ISO 27090 un ISO 42001 salīdzinājumā
Jonathan BezdekCTO
5 Min. lasīšanai
ISO 27090 sniedz vadlīnijas MI drošības darbam. ISO 42001 nosaka prasības mākslīgā intelekta pārvaldības sistēmai (AIMS). Organizācijas var tos izmantot kopā, lai sasaistītu drošības praksi ar plašāku MI pārvaldību. Avoti: ISO 27090 publikācijas ieraksts, ISO 42001 publikācijas ieraksts.
ISO 27090 un ISO 42001 īsumā
| Salīdzinājums | ISO 27090 | ISO 42001 |
|---|---|---|
| Galvenais mērķis | Aizsargāt MI sistēmas pret drošības apdraudējumiem | Organizēt atbildīgu MI izstrādi un izmantošanu |
| Standarta veids | Drošības vadlīnijas | Prasības MI pārvaldības sistēmai |
| Praktiskais jautājums | Kā šo MI sistēmu varētu kompromitēt? | Kā mēs konsekventi pārvaldām MI visā organizācijā? |
| Galvenā uzmanība | Apdraudējumi MI datiem, modeļiem un darbplūsmām | MI politikas, pienākumi, riski, mērķi un uzlabošana |
| Problēmu piemēri | Datu saindēšana, modeļu zādzība un saistīti uzbrukumi | Drošība, drošums, pārredzamība, aizspriedumainība un citi MI riski |
| Sertifikācija | Vadlīnijas; neparedz AIMS sertifikācijas ceļu | Organizācijas AIMS brīvprātīga sertifikācija |
| Kas to var izmantot | Organizācijas, kas izstrādā vai izmanto MI | Organizācijas, kas izstrādā, nodrošina vai izmanto MI |
| Pašreizējā redakcija | ISO/IEC 27090:2026 | ISO/IEC 42001:2023 |
| Pirmo reizi publicēts | 2026. gada 14. oktobrī | 2023. gada 18. decembrī |
Avoti: ISO 27090 publikācijas ieraksts, ISO 42001 publikācijas ieraksts un ISO skaidrojums par ISO 42001.
To tvērumi pārklājas. ISO 42001 ietver MI drošību starp plašākiem organizatoriskiem jautājumiem. ISO 27090 arī aplūko pārvaldību MI drošības kontekstā. To atšķirīgie mērķi izskaidro, kā tie var viens otru papildināt. Avoti: ISO skaidrojums par ISO 42001, ISO skaidrojums par ISO 27090.
ISO 27090 un ISO 42001 sertifikācija
ISO 42001 sertifikācija novērtē, vai organizācijas MI pārvaldības sistēma atbilst standarta prasībām. Sertifikāciju veic neatkarīgas sertifikācijas iestādes; pati ISO organizācijas nesertificē. Atsevišķām MI lietotnēm joprojām nepieciešams drošības novērtējums. Avots: ISO skaidrojums par ISO 42001.
Pasūtot ar ISO 27090 saistītu darbu, definējiet nepieciešamo drošības pārbaudi: kuras sistēmas, kuri uzbrukumu scenāriji un kādi pierādījumi pamatos konstatējumus. Tā novērtējums iegūst konkrētu tvērumu un noderīgu rezultātu.
Kuru standartu izmantot
Izvēlieties atkarībā no problēmas, kas jums jāatrisina. Šī tabula ir praktisks lēmumu pieņemšanas ceļvedis.
| Jūsu situācija | Kam pievērsties | Ieteicamais nākamais solis |
|---|---|---|
| MI izmantošanai nav skaidru īpašnieku vai noteikumu | ISO 42001 | Nosakiet atbildību, politiku un pārskatīšanas procesu |
| Modelim vai lietotnei ir konkrēti uzbrukumu riski | ISO 27090 | Analizējiet uzbrukumu scenārijus un izvēlieties testējamos aizsardzības pasākumus |
| Klients pieprasa MI pārvaldības sistēmas sertifikāciju | ISO 42001 | Definējiet sertifikācijas tvērumu un novērtējiet gatavību |
| MI pārvaldība pastāv, bet drošības pierādījumi ir vāji | Papildiniet ar ISO 27090 vadlīnijām | Sasaistiet drošības riskus ar kontroles pasākumiem un testu rezultātiem |
| Jūs ieviešat MI pakalpojumu un veidojat pārvaldību | Izmantojiet abus kopā | Koordinējiet pārvaldības pienākumus un drošības darbu vienā programmā |
Steidzamai lietotnes drošības problēmai jāpievērš tūlītēja uzmanība. Plašāka pārvaldības programma var attīstīties paralēli darbam, kas nepieciešams šīs ievainojamības novēršanai.
