ISO 27090 ja ISO 42001 selitettynä
Jonathan BezdekCTO
5 Min. lukuaika
ISO 27090 ohjaa tekoälyn tietoturvatyötä. ISO 42001 asettaa vaatimukset tekoälyn hallintajärjestelmälle (AIMS). Organisaatiot voivat käyttää niitä yhdessä kytkeäkseen tietoturvakäytännöt laajempaan tekoälyn hallintaan. Lähteet: ISO 27090:n julkaisutiedot, ISO 42001:n julkaisutiedot.
ISO 27090 ja ISO 42001 lyhyesti
| Vertailu | ISO 27090 | ISO 42001 |
|---|---|---|
| Päätarkoitus | Suojata tekoälyjärjestelmiä tietoturvauhilta | Järjestää tekoälyn vastuullinen kehittäminen ja käyttö |
| Standardin tyyppi | Tietoturvaohjeistus | Tekoälyn hallintajärjestelmän vaatimukset |
| Käytännön kysymys | Miten tämä tekoälyjärjestelmä voidaan murtaa? | Miten hallitsemme tekoälyä johdonmukaisesti koko organisaatiossa? |
| Pääpaino | Tekoälyn dataan, malleihin ja työnkulkuihin kohdistuvat uhat | Tekoälyä koskevat politiikat, vastuut, riskit, tavoitteet ja parantaminen |
| Esimerkkejä huolenaiheista | Datan myrkyttäminen, mallien varastaminen ja vastaavat hyökkäykset | Tietoturva, turvallisuus, läpinäkyvyys, vinoumat ja muut tekoälyriskit |
| Sertifiointi | Ohjeistus; ei luo reittiä AIMS-sertifiointiin | Organisaation AIMS:n vapaaehtoinen sertifiointi |
| Kuka voi käyttää | Organisaatiot, jotka kehittävät tai käyttävät tekoälyä | Organisaatiot, jotka kehittävät, tarjoavat tai käyttävät tekoälyä |
| Nykyinen painos | ISO/IEC 27090:2026 | ISO/IEC 42001:2023 |
| Ensimmäinen julkaisu | 14. lokakuuta 2026 | 18. joulukuuta 2023 |
Lähteet: ISO 27090:n julkaisutiedot, ISO 42001:n julkaisutiedot ja ISOn selitys ISO 42001:stä.
Niiden soveltamisalat ovat osittain päällekkäisiä. ISO 42001 käsittelee tekoälyn tietoturvaa osana laajempia organisatorisia kysymyksiä. ISO 27090 käsittelee myös hallintoa tekoälyn tietoturvan yhteydessä. Niiden erilaiset tarkoitukset selittävät, miten ne voivat täydentää toisiaan. Lähteet: ISOn selitys ISO 42001:stä, ISOn selitys ISO 27090:stä.
ISO 27090 ja ISO 42001 -sertifiointi
ISO 42001 -sertifioinnissa arvioidaan, täyttääkö organisaation tekoälyn hallintajärjestelmä standardin vaatimukset. Sertifioinnin tekevät riippumattomat sertifiointielimet; ISO ei itse sertifioi organisaatioita. Yksittäisten tekoälysovellusten tietoturva on silti arvioitava erikseen. Lähde: ISOn selitys ISO 42001:stä.
Kun tilaat ISO 27090:een perustuvaa työtä, määritä tarvitsemasi tietoturvakatselmus: mitkä järjestelmät, mitkä hyökkäysskenaariot ja mikä näyttö tukee havaintoja. Näin arvioinnilla on konkreettinen laajuus ja hyödyllinen lopputulos.
Kumpaa standardia kannattaa käyttää
Valitse sen ongelman mukaan, joka sinun on ratkaistava. Tämä taulukko on käytännön päätöksenteon apu.
| Tilanteesi | Mihin keskittyä | Suositeltu seuraava askel |
|---|---|---|
| Tekoälyn käytöllä ei ole selkeitä omistajia tai sääntöjä | ISO 42001 | Määritä vastuut, politiikka ja katselmointiprosessi |
| Malliin tai sovellukseen kohdistuu erityisiä hyökkäysriskejä | ISO 27090 | Analysoi hyökkäysskenaariot ja valitse testattavat suojatoimet |
| Asiakas pyytää tekoälyn hallintajärjestelmän sertifiointia | ISO 42001 | Määritä sertifioinnin laajuus ja arvioi valmius |
| Tekoälyn hallinta on olemassa, mutta tietoturvanäyttö on heikkoa | Lisää ISO 27090:n ohjeistus | Kytke tietoturvariskit hallintakeinoihin ja testituloksiin |
| Otatte käyttöön tekoälypalvelun ja rakennatte hallintoa | Käytä molempia yhdessä | Sovita johtamisvastuut ja tietoturvatyö yhteen ohjelmaan |
Kiireellinen sovelluksen tietoturvaongelma vaatii välitöntä huomiota. Laajempaa hallintaohjelmaa voi kehittää samaan aikaan, kun altistumista korjataan.
