ISO 27090 a ISO 42001: vysvetlenie rozdielov
Jonathan BezdekCTO
5 Min. čítania
ISO 27090 usmerňuje prácu na bezpečnosti AI. ISO 42001 stanovuje požiadavky na systém manažérstva umelej inteligencie (AIMS). Organizácie ich môžu používať spoločne, aby prepojili bezpečnostné postupy so širším riadením AI. Zdroje: záznam o publikácii ISO 27090, záznam o publikácii ISO 42001.
ISO 27090 a ISO 42001 v skratke
| Porovnanie | ISO 27090 | ISO 42001 |
|---|---|---|
| Hlavný účel | Chrániť systémy AI pred bezpečnostnými hrozbami | Organizovať zodpovedný vývoj a používanie AI |
| Typ normy | Bezpečnostné usmernenie | Požiadavky na systém manažérstva AI |
| Praktická otázka | Ako by mohol byť tento systém AI kompromitovaný? | Ako jednotne riadiť AI v celej organizácii? |
| Hlavné zameranie | Hrozby pre dáta, modely a pracovné postupy AI | Politiky AI, zodpovednosti, riziká, ciele a zlepšovanie |
| Príklady problémov | Otrávenie dát, krádež modelu a súvisiace útoky | Bezpečnosť, ochrana zdravia, transparentnosť, skreslenie a ďalšie riziká AI |
| Certifikácia | Usmernenie; nezakladá cestu k certifikácii AIMS | Dobrovoľná certifikácia AIMS organizácie |
| Kto ju môže používať | Organizácie, ktoré vyvíjajú alebo používajú AI | Organizácie, ktoré vyvíjajú, poskytujú alebo používajú AI |
| Aktuálne vydanie | ISO/IEC 27090:2026 | ISO/IEC 42001:2023 |
| Prvé vydanie | 14. októbra 2026 | 18. decembra 2023 |
Zdroje: záznam o publikácii ISO 27090, záznam o publikácii ISO 42001 a vysvetlenie ISO 42001 od ISO.
Ich rozsah sa prekrýva. ISO 42001 zahŕňa bezpečnosť AI medzi širšie organizačné otázky. ISO 27090 sa zasa venuje riadeniu v kontexte bezpečnosti AI. Ich odlišné účely vysvetľujú, ako sa môžu navzájom dopĺňať. Zdroje: vysvetlenie ISO 42001 od ISO, vysvetlenie ISO 27090 od ISO.
Certifikácia podľa ISO 27090 a ISO 42001
Certifikácia podľa ISO 42001 posudzuje, či systém manažérstva AI organizácie spĺňa požiadavky normy. Certifikáciu vykonávajú nezávislé certifikačné orgány; samotná ISO organizácie necertifikuje. Jednotlivé aplikácie AI stále potrebujú posúdenie bezpečnosti. Zdroj: vysvetlenie ISO 42001 od ISO.
Keď zadávate prácu podľa ISO 27090, definujte bezpečnostné preskúmanie, ktoré potrebujete: ktoré systémy, ktoré scenáre útokov a aké dôkazy podložia zistenia. Posúdenie tak získa konkrétny rozsah a užitočný výsledok.
Ktorú normu by ste mali použiť
Vyberajte podľa problému, ktorý potrebujete vyriešiť. Táto tabuľka slúži ako praktická pomôcka pri rozhodovaní.
| Vaša situácia | Na čo sa zamerať | Odporúčaný ďalší krok |
|---|---|---|
| Používanie AI nemá jasných vlastníkov ani pravidlá | ISO 42001 | Stanovte zodpovednosť, politiku a proces preskúmania |
| Model alebo aplikácia čelí konkrétnym rizikám útoku | ISO 27090 | Analyzujte scenáre útokov a vyberte ochranné opatrenia na otestovanie |
| Zákazník požaduje certifikáciu systému manažérstva AI | ISO 42001 | Definujte rozsah certifikácie a posúďte pripravenosť |
| Riadenie AI existuje, ale bezpečnostné dôkazy sú slabé | Doplňte usmernenie ISO 27090 | Prepojte bezpečnostné riziká s opatreniami a výsledkami testov |
| Spúšťate službu AI a budujete riadenie | Používajte obe spoločne | Koordinujte manažérske zodpovednosti a bezpečnostnú prácu v jednom programe |
Naliehavý bezpečnostný problém aplikácie si zaslúži okamžitú pozornosť. Širší program riadenia sa môže rozvíjať popri práci potrebnej na odstránenie tejto zraniteľnosti.
