ISO 27090 ir ISO 42001 palyginimas
Jonathan BezdekCTO
5 Min. skaitymo
ISO 27090 pateikia gaires DI saugumo darbui. ISO 42001 nustato reikalavimus dirbtinio intelekto valdymo sistemai (AIMS). Organizacijos gali juos naudoti kartu, kad susietų saugumo praktiką su platesniu DI valdymu. Šaltiniai: ISO 27090 leidinio įrašas, ISO 42001 leidinio įrašas.
ISO 27090 ir ISO 42001 trumpai
| Palyginimas | ISO 27090 | ISO 42001 |
|---|---|---|
| Pagrindinė paskirtis | Apsaugoti DI sistemas nuo saugumo grėsmių | Organizuoti atsakingą DI kūrimą ir naudojimą |
| Standarto tipas | Saugumo gairės | Reikalavimai DI valdymo sistemai |
| Praktinis klausimas | Kaip ši DI sistema galėtų būti pažeista? | Kaip nuosekliai valdome DI visoje organizacijoje? |
| Pagrindinis dėmesys | Grėsmės DI duomenims, modeliams ir darbo eigoms | DI politikos, atsakomybės, rizikos, tikslai ir tobulinimas |
| Problemų pavyzdžiai | Duomenų apnuodijimas, modelių vagystė ir susijusios atakos | Saugumas, sauga, skaidrumas, šališkumas ir kitos DI rizikos |
| Sertifikavimas | Gairės; nenustato AIMS sertifikavimo kelio | Savanoriškas organizacijos AIMS sertifikavimas |
| Kas gali naudoti | Organizacijos, kuriančios arba naudojančios DI | Organizacijos, kuriančios, teikiančios arba naudojančios DI |
| Dabartinis leidimas | ISO/IEC 27090:2026 | ISO/IEC 42001:2023 |
| Pirmą kartą paskelbtas | 2026 m. spalio 14 d. | 2023 m. gruodžio 18 d. |
Šaltiniai: ISO 27090 leidinio įrašas, ISO 42001 leidinio įrašas ir ISO paaiškinimas apie ISO 42001.
Jų taikymo sritys iš dalies sutampa. ISO 42001 DI saugumą įtraukia tarp platesnių organizacinių klausimų. ISO 27090 taip pat nagrinėja valdymą DI saugumo kontekste. Skirtinga jų paskirtis paaiškina, kaip jie gali vienas kitą papildyti. Šaltiniai: ISO paaiškinimas apie ISO 42001, ISO paaiškinimas apie ISO 27090.
ISO 27090 ir ISO 42001 sertifikavimas
ISO 42001 sertifikavimas įvertina, ar organizacijos DI valdymo sistema atitinka standarto reikalavimus. Sertifikavimą atlieka nepriklausomos sertifikavimo įstaigos; pati ISO organizacijų nesertifikuoja. Atskirų DI programų saugumą vis tiek reikia įvertinti. Šaltinis: ISO paaiškinimas apie ISO 42001.
Užsakydami su ISO 27090 susijusį darbą, apibrėžkite, kokios saugumo peržiūros jums reikia: kurios sistemos, kurie atakų scenarijai ir kokie įrodymai pagrįs išvadas. Taip vertinimas įgyja konkrečią apimtį ir naudingą rezultatą.
Kurį standartą naudoti
Rinkitės pagal problemą, kurią reikia išspręsti. Ši lentelė yra praktinis sprendimų vadovas.
| Jūsų situacija | Kam skirti dėmesį | Rekomenduojamas kitas žingsnis |
|---|---|---|
| DI naudojimas neturi aiškių savininkų ar taisyklių | ISO 42001 | Nustatykite atskaitomybę, politiką ir peržiūros procesą |
| Modeliui ar programai kyla konkrečios atakų rizikos | ISO 27090 | Išanalizuokite atakų scenarijus ir pasirinkite testuotinas apsaugos priemones |
| Klientas prašo DI valdymo sistemos sertifikavimo | ISO 42001 | Apibrėžkite sertifikavimo apimtį ir įvertinkite pasirengimą |
| DI valdymas yra, bet saugumo įrodymai silpni | Papildykite ISO 27090 gairėmis | Susiekite saugumo rizikas su kontrolės priemonėmis ir testų rezultatais |
| Pradedate DI paslaugą ir kuriate valdymą | Naudokite abu kartu | Koordinuokite valdymo atsakomybes ir saugumo darbą vienoje programoje |
Skubiai programos saugumo problemai reikia nedelsiant skirti dėmesio. Platesnė valdymo programa gali būti plėtojama lygiagrečiai su darbu, reikalingu šiam pažeidžiamumui pašalinti.
