9 / 19 ISO 42001 要求，其中 Durin 可以提供證據
定義
- 背景, 你的團隊
- 適用範圍, 你的團隊
- 人工智慧盤點, Durin 證據
- 人工智慧政策, 你的團隊
- 角色, Durin 證據
評估
- 風險評估, 你的團隊
- 風險處理, Durin 證據
- 適用性, 你的團隊
- 影響評估, 你的團隊
- 目標, 你的團隊
操作
- 能力, 你的團隊
- 文件, 你的團隊
- 操作控制, Durin 證據
- 事件日誌, Durin 證據
- 供應商, Durin 證據
評價
- 測量, Durin 證據
- 內部稽核, Durin 證據
- 管理評審, Durin 證據
- 改進, 你的團隊
什麼是 ISO/IEC 42001？
ISO/IEC 42001:2023 是關於 AI 管理系統的國際標準，規定組織如何分配責任、管理 AI 風險，並持續改進其方法。它適用於開發、提供或使用 AI 產品和服務的組織。
本清單將準備工作分為 19 項實用檢查，並列出相應的條款和控制措施參考。完整要求請以標準為準，約定的稽核範圍請向驗證機構確認。Durin 為通過其閘道的代理請求提供營運證據。
要求您出示什麼證明。
19 項實用準備檢查按條款和控制措施參考分組，各步驟逐步銜接。勾選已完成的項目，查看準備情況。
根據 ISO/IEC 42001:2023 檢查 。條款編號依據標準，描述為我們的摘要，並非標準原文。
讓 Durin 收集 智能體 證據。
如果使用您公司係統的 智能體 屬於您的範圍，審計人員會詢問他們可以達到什麼目的、應用了哪些規則、誰審查了他們的行為以及發生了什麼。 Durin 在每個請求通過時記錄這些答案。透過其他途徑進行的 智能體 活動以及您開發的任何人工智慧系統都需要自己的證據。
第 4.3 條·附錄 A.4
了解哪些 智能體 和系統在範圍內
連線 顯示您的 智能體 透過 Durin 可以到達的每個系統，哪些團隊可以使用它以及是否啟用它。影子 MCP 發現新增了從 Durin 以外的註冊設備報告的 MCP 伺服器，因此您的庫存超出了已受監管的範圍。
回顧 Shadow MCP 的發現第 6.1.3 條及第 8.1 條·附錄 A.9
將風險處置計畫轉化為智能體遵循的規則
存取 政策 設定 智能體 預設可以執行的操作、哪些變更需要審查以及阻止哪些更改，並為團隊、連線 和工具提供有針對性的規則。每個發布的版本都會被記錄，發布新版本會使先前的 核准 失效。
變更存取權政策第 5.3 條·附錄 A.3 和 A.9
顯示誰審查了每個 智能體 操作
如果您的規則需要審查，則不同的管理員會檢查 Durin 或 Slack 中的確切請求，然後才能繼續。記錄保存了請求者、審核者、決定和過期時間，並且重試的請求帶有自己的結果。
查看確切的核准第 9.2 條·附錄 A.6.2.6 和 A.6.2.8
保留審計員可以採樣的事件日誌
每個受管請求都會記錄人員、客戶端、連線、工具、政策 版本、決策和結果。過濾活動、將其匯出為 JSON 或在內部或外部審計員要求提供樣本時將追蹤發送到 Langfuse。
讀取請求活動附件A.10
查看每個 連線 背後的提供者
提供程序和 連線 風險清單報告列出了觀察到的提供程序狀態、故障和不完整的測量。每個 連線 保留自己的 憑證 和審查工具，因此供應商審查從當前事實開始。
了解連線第 9.1 條及第 9.3 條
將當前數據用於審計和審查
報告包括 ISO 42001 管理系統啟動器和根據 政策、連線 監控和審查佇列建立的 AI 治理 證據摘要。 Vanta 同步每小時發送一次檢查 政策 配置、獨立的 核准 和 稽核 覆蓋範圍。
將治理證據同步到 Vanta
ISO 42001 與 ISO 27001 有何區別？
ISO 27001 針對資訊安全管理系統，ISO 42001 針對 AI 管理系統。共用的文件管制、稽核和管理審查流程可以支援兩者，但 AI 的範圍、風險、影響和選定的控制措施仍需個別評估。
| 面積 | ISO 27001 | ISO 42001 準備工作 |
|---|---|---|
| 適用範圍 | 資訊及其安全風險。 | AI 系統、其預期用途和組織責任。 |
