ISO 27090 și ISO 42001: diferențele explicate
Jonathan BezdekCTO
5 Min. de citit
ISO 27090 ghidează activitatea de securitate a IA. ISO 42001 stabilește cerințe pentru un sistem de management al inteligenței artificiale (AIMS). Organizațiile le pot folosi împreună pentru a conecta practicile de securitate cu guvernanța IA în sens mai larg. Surse: înregistrarea publicației ISO 27090, înregistrarea publicației ISO 42001.
ISO 27090 și ISO 42001 pe scurt
| Comparație | ISO 27090 | ISO 42001 |
|---|---|---|
| Scop principal | Protejarea sistemelor de IA împotriva amenințărilor de securitate | Organizarea dezvoltării și utilizării responsabile a IA |
| Tipul standardului | Ghid de securitate | Cerințe pentru un sistem de management al IA |
| Întrebare practică | Cum ar putea fi compromis acest sistem de IA? | Cum guvernăm IA în mod consecvent în întreaga organizație? |
| Accent principal | Amenințări la adresa datelor, modelelor și fluxurilor de lucru IA | Politici IA, responsabilități, riscuri, obiective și îmbunătățire |
| Exemple de preocupări | Otrăvirea datelor, furtul modelelor și atacuri conexe | Securitate, siguranță, transparență, prejudecăți și alte riscuri ale IA |
| Certificare | Ghid; nu stabilește o cale de certificare AIMS | Certificare voluntară a AIMS al organizației |
| Cine îl poate folosi | Organizațiile care dezvoltă sau utilizează IA | Organizațiile care dezvoltă, furnizează sau utilizează IA |
| Ediția actuală | ISO/IEC 27090:2026 | ISO/IEC 42001:2023 |
| Prima publicare | 14 octombrie 2026 | 18 decembrie 2023 |
Surse: înregistrarea publicației ISO 27090, înregistrarea publicației ISO 42001 și explicația ISO privind ISO 42001.
Domeniile lor de aplicare se suprapun. ISO 42001 include securitatea IA printre preocupările organizaționale mai largi. ISO 27090 abordează, la rândul său, guvernanța în contextul securității IA. Scopurile lor diferite explică modul în care se pot completa reciproc. Surse: explicația ISO privind ISO 42001, explicația ISO privind ISO 27090.
Certificarea ISO 27090 și ISO 42001
Certificarea ISO 42001 evaluează dacă sistemul de management al IA al unei organizații îndeplinește cerințele standardului. Certificarea este realizată de organisme de certificare independente; ISO însăși nu certifică organizații. Aplicațiile individuale de IA au în continuare nevoie de o evaluare de securitate. Sursă: explicația ISO privind ISO 42001.
Atunci când comandați lucrări pe baza ISO 27090, definiți analiza de securitate de care aveți nevoie: ce sisteme, ce scenarii de atac și ce dovezi vor susține constatările. Astfel, evaluarea capătă un domeniu concret și un rezultat util.
Ce standard ar trebui să folosiți
Alegeți în funcție de problema pe care trebuie să o rezolvați. Acest tabel este un ghid practic de decizie.
| Situația dumneavoastră | Unde să vă concentrați | Următorul pas recomandat |
|---|---|---|
| Utilizarea IA nu are responsabili sau reguli clare | ISO 42001 | Stabiliți responsabilitatea, politica și un proces de revizuire |
| Un model sau o aplicație se confruntă cu riscuri specifice de atac | ISO 27090 | Analizați scenariile de atac și selectați măsurile de protecție de testat |
| Un client solicită certificarea sistemului de management al IA | ISO 42001 | Definiți domeniul certificării și evaluați gradul de pregătire |
| Guvernanța IA există, dar dovezile de securitate sunt slabe | Adăugați ghidul ISO 27090 | Conectați riscurile de securitate cu controalele și rezultatele testelor |
| Lansați un serviciu de IA și construiți guvernanța | Folosiți-le pe amândouă | Coordonați responsabilitățile de management și activitatea de securitate într-un singur program |
O problemă urgentă de securitate a unei aplicații merită atenție imediată. Un program de guvernanță mai larg se poate dezvolta în paralel cu munca necesară pentru eliminarea acestei expuneri.