Kaip naudoti ISO 27090 ir ISO 42001 kartu
Pavyzdžiui, įmonė, diegianti DI pagalbos asistentą, galėtų koordinuoti savo darbą taip. Tai iliustraciniai įgyvendinimo pasirinkimai.
| Veikla | Kaip ISO 42001 gali struktūruoti darbą | Kaip ISO 27090 gali padėti saugumo darbui |
|---|---|---|
| Paslaugos planavimas | Paskirti savininką ir susitarti dėl paskirties | Nustatyti jautrius išteklius ir atakų kelius |
| Tiekėjų peržiūra | Užfiksuoti atsakomybes ir peržiūros kriterijus | Išnagrinėti pažeidžiamumą per modelius, duomenis ir priklausomybes |
| Išleidimo patvirtinimas | Užfiksuoti rizikos sprendimus ir atsakingą tvirtintoją | Testuoti aktualias atakas ir programos apsaugos priemones |
| Pakeitimų valdymas | Peržiūrėti rezultatus ir spręsti dėl patobulinimų | Iš naujo įvertinti saugumą, kai keičiasi modeliai, duomenys ar integracijos |
Tvarkykite vieną kiekvienos DI sistemos įrašą su nuorodomis į jos savininkus, rizikas, kontrolės priemones, testus ir sprendimus. Pakartotinai naudokite įrodymus, kai jie aktualūs, ir užfiksuokite, kuriuos vertinimo kriterijus jie pagrindžia.
Pavyzdžiui, saugumo testas gali parodyti, ar ribojamas veiksmas buvo užblokuotas. Susijęs peržiūros įrašas gali parodyti, kas įvertino šį rezultatą ir nusprendė, ar sistema buvo pasirengusi išleidimui. Abu įrašai naudingi ir atsako į skirtingus klausimus.
Apie tai, kaip ISO 42001 susijęs su NIST AI RMF ir ES dirbtinio intelekto aktu, skaitykite ISO 42001, NIST AI RMF ir Dirbtinio intelekto aktas: susiekite vaidmenis.
Dažniausiai užduodami klausimai
Ar ISO 27090 pakeičia ISO 42001?
Ne. Jie skirti skirtingiems tikslams: DI saugumo gairės ir reikalavimai DI valdymo sistemai.
Ar juos gali taikyti organizacijos, naudojančios trečiųjų šalių DI?
Taip. Abu standartai skirti ir organizacijoms, kurios naudoja DI.
Ar ISO 42001 sertifikavimas įrodo, kad kiekviena DI programa yra saugi?
Ne. Jis įvertina AIMS. Programų saugumą vis tiek reikia įvertinti.
Šaltiniai: ISO paaiškinimas apie ISO 27090 ir ISO paaiškinimas apie ISO 42001.
Susiekite DI valdymą su saugumo įrodymais
Pradėkite nuo jums reikalingo rezultato: aiškesnės atskaitomybės už DI, stipresnio programų saugumo arba abiejų derinio. Paskirkite darbui savininką ir nuspręskite, kokie įrodymai parodys pažangą.
Secani vienoje darbo erdvėje susieja reikalavimus, rizikas, kontrolės priemones, įrodymus, savininkus ir peržiūros sprendimus. Pasikalbėkite su Secani apie tai, kaip organizuoti jūsų DI valdymo ir saugumo darbą.
Kurkite audituojamus atitikties darbo procesus
Secani sujungia aprėptis, įrodymus, užduotis ir DI agentus vienoje bendroje darbo erdvėje.
Susiję straipsniai
Visi straipsniaiDI valdymas
ISO 27090 paaiškinimas DI saugumo komandoms
Praktinis vadovas apie naująjį DI kibernetinio saugumo standartą, jame nagrinėjamas atakas ir įrodymus, kuriuos gali naudoti saugumo komandos.
DI valdymas
ISO 42001, NIST AI RMF ir Dirbtinio intelekto aktas: susiekite vaidmenis
Naudokite DI valdymo sistemas ir rizikos valdymo sistemas valdymui organizuoti, o Dirbtinio intelekto akto teisinius reikalavimus vertinkite atskirai.
DI valdymas
ES dirbtinio intelekto aktas: klasifikuokite naudojimo atvejus ir planuokite įrodymus
Aktualus, vaidmenimis grindžiamas pasirengimo Dirbtinio intelekto aktui požiūris, apimantis atnaujintą Komisijos tvarkaraštį, didelės rizikos vertinimą ir atskaitingą valdyseną.