ISO 27090 ja ISO 42001 võrdluses
Jonathan BezdekCTO
5 Min. lugemist
ISO 27090 annab juhiseid tehisintellekti turvalisuse tööks. ISO 42001 kehtestab nõuded tehisintellekti juhtimissüsteemile (AIMS). Organisatsioonid saavad neid koos kasutada, et siduda turvalisuse praktikad laiema tehisintellekti juhtimisega. Allikad: ISO 27090 väljaande kirje, ISO 42001 väljaande kirje.
ISO 27090 ja ISO 42001 lühidalt
| Võrdlus | ISO 27090 | ISO 42001 |
|---|---|---|
| Peamine eesmärk | Kaitsta tehisintellekti süsteeme turvaohtude eest | Korraldada tehisintellekti vastutustundlikku arendamist ja kasutamist |
| Standardi liik | Turvalisuse juhend | Nõuded tehisintellekti juhtimissüsteemile |
| Praktiline küsimus | Kuidas võiks seda tehisintellekti süsteemi kompromiteerida? | Kuidas juhime tehisintellekti kogu organisatsioonis järjepidevalt? |
| Peamine fookus | Ohud tehisintellekti andmetele, mudelitele ja töövoogudele | Tehisintellekti poliitikad, vastutus, riskid, eesmärgid ja täiustamine |
| Näited probleemidest | Andmete mürgitamine, mudelivargus ja seotud ründed | Turvalisus, ohutus, läbipaistvus, kallutatus ja muud tehisintellekti riskid |
| Sertifitseerimine | Juhend; ei loo AIMS-i sertifitseerimise võimalust | Organisatsiooni AIMS-i vabatahtlik sertifitseerimine |
| Kes saab seda kasutada | Tehisintellekti arendavad või kasutavad organisatsioonid | Tehisintellekti arendavad, pakkuvad või kasutavad organisatsioonid |
| Kehtiv väljaanne | ISO/IEC 27090:2026 | ISO/IEC 42001:2023 |
| Esmakordselt avaldatud | 14. oktoober 2026 | 18. detsember 2023 |
Allikad: ISO 27090 väljaande kirje, ISO 42001 väljaande kirje ja ISO selgitus ISO 42001 kohta.
Nende käsitlusala kattub osaliselt. ISO 42001 hõlmab tehisintellekti turvalisust laiemate organisatsiooniliste küsimuste seas. ISO 27090 käsitleb ka juhtimist tehisintellekti turvalisuse kontekstis. Nende erinevad eesmärgid selgitavad, kuidas need võivad üksteist täiendada. Allikad: ISO selgitus ISO 42001 kohta, ISO selgitus ISO 27090 kohta.
ISO 27090 ja ISO 42001 sertifitseerimine
ISO 42001 sertifitseerimine hindab, kas organisatsiooni tehisintellekti juhtimissüsteem vastab standardi nõuetele. Sertifitseerimist teevad sõltumatud sertifitseerimisasutused; ISO ise organisatsioone ei sertifitseeri. Üksikute tehisintellekti rakenduste turvalisust tuleb siiski eraldi hinnata. Allikas: ISO selgitus ISO 42001 kohta.
Kui tellite ISO 27090 põhist tööd, määratlege vajalik turvaülevaatus: millised süsteemid, millised ründestsenaariumid ja millised tõendid leide toetavad. Nii saab hindamine konkreetse ulatuse ja kasuliku tulemuse.
Millist standardit kasutada
Valige lähtuvalt probleemist, mida peate lahendama. See tabel on praktiline otsustusjuhend.
| Teie olukord | Millele keskenduda | Soovitatav järgmine samm |
|---|---|---|
| Tehisintellekti kasutamisel puuduvad selged omanikud või reeglid | ISO 42001 | Kehtestage vastutus, poliitika ja ülevaatusprotsess |
| Mudelil või rakendusel on konkreetsed ründeriskid | ISO 27090 | Analüüsige ründestsenaariume ja valige testitavad kaitsemeetmed |
| Klient nõuab tehisintellekti juhtimissüsteemi sertifikaati | ISO 42001 | Määratlege sertifitseerimise ulatus ja hinnake valmisolekut |
| Tehisintellekti juhtimine on olemas, kuid turvalisuse tõendid on nõrgad | Lisage ISO 27090 juhised | Siduge turvariskid kontrollimeetmete ja testitulemustega |
| Käivitate tehisintellekti teenuse ja loote juhtimist | Kasutage mõlemat koos | Koordineerige juhtimisvastutus ja turvatöö ühes programmis |
Kiireloomuline rakenduse turvaprobleem vajab kohest tähelepanu. Laiem juhtimisprogramm võib areneda paralleelselt tööga, mida selle haavatavuse kõrvaldamine nõuab.
