ISO 27090 и ISO 42001: разликите обяснени
Jonathan BezdekCTO
5 Min. четене
ISO 27090 насочва работата по сигурността на AI. ISO 42001 определя изисквания към система за управление на изкуствения интелект (AIMS). Организациите могат да ги използват заедно, за да свържат практиките за сигурност с по-широкото управление на AI. Източници: запис за публикацията на ISO 27090, запис за публикацията на ISO 42001.
ISO 27090 и ISO 42001 накратко
| Сравнение | ISO 27090 | ISO 42001 |
|---|---|---|
| Основна цел | Защита на AI системите от заплахи за сигурността | Организиране на отговорното разработване и използване на AI |
| Вид стандарт | Насоки за сигурност | Изисквания към система за управление на AI |
| Практически въпрос | Как може да бъде компрометирана тази AI система? | Как да управляваме AI последователно в цялата организация? |
| Основен фокус | Заплахи за данните, моделите и работните процеси на AI | Политики за AI, отговорности, рискове, цели и подобрения |
| Примерни проблеми | Отравяне на данни, кражба на модели и свързани атаки | Сигурност, безопасност, прозрачност, пристрастност и други рискове от AI |
| Сертифициране | Насоки; не създават път за сертифициране на AIMS | Доброволно сертифициране на AIMS на организацията |
| Кой може да го използва | Организации, които разработват или използват AI | Организации, които разработват, предоставят или използват AI |
| Актуално издание | ISO/IEC 27090:2026 | ISO/IEC 42001:2023 |
| Първо публикуван | 14 октомври 2026 г. | 18 декември 2023 г. |
Източници: запис за публикацията на ISO 27090, запис за публикацията на ISO 42001 и обяснението на ISO за ISO 42001.
Обхватът им се припокрива. ISO 42001 включва сигурността на AI сред по-широките организационни въпроси. ISO 27090 също разглежда управлението в контекста на сигурността на AI. Различните им цели обясняват как могат да се допълват. Източници: обяснението на ISO за ISO 42001, обяснението на ISO за ISO 27090.
Сертифициране по ISO 27090 и ISO 42001
Сертифицирането по ISO 42001 оценява дали системата за управление на AI на организацията отговаря на изискванията на стандарта. Сертифицирането се извършва от независими сертифициращи органи; самата ISO не сертифицира организации. Отделните AI приложения все пак се нуждаят от оценка на сигурността. Източник: обяснението на ISO за ISO 42001.
Когато възлагате работа по ISO 27090, определете какъв преглед на сигурността ви е нужен: кои системи, кои сценарии на атака и какви доказателства ще подкрепят констатациите. Така оценката получава конкретен обхват и полезен резултат.
Кой стандарт да използвате
Изберете според проблема, който трябва да решите. Тази таблица е практическо ръководство за вземане на решение.
| Вашата ситуация | Върху какво да се съсредоточите | Препоръчителна следваща стъпка |
|---|---|---|
| Използването на AI няма ясни собственици или правила | ISO 42001 | Определете отговорност, политика и процес на преглед |
| Модел или приложение е изложено на конкретни рискове от атаки | ISO 27090 | Анализирайте сценариите на атака и изберете предпазни мерки за тестване |
| Клиент изисква сертифициране на системата за управление на AI | ISO 42001 | Определете обхвата на сертифицирането и оценете готовността |
| Управлението на AI съществува, но доказателствата за сигурност са слаби | Добавете насоките на ISO 27090 | Свържете рисковете за сигурността с контролите и резултатите от тестовете |
| Пускате AI услуга и изграждате управление | Използвайте двата заедно | Координирайте управленските отговорности и работата по сигурността в една програма |
Спешен проблем със сигурността на приложение заслужава незабавно внимание. По-широка програма за управление може да се развива паралелно с работата, необходима за отстраняване на тази уязвимост.
Как да използвате ISO 27090 и ISO 42001 заедно
Например компания, която въвежда AI асистент за поддръжка, може да координира работата си по следния начин. Това са примерни решения при внедряването.
| Дейност | Как ISO 42001 може да структурира работата | Как ISO 27090 може да насочи работата по сигурността |
|---|---|---|
| Планиране на услугата | Определете собственик и съгласувайте целта ѝ | Идентифицирайте чувствителните активи и пътищата за атака |
| Преглед на доставчиците | Документирайте отговорностите и критериите за преглед | Проучете изложеността чрез модели, данни и зависимости |
| Одобряване на пускането | Документирайте решенията за риска и отговорното одобряващо лице | Тествайте релевантните атаки и предпазните мерки на приложението |
| Управление на промените | Прегледайте резултатите и решете какви подобрения да се направят | Оценете отново сигурността при промяна на модели, данни или интеграции |
Поддържайте един запис за AI системата с връзки към нейните собственици, рискове, контроли, тестове и решения. Използвайте повторно доказателствата, където са релевантни, и отбелязвайте кои критерии за оценка подкрепят.
Например тест за сигурност може да покаже дали е било блокирано ограничено действие. Свързаният запис от прегледа може да покаже кой е оценил този резултат и е решил дали системата е готова за пускане. И двата записа са полезни и отговарят на различни въпроси.
За това как ISO 42001 се отнася към NIST AI RMF и Акта на ЕС за изкуствения интелект, вижте ISO 42001, NIST AI RMF и Актът за ИИ: свържете ролите.
Често задавани въпроси
Заменя ли ISO 27090 стандарта ISO 42001?
Не. Те служат на различни цели: насоки за сигурността на AI и изисквания към система за управление на AI.
Могат ли да ги прилагат организации, които използват AI от трети страни?
Да. И двата стандарта се отнасят до организации, които използват AI.
Доказва ли сертифицирането по ISO 42001, че всяко AI приложение е сигурно?
Не. То оценява AIMS. Сигурността на приложенията все пак трябва да бъде оценена.
Източници: обяснението на ISO за ISO 27090 и обяснението на ISO за ISO 42001.
Свържете управлението на AI с доказателства за сигурност
Започнете с резултата, от който се нуждаете: по-ясна отговорност за AI, по-силна сигурност на приложенията или комбинация от двете. Определете собственик на работата и решете какви доказателства ще покажат напредъка.
Secani свързва изисквания, рискове, контроли, доказателства, собственици и решения от прегледи в едно работно пространство. Свържете се със Secani, за да организирате работата си по управлението и сигурността на AI.
Изградете проверими работни процеси за съответствие
Secani свързва обхвати, доказателства, задачи и агенти с ИИ в едно споделено работно пространство.
Свързани статии
Всички статииУправление на ИИ
ISO 27090, обяснен за екипите по сигурност на AI
Практическо ръководство за новия стандарт за киберсигурност на AI, атаките, които разглежда, и доказателствата, които екипите по сигурност могат да използват.
Управление на ИИ
ISO 42001, NIST AI RMF и Актът за ИИ: свържете ролите
Използвайте системите за управление на AI и рамките за риск, за да организирате управлението, като оценявате правните изисквания на Акта за изкуствения интелект отделно.
Управление на ИИ
Акт на ЕС за ИИ: класифицирайте случаите на употреба и планирайте доказателствата
Актуален подход към готовността за Акта за ИИ, основан на ролите, включително актуализирания график на Комисията, оценката на високия риск и отговорното управление.