ISO 42001 인증을 더 빠르게 준비하세요.
ISO/IEC 42001 체크리스트로 각 심사 단계 전에 남은 준비 사항을 확인하고, 회사 시스템을 사용하는 AI 에이전트의 증거 자료는 Durin이 기록하도록 하세요.
19개 중 9개 Durin이 증거를 제공할 수 있는 ISO 42001 요구 사항
정의
- 맥락, 귀사 팀
- 범위, 귀사 팀
- AI 인벤토리, Durin 증거 자료
- AI 정책, 귀사 팀
- 역할, Durin 증거 자료
평가
- 위험성 평가, 귀사 팀
- 위험처리, Durin 증거 자료
- 적용성, 귀사 팀
- 영향평가, 귀사 팀
- 목표, 귀사 팀
운영
- 역량, 귀사 팀
- 문서, 귀사 팀
- 운영 제어, Durin 증거 자료
- 이벤트 로그, Durin 증거 자료
- 공급업체, Durin 증거 자료
검토
- 측정, Durin 증거 자료
- 내부감사, Durin 증거 자료
- 경영검토, Durin 증거 자료
- 개선, 귀사 팀
ISO/IEC 42001이란?
ISO/IEC 42001:2023은 AI 관리 시스템의 국제 표준입니다. 조직이 책임을 정하고, AI 위험을 관리하고, 시간이 지남에 따라 접근법을 개선하는 방법을 다룹니다. AI 제품과 서비스를 개발하거나 제공하거나 사용하는 조직에 적용됩니다.
이 체크리스트는 조항과 통제 참조가 있는 19개의 실용적인 확인 항목으로 준비 작업을 정리합니다. 전체 요구사항은 표준에서, 합의된 감사 범위는 인증기관에서 확인하세요. Durin은 게이트웨이를 통과하는 에이전트 요청의 운영 증거를 제공합니다.
인증 심사에서 입증해야 할 사항.
각 단계가 다음 단계의 기반이 되도록 조항과 통제 참조별로 묶은 19개의 실용적인 준비 확인 항목입니다. 이미 갖춘 항목을 선택해 준비 상태를 확인하세요.
ISO/IEC 42001:2023에 대해 확인되었습니다. . 조항 번호는 표준을 따릅니다. 설명은 표준 원문이 아닌 당사의 요약입니다.
Durin이 에이전트 증거를 수집하게 하세요.
회사 시스템을 사용하는 에이전트가 귀하의 범위에 속하면 감사자는 도달할 수 있는 대상, 적용되는 규칙, 작업을 검토한 사람 및 발생한 일을 묻습니다. Durin은 각 요청이 통과할 때 해당 답변을 기록합니다. 다른 경로를 통한 에이전트 활동과 개발하는 모든 AI 시스템에는 자체 증거가 필요합니다.
조항 4.3 · 부속서 A.4
범위 내에 있는 에이전트와 시스템을 파악하세요.
연결은 에이전트가 Durin을 통해 연결할 수 있는 각 시스템, 이를 사용할 수 있는 팀 및 활성화 여부를 보여줍니다. 섀도우 MCP 검색은 Durin 외부에 등록된 장치에서 보고된 MCP 서버를 추가하므로 인벤토리가 이미 관리되는 수준 이상으로 도달합니다.
Shadow MCP 검색 검토조항 6.1.3, 8.1 · 부속서 A.9
위험 대응 계획을 에이전트가 따르는 규칙으로 바꾸세요.
액세스 정책은 팀, 연결 및 도구에 대한 대상 규칙을 사용하여 에이전트가 기본적으로 수행할 수 있는 작업, 검토가 필요한 변경 사항 및 차단되는 작업을 설정합니다. 게시된 각 버전은 기록되며 새 버전을 게시하면 이전 승인이 무효화됩니다.
