ISO 27090 in ISO 42001: razlike pojasnjene
Jonathan BezdekCTO
5 Min. branja
ISO 27090 usmerja delo na področju varnosti UI. ISO 42001 določa zahteve za sistem upravljanja umetne inteligence (AIMS). Organizacije ju lahko uporabljajo skupaj, da varnostne prakse povežejo s širšim upravljanjem UI. Viri: zapis o objavi ISO 27090, zapis o objavi ISO 42001.
ISO 27090 in ISO 42001 na kratko
| Primerjava | ISO 27090 | ISO 42001 |
|---|---|---|
| Glavni namen | Zaščita sistemov UI pred varnostnimi grožnjami | Organizacija odgovornega razvoja in uporabe UI |
| Vrsta standarda | Varnostne smernice | Zahteve za sistem upravljanja UI |
| Praktično vprašanje | Kako bi lahko bil ta sistem UI ogrožen? | Kako dosledno upravljati UI v celotni organizaciji? |
| Glavni poudarek | Grožnje podatkom, modelom in delovnim tokovom UI | Politike UI, odgovornosti, tveganja, cilji in izboljšave |
| Primeri skrbi | Zastrupljanje podatkov, kraja modela in sorodni napadi | Varnost, zaščita, preglednost, pristranskost in druga tveganja UI |
| Certifikacija | Smernice; ne vzpostavljajo poti do certifikacije AIMS | Prostovoljna certifikacija AIMS organizacije |
| Kdo ga lahko uporablja | Organizacije, ki razvijajo ali uporabljajo UI | Organizacije, ki razvijajo, zagotavljajo ali uporabljajo UI |
| Trenutna izdaja | ISO/IEC 27090:2026 | ISO/IEC 42001:2023 |
| Prva objava | 14. oktober 2026 | 18. december 2023 |
Viri: zapis o objavi ISO 27090, zapis o objavi ISO 42001 in pojasnilo ISO o ISO 42001.
Njuno področje se prekriva. ISO 42001 vključuje varnost UI med širša organizacijska vprašanja. ISO 27090 obravnava tudi upravljanje v kontekstu varnosti UI. Njuna različna namena pojasnjujeta, kako se lahko dopolnjujeta. Viri: pojasnilo ISO o ISO 42001, pojasnilo ISO o ISO 27090.
Certifikacija po ISO 27090 in ISO 42001
Certifikacija po ISO 42001 ocenjuje, ali sistem upravljanja UI organizacije izpolnjuje zahteve standarda. Certifikacijo izvajajo neodvisni certifikacijski organi; sama organizacija ISO organizacij ne certificira. Posamezne aplikacije UI še vedno potrebujejo varnostno oceno. Vir: pojasnilo ISO o ISO 42001.
Ko naročate delo po ISO 27090, opredelite varnostni pregled, ki ga potrebujete: katere sisteme, katere scenarije napadov in katera dokazila bodo podprla ugotovitve. Tako ocena dobi konkreten obseg in uporaben rezultat.
Kateri standard uporabiti
Izberite glede na problem, ki ga morate rešiti. Ta tabela je praktičen pripomoček za odločanje.
| Vaš položaj | Na kaj se osredotočiti | Priporočeni naslednji korak |
|---|---|---|
| Uporaba UI nima jasnih lastnikov ali pravil | ISO 42001 | Vzpostavite odgovornost, politiko in postopek pregleda |
| Model ali aplikacija se sooča s konkretnimi tveganji napadov | ISO 27090 | Analizirajte scenarije napadov in izberite zaščitne ukrepe za testiranje |
| Stranka zahteva certifikacijo sistema upravljanja UI | ISO 42001 | Opredelite obseg certifikacije in ocenite pripravljenost |
| Upravljanje UI obstaja, varnostna dokazila pa so šibka | Dodajte smernice ISO 27090 | Povežite varnostna tveganja s kontrolami in rezultati testov |
| Uvajate storitev UI in gradite upravljanje | Uporabite oba skupaj | Usklajujte upravljavske odgovornosti in varnostno delo v enem programu |
Nujna varnostna težava aplikacije zahteva takojšnjo pozornost. Širši program upravljanja se lahko razvija vzporedno z delom, potrebnim za odpravo te izpostavljenosti.