Kuidas kasutada ISO 27090 ja ISO 42001 standardit koos
Näiteks tehisintellektil põhineva klienditoe assistendi kasutusele võttev ettevõte võiks oma tööd koordineerida järgmiselt. Need on illustratiivsed rakendusvalikud.
| Tegevus | Kuidas ISO 42001 saab tööd struktureerida | Kuidas ISO 27090 saab turvatööd suunata |
|---|---|---|
| Teenuse kavandamine | Määrake omanik ja leppige kokku eesmärk | Tuvastage tundlikud varad ja ründeteed |
| Tarnijate ülevaatus | Dokumenteerige vastutus ja ülevaatuse kriteeriumid | Uurige haavatavust mudelite, andmete ja sõltuvuste kaudu |
| Väljalaske kinnitamine | Dokumenteerige riskiotsused ja vastutav kinnitaja | Testige asjakohaseid rünnakuid ja rakenduse kaitsemeetmeid |
| Muudatuste haldamine | Vaadake tulemused üle ja otsustage täiustused | Hinnake turvalisust uuesti, kui mudelid, andmed või integratsioonid muutuvad |
Pidage iga tehisintellekti süsteemi kohta üht kirjet, mis viitab selle omanikele, riskidele, kontrollimeetmetele, testidele ja otsustele. Kasutage tõendeid korduvalt seal, kus need on asjakohased, ja märkige, milliseid hindamiskriteeriume need toetavad.
Näiteks võib turvatest näidata, kas piiratud toiming blokeeriti. Seotud ülevaatuskirje võib näidata, kes selle tulemuse hindas ja otsustas, kas süsteem oli väljalaskeks valmis. Mõlemad kirjed on kasulikud ja vastavad erinevatele küsimustele.
Selle kohta, kuidas ISO 42001 on seotud NIST AI RMF-i ja ELi tehisintellekti määrusega, vaadake ISO 42001, NIST AI RMF ja tehisintellekti määrus: siduge rollid.
Korduma kippuvad küsimused
Kas ISO 27090 asendab ISO 42001?
Ei. Neil on erinevad eesmärgid: tehisintellekti turvalisuse juhend ja nõuded tehisintellekti juhtimissüsteemile.
Kas kolmanda osapoole tehisintellekti kasutavad organisatsioonid saavad neid rakendada?
Jah. Mõlemad standardid on suunatud ka tehisintellekti kasutavatele organisatsioonidele.
Kas ISO 42001 sertifikaat tõendab, et iga tehisintellekti rakendus on turvaline?
Ei. See hindab AIMS-i. Rakenduste turvalisust tuleb endiselt hinnata.
Allikad: ISO selgitus ISO 27090 kohta ja ISO selgitus ISO 42001 kohta.
Siduge tehisintellekti juhtimine turvalisuse tõenditega
Alustage tulemusest, mida vajate: selgem vastutus tehisintellekti eest, tugevam rakenduste turvalisus või nende kahe kombinatsioon. Määrake tööle omanik ja otsustage, millised tõendid edenemist näitavad.
Secani seob nõuded, riskid, kontrollimeetmed, tõendid, omanikud ja ülevaatusotsused ühte tööruumi. Rääkige Secaniga sellest, kuidas oma tehisintellekti juhtimise ja turvalisuse tööd korraldada.
Looge auditeeritavaid vastavustöövooge
Secani ühendab ulatused, tõendid, ülesanded ja tehisintellekti agendid ühte jagatud tööruumi.
Seotud artiklid
Kõik artiklidTehisintellekti juhtimine
ISO 27090 selgitatud tehisintellekti turvalisuse meeskondadele
Praktiline juhend uue tehisintellekti küberturvalisuse standardi, selles käsitletavate rünnete ja turvameeskondadele kasutatavate tõendite kohta.
Tehisintellekti juhtimine
ISO 42001, NIST AI RMF ja tehisintellekti määrus: siduge rollid
Kasutage tehisintellekti juhtimissüsteeme ja riskiraamistikke juhtimise korraldamiseks, hinnates tehisintellekti määruse õiguslikke nõudeid eraldi.
Tehisintellekti juhtimine
ELi tehisintellekti määrus: liigitage kasutusjuhud ja kavandage tõendid
Ajakohane, rollipõhine lähenemine tehisintellekti määruseks valmistumisele, sealhulgas komisjoni uuendatud ajakava, suure riski hindamine ja vastutustundlik juhtimine.