نقشه راه یکپارچه‌سازی ISO/IEC 27001 و ISO/IEC 42001 در سازمان

۱۴۰۵/۰۶/۰۶

در سال‌های اخیر، تحول دیجیتال فقط به توسعه زیرساخت‌های فناوری اطلاعات محدود نمانده است. ورود گسترده هوش مصنوعی به فرایندهای سازمانی، سامانه‌های تصمیم‌یار، خدمات مشتریان، تحلیل داده و حتی راهکارهای امنیتی، تعریف «امنیت» را نیز تغییر داده است.
امروز دیگر حفاظت از اطلاعات به‌تنهایی کافی نیست؛ سازمان باید بداند:

داده‌های مورد استفاده در سامانه‌های هوش مصنوعی از کجا می‌آیند؟
چه کسانی به آن‌ها دسترسی دارند؟
مدل‌ها چگونه ارزیابی می‌شوند؟
تصمیم‌های مبتنی بر هوش مصنوعی تا چه اندازه قابل اعتماد هستند؟
در صورت بروز خطا یا سوءاستفاده، چه سازوکاری برای واکنش وجود دارد؟

در چنین شرایطی، استاندارد ISO/IEC 27001 و ISO/IEC 42001 را نباید دو استاندارد جدا و رقیب در نظر گرفت. ISO/IEC 27001 بر ایجاد و بهبود مستمر سیستم مدیریت امنیت اطلاعات تمرکز دارد، در حالی که ISO/IEC 42001 چارچوبی برای استقرار سیستم مدیریت هوش مصنوعی و مدیریت مسئولانه ریسک‌ها و فرصت‌های مرتبط با AI ارائه می‌کند.

استاندارد ISO/IEC 27001 و استاندارد ISO/IEC 42001 چه تفاوتی دارند؟

استاندارد ISO/IEC 27001؛ ستون مدیریت امنیت اطلاعات

استاندارد ISO/IEC 27001:2022 شناخته‌شده مدیریت امنیت اطلاعات است و الزامات لازم برای ایجاد، پیاده‌سازی، نگهداری و بهبود مستمر یک سیستم مدیریت امنیت اطلاعات (ISMS) را مشخص می‌کند. هدف اصلی آن ایجاد رویکردی نظام‌مند برای مدیریت ریسک‌های مرتبط با اطلاعات و حفاظت از دارایی‌های اطلاعاتی سازمان است.
در یک سازمان، اجرای ISO/IEC 27001 می‌تواند موضوعاتی مانند مدیریت ریسک، کنترل دسترسی، حفاظت از اطلاعات، مدیریت رخدادهای امنیتی، تداوم کسب‌وکار، مدیریت تأمین‌کنندگان و ارزیابی اثربخشی کنترل‌ها را در یک چارچوب مدیریتی منسجم قرار دهد.

استاندارد ISO 42001؛ چارچوب مدیریت هوش مصنوعی

ISO/IEC 42001:2023 نخستین استاندارد بین‌المللی سیستم مدیریت هوش مصنوعی است و برای سازمان‌هایی طراحی شده که محصولات یا خدمات مبتنی بر هوش مصنوعی را توسعه می‌دهند، ارائه می‌کنند یا مورد استفاده قرار می‌دهند. این استاندارد بر مدیریت مسئولانه AI، ریسک‌ها و فرصت‌های مرتبط با آن و موضوعاتی مانند شفافیت، قابلیت ردیابی و اعتمادپذیری تمرکز دارد.
به زبان ساده، اگر ISO/IEC 27001 می‌پرسد «چگونه از اطلاعات و دارایی‌های اطلاعاتی سازمان محافظت کنیم؟»، ISO/IEC 42001 یک گام جلوتر می‌رود و می‌پرسد «چگونه مطمئن شویم هوش مصنوعی سازمان به شکلی کنترل‌شده، مسئولانه و قابل اعتماد طراحی و استفاده می‌شود؟» این دو پرسش نه‌تنها با یکدیگر تعارضی ندارند، بلکه در بسیاری از نقاط به هم می‌رسند.