액세스 정책 변경조항 5.3 · 부속서 A.3, A.9
각 에이전트 작업을 검토한 사람 표시
규칙 검토가 필요한 경우 다른 관리자가 Durin 또는 Slack에서 정확한 요청을 확인한 후 진행합니다. 기록에는 요청자, 검토자, 결정 및 만료가 유지되며 재시도된 요청에는 자체 결과가 포함됩니다.
정확한 승인 검토조항 9.2 · 부속서 A.6.2.6, A.6.2.8
감사자가 샘플링할 수 있는 이벤트 로그를 유지합니다.
각 관리 요청은 사람, 클라이언트, 연결, 도구, 정책 버전, 결정 및 결과를 기록합니다. 내부 또는 외부 감사자가 샘플을 요청할 때 활동을 필터링하고 JSON으로 내보내거나 추적을 Langfuse로 보냅니다.
읽기 요청 활동부속서 A.10
각 연결 뒤에 있는 공급자를 검토하세요.
공급자 및 연결 위험 인벤토리 보고서에는 관찰된 공급자 상태, 오류 및 불완전한 측정이 나열됩니다. 각 연결은 자체 자격 증명과 검토된 도구를 유지하므로 공급업체 검토는 현재 사실부터 시작됩니다.
연결의 이해조항 9.1, 9.3
감사 및 검토에 현재 수치 가져오기
보고서에는 ISO 42001 관리 시스템 스타터와 정책, 연결 모니터링 및 검토 대기열을 기반으로 구축된 AI 거버넌스 증거 요약이 포함됩니다. Vanta 동기화는 정책 구성, 독립적 승인 및 감사 범위에 대한 확인을 매시간 보냅니다.
거버넌스 증거를 Vanta에 동기화
ISO 42001과 ISO 27001은 어떻게 다른가요?
ISO 27001은 정보 보안 관리 시스템을, ISO 42001은 AI 관리 시스템을 다룹니다. 문서 관리, 감사, 경영 검토의 공통 프로세스는 두 시스템 모두를 지원할 수 있지만, AI 범위, 위험, 영향, 선택한 통제는 각각 평가해야 합니다.
| 면적 | ISO 27001 | ISO 42001 준비 |
|---|---|---|
| 범위 | 정보와 그 보안 위험. | AI 시스템, 사용 목적, 조직의 책임. |
| 위험 관련 작업 | 정보 보안에 대한 위험. | AI 위험, 영향, 이에 대응하기 위해 선택한 통제. |
| 관리 프로세스 | 문서 관리, 내부 감사, 경영 검토. | 공통 프로세스를 확장하여 AI 관리 시스템까지 포함합니다. |
감사인은 어떤 에이전트 증거를 표본으로 확인할 수 있나요?
정책에 따라 승인이 필요한 경우 Durin은 요청된 변경을 보류하고 독립적인 검토를 거칩니다. 권한이 있는 검토자가 정확한 요청을 승인하면 에이전트는 승인 만료 전에 재시도합니다. 요청 활동은 동일한 실행 식별자를 통해 결정과 실행 결과를 연결합니다.
- 승인 세부 정보를 확인하세요. 요청자, 검토자, 제안된 작업, 인수 다이제스트, 정책 및 스키마 버전, 만료 시간을 확인합니다.
- 실행 식별자로 승인과 타임라인 이벤트를 연결하세요. 승인이 필요하다는 것은 작업이 아직 실행되지 않았다는 뜻입니다.
- 정확한 요청을 재시도한 뒤에는 결과와 결정을 따로 확인하세요. 허용 결정은 검사를 통과했다는 뜻입니다. 실제로 어떤 일이 발생했는지는 실행 상태로 확인합니다.