| 風險管理工作 | 資訊安全風險。 | AI 風險、影響以及為因應這些問題而選定的控制措施。 |
| 管理流程 | 文件管制、內部稽核和管理審查。 | 擴展共用流程，使其涵蓋 AI 管理系統。 |
稽核人員可以抽查哪些代理證據？
當政策要求核准時，Durin 會暫緩請求的變更，等待獨立審查。獲授權的審查者核准該確切請求後，代理須在核准到期前以相同請求重試。請求活動透過同一執行識別碼關聯決策和執行結果。
- 檢查核准資訊：請求人、審查者、擬執行的操作、參數摘要、政策與結構描述版本以及到期時間。
- 使用執行識別碼比對核准與時間軸事件。需要核准表示該操作尚未執行。
- 以完全相同的請求重試後，請將執行結果與決策分開檢查。允許的決策表示檢查已通過；請根據執行狀態確定實際發生的情況。
[
{
"id": "event:demo-held-request",
"executionId": "00000000-0000-4000-8000-000000000001",
"decision": "approval",
"status": "approval_required"
},
{
"id": "event:demo-exact-retry",
"executionId": "00000000-0000-4000-8000-000000000001",
"decision": "allow",
"status": "completed"
}
]使用執行識別碼關聯請求的核准決策與最終執行狀態。在「管理 → 稽核」中篩選活動，然後選擇「匯出檔案」下載 JSON。請結合核准詳情審查記錄；僅保留中繼資料的模式不會包含每個參數或回應。
| 參考 | 在 Durin 中檢查的證據 | 您的團隊準備的資料 |
|---|---|---|
| 條款 6.1.3 和 8.1 | 已發佈的存取政策及其產生的決策。 | 風險評估、風險處理依據和更廣泛的營運控制措施。 |
| 第 5.3 條·附錄 A.3 和 A.9 | 核准的請求人、審查者、確切範圍和到期時間。 | 分配的責任以及要求審查的原因。 |
| 第9.2條 | 內部稽核期間抽查的活動匯出記錄。 | 稽核計畫、發現和後續追蹤記錄。 |
有關 ISO 42001 認證的問題。
如果我們使用人工智慧但不建構它，ISO 42001 是否適用？
是的。 ISO/IEC 42001 適用於提供或使用人工智慧系統產品或服務的任何組織，無論其規模或產業。您如何使用 AI 來決定您需要的附錄 A 控制項。
附件 A 的所有 38 項控制措施都是強制性的嗎？
不。附錄 A 是參考集。您應用風險處理所需的控制措施，並證明您在適用性聲明中排除的任何控制措施的合理性。第 4 條至第 10 條有所不同：每個經過認證的管理系統都必須滿足這些要求。
我們可以重複使用 ISO 27001 管理系統嗎？
是的。保留現有的 ISO 27001 檔案控制、內部審核和管理評審，並使用 Durin 將 AI 智能體 治理 付諸實踐。 Durin 強制存取 政策，在您的規則需要時路由獨立 核准 的請求，並透過其網關記錄請求的每個決策和結果。 ISO 42001 報告和 Vanta 同步為您的 稽核 團隊提供目前的營運證據，減少手動收集 智能體 記錄的需要。
稽核 認證如何運作？
認證機構的審核分兩個階段。第一階段審查您的記錄管理系統以及您是否準備好；第二階段測試它在實踐中是否有效。經認可的認證機構遵循 ISO/IEC 17021-1 以及 ISO/IEC 42006 中針對人工智慧的特定要求。證書以三年為週期運行，第一年和第二年進行監督審核，第三年進行重新認證。
ISO 42001 認證需要多久時間？
這取決於您的範圍、涵蓋多少個人工智慧系統以及您已經運行的管理系統。留出時間讓您的控制措施產生記錄，並在第二階段之前進行內部 稽核 和管理審查。
使用 Durin 是否能讓我們獲得 ISO 42001 認證？
不會。認證來自審核您的管理系統的獨立認證機構。 Durin記錄經過它的智能體請求的證據；您的團隊仍然負責 AI 政策、風險和影響評估以及管理系統的其餘部分。
在第 2 階段之前準備好 智能體 證據。
建立帳戶，將 智能體 存取、審核和活動置於一個受管路徑上，然後在審核員要求時下載 ISO 42001 報告。
建立帳戶