ISO 27090 a ISO 42001 srozumitelně
Jonathan BezdekCTO
5 Min. čtení
ISO 27090 poskytuje vodítko pro bezpečnostní práci s AI. ISO 42001 stanoví požadavky na systém řízení umělé inteligence, tzv. AIMS. Organizace je mohou používat společně a propojit tak bezpečnostní postupy s širší správou AI. Zdroje: záznam ISO o vydání ISO 27090, záznam ISO o vydání ISO 42001.
ISO 27090 a ISO 42001 v přehledu
| Srovnání | ISO 27090 | ISO 42001 |
|---|---|---|
| Hlavní účel | Chránit systémy AI před bezpečnostními hrozbami | Uspořádat odpovědný vývoj a používání AI |
| Typ normy | Bezpečnostní pokyny | Požadavky na systém řízení AI |
| Praktická otázka | Jak by mohl být tento systém AI kompromitován? | Jak řídit AI jednotně v celé organizaci? |
| Hlavní zaměření | Hrozby pro data, modely a pracovní postupy AI | Politiky AI, odpovědnosti, rizika, cíle a zlepšování |
| Příklady témat | Otrávení dat, krádež modelů a související útoky | Bezpečnost, ochrana zdraví, transparentnost, zkreslení a další rizika AI |
| Certifikace | Pokyny; nezakládají cestu k certifikaci AIMS | Dobrovolná certifikace AIMS organizace |
| Kdo ji může použít | Organizace, které AI vyvíjejí nebo používají | Organizace, které AI vyvíjejí, poskytují nebo používají |
| Aktuální vydání | ISO/IEC 27090:2026 | ISO/IEC 42001:2023 |
| První vydání | 14. října 2026 | 18. prosince 2023 |
Zdroje: záznam ISO o vydání ISO 27090, záznam ISO o vydání ISO 42001 a vysvětlení ISO 42001 od ISO.
Jejich rozsah se překrývá. ISO 42001 zahrnuje bezpečnost AI mezi širší organizační témata. ISO 27090 se v souvislosti s bezpečností AI zabývá také správou. Jejich odlišné účely vysvětlují, jak se mohou vzájemně doplňovat. Zdroje: vysvětlení ISO 42001 od ISO, vysvětlení ISO 27090 od ISO.
Certifikace podle ISO 27090 a ISO 42001
Certifikace podle ISO 42001 posuzuje, zda systém řízení AI organizace splňuje požadavky normy. Certifikaci provádějí nezávislé certifikační orgány; samotná ISO organizace necertifikuje. Jednotlivé aplikace AI stále potřebují posouzení bezpečnosti. Zdroj: vysvětlení ISO 42001 od ISO.
Když zadáváte práci podle ISO 27090, vymezte, jaké bezpečnostní přezkoumání potřebujete: které systémy, které scénáře útoků a jaké důkazy budou podkládat zjištění. Posouzení tak získá konkrétní rozsah a užitečný výsledek.
Kterou normu použít
Vybírejte podle problému, který potřebujete vyřešit. Tato tabulka slouží jako praktické vodítko pro rozhodnutí.
| Vaše situace | Na co se zaměřit | Doporučený další krok |
|---|---|---|
| Používání AI nemá jasné vlastníky ani pravidla | ISO 42001 | Stanovte odpovědnosti, politiku a proces přezkoumání |
| Model nebo aplikace čelí konkrétním rizikům útoků | ISO 27090 | Analyzujte scénáře útoků a vyberte ochranná opatření k otestování |
| Zákazník požaduje certifikaci systému řízení AI | ISO 42001 | Vymezte rozsah certifikace a posuďte připravenost |
| Správa AI existuje, ale bezpečnostní důkazy jsou slabé | Doplňte pokyny ISO 27090 | Propojte bezpečnostní rizika s opatřeními a výsledky testů |
| Spouštíte službu AI a budujete její správu | Použijte obě společně | Koordinujte řídicí odpovědnosti a bezpečnostní práci v jednom programu |
Naléhavý bezpečnostní problém aplikace si zaslouží okamžitou pozornost. Širší program správy se může rozvíjet souběžně s prací potřebnou k odstranění této expozice.
