ISO 27090 a ISO 42001: różnice w praktyce
Jonathan BezdekCTO
5 Min. czytaj
ISO 27090 wspiera prace nad bezpieczeństwem AI. ISO 42001 określa wymagania dla systemu zarządzania sztuczną inteligencją (AIMS). Organizacje mogą stosować je razem, aby powiązać praktyki bezpieczeństwa z szerszym ładem AI. Źródła: karta publikacji ISO 27090, karta publikacji ISO 42001.
ISO 27090 a ISO 42001 w skrócie
| Porównanie | ISO 27090 | ISO 42001 |
|---|---|---|
| Główny cel | Ochrona systemów AI przed zagrożeniami bezpieczeństwa | Uporządkowanie odpowiedzialnego rozwoju i wykorzystania AI |
| Rodzaj normy | Wytyczne dotyczące bezpieczeństwa | Wymagania dla systemu zarządzania AI |
| Praktyczne pytanie | Jak ten system AI mógłby zostać skompromitowany? | Jak spójnie zarządzać AI w całej organizacji? |
| Główny obszar | Zagrożenia dla danych, modeli i przepływów pracy AI | Polityki, odpowiedzialności, ryzyka, cele i doskonalenie w zakresie AI |
| Przykładowe zagadnienia | Zatruwanie danych, kradzież modeli i powiązane ataki | Bezpieczeństwo, niezawodność, przejrzystość, stronniczość i inne ryzyka AI |
| Certyfikacja | Wytyczne; nie przewidują ścieżki certyfikacji AIMS | Dobrowolna certyfikacja AIMS organizacji |
| Kto może ją stosować | Organizacje, które rozwijają lub wykorzystują AI | Organizacje, które rozwijają, dostarczają lub wykorzystują AI |
| Aktualne wydanie | ISO/IEC 27090:2026 | ISO/IEC 42001:2023 |
| Pierwsza publikacja | 14 października 2026 | 18 grudnia 2023 |
Źródła: karta publikacji ISO 27090, karta publikacji ISO 42001 oraz omówienie ISO 42001 przez ISO.
Ich zakresy się pokrywają. ISO 42001 obejmuje bezpieczeństwo AI jako jedno z szerszych zagadnień organizacyjnych. ISO 27090 również odnosi się do ładu w kontekście bezpieczeństwa AI. Ich różne cele wyjaśniają, w jaki sposób mogą się uzupełniać. Źródła: omówienie ISO 42001 przez ISO, omówienie ISO 27090 przez ISO.
Certyfikacja ISO 27090 i ISO 42001
Certyfikacja ISO 42001 ocenia, czy system zarządzania AI organizacji spełnia wymagania normy. Certyfikację prowadzą niezależne jednostki certyfikujące; sama ISO nie certyfikuje organizacji. Poszczególne aplikacje AI nadal wymagają oceny bezpieczeństwa. Źródło: omówienie ISO 42001 przez ISO.
Zlecając prace oparte na ISO 27090, określ potrzebny przegląd bezpieczeństwa: jakie systemy, jakie scenariusze ataku i jakie dowody mają potwierdzać ustalenia. Dzięki temu ocena ma konkretny zakres i użyteczny wynik.
Którą normę wybrać
Wybierz w zależności od problemu, który musisz rozwiązać. Ta tabela to praktyczny przewodnik decyzyjny.
| Twoja sytuacja | Na czym się skupić | Zalecany następny krok |
|---|---|---|
| Wykorzystanie AI nie ma jasnych właścicieli ani zasad | ISO 42001 | Ustal odpowiedzialność, politykę i proces przeglądu |
| Model lub aplikacja jest narażona na konkretne ryzyka ataku | ISO 27090 | Przeanalizuj scenariusze ataku i wybierz zabezpieczenia do przetestowania |
| Klient wymaga certyfikacji systemu zarządzania AI | ISO 42001 | Określ zakres certyfikacji i oceń gotowość |
| Ład AI istnieje, ale dowody bezpieczeństwa są słabe | Dodaj wytyczne ISO 27090 | Powiąż ryzyka bezpieczeństwa z zabezpieczeniami i wynikami testów |
| Uruchamiasz usługę AI i budujesz ład | Stosuj obie normy razem | Skoordynuj odpowiedzialności zarządcze i prace nad bezpieczeństwem w jednym programie |
Pilny problem z bezpieczeństwem aplikacji wymaga natychmiastowej uwagi. Szerszy program ładu AI może rozwijać się równolegle z pracami potrzebnymi do usunięcia tej ekspozycji.
