تفاوت‌ها و هم‌پوشانی‌های CSMS و ISO/IEC 42001

چگونه امنیت سایبری و حاکمیت هوش مصنوعی می‌توانند یکدیگر را تکمیل کنند؟

خلاصه مدیریتی

 CSMS  به معنای مجموعه‌ای از سیاست‌ها، فرآیندها، مسئولیت‌ها و کنترل‌هایی است که برای شناسایی، ارزیابی، رفع و پایش ریسک‌های سایبری به کار می‌رود. این مفهوم، بسته به صنعت و حوزه کاربرد، می‌تواند با چارچوب‌هایی مانند UN R155 و ISO/SAE 21434 پیوند داشته باشد. در مقابل، ISO/IEC 42001 یک استاندارد رسمی برای سیستم مدیریت هوش مصنوعی (AIMS) است و تمرکز آن بر مدیریت مسئولانه چرخه عمر و ریسک‌های اختصاصی سامانه‌های هوش مصنوعی است. بنابراین این دو استاندارد، رقیب یکدیگر نیستند؛ بلکه دو لایه مکمل‌اند: CSMS ستون امنیت سایبری را تقویت می‌کند و ISO/IEC 42001 لایه حاکمیت، ریسک و اعتمادپذیری AI را روی آن سوار می‌کند.

۱. مقدمه؛ مسئله‌ای که دیگر فقط «امنیت اطلاعات» نیست

ورود هوش مصنوعی به فرایندهای سازمانی، محصول و خدمات دیجیتال، مرز میان «امنیت سایبری» و «حاکمیت فناوری» را کمرنگ‌تر کرده است. سازمانی که یک مدل هوش مصنوعی را در مرکز تصمیم‌گیری خود قرار می‌دهد، فقط با تهدیدهایی مانند نفوذ، بدافزار، سرقت اعتبارنامه یا افشای داده روبه‌رو نیست؛ بلکه باید درباره کیفیت داده، تغییر رفتار مدل، شفافیت تصمیم‌ها، مسئولیت‌پذیری، نحوه استفاده از خروجی‌ها و اثرات ناخواسته نیز تصمیم بگیرد. از همین‌جا تفاوت میان یک سیستم مدیریت امنیت سایبری و یک سیستم مدیریت هوش مصنوعی اهمیت پیدا می‌کند.

ISO/IEC 42001:2023 نخستین استاندارد بین‌المللی سیستم مدیریت هوش مصنوعی است و برای سازمان‌هایی طراحی شده که محصولات یا خدمات مبتنی بر AI را توسعه می‌دهند یا به کار می‌گیرند. این استاندارد، مانند دیگر استانداردهای سیستم مدیریتی ISO، نگاه فرایندی و مبتنی بر ریسک دارد؛ اما موضوع مدیریت آن «هوش مصنوعی» است، نه صرفا امنیت اطلاعات.

در سوی دیگر، CSMS یک عنوان چتری برای نظام مدیریت امنیت سایبری است و به‌خودی‌خود نام یک استاندارد واحد و همسان در همه صنایع نیست. برای نمونه، در صنعت خودرو اصطلاح CSMS به‌طور مشخص در مقررات UNECE R155 مطرح شده و ISO/SAE 21434 نیز الزامات مهندسی امنیت سایبری خودرو را پوشش می‌دهد.

۲. CSMS دقیقاً چه چیزی را مدیریت می‌کند؟

هسته CSMS پاسخ به یک سؤال ساده اما مهم است: «چگونه سازمان، ریسک‌های سایبری را در تمام چرخه فعالیت خود به‌صورت نظام‌مند مدیریت می‌کند؟»

پاسخ: نظم دهی به عناصر به هم پیوسته پاسخ این سوال است. تعیین دامنه و حاکمیت امنیت، شناسایی دارایی‌ها، تحلیل تهدید و ریسک، تعیین کنترل‌ها، مدیریت آسیب‌پذیری، کنترل دسترسی، مدیریت رخداد، تداوم کسب‌وکار، امنیت زنجیره تأمین، پایش و اندازه‌گیری، ممیزی و بهبود مستمر از جمله این عناصر به هم پیوسته هستند.

۳. ISO/IEC 42001 چه چیزی را مدیریت می‌کند؟

ISO/IEC 42001 یک سیستم مدیریتی برای سازمان‌هایی است که با سامانه‌های هوش مصنوعی سروکار دارند. نقطه تمرکز آن فقط «امن بودن» یک مدل نیست؛ بلکه سازمان باید بتواند نشان دهد که AI را با فرایندهای مشخص، مسئولیت‌های روشن، ارزیابی ریسک و اثر، کنترل‌های مناسب، پایش و بهبود مستمر مدیریت می‌کند.