Jak používat ISO 27090 a ISO 42001 společně
Například společnost, která zavádí asistenta AI pro zákaznickou podporu, by mohla svou práci koordinovat takto. Jde o ilustrativní volby při implementaci.
| Činnost | Jak může ISO 42001 strukturovat práci | Jak může ISO 27090 vést bezpečnostní práci |
|---|---|---|
| Plánování služby | Určete vlastníka a dohodněte se na účelu | Identifikujte citlivá aktiva a cesty útoku |
| Přezkoumání dodavatelů | Zaznamenejte odpovědnosti a kritéria přezkoumání | Prověřte expozici prostřednictvím modelů, dat a závislostí |
| Schválení vydání | Zaznamenejte rozhodnutí o rizicích a odpovědného schvalovatele | Otestujte relevantní útoky a ochranná opatření aplikace |
| Řízení změn | Přezkoumejte výsledky a rozhodněte o zlepšeních | Znovu posuďte bezpečnost při změně modelů, dat nebo integrací |
Veďte pro každý systém AI jeden záznam s odkazy na jeho vlastníky, rizika, opatření, testy a rozhodnutí. Důkazy používejte opakovaně tam, kde je to relevantní, a zaznamenejte, která kritéria posouzení podporují.
Bezpečnostní test může například ukázat, zda byla omezená akce zablokována. Související záznam o přezkoumání může ukázat, kdo tento výsledek vyhodnotil a rozhodl, zda je systém připraven k vydání. Oba záznamy jsou užitečné a odpovídají na různé otázky.
Jak ISO 42001 souvisí s NIST AI RMF a aktem EU o umělé inteligenci, popisuje článek ISO 42001, NIST AI RMF a akt o umělé inteligenci: propojte jejich role.
Často kladené otázky
Nahrazuje ISO 27090 normu ISO 42001?
Ne. Slouží různým účelům: pokyny pro bezpečnost AI a požadavky na systém řízení AI.
Mohou je uplatňovat organizace, které používají AI od třetích stran?
Ano. Obě normy se zaměřují na organizace, které AI používají.
Dokazuje certifikace podle ISO 42001, že je každá aplikace AI bezpečná?
Ne. Posuzuje systém řízení AI. Bezpečnost aplikací je stále třeba vyhodnotit.
Zdroje: vysvětlení ISO 27090 od ISO a vysvětlení ISO 42001 od ISO.
Propojte správu AI s bezpečnostními důkazy
Začněte výsledkem, který potřebujete: jasnější odpovědností za AI, silnější bezpečností aplikací nebo kombinací obojího. Určete pro práci vlastníka a rozhodněte, jaké důkazy budou prokazovat pokrok.
Secani propojuje požadavky, rizika, opatření, důkazy, vlastníky a rozhodnutí z přezkoumání v jednom pracovním prostoru. Promluvte si se Secani o tom, jak uspořádat práci na správě a bezpečnosti AI.
Budujte auditovatelné procesy pro compliance
Secani propojuje rozsahy, důkazy, úkoly a agenty AI v jednom sdíleném pracovním prostoru.
Související články
Všechny článkySpráva AI
ISO 27090 vysvětlená pro týmy bezpečnosti AI
Praktický průvodce novou normou kybernetické bezpečnosti AI, útoky, kterými se zabývá, a důkazy, které mohou bezpečnostní týmy využít.
Správa AI
ISO 42001, NIST AI RMF a akt o umělé inteligenci: propojte jejich role
Využijte systémy řízení AI a rámce řízení rizik k uspořádání správy AI a právní požadavky aktu o umělé inteligenci posuzujte samostatně.
Správa AI
Akt EU o umělé inteligenci: klasifikujte své případy použití a naplánujte důkazy
Aktuální přístup k připravenosti na akt o umělé inteligenci založený na rolích, včetně aktualizovaného harmonogramu Komise, posouzení vysokého rizika a odpovědné správy.