Jak stosować ISO 27090 i ISO 42001 razem
Na przykład firma wdrażająca asystenta wsparcia opartego na AI mogłaby skoordynować swoje prace w następujący sposób. To przykładowe decyzje wdrożeniowe.
| Działanie | Jak ISO 42001 może uporządkować pracę | Jak ISO 27090 może wspierać prace nad bezpieczeństwem |
|---|---|---|
| Planowanie usługi | Wyznacz właściciela i uzgodnij cel usługi | Zidentyfikuj wrażliwe zasoby i ścieżki ataku |
| Przegląd dostawców | Zapisz odpowiedzialności i kryteria przeglądu | Zbadaj ekspozycję wynikającą z modeli, danych i zależności |
| Zatwierdzenie wydania | Zapisz decyzje dotyczące ryzyka i osobę zatwierdzającą | Przetestuj istotne ataki i zabezpieczenia aplikacji |
| Zarządzanie zmianami | Przeanalizuj wyniki i zdecyduj o usprawnieniach | Ponownie oceń bezpieczeństwo, gdy zmieniają się modele, dane lub integracje |
Prowadź jeden rejestr dla każdego systemu AI, z powiązaniami do jego właścicieli, ryzyk, zabezpieczeń, testów i decyzji. Wykorzystuj dowody ponownie tam, gdzie są istotne, i zapisuj, które kryteria oceny potwierdzają.
Na przykład test bezpieczeństwa może pokazać, czy zablokowano działanie objęte ograniczeniem. Powiązany zapis przeglądu może pokazać, kto ocenił ten wynik i zdecydował, czy system jest gotowy do wydania. Oba zapisy są przydatne i odpowiadają na różne pytania.
O tym, jak ISO 42001 łączy się z NIST AI RMF i unijnym aktem w sprawie sztucznej inteligencji, przeczytasz w artykule ISO 42001, NIST AI RMF i AI Act: połącz ich role.
Najczęściej zadawane pytania
Czy ISO 27090 zastępuje ISO 42001?
Nie. Mają różne cele: to wytyczne dotyczące bezpieczeństwa AI oraz wymagania dla systemu zarządzania AI.
Czy organizacje korzystające z AI dostawców zewnętrznych mogą je stosować?
Tak. Obie normy są skierowane do organizacji, które wykorzystują AI.
Czy certyfikacja ISO 42001 dowodzi, że każda aplikacja AI jest bezpieczna?
Nie. Ocenia AIMS. Bezpieczeństwo aplikacji nadal wymaga oceny.
Źródła: omówienie ISO 27090 przez ISO oraz omówienie ISO 42001 przez ISO.
Połącz ład AI z dowodami bezpieczeństwa
Zacznij od rezultatu, którego potrzebujesz: jaśniejszej odpowiedzialności za AI, silniejszego bezpieczeństwa aplikacji albo obu naraz. Wyznacz właściciela prac i zdecyduj, jakie dowody pokażą postępy.
Secani łączy wymagania, ryzyka, zabezpieczenia, dowody, właścicieli i decyzje z przeglądów w jednym obszarze roboczym. Porozmawiaj z Secani o uporządkowaniu prac nad ładem i bezpieczeństwem AI.
Budowanie weryfikowalnych przepływów pracy w zakresie zgodności
Secani łączy w jednej wspólnej przestrzeni roboczej zakresy, dowody, zadania i agentów AI.
Powiązane artykuły
Wszystkie artykułyŁad AI
ISO 27090 wyjaśniona dla zespołów bezpieczeństwa AI
Praktyczny przewodnik po nowej normie cyberbezpieczeństwa AI, atakach, których dotyczy, i dowodach, z których mogą korzystać zespoły bezpieczeństwa.
Ład AI
ISO 42001, NIST AI RMF i AI Act: połącz ich role
Wykorzystuj systemy zarządzania AI i frameworki ryzyka do porządkowania ładu AI, a wymogi prawne aktu w sprawie sztucznej inteligencji oceniaj oddzielnie.
Ład AI
Akt w sprawie sztucznej inteligencji: sklasyfikuj przypadki użycia i zaplanuj dowody
Aktualne, oparte na rolach podejście do przygotowania na akt w sprawie sztucznej inteligencji, obejmujące zaktualizowany harmonogram Komisji, ocenę wysokiego ryzyka i rozliczalny ład organizacyjny.