۴. تفاوت‌های کلیدی CSMS و ISO/IEC 42001

۵.هم‌پوشانی‌ها؛ جایی که اجرای یکپارچه ارزش ایجاد می‌کند

اگرچه CSMS و ISO/IEC 42001 یک هدف ندارند، بخش مهمی از زیرساخت مدیریتی آن‌ها قابل استفاده مشترک است. در عمل، سازمانی که فرایندهای مدیریت ریسک، کنترل مستندات، مدیریت امنیت قراردادها، ممیزی داخلی، بازنگری مدیریت و اقدام اصلاحی را قبلاً به بلوغ رسانده باشد، برای توسعه یک سیستم مدیریت AI مسیر کوتاه‌تری دارد. این موضوع به معنی «یکی بودن کنترل‌ها» نیست؛ بلکه به معنی قابلیت استفاده مجدد از فرایندها، شواهد و سازوکارهای حاکمیتی CMS در مسیر اجرای سریعتر استاندارد ISO/IEC 42001 است.  از جمله الزامات همسو در این دو ساز و کار حاکمیتی عبارتند از:

•       مدیریت ریسک: هر دو رویکرد به شناسایی، ارزیابی، اولویت‌بندی و رفع ریسک نیاز دارند؛ موضوع ریسک متفاوت است.

•     حاکمیت و سیاست‌گذاری: سیاست‌ها، نقش‌ها، مسئولیت‌ها و حمایت مدیریت ارشد در هر دو ضروری است.

•     مستندسازی: سوابق تصمیم‌گیری، ارزیابی‌ها، کنترل‌ها، نتایج پایش و اقدامات اصلاحی باید قابل ردیابی باشند.

•       مدیریت امنیت قراردادها: پیمانکاران، ارائه‌دهندگان فناوری، سرویس‌های ابری و اجزای بیرونی می‌توانند منبع ریسک در هر دو حوزه باشند.

•       کنترل دسترسی و امنیت داده: برای AI نیز همانند سایر سامانه‌های سازمانی، هویت، دسترسی، حفاظت از داده و زیرساخت اهمیت دارد.

•       ممیزی و بهبود مستمر: هر دو سیستم باید با پایش، ممیزی و اقدام اصلاحی تداوم سازمان و خدمات آن را حفظ کنند؛ نه اینکه صرفاً برای دریافت گواهی ایجاد شوند.

۶. مهم‌ترین تفاوت مفهومی: «امنیت» در برابر «حاکمیت AI»

یکی از خطاهای رایج این است که تصور کنیم اگر یک سازمان CSMS قوی داشته باشد، پس بخش عمده ISO/IEC 42001 را نیز پوشش داده است. امنیت سایبری برای AI ضروری است، اما همه ریسک‌های AI ماهیت سایبری ندارند. یک مدل ممکن است از نظر دسترسی و شبکه کاملاً محافظت شده باشد، اما همچنان داده آموزشی نامناسب، خروجی غیرقابل توضیح، عملکرد ناپایدار، خطای سیستماتیک یا استفاده خارج از هدف تعریف‌شده داشته باشد.

از طرف دیگر، ISO/IEC 42001 نیز جایگزین یک نظام امنیت سایبری بالغ نیست. این استاندارد برای مدیریت AI طراحی شده و سازمان همچنان به سازوکارهای امنیت اطلاعات و امنیت سایبری نیاز دارد. به همین دلیل، برای سازمان‌هایی که AI را در فرایندهای حساس، محصولات متصل یا زیرساخت‌های حیاتی به کار می‌گیرند، معماری ترکیبی منطقی‌تر است:

• • • CSMS/ISMS برای حفاظت از زیرساخت و اطلاعات
    • ISO/IEC 42001 برای حاکمیت و ریسک‌های اختصاصی AI.

۷. الگوی پیشنهادی شرکت امن افزار گستر آپادانا برای یکپارچه‌سازی

برای سازمانی که می‌خواهد این دو حوزه را بدون ایجاد دو سیستم موازی و پرهزینه مدیریت کند، پیشنهاد می‌شود یک «لایه حاکمیت مشترک» ایجاد شود و در زیر آن، دامنه‌های تخصصی امنیت سایبری و AI قرار گیرند. در چنین مدلی، سیاست‌گذاری، مدیریت ریسک سازمانی، مدیریت مستندات، ممیزی و بازنگری مدیریت می‌توانند تا حد امکان مشترک باشند؛ درحالی‌که ارزیابی اثر AI، کنترل‌های اختصاصی مدل و داده، مدیریت رخداد سایبری، مدیریت آسیب‌پذیری و کنترل‌های فنی هر کدام مالک و روش اجرایی تخصصی خود را حفظ می‌کنند.