[
{
"id": "event:demo-held-request",
"executionId": "00000000-0000-4000-8000-000000000001",
"decision": "approval",
"status": "approval_required"
},
{
"id": "event:demo-exact-retry",
"executionId": "00000000-0000-4000-8000-000000000001",
"decision": "allow",
"status": "completed"
}
]실행 식별자를 사용해 요청의 승인 결정과 최종 실행 상태를 연결하세요. 관리자 → 감사에서 활동을 필터링하고 파일 내보내기를 선택해 JSON을 다운로드하세요. 기록을 승인 세부 정보와 함께 검토하세요. 메타데이터만 보관하는 경우 모든 인수나 응답이 포함되지는 않습니다.
| 참고자료 | Durin에서 확인할 증거 | 팀이 준비할 사항 |
|---|---|---|
| 조항 6.1.3 및 8.1 | 게시된 접근 정책과 해당 정책에 따른 결정. | 위험 평가, 처리 근거, 더 넓은 운영 통제. |
| 조항 5.3 · 부속서 A.3, A.9 | 승인 요청자, 검토자, 정확한 범위, 만료 시간. | 배정된 책임과 검토를 요구하는 이유. |
| 조항 9.2 | 내부 감사에서 표본으로 확인한 활동 내보내기. | 감사 프로그램, 발견 사항, 후속 조치 기록. |
ISO 42001 인증에 관한 질문.
AI를 사용하지만 AI를 구축하지 않으면 ISO 42001이 적용됩니까?
그렇습니다. ISO/IEC 42001은 규모나 부문에 관계없이 AI 시스템을 사용하는 제품이나 서비스를 제공하거나 사용하는 모든 조직에 적용됩니다. AI를 사용하는 방식에 따라 필요한 부록 A 컨트롤이 결정됩니다.
38개의 부속서 A 통제가 모두 필수입니까?
아니요. 부록 A는 참조 세트입니다. 위험 처리에 필요한 통제를 적용하고 적용성 기술서에서 제외하는 사항을 정당화합니다. 4~10항은 다릅니다. 모든 인증된 경영 시스템은 이를 충족해야 합니다.
ISO 27001 경영시스템을 재사용할 수 있나요?
그렇습니다. 기존 ISO 27001 문서 제어, 내부 감사 및 관리 검토를 유지하고 Durin을 사용하여 AI 에이전트 거버넌스를 실행하세요. Durin은 액세스 정책을 시행하고, 규칙에 따라 필요할 때 독립적인 승인을 위한 요청을 라우팅하며, 게이트웨이를 통해 요청에 대한 각 결정과 결과를 기록합니다. ISO 42001 보고서와 Vanta 동기화는 감사 팀에 현재 운영 증거를 제공하므로 에이전트 기록을 직접 수집할 필요성이 줄어듭니다.
인증 심사는 어떻게 진행되나요?
인증 기관은 두 단계로 감사를 진행합니다. 1단계에서는 문서화된 관리 시스템과 준비 여부를 검토합니다. 2단계에서는 실제로 작동하는지 테스트합니다. 공인 인증 기관은 ISO/IEC 17021-1을 따르고 ISO/IEC 42006의 AI 관련 요구 사항을 따릅니다. 인증서는 3년 주기로 실행되며 첫 번째와 두 번째 해에는 감시 감사가 있고 세 번째 해에는 재인증이 이루어집니다.
ISO 42001 인증은 얼마나 걸리나요?
범위, 해당 범위에 포함되는 AI 시스템 수, 이미 실행 중인 관리 시스템에 따라 다릅니다. 2단계 이전에 통제가 기록을 생성하고 내부 감사 및 관리 검토를 할 시간을 남겨두십시오.
Durin을 사용하면 ISO 42001 인증을 받은 것으로 인정되나요?
아니요. 인증은 귀사의 경영 시스템을 감사하는 독립 인증 기관에서 제공됩니다. Durin은 이를 통과하는 에이전트 요청에 대한 증거를 기록합니다. 귀하의 팀은 AI 정책, 위험 및 영향 평가, 나머지 관리 시스템에 대한 책임을 집니다.
2단계 이전에 에이전트 증거를 준비하세요.
하나의 관리 경로에 에이전트 액세스, 검토 및 활동을 포함하는 계정을 만든 다음 감사자가 요청할 때 ISO 42001 보고서를 다운로드하세요.
계정 만들기