Näin käytät ISO 27090:tä ja ISO 42001:tä yhdessä
Esimerkiksi yritys, joka ottaa käyttöön tekoälyavustajan asiakastukeen, voisi sovittaa työnsä yhteen seuraavasti. Kyse on havainnollistavista toteutusvalinnoista.
| Toiminto | Miten ISO 42001 voi jäsentää työtä | Miten ISO 27090 voi ohjata tietoturvatyötä |
|---|---|---|
| Palvelun suunnittelu | Nimeä omistaja ja sovi tarkoituksesta | Tunnista arkaluonteiset resurssit ja hyökkäyspolut |
| Toimittajien arviointi | Kirjaa vastuut ja arviointikriteerit | Tarkastele altistumista mallien, datan ja riippuvuuksien kautta |
| Julkaisun hyväksyminen | Kirjaa riskipäätökset ja vastuullinen hyväksyjä | Testaa olennaiset hyökkäykset ja sovelluksen suojatoimet |
| Muutosten hallinta | Katselmoi tulokset ja päätä parannuksista | Arvioi tietoturva uudelleen, kun mallit, data tai integraatiot muuttuvat |
Pidä jokaisesta tekoälyjärjestelmästä yksi tietue, jossa on linkit sen omistajiin, riskeihin, hallintakeinoihin, testeihin ja päätöksiin. Käytä näyttöä uudelleen, kun se on olennaista, ja kirjaa, mitä arviointikriteerejä se tukee.
Tietoturvatesti voi esimerkiksi osoittaa, estettiinkö rajoitettu toiminto. Siihen liittyvä katselmointitietue voi osoittaa, kuka arvioi tuloksen ja päätti, oliko järjestelmä valmis julkaistavaksi. Molemmat tietueet ovat hyödyllisiä, ja ne vastaavat eri kysymyksiin.
Siitä, miten ISO 42001 liittyy NIST AI RMF:ään ja EU:n tekoälysäädökseen, kerrotaan artikkelissa ISO 42001, NIST AI RMF ja tekoälysäädös: kytke roolit toisiinsa.
Usein kysytyt kysymykset
Korvaako ISO 27090 ISO 42001:n?
Ei. Niillä on eri tarkoitukset: tekoälyn tietoturvaohjeistus ja tekoälyn hallintajärjestelmän vaatimukset.
Voivatko kolmannen osapuolen tekoälyä käyttävät organisaatiot soveltaa niitä?
Kyllä. Molemmat standardit koskevat organisaatioita, jotka käyttävät tekoälyä.
Todistaako ISO 42001 -sertifiointi, että jokainen tekoälysovellus on turvallinen?
Ei. Siinä arvioidaan tekoälyn hallintajärjestelmä. Sovellusten tietoturva on edelleen arvioitava.
Lähteet: ISOn selitys ISO 27090:stä ja ISOn selitys ISO 42001:stä.
Kytke tekoälyn hallinta tietoturvanäyttöön
Aloita tarvitsemastasi lopputuloksesta: selkeämmät tekoälyvastuut, vahvempi sovellusten tietoturva tai näiden yhdistelmä. Nimeä työlle omistaja ja päätä, millä näytöllä edistyminen osoitetaan.
Secani kytkee vaatimukset, riskit, hallintakeinot, näytön, omistajat ja katselmointipäätökset yhteen työtilaan. Keskustele Secanin kanssa tekoälyn hallinta- ja tietoturvatyön järjestämisestä.
Rakenna auditoitavia vaatimustenmukaisuuden työnkulkuja
Secani yhdistää rajaukset, todisteet, tehtävät ja tekoälyagentit yhteiseen työtilaan.
Aiheeseen liittyvät artikkelit
Kaikki artikkelitTekoälyn hallinta
ISO 27090 selitettynä tekoälyn tietoturvatiimeille
Käytännön opas uuteen tekoälyn kyberturvallisuusstandardiin, sen käsittelemiin hyökkäyksiin ja näyttöön, jota tietoturvatiimit voivat käyttää.
Tekoälyn hallinta
ISO 42001, NIST AI RMF ja tekoälysäädös: kytke roolit toisiinsa
Käytä tekoälyn hallintajärjestelmiä ja riskiviitekehyksiä hallinnon jäsentämiseen ja arvioi tekoälysäädöksen oikeudelliset vaatimukset erikseen.
Tekoälyn hallinta
EU:n tekoälysäädös: luokittele käyttötapaukset ja suunnittele näyttö
Ajantasainen, roolipohjainen lähestymistapa tekoälysäädökseen valmistautumiseen, mukaan lukien komission päivitetty aikataulu, suuririskisyyden arviointi ja vastuullinen hallinto.