ISO 42001 認証の準備をより迅速に。
ISO/IEC 42001のチェックリストで、各審査段階までに必要な準備を確認。社内システムを利用するAIエージェントの証跡はDurinが記録します。
19件中9件 Durin が証拠を提供できる ISO 42001 要件
定義
- コンテキスト, 自社チーム
- 範囲, 自社チーム
- AIインベントリ, Durinの証跡
- AI政策, 自社チーム
- 役割, Durinの証跡
評価
- リスク評価, 自社チーム
- リスクへの対応, Durinの証跡
- 適用性, 自社チーム
- 影響評価, 自社チーム
- 目標, 自社チーム
運用
- 力量, 自社チーム
- ドキュメント, 自社チーム
- 操作上の制御, Durinの証跡
- イベントログ, Durinの証跡
- 供給者, Durinの証跡
検証
- 測定, Durinの証跡
- 内部監査, Durinの証跡
- マネジメントレビュー, Durinの証跡
- 改善, 自社チーム
ISO/IEC 42001とは？
ISO/IEC 42001:2023はAIマネジメントシステムの国際規格です。組織が責任を定め、AIリスクを管理し、取り組みを継続的に改善する方法を扱います。AI製品やサービスを開発、提供、利用する組織を対象としています。
このチェックリストは、条項と管理策の参照を付けた19の実践的な確認項目に準備作業をまとめています。要求事項の全体は規格を、合意した監査範囲は認証機関を通じて確認してください。Durinはゲートウェイを経由するエージェントのリクエストに関する運用証拠を提供します。
認証で提示を求められるもの。
条項と管理策の参照ごとにまとめた19の実践的な準備確認項目です。各手順が次につながるように構成されています。すでに整っている項目にチェックを入れ、準備状況を確認してください。
ISO/IEC 42001:2023 に対してチェック済み 。箇条番号は規格に準拠しています。説明は当社による要約であり、規格本文ではありません。
Durin にエージェントの証拠を収集させます。
会社のシステムを使用するエージェントがあなたの範囲に含まれる場合、監査人は、彼らがどこまで到達できるのか、どのルールが適用されるのか、誰が彼らの行動をレビューし、何が起こったのかを尋ねます。 Durin は、各リクエストが通過するときにそれらの回答を記録します。他のルートによるエージェントのアクティビティや開発した AI システムには、独自の証拠が必要です。
箇条4.3 · 附属書A.4
どのエージェントとシステムが範囲内にあるかを把握する
接続には、エージェントが Durin を通じてアクセスできる各システム、どのチームがそれを使用できるか、および有効かどうかが表示されます。シャドウ MCP 検出により、Durin 外部の登録済みデバイスから報告された MCP サーバーが追加されるため、インベントリはすでに管理されている範囲を超えます。
Shadow MCP の検出を確認する箇条6.1.3、8.1 · 附属書A.9
リスク対応計画をエージェントが従うルールに変える
アクセス ポリシーは、チーム、接続、ツールに対象を絞ったルールを使用して、エージェントがデフォルトで実行できること、レビューが必要な変更、およびブロックされるものを設定します。公開された各バージョンは記録され、新しいバージョンを公開すると、以前の承認が無効になります。
アクセスポリシーを変更する箇条5.3 · 附属書A.3、A.9
各エージェントのアクションを誰がレビューしたかを表示する
ルールのレビューが必要な場合は、別の管理者が Durin または Slack で正確なリクエストを確認してから実行します。記録には要求者、レビュー者、決定、有効期限が記録され、再試行された要求には独自の結果が伴います。
正確な承認を確認する箇条9.2 · 附属書A.6.2.6、A.6.2.8
監査人がサンプリングできるイベント ログを保存する
管理された各リクエストは、個人、クライアント、接続、ツール、ポリシーのバージョン、決定、および結果を記録します。アクティビティをフィルタリングし、JSON としてエクスポートするか、内部または外部の監査人がサンプルを要求したときにトレースを Langfuse に送信します。
読み取りリクエストアクティビティ附属書A.10
各接続の背後にあるプロバイダーを確認する
プロバイダーと接続のリスク インベントリ レポートには、観察されたプロバイダーの状態、障害、不完全な測定がリストされます。各接続は独自の認証情報とレビューされたツールを保持するため、サプライヤーのレビューは現在の事実から始まります。
つながりを理解する箇条9.1、9.3
現在の数値を監査とレビューに持ち込む
レポートには、ISO 42001 マネジメントシステムのスターターと、ポリシー、接続監視、およびレビュー キューから構築された AI ガバナンス証拠の概要が含まれます。 Vanta 同期は、ポリシー構成、独立した承認、監査範囲のチェックを 1 時間ごとに送信します。
ガバナンスの証拠を Vanta に同期する
ISO 42001とISO 27001はどう違う？
ISO 27001は情報セキュリティマネジメントシステムを、ISO 42001はAIマネジメントシステムを扱います。文書管理、監査、マネジメントレビューの共通プロセスは両方を支えられますが、AIの対象範囲、リスク、影響、選択した管理策はそれぞれ評価する必要があります。
| エリア | ISO 27001 | ISO 42001への準備 |
|---|---|---|
| 範囲 | 情報とそのセキュリティリスク。 | AIシステム、その利用目的、組織の責任。 |