Cum să folosiți ISO 27090 și ISO 42001 împreună
De exemplu, o companie care introduce un asistent de suport bazat pe IA și-ar putea coordona activitatea după cum urmează. Acestea sunt opțiuni de implementare ilustrative.
| Activitate | Cum poate ISO 42001 să structureze activitatea | Cum poate ISO 27090 să ghideze activitatea de securitate |
|---|---|---|
| Planificarea serviciului | Desemnați un responsabil și stabiliți scopul serviciului | Identificați activele sensibile și căile de atac |
| Evaluarea furnizorilor | Înregistrați responsabilitățile și criteriile de evaluare | Examinați expunerea prin modele, date și dependențe |
| Aprobarea lansării | Înregistrați deciziile privind riscurile și persoana responsabilă de aprobare | Testați atacurile relevante și măsurile de protecție ale aplicației |
| Gestionarea modificărilor | Analizați rezultatele și decideți îmbunătățirile | Reevaluați securitatea atunci când se schimbă modelele, datele sau integrările |
Păstrați o singură înregistrare a sistemului de IA, cu legături către responsabilii, riscurile, controalele, testele și deciziile sale. Reutilizați dovezile acolo unde sunt relevante și înregistrați ce criterii de evaluare susțin.
De exemplu, un test de securitate poate arăta dacă o acțiune restricționată a fost blocată. Înregistrarea de revizuire asociată poate arăta cine a evaluat acel rezultat și a decis dacă sistemul era pregătit pentru lansare. Ambele înregistrări sunt utile și răspund la întrebări diferite.
Pentru a afla cum se raportează ISO 42001 la NIST AI RMF și la Regulamentul UE privind IA, consultați ISO 42001, NIST AI RMF și Regulamentul privind IA: conectați rolurile.
Întrebări frecvente
Înlocuiește ISO 27090 standardul ISO 42001?
Nu. Ele au scopuri diferite: ghid pentru securitatea IA și cerințe pentru un sistem de management al IA.
Le pot aplica organizațiile care folosesc IA de la terți?
Da. Ambele standarde se adresează organizațiilor care utilizează IA.
Dovedește certificarea ISO 42001 că fiecare aplicație de IA este sigură?
Nu. Ea evaluează AIMS. Securitatea aplicațiilor trebuie în continuare evaluată.
Surse: explicația ISO privind ISO 27090 și explicația ISO privind ISO 42001.
Conectați guvernanța IA cu dovezile de securitate
Porniți de la rezultatul de care aveți nevoie: o responsabilitate mai clară pentru IA, o securitate mai solidă a aplicațiilor sau o combinație a celor două. Desemnați un responsabil pentru această activitate și decideți ce dovezi vor demonstra progresul.
Secani conectează cerințele, riscurile, controalele, dovezile, responsabilii și deciziile de revizuire într-un singur spațiu de lucru. Discutați cu Secani despre organizarea activității de guvernanță și securitate a IA.
Construiți fluxuri de conformitate auditabile
Secani conectează domeniile de aplicare, dovezile, sarcinile și agenții IA într-un spațiu de lucru comun.
Articole similare
Toate articoleleGuvernanța IA
ISO 27090 explicat pentru echipele de securitate a IA
Un ghid practic despre noul standard de securitate cibernetică pentru IA, atacurile pe care le abordează și dovezile pe care le pot folosi echipele de securitate.
Guvernanța IA
ISO 42001, NIST AI RMF și Regulamentul privind IA: conectați rolurile
Folosiți sistemele de management al IA și cadrele de gestionare a riscurilor pentru a organiza guvernanța, evaluând separat cerințele legale ale Regulamentului privind IA.
Guvernanța IA
Regulamentul UE privind IA: clasificați cazurile de utilizare și planificați dovezile
O abordare actuală, bazată pe roluri, a pregătirii pentru Regulamentul privind inteligența artificială, inclusiv calendarul actualizat al Comisiei, evaluarea riscului ridicat și o guvernanță responsabilă.