Nýr staðall, ISO/IEC 27090:2026, veitir skipulagsheildum leiðbeiningar um varnir gegn öryggisógnum við gervigreindarkerfi. Hann nýtist með ISO/IEC 27001 með því að tengja sérþekkingu á gervigreind við stjórnun upplýsinga- og netöryggis.
Þegar skipulagsheildum tekur gervigreind í notkun þarf það að svara kunnuglegum spurningum:
Gervigreind bætir nýjum atriðum við þessar spurningar. Hægt er að hafa áhrif á hegðun hennar með því að spilla gögnum sem hún lærir af eða fela villandi fyrirmæli í efni sem hún vinnur úr. Einnig getur hún gefið frá sér viðkvæmar upplýsingar sem eiga að vera varðar.
ISO/IEC 27090 fjallar um þessar sérstöku ógnir, afleiðingar þeirra og leiðir til að greina þær og draga úr þeim. Staðallinn nýtist bæði þeim sem þróa gervigreindarkerfi og þeim sem nota þau.
ISO/IEC 27001 setur kröfur um stjórnunarkerfi upplýsinga- og netöryggis. Í því felst meðal annars að meta áhættu, velja viðeigandi öryggisráðstafanir, skilgreina ábyrgð og fylgjast með árangri. Þetta er jafnframt staðallinn sem skipulagsheildir geta fengið stjórnunarkerfi sitt vottað samkvæmt.
ISO/IEC 27090 bætir við leiðbeiningum um öryggi gervigreindarkerfa. Hann hjálpar til við að greina hvað þarf sérstaklega að verja og hvaða ógnir þarf að taka með í reikninginn, allt frá þróun og þjálfun kerfis til daglegrar notkunar.
Samspilið er því einfalt: ISO/IEC 27001 skipuleggur meginreglur stjórnunarkerfis og ISO/IEC 27090 hjálpar til við að laga það að gervigreind.
Þessi tenging fellur vel að áhættumiðaðri nálgun ISO/IEC 27001. Þar er gert ráð fyrir að velja þær ráðstafanir sem áhættumatið sýnir að séu nauðsynlegar. Við valið má nýta aðrar heimildir og bæta við sértækum vörnum eftir þörfum. Þar kemur ISO/IEC 27090 að gagni.
Hugsum okkur skipulagsheild sem tekur í notkun gervigreindaraðstoð til að svara spurningum úr innri skjölum. Sum skjölin innihalda trúnaðarupplýsingar.
Með aðferðum ISO/IEC 27001 metur fyrirtækið áhættuna, ákveður hver ber ábyrgð og setur reglur um aðgang og notkun. ISO/IEC 27090 hjálpar síðan til við að skoða sértækar hættur:
Viðeigandi varnir gætu meðal annars falist í að takmarka aðgang aðstoðarinnar að gögnum, sannreyna aðgangsheimildir við uppflettingu, prófa viðbrögð við villandi fyrirmælum og fylgjast með óvenjulegri notkun. Ábyrgð, framkvæmd og eftirfylgni þessara ráðstafana falla síðan inn í stjórnunarkerfi upplýsinga- og netöryggis.
Skipulagsheildir sem vinna þegar samkvæmt ISO/IEC 27001 hafa góðan grunn til að byggja á. Næsta skref er að kortleggja notkun gervigreindar og nýta ISO/IEC 27090 til að endurskoða áhættumat og varnir. Það á einnig við þegar gervigreindin er keypt sem þjónusta frá birgi.
Hefðbundnar öryggisráðstafanir halda gildi sínu. Aðgangsstýring, örugg kerfisþróun, birgjastýring og viðbrögð við öryggisatvikum eru áfram nauðsynleg. Við þær bætast varnir sem taka mið af eiginleikum gervigreindar.
Staðlarnir styðja þannig við sameiginlegt markmið: að fyrirtæki og stofnanir geti nýtt gervigreind með skýra ábyrgð, upplýstar ákvarðanir og varnir sem eru prófaðar og endurmetnar eftir því sem kerfin og ógnirnar breytast.
Höfundur: Ólafur Róbert Rafnsson, formaður tækninefndar um upplýsingaöryggi og persónuvernd