Kako ISO 27090 in ISO 42001 uporabljati skupaj
Podjetje, ki uvaja asistenta za podporo z UI, bi lahko na primer svoje delo uskladilo takole. To so ponazoritvene izbire izvedbe.
| Dejavnost | Kako lahko ISO 42001 strukturira delo | Kako lahko ISO 27090 usmerja varnostno delo |
|---|---|---|
| Načrtovanje storitve | Določite lastnika in se dogovorite o njenem namenu | Prepoznajte občutljiva sredstva in poti napadov |
| Pregled dobaviteljev | Zabeležite odgovornosti in merila pregleda | Preučite izpostavljenost prek modelov, podatkov in odvisnosti |
| Odobritev izdaje | Zabeležite odločitve o tveganjih in odgovornega odobritelja | Testirajte ustrezne napade in zaščitne ukrepe aplikacije |
| Upravljanje sprememb | Preglejte rezultate in odločite o izboljšavah | Ponovno ocenite varnost, ko se spremenijo modeli, podatki ali integracije |
Vodite en zapis o sistemu UI s povezavami do njegovih lastnikov, tveganj, kontrol, testov in odločitev. Dokazila ponovno uporabite, kjer so ustrezna, in zabeležite, katera merila ocenjevanja podpirajo.
Varnostni test lahko na primer pokaže, ali je bilo omejeno dejanje blokirano. Povezani zapis o pregledu lahko pokaže, kdo je ta rezultat ovrednotil in odločil, ali je sistem pripravljen za izdajo. Oba zapisa sta uporabna in odgovarjata na različni vprašanji.
Kako je ISO 42001 povezan z NIST AI RMF in Aktom EU o umetni inteligenci, preberite v članku ISO 42001, NIST AI RMF in Akt o umetni inteligenci: povežite vloge.
Pogosta vprašanja
Ali ISO 27090 nadomešča ISO 42001?
Ne. Služita različnima namenoma: smernicam za varnost UI in zahtevam za sistem upravljanja UI.
Ali ju lahko uporabljajo organizacije, ki uporabljajo UI tretjih oseb?
Da. Oba standarda naslavljata organizacije, ki uporabljajo UI.
Ali certifikacija po ISO 42001 dokazuje, da je vsaka aplikacija UI varna?
Ne. Ocenjuje AIMS. Varnost aplikacij je še vedno treba ovrednotiti.
Viri: pojasnilo ISO o ISO 27090 in pojasnilo ISO o ISO 42001.
Povežite upravljanje UI z varnostnimi dokazili
Začnite z rezultatom, ki ga potrebujete: jasnejšo odgovornostjo za UI, močnejšo varnostjo aplikacij ali kombinacijo obojega. Delu določite lastnika in se odločite, katera dokazila bodo izkazala napredek.
Secani povezuje zahteve, tveganja, kontrole, dokazila, lastnike in odločitve pregledov v enem delovnem prostoru. Pogovorite se s Secani o organizaciji vašega dela na področju upravljanja in varnosti UI.
Gradite preverljive poteke dela za skladnost
Secani povezuje obsege, dokazila, naloge in agente UI v enem skupnem delovnem prostoru.
Sorodni članki
Vsi člankiUpravljanje UI
ISO 27090 pojasnjen za ekipe za varnost UI
Praktični vodnik po novem standardu kibernetske varnosti za UI, napadih, ki jih obravnava, in dokazilih, ki jih lahko uporabijo varnostne ekipe.
Upravljanje UI
ISO 42001, NIST AI RMF in Akt o umetni inteligenci: povežite vloge
Sisteme upravljanja UI in okvire tveganj uporabite za organizacijo upravljanja, pravne zahteve Akta o umetni inteligenci pa ocenite ločeno.
Upravljanje UI
Akt EU o umetni inteligenci: razvrstite primere uporabe in načrtujte dokazila
Aktualen pristop k pripravljenosti na akt o umetni inteligenci, ki temelji na vlogah, vključno s posodobljenim časovnim načrtom Komisije, oceno visokega tveganja in odgovornim upravljanjem.