnerability machine learning model using a second training dataset to generate a vulnerability machine learning model to produce weakness type classifications. The method also includes mapping the mitigation technique classifications to attack techniques to produce a policy mapping and mapping the weakness type classifications to the attack techniques to produce a vulnerability mapping. The method further includes producing a risk assessment of a vulnerability based on the policy mapping and the vulnerability mapping. L'invention concerne un appareil, un procédé et un produit-programme informatique qui combinent une conformité à des politiques et une gestion de vulnérabilités pour fournir une évaluation de risques plus précise d'un environnement. Le procédé consiste à former un modèle d'apprentissage machine de politiques à l'aide d'un premier ensemble de données de formation pour générer un modèle d'apprentissage machine de politiques pour produire des classifications de techniques d'atténuation et à former un modèle d'apprentissage machine de vulnérabilités à l'aide d'un second ensemble de données de formation pour générer un modèle d'apprentissage machine de vulnérabilités pour produire des classifications de types de faiblesse. Le procédé consiste également à mettre en correspondance les classifications de technique d'atténuation avec des techniques d'attaque pour produire une mise en correspondance de politiques et à mettre en correspondance les classifications de types de faiblesse avec les techniques d'attaque pour produire une mise en correspondance de vulnérabilités. Le procédé consiste en outre à produire une évaluation de risques d'une vulnérabilité sur la base de la mise en correspondance de politiques et de la mise en correspondance de vulnérabilités.