فرض کنید سازمان از یک سامانه هوش مصنوعی برای تحلیل درخواست‌های مشتریان استفاده می‌کند و این سامانه به CRM، سرویس ابری و چند API بیرونی متصل است. در CSMS، پرسش‌های اصلی شامل این است که چه کسی به داده‌ها و APIها دسترسی دارد، چگونه اعتبارنامه‌ها محافظت می‌شوند، در صورت نشت یا اختلال چه رخ می‌دهد، آسیب‌پذیری‌ها چگونه مدیریت می‌شوند و تأمین‌کننده چه تعهدات امنیتی دارد.

در ISO/IEC 42001، علاوه بر این موارد، سازمان باید درباره هدف و دامنه استفاده از AI، مسئولیت تصمیم‌ها، کیفیت و تناسب داده، روش پایش عملکرد، ریسک‌های ناشی از تغییر یا خروجی مدل و نحوه برخورد با پیامدهای ناخواسته نیز سازوکار داشته باشد. بنابراین یک رخداد می‌تواند هم‌زمان دو بعد داشته باشد: «رخداد امنیتی» و «رخداد مرتبط با AI». سیستم مدیریتی بالغ باید بتواند این دو را در یک فرایند هماهنگ ثبت، تحلیل و اصلاح کند.

۸. نقش ایزوافزار در حفظ یکپارچگی سیستم مدیریتی

در این مدل، ایزوافزار به‌عنوان بستر یکپارچه مدیریت سیستم‌های مدیریتی سازمان، امکان پیاده‌سازی هم‌زمان CSMS و ISO/IEC 42001 را بدون ایجاد دو سامانه موازی فراهم می‌کند. معماری ماژولار ایزوافزار این امکان را ایجاد می‌کند که مؤلفه‌های مشترک میان دو نظام مدیریتی، از جمله مدیریت ریسک، مدیریت دارایی و پیکربندی، مدیریت مستندات و سوابق، مدیریت فرآیندها، اقدامات اصلاحی و بهبود، ممیزی، مدیریت وظایف، آموزش، گزارش‌دهی و بازنگری مدیریت در یک ساختار مشترک مدیریت شوند و تنها کنترل‌ها و فرآیندهای تخصصی هر حوزه به‌صورت مستقل تعریف و اجرا شوند.

به این ترتیب، سازمان به‌جای ایجاد دو ساختار مستقل برای CSMS و ISO/IEC 42001، یک هسته مدیریتی مشترک در ایزوافزار خواهد داشت که دامنه‌های تخصصی امنیت سایبری و حاکمیت هوش مصنوعی بر روی آن مدیریت می‌شوند. این رویکرد علاوه بر کاهش دوباره‌کاری، از ایجاد Duplicate Data، Duplicate Process، Duplicate Form و Duplicate Control جلوگیری کرده و امکان استفاده مجدد از اطلاعات و فرآیندهای موجود را در هر دو حوزه فراهم می‌کند.

برای مثال، یک دارایی مانند «سامانه هوش مصنوعی تحلیل درخواست مشتریان» می‌تواند یک‌بار در ساختار مدیریت دارایی ایزوافزار ثبت شود، اما هم‌زمان به الزامات امنیت سایبری، ریسک‌های AI، مالک دارایی، داده‌های مورد استفاده، سرویس‌های وابسته، تأمین‌کنندگان و کنترل‌های مرتبط با آن متصل شود. همچنین یک ریسک می‌تواند دارای ابعاد مشترک امنیتی و AI باشد و بدون ثبت مجدد، در چارچوب هر دو نظام مدیریتی مورد ارزیابی، اقدام و پایش قرار گیرد.

بنابراین، ایزوافزار نقش لایه اجرایی و عملیاتی حاکمیت مشترک را ایفا می‌کند؛ به‌گونه‌ای که یکپارچه‌سازی CSMS و ISO/IEC 42001 صرفاً در سطح مستندات و سیاست‌ها باقی نمانده و در فرآیندهای واقعی سازمان، داده‌ها، مسئولیت‌ها، ریسک‌ها، کنترل‌ها، اقدامات اصلاحی و گزارش‌های مدیریتی نیز حفظ شود. نتیجه این رویکرد، ایجاد یک سیستم مدیریتی یکپارچه، قابل توسعه و قابل ممیزی است که با اضافه‌شدن استانداردها و چارچوب‌های جدید، نیازمند ایجاد ساختارهای موازی و پرهزینه نخواهد بود.

در مسیر ساختاری یکپارچه کنار شما هستیم ...