Kā izmantot ISO 27090 un ISO 42001 kopā
Piemēram, uzņēmums, kas ievieš MI atbalsta asistentu, savu darbu varētu koordinēt šādi. Tās ir ilustratīvas ieviešanas izvēles.
| Darbība | Kā ISO 42001 var strukturēt darbu | Kā ISO 27090 var palīdzēt drošības darbā |
|---|---|---|
| Pakalpojuma plānošana | Iecelt īpašnieku un vienoties par mērķi | Identificēt sensitīvus aktīvus un uzbrukumu ceļus |
| Piegādātāju pārskatīšana | Dokumentēt pienākumus un pārskatīšanas kritērijus | Izvērtēt ievainojamību caur modeļiem, datiem un atkarībām |
| Laidiena apstiprināšana | Dokumentēt riska lēmumus un atbildīgo apstiprinātāju | Testēt attiecīgos uzbrukumus un lietotnes aizsardzības pasākumus |
| Izmaiņu pārvaldība | Pārskatīt rezultātus un lemt par uzlabojumiem | Atkārtoti novērtēt drošību, mainoties modeļiem, datiem vai integrācijām |
Uzturiet vienu ierakstu par katru MI sistēmu ar saitēm uz tās īpašniekiem, riskiem, kontroles pasākumiem, testiem un lēmumiem. Atkārtoti izmantojiet pierādījumus, kur tie ir būtiski, un dokumentējiet, kurus novērtēšanas kritērijus tie atbalsta.
Piemēram, drošības tests var parādīt, vai ierobežota darbība tika bloķēta. Saistītais pārskatīšanas ieraksts var parādīt, kas izvērtēja šo rezultātu un izlēma, vai sistēma bija gatava laidienam. Abi ieraksti ir noderīgi, un tie atbild uz atšķirīgiem jautājumiem.
Par to, kā ISO 42001 saistīts ar NIST AI RMF un ES MI aktu, skatiet ISO 42001, NIST AI RMF un MI akts: sasaistiet lomas.
Biežāk uzdotie jautājumi
Vai ISO 27090 aizstāj ISO 42001?
Nē. Tiem ir atšķirīgi mērķi: MI drošības vadlīnijas un prasības MI pārvaldības sistēmai.
Vai tos var piemērot organizācijas, kas izmanto trešo pušu MI?
Jā. Abi standarti attiecas uz organizācijām, kas izmanto MI.
Vai ISO 42001 sertifikācija pierāda, ka katra MI lietotne ir droša?
Nē. Tā novērtē AIMS. Lietotņu drošība joprojām ir jānovērtē.
Avoti: ISO skaidrojums par ISO 27090 un ISO skaidrojums par ISO 42001.
Sasaistiet MI pārvaldību ar drošības pierādījumiem
Sāciet ar vajadzīgo rezultātu: skaidrāka atbildība par MI, spēcīgāka lietotņu drošība vai abu apvienojums. Ieceliet darbam īpašnieku un izlemiet, kādi pierādījumi parādīs progresu.
Secani vienā darbvietā sasaista prasības, riskus, kontroles pasākumus, pierādījumus, īpašniekus un pārskatīšanas lēmumus. Sazinieties ar Secani, lai apspriestu, kā organizēt jūsu MI pārvaldības un drošības darbu.
Veidojiet auditējamas atbilstības darbplūsmas
Secani apvieno tvērumus, pierādījumus, uzdevumus un MI aģentus vienā kopīgā darbvietā.
Saistītie raksti
Visi rakstiMI pārvaldība
ISO 27090 skaidrojums MI drošības komandām
Praktisks ceļvedis par jauno MI kiberdrošības standartu, tajā aplūkotajiem uzbrukumiem un pierādījumiem, ko drošības komandas var izmantot.
MI pārvaldība
ISO 42001, NIST AI RMF un MI akts: sasaistiet lomas
Izmantojiet MI pārvaldības sistēmas un riska ietvarus pārvaldības organizēšanai, MI akta juridiskās prasības novērtējot atsevišķi.
MI pārvaldība
ES Mākslīgā intelekta akts: klasificējiet lietošanas gadījumus un plānojiet pierādījumus
Aktuāla, uz lomām balstīta pieeja gatavībai Mākslīgā intelekta aktam, ietverot Komisijas atjaunināto grafiku, augsta riska novērtējumu un pārskatatbildīgu pārvaldību.