Быстрее подготовьтесь к сертификации ISO 42001.
Пройдите по контрольному списку ISO/IEC 42001, узнайте, что ещё нужно подготовить к каждому этапу аудита, и поручите Durin запись подтверждающих данных об агентах ИИ, работающих с системами компании.
9 из 19 Требования ISO 42001, согласно которым Durin может предоставить доказательства.
Определение
- Контекст, Ваша команда
- Область применения, Ваша команда
- Инвентарь ИИ, Подтверждающие данные Durin
- Политика ИИ, Ваша команда
- Роли, Подтверждающие данные Durin
Оценка
- Оценка рисков, Ваша команда
- Обработка рисков, Подтверждающие данные Durin
- Применимость, Ваша команда
- Оценка воздействия, Ваша команда
- Цели, Ваша команда
Применение
- Компетентность, Ваша команда
- Документация, Ваша команда
- Оперативный контроль, Подтверждающие данные Durin
- Журналы событий, Подтверждающие данные Durin
- Поставщики, Подтверждающие данные Durin
Проверка
- Измерение, Подтверждающие данные Durin
- Внутренний аудит, Подтверждающие данные Durin
- Анализ со стороны руководства, Подтверждающие данные Durin
- Улучшение, Ваша команда
Что такое ISO/IEC 42001?
ISO/IEC 42001:2023 — международный стандарт системы менеджмента ИИ. Он описывает, как организация распределяет обязанности, управляет рисками ИИ и со временем улучшает свой подход. Стандарт охватывает организации, которые разрабатывают, предоставляют или используют продукты и услуги на основе ИИ.
Этот контрольный список объединяет подготовку в 19 практических проверок со ссылками на разделы и меры контроля. Полный перечень требований приведён в стандарте, а согласованную область аудита следует уточнять у органа по сертификации. Durin предоставляет операционные свидетельства для запросов агентов, проходящих через его шлюз.
Что нужно подтвердить для сертификации.
Девятнадцать практических проверок готовности сгруппированы по ссылкам на разделы и меры контроля так, чтобы каждый шаг опирался на предыдущий. Отметьте уже выполненные пункты, чтобы оценить готовность.
Проверено по ISO/IEC 42001:2023 на . Ссылки на пункты соответствуют стандарту; описания являются нашим кратким изложением, а не его текстом.
Пусть Durin соберет доказательства агента.
Если в вашу сферу действия входят агенты, использующие системы вашей компании, аудиторы спрашивают, чего они могут достичь, какие правила применяются, кто проверял их действия и что произошло. Durin записывает эти ответы по мере прохождения через него каждого запроса. Действия агентов по другим маршрутам и любые системы ИИ, которые вы разрабатываете, нуждаются в собственных доказательствах.
Пункт 4.3 · Приложение А.4
Знайте, какие агенты и системы находятся в зоне действия
Соединения показывают каждую систему, к которой ваши агенты могут подключиться через Durin, какие команды могут ее использовать и включена ли она. Обнаружения Shadow MCP добавляют серверы MCP, о которых сообщается с зарегистрированных устройств за пределами Durin, поэтому ваш инвентарь выходит за рамки того, что уже регулируется.
Обзор открытий Shadow MCPПункты 6.1.3 и 8.1 · Приложение А.9.
Превратите свой план лечения в правила, которым следуют агенты
Политики доступа определяют, что агенты могут делать по умолчанию, какие изменения требуют проверки, а что блокируется, с помощью целевых правил для команд, подключений и инструментов. Каждая опубликованная версия записывается, и публикация новой аннулирует предыдущие утверждения.
Изменить политику доступаПункт 5.3 · Приложение А.3 и А.9.
Показать, кто просматривал каждое действие агента.
Если ваши правила требуют проверки, другой администратор проверяет точный запрос в Durin или Slack, прежде чем он сможет быть выполнен. В записи сохраняются запрашивающая сторона, проверяющий, решение и срок действия, а повторный запрос имеет свой собственный результат.
Просмотрите точное одобрениеПункт 9.2 · Приложение А.6.2.6 и А.6.2.8.
Храните журналы событий, которые аудитор может просмотреть.
Каждый управляемый запрос записывает человека, клиента, соединение, инструмент, версию политики, решение и результат. Отфильтруйте активность, экспортируйте ее в формате JSON или отправьте трассировки в Langfuse, когда внутренний или внешний аудитор запросит образец.
Чтение активности запросаПриложение А.10.
Просмотрите поставщиков, поддерживающих каждое соединение.
В отчете об инвентаризации рисков провайдера и подключений перечислены наблюдаемые состояния провайдера, сбои и неполные измерения. Каждое соединение хранит свои учетные данные и проверенные инструменты, поэтому обзоры поставщиков начинаются с текущих фактов.
Понять связиПункты 9.1 и 9.3.
Принесите текущие цифры в аудиты и обзоры.
Отчеты включают начальную версию системы управления ISO 42001 и сводку доказательств управления ИИ, созданную на основе ваших политик, мониторинга подключений и очередей проверки. Синхронизация Vanta ежечасно отправляет проверки конфигурации политики, независимых утверждений и охвата аудита.
Синхронизируйте данные управления с Vanta
Чем ISO 42001 отличается от ISO 27001?