چرا یکپارچه‌سازی این دو استاندارد اهمیت دارد؟

یکی از اشتباهات رایج این است که سازمان برای هر استاندارد یک سیستم مدیریتی کاملاً جداگانه ایجاد کند؛ یک مجموعه سیاست برای امنیت اطلاعات، مجموعه‌ای دیگر برای هوش مصنوعی، چند فرایند ارزیابی ریسک متفاوت و در نهایت تعداد زیادی فرم و سند که بخش قابل توجهی از آن‌ها هم‌پوشانی دارند. رویکرد یکپارچه می‌تواند این پیچیدگی را کاهش دهد. بسیاری از اجزای مدیریتی این دو استاندارد قابلیت استفاده مشترک دارند؛ از جمله:

تعیین زمینه سازمان
شناسایی ذی‌نفعان
مدیریت ریسک
تعیین مسئولیت‌ها
مستندسازی
آموزش
ممیزی داخلی
اقدامات اصلاحی و بهبود مستمر.

در چنین مدلی، به جای ساختن دو سیستم موازی، سازمان می‌تواند یک چارچوب حاکمیت و مدیریت ریسک مشترک ایجاد کند و الزامات اختصاصی هر استاندارد را در همان ساختار قرار دهد.

نقشه راه پیشنهادی یکپارچه‌سازی ISO/IEC 27001 و ISO/IEC 42001

مرحله اول: ارزیابی وضعیت موجود

نقطه شروع باید با انجام ارزیابی و گزارش تحلیل شکاف، مشخص شود. وضعیت ISMS، دارایی‌های حساس، سامانه‌ها و کاربردهای AI، سیاست‌ها، مدیریت ریسک، کنترل‌های دسترسی، امنیت داده، تأمین‌کنندگان، آموزش و ممیزی‌های فعلی بررسی شوند.

مرحله دوم: ساختار سازمانی یکپارچه

مسئولیت‌های امنیت اطلاعات و هوش مصنوعی تا حد امکان در یک ساختار هماهنگ تعریف شوند. سیاست‌گذاری، پذیرش ریسک، نظارت بر رخدادها، تأمین‌کنندگان، ممیزی‌ها و اقدامات اصلاحی باید صاحب مشخص داشته باشند.

مرحله سوم: طراحی چارچوب مشترک مدیریت ریسک

ایجاد متدولوژی ریسک یکپارچه که در آن هم ریسک‌های امنیت اطلاعات و هم ریسک‌های چرخه عمر AI دیده شوند؛ از نشت اطلاعات و دسترسی غیرمجاز تا خطای مدل، سوگیری، خروجی غیرقابل اعتماد و استفاده نامناسب از داده جلوگیری می‌کند.

مرحله چهارم: یکپارچه‌سازی سیاست‌ها و کنترل‌ها

کنترل‌های مشترک مانند مدیریت دسترسی، امنیت داده، مدیریت رخداد، مدیریت تأمین‌کنندگان، آموزش، مدیریت تغییر و ممیزی داخلی در ساختاری واحد قرار گیرند و کنترل‌های اختصاصی AI نیز به آن افزوده شوند.

مرحله پنجم: مدیریت چرخه عمر هوش مصنوعی

از نیازسنجی و ارزیابی ریسک تا انتخاب یا توسعه، بررسی داده‌ها، آزمون و اعتبارسنجی، استقرار، پایش، بازبینی و خروج از سرویس، مسئولیت‌ها و معیارهای تصمیم‌گیری روشن باشند.

مرحله ششم: آموزش و فرهنگ سازمانی

کارکنان باید بدانند چه اطلاعاتی را نباید وارد ابزارهای AI کنند، خروجی مدل را چگونه ارزیابی کنند و در صورت مشاهده رفتار غیرعادی یا رخداد امنیتی چه اقدامