9 / 19 Durin 可以提供证据的 ISO 42001 要求
定义
- 背景, 你的团队
- 适用范围, 你的团队
- 人工智能盘点, Durin 证据
- 人工智能策略, 你的团队
- 角色, Durin 证据
评估
- 风险评估, 你的团队
- 风险处理, Durin 证据
- 适用性, 你的团队
- 影响评估, 你的团队
- 目标, 你的团队
操作
- 能力, 你的团队
- 文档, 你的团队
- 操作控制, Durin 证据
- 事件日志, Durin 证据
- 供应商, Durin 证据
评价
- 测量, Durin 证据
- 内部 审计, Durin 证据
- 管理评审, Durin 证据
- 改进, 你的团队
什么是 ISO/IEC 42001？
ISO/IEC 42001:2023 是关于 AI 管理体系的国际标准，规定组织如何分配责任、管理 AI 风险，并持续改进其方法。它适用于开发、提供或使用 AI 产品和服务的组织。
本清单将准备工作分为 19 项实用检查，并列出相应的条款和控制措施参考。完整要求请以标准为准，约定的审计范围请向认证机构确认。Durin 为通过其网关的智能体请求提供运营证据。
要求您出示什么证明。
19 项实用准备检查按条款和控制措施参考分组，各步骤逐步衔接。勾选已完成的项目，查看准备情况。
根据 ISO/IEC 42001:2023 检查 。条款编号依据标准，描述为我们的概述，并非标准原文。
让 Durin 收集 智能体 证据。
如果使用您公司系统的 智能体 属于您的范围，审核员会询问他们可以达到什么目的、适用哪些规则、谁审查了他们的行为以及发生了什么。 Durin 在每个请求通过时记录这些答案。通过其他途径进行的 智能体 活动以及您开发的任何人工智能系统都需要自己的证据。
第 4.3 条·附录 A.4
了解哪些 智能体 和系统在范围内
连接 显示您的 智能体 通过 Durin 可以到达的每个系统，哪些团队可以使用它以及是否启用它。影子 MCP 发现添加了从 Durin 外部注册设备报告的 MCP 服务器，因此您的库存超出了已受监管的范围。
回顾 Shadow MCP 的发现第 6.1.3 条和第 8.1 条·附录 A.9
将风险处置方案转化为智能体遵循的规则
访问策略设置智能体默认可以做什么、哪些更改需要审查以及哪些更改被阻止，并为团队、连接和工具提供有针对性的规则。每个发布的版本都会被记录，发布新版本会使早期的 审批 失效。
更改访问权限策略第 5.3 条·附录 A.3 和 A.9
显示谁审查了每个 智能体 操作
如果您的规则需要审查，则不同的管理员会在 Durin 或 Slack 中检查确切的请求，然后才能继续进行。记录保存了请求者、审核者、决定和过期时间，并且重试的请求带有自己的结果。
查看确切的审批第 9.2 条·附录 A.6.2.6 和 A.6.2.8
保留审计员可以采样的事件日志
每个受管请求都会记录人员、客户端、连接、工具、策略 版本、决策和结果。过滤活动、将其导出为 JSON 或在内部或外部审计员要求提供样本时将跟踪发送到 Langfuse。
读取请求活动附件A.10
查看每个 连接 背后的提供商
提供商和 连接 风险清单报告列出了观察到的提供商状态、故障和不完整的测量。每个 连接 都保留自己的 凭据 和审查工具，因此供应商审查从当前事实开始。
了解连接第 9.1 条和第 9.3 条
将当前数据用于审计和审查
报告包括 ISO 42001 管理系统启动器以及根据 策略、连接 监控和审核队列构建的 AI 治理 证据摘要。 Vanta 同步每小时发送检查 策略 配置、独立 审批 和 审计 覆盖范围。
将治理证据同步到 Vanta
ISO 42001 与 ISO 27001 有何区别？
ISO 27001 针对信息安全管理体系，ISO 42001 针对 AI 管理体系。共用的文件控制、审计和管理评审流程可以支持两者，但 AI 的范围、风险、影响和选定的控制措施仍需单独评估。
| 面积 | ISO 27001 | ISO 42001 准备工作 |
|---|---|---|
| 适用范围 | 信息及其安全风险。 | AI 系统、其预期用途和组织责任。 |