Ako používať ISO 27090 a ISO 42001 spoločne
Napríklad spoločnosť, ktorá zavádza asistenta podpory s AI, by mohla svoju prácu koordinovať takto. Ide o ilustratívne možnosti implementácie.
| Činnosť | Ako môže ISO 42001 štruktúrovať prácu | Ako môže ISO 27090 usmerniť bezpečnostnú prácu |
|---|---|---|
| Plánovanie služby | Určite vlastníka a dohodnite jej účel | Identifikujte citlivé aktíva a cesty útoku |
| Preskúmanie dodávateľov | Zaznamenajte zodpovednosti a kritériá preskúmania | Preverte expozíciu cez modely, dáta a závislosti |
| Schválenie vydania | Zaznamenajte rozhodnutia o rizikách a zodpovedného schvaľovateľa | Otestujte relevantné útoky a ochranné opatrenia aplikácie |
| Riadenie zmien | Preskúmajte výsledky a rozhodnite o zlepšeniach | Znovu posúďte bezpečnosť pri zmene modelov, dát alebo integrácií |
Vedte jeden záznam o systéme AI s odkazmi na jeho vlastníkov, riziká, opatrenia, testy a rozhodnutia. Dôkazy opätovne využívajte tam, kde sú relevantné, a zaznamenajte, ktoré kritériá posúdenia podporujú.
Bezpečnostný test môže napríklad ukázať, či bola obmedzená akcia zablokovaná. Súvisiaci záznam o preskúmaní môže ukázať, kto tento výsledok vyhodnotil a rozhodol, či je systém pripravený na vydanie. Oba záznamy sú užitočné a odpovedajú na rôzne otázky.
Ako ISO 42001 súvisí s NIST AI RMF a aktom EÚ o umelej inteligencii, sa dočítate v článku ISO 42001, NIST AI RMF a akt o umelej inteligencii: prepojte ich úlohy.
Často kladené otázky
Nahrádza ISO 27090 normu ISO 42001?
Nie. Slúžia na rôzne účely: usmernenie k bezpečnosti AI a požiadavky na systém manažérstva AI.
Môžu ich uplatňovať organizácie, ktoré používajú AI tretích strán?
Áno. Obe normy sa zameriavajú aj na organizácie, ktoré AI používajú.
Dokazuje certifikácia podľa ISO 42001, že každá aplikácia AI je bezpečná?
Nie. Posudzuje AIMS. Bezpečnosť aplikácií si stále vyžaduje vyhodnotenie.
Zdroje: vysvetlenie ISO 27090 od ISO a vysvetlenie ISO 42001 od ISO.
Prepojte riadenie AI s bezpečnostnými dôkazmi
Začnite výsledkom, ktorý potrebujete: jasnejšou zodpovednosťou za AI, silnejšou bezpečnosťou aplikácií alebo kombináciou oboch. Určte pre túto prácu vlastníka a rozhodnite, aké dôkazy preukážu pokrok.
Secani prepája požiadavky, riziká, opatrenia, dôkazy, vlastníkov a rozhodnutia z preskúmaní v jednom pracovnom priestore. Porozprávajte sa so Secani o tom, ako zorganizovať prácu na riadení a bezpečnosti AI.
Budujte auditovateľné procesy pre compliance
Secani prepája rozsahy, dôkazy, úlohy a agentov AI v jednom zdieľanom pracovnom priestore.
Súvisiace články
Všetky článkySpráva AI
ISO 27090 vysvetlená pre tímy bezpečnosti AI
Praktický návod k novej norme kybernetickej bezpečnosti AI, útokom, ktorými sa zaoberá, a dôkazom, ktoré môžu bezpečnostné tímy využiť.
Správa AI
ISO 42001, NIST AI RMF a akt o umelej inteligencii: prepojte ich úlohy
Využite systémy manažérstva AI a rámce riadenia rizík na organizáciu riadenia a právne požiadavky aktu o umelej inteligencii posudzujte samostatne.
Správa AI
Akt EÚ o umelej inteligencii: klasifikujte prípady použitia a naplánujte dôkazy
Aktuálny prístup k pripravenosti na akt o umelej inteligencii založený na rolách vrátane aktualizovaného harmonogramu Komisie, posúdenia vysokého rizika a riadenia so zodpovednosťou.