ISO 27001 относится к системе менеджмента информационной безопасности, а ISO 42001 — к системе менеджмента ИИ. Общие процессы управления документами, аудита и анализа со стороны руководства могут поддерживать обе системы. При этом область применения ИИ, риски, воздействия и выбранные меры контроля требуют собственной оценки.
| Площадь | ISO 27001 | Подготовка к ISO 42001 |
|---|---|---|
| Область применения | Информация и связанные с ней риски безопасности. | Системы ИИ, их назначение и обязанности организации. |
| Работа с рисками | Риски информационной безопасности. | Риски ИИ, воздействия и меры контроля, выбранные для их устранения. |
| Процессы менеджмента | Управление документами, внутренние аудиты и анализ со стороны руководства. | Расширьте общие процессы, чтобы охватить систему менеджмента ИИ. |
Какие свидетельства об агенте аудитор может проверить выборочно?
Когда политика требует согласования, Durin приостанавливает запрошенное изменение для независимой проверки. Уполномоченный проверяющий согласует точный запрос, после чего агент повторяет его до истечения срока действия согласования. История запросов связывает решение и результат исполнения через один идентификатор исполнения.
- Проверьте согласование: инициатора, проверяющего, предлагаемое действие, дайджест аргументов, версии политики и схемы, а также срок действия.
- Сопоставьте согласование и события временной шкалы по идентификатору исполнения. Необходимость согласования означает, что действие ещё не выполнено.
- После точного повторного запроса проверьте результат отдельно от решения. Разрешающее решение означает, что проверки пройдены. Что произошло на самом деле, устанавливается по статусу исполнения.
[
{
"id": "event:demo-held-request",
"executionId": "00000000-0000-4000-8000-000000000001",
"decision": "approval",
"status": "approval_required"
},
{
"id": "event:demo-exact-retry",
"executionId": "00000000-0000-4000-8000-000000000001",
"decision": "allow",
"status": "completed"
}
]Используйте идентификатор исполнения, чтобы связать решение о согласовании запроса с его итоговым статусом исполнения. В разделе «Администратор» → «Аудит» отфильтруйте активность и выберите «Экспортировать файл», чтобы скачать JSON. Проверяйте записи вместе с подробностями согласования: при хранении только метаданных сохраняются не все аргументы и ответы.
| Ссылка | Свидетельства для проверки в Durin | Что готовит ваша команда |
|---|---|---|
| Разделы 6.1.3 и 8.1 | Опубликованная политика доступа и принятые на её основе решения. | Оценка рисков, обоснование их обработки и более широкие операционные меры контроля. |
| Пункт 5.3 · Приложение А.3 и А.9. | Инициатор согласования, проверяющий, точная область действия и срок действия. | Распределённые обязанности и причины обязательной проверки. |
| Пункт 9.2. | Выгрузки активности, выборочно проверенные при внутреннем аудите. | Программа аудита, выявленные замечания и записи о последующих действиях. |
Вопросы о сертификации ISO 42001.
Применяется ли ISO 42001, если мы используем ИИ, но не создаем его?
Да. ISO/IEC 42001 применяется к любой организации, которая предоставляет или использует продукты или услуги, использующие системы искусственного интеллекта, независимо от ее размера или сектора. То, как вы используете ИИ, формирует необходимые вам элементы управления Приложением А.
Являются ли все 38 мер контроля, предусмотренных Приложением А, обязательными?
Нет. Приложение А представляет собой справочный набор. Вы применяете меры контроля, необходимые для обработки рисков, и обосновываете все, что исключаете, в своем Заявлении о применимости. Пункты с 4 по 10 отличаются: им должна соответствовать каждая сертифицированная система менеджмента.
Можем ли мы повторно использовать нашу систему управления ISO 27001?
Да. Сохраняйте существующий контроль документации ISO 27001, внутренние аудиты и управленческие проверки и используйте Durin для практического применения управления агентами ИИ. Durin обеспечивает соблюдение политик доступа, направляет запросы на независимое одобрение, когда этого требуют ваши правила, и записывает каждое решение и результат запросов через свой шлюз. Отчеты ISO 42001 и синхронизация Vanta предоставляют вашей аудиторской команде текущие оперативные данные, уменьшая необходимость собирать записи агентов вручную.
Как проходит сертификационный аудит?
Орган по сертификации проводит аудит в два этапа. На этапе 1 проверяется ваша документированная система управления и проверяется, готовы ли вы; На втором этапе проверяется, работает ли это на практике. Аккредитованные органы по сертификации следуют стандарту ISO/IEC 17021-1, а требования, специфичные для ИИ, указаны в ISO/IEC 42006. Сертификаты действуют по трехлетнему циклу, с надзорными аудитами в первый и второй годы и ресертификацией в третий.
Сколько времени занимает сертификация ISO 42001?
Это зависит от вашего масштаба, количества систем искусственного интеллекта, которые он охватывает, и каких систем управления вы уже используете. Перед этапом 2 оставьте время вашим органам управления для создания записей, а также для внутреннего аудита и проверки со стороны руководства.
Означает ли использование Durin, что мы сертифицированы по ISO 42001?
Нет. Сертификация выдается независимым органом по сертификации, который проверяет вашу систему управления. Durin записывает свидетельства проходящих через него запросов агента; ваша команда по-прежнему несет ответственность за политику ИИ, оценку рисков и последствий, а также за остальную часть системы управления.
Перед этапом 2 подготовьте доказательства вашего агента.
Создайте учетную запись, чтобы объединить доступ, проверки и действия агентов по одному управляемому пути, а затем загрузите отчеты ISO 42001 по запросу вашего аудитора.
Создать учетную запись