| 风险管理工作 | 信息安全风险。 | AI 风险、影响以及为应对这些问题而选定的控制措施。 |
| 管理流程 | 文件控制、内部审计和管理评审。 | 扩展共用流程，使其涵盖 AI 管理体系。 |
审计员可以抽查哪些智能体证据？
当策略要求审批时，Durin 会暂缓请求的变更，等待独立审核。获授权的审核人批准该确切请求后，智能体须在审批到期前以相同请求重试。请求活动通过同一执行标识符关联决策和执行结果。
- 检查审批信息：请求人、审核人、拟执行的操作、参数摘要、策略和架构版本以及到期时间。
- 使用执行标识符匹配审批与时间线事件。需要审批表示该操作尚未执行。
- 以完全相同的请求重试后，请将执行结果与决策分开检查。允许的决策表示检查已通过；请根据执行状态确定实际发生的情况。
[
{
"id": "event:demo-held-request",
"executionId": "00000000-0000-4000-8000-000000000001",
"decision": "approval",
"status": "approval_required"
},
{
"id": "event:demo-exact-retry",
"executionId": "00000000-0000-4000-8000-000000000001",
"decision": "allow",
"status": "completed"
}
]使用执行标识符关联请求的审批决策与最终执行状态。在“管理 → 审计”中筛选活动，然后选择“导出文件”下载 JSON。请结合审批详情审查记录；仅保留元数据的模式不会包含每个参数或响应。
| 参考 | 在 Durin 中检查的证据 | 您的团队准备的材料 |
|---|---|---|
| 条款 6.1.3 和 8.1 | 已发布的访问策略及其产生的决策。 | 风险评估、风险处理依据和更广泛的运营控制措施。 |
| 第 5.3 条·附录 A.3 和 A.9 | 审批的请求人、审核人、确切范围和到期时间。 | 分配的责任以及要求审核的原因。 |
| 第9.2条 | 内部审计期间抽查的活动导出记录。 | 审计计划、发现和后续跟进记录。 |
有关 ISO 42001 认证的问题。
如果我们使用人工智能但不构建它，ISO 42001 是否适用？
是的。 ISO/IEC 42001 适用于提供或使用人工智能系统产品或服务的任何组织，无论其规模或行业。您如何使用 AI 来决定您需要的附录 A 控件。
附件 A 的所有 38 项控制措施都是强制性的吗？
不。附录 A 是参考集。您应用风险处理所需的控制措施，并证明您在适用性声明中排除的任何控制措施的合理性。第 4 条至第 10 条有所不同：每个经过认证的管理体系都必须满足这些要求。
我们可以重复使用 ISO 27001 管理体系吗？
是的。保留现有的 ISO 27001 文件控制、内部审核和管理评审，并使用 Durin 将 AI 智能体 治理 付诸实践。 Durin 强制访问 策略，在您的规则需要时路由独立 审批 的请求，并通过其网关记录请求的每个决策和结果。 ISO 42001 报告和 Vanta 同步为您的 审计 团队提供当前的运营证据，减少手动收集 智能体 记录的需要。
审计 认证如何运作？
认证机构的审核分两个阶段。第一阶段审查您的记录管理体系以及您是否准备好；第二阶段测试它在实践中是否有效。经认可的认证机构遵循 ISO/IEC 17021-1 以及 ISO/IEC 42006 中针对人工智能的特定要求。证书以三年为周期运行，第一年和第二年进行监督审核，第三年进行重新认证。
ISO 42001 认证需要多长时间？
这取决于您的范围、涵盖多少个人工智能系统以及您已经运行的管理系统。留出时间让您的控制措施生成记录，并在第二阶段之前进行内部 审计 和管理审查。
使用 Durin 是否能让我们获得 ISO 42001 认证？
不会。认证来自审核您的管理体系的独立认证机构。 Durin记录经过它的智能体请求的证据；您的团队仍然负责 AI 策略、风险和影响评估以及管理系统的其余部分。
在第 2 阶段之前准备好 智能体 证据。
创建一个帐户，将 智能体 访问、审核和活动置于一个受控路径上，然后在审核员要求时下载 ISO 42001 报告。
创建帐户