| リスクに関する作業 | 情報セキュリティに対するリスク。 | AIのリスク、影響、それらに対応するために選択した管理策。 |
| マネジメントプロセス | 文書管理、内部監査、マネジメントレビュー。 | 共通プロセスをAIマネジメントシステムにも適用する。 |
監査人はエージェントのどの証拠をサンプリングできる？
ポリシーで承認が必要な場合、Durinは依頼された変更を保留し、独立したレビューを求めます。権限を持つレビュアーがその正確なリクエストを承認すると、エージェントは承認の有効期限前に再試行します。リクエストのアクティビティでは、同じ実行IDで判断と実行結果を結び付けます。
- 承認の詳細を確認します。依頼者、レビュー担当者、提案されたアクション、引数のダイジェスト、ポリシーとスキーマのバージョン、有効期限を確認してください。
- 実行IDを使って承認とタイムラインのイベントを照合します。承認が必要な状態では、アクションはまだ実行されていません。
- 正確なリクエストの再試行後は、判断と実行結果を別々に確認します。許可という判断はチェックを通過したことを意味します。実際に何が起きたかは実行ステータスで確認してください。
[
{
"id": "event:demo-held-request",
"executionId": "00000000-0000-4000-8000-000000000001",
"decision": "approval",
"status": "approval_required"
},
{
"id": "event:demo-exact-retry",
"executionId": "00000000-0000-4000-8000-000000000001",
"decision": "allow",
"status": "completed"
}
]実行IDを使って、リクエストの承認判断と最終的な実行ステータスを照合します。「管理者」→「監査」でアクティビティを絞り込み、「ファイルをエクスポートする」を選択してJSONをダウンロードします。記録を承認の詳細と併せて確認してください。メタデータのみを保持する場合、すべての引数やレスポンスが含まれるわけではありません。
| 参考資料 | Durinで確認する証拠 | チームが準備するもの |
|---|---|---|
| 条項6.1.3および8.1 | 公開されたアクセスポリシーと、それによって生じた判断。 | リスク評価、対応の根拠、より広い運用上の統制。 |
| 箇条5.3 · 附属書A.3、A.9 | 承認の依頼者、レビュー担当者、正確な対象範囲、有効期限。 | 割り当てられた責任と、レビューを必要とする理由。 |
| 箇条9.2 | 内部監査でサンプリングしたアクティビティのエクスポート。 | 監査プログラム、発見事項、フォローアップの記録。 |
ISO 42001認証に関するご質問。
AI を使用しても構築しない場合、ISO 42001 は適用されますか?
はい。 ISO/IEC 42001 は、規模や分野を問わず、AI システムを使用する製品やサービスを提供または使用する組織に適用されます。 AI をどのように使用するかによって、必要な附属書 A の管理が形づくられます。
付属書 A の 38 の規制はすべて必須ですか?
いいえ。付録 A は参照セットです。リスク対応に必要なコントロールを適用し、適用宣言書で除外するコントロールを正当化します。第 4 条から第 10 条までは異なります。すべての認定マネジメントシステムはこれらの条項を満たさなければなりません。
ISO 27001 マネジメント システムを再利用できますか?
はい。既存の ISO 27001 文書管理、内部監査、マネジメントレビューを維持し、Durin を使用して AI エージェント ガバナンスを実践します。 Durin は、アクセス ポリシーを適用し、ルールで必要な場合に独立した承認のリクエストをルーティングし、ゲートウェイを介してリクエストの各決定と結果を記録します。 ISO 42001 レポートと Vanta 同期により、監査チームに現在の運用上の証拠が提供され、エージェントの記録を手作業で収集する必要性が軽減されます。
認証監査はどのように行われますか?
認証機関は 2 段階で監査を行います。ステージ 1 では、文書化されたマネジメントシステムと準備が整っているかどうかを確認します。ステージ 2 では、実際に機能するかどうかをテストします。認定された認証機関は、ISO/IEC 17021-1 に従い、AI 固有の要件は ISO/IEC 42006 に準拠します。証明書は 3 年サイクルで実行され、1 年目と 2 年目に監視監査が行われ、3 年目に再認証されます。
ISO 42001 認証にはどれくらい時間がかかりますか?
それは、対象範囲、カバーする AI システムの数、およびすでに実行しているマネジメントシステムによって異なります。ステージ 2 の前に、管理部門が記録を作成し、内部監査と管理者がレビューするための時間を残しておきます。
Durinを使えばISO 42001の認証を取得したことになりますか？
いいえ。認証は、マネジメントシステムを監査する独立した認証機関から取得されます。 Durin は、それを通過するエージェント要求の証拠を記録します。あなたのチームは引き続き AI ポリシー、リスクと影響の評価、およびその他のマネジメントシステムに対して責任を負います。
ステージ 2 の前にエージェントの証拠を準備してください。
アカウントを作成して、エージェントのアクセス、レビュー、アクティビティを 1 つの管理されたパスに置き、監査人の要求に応じて ISO 42001 レポートをダウンロードします。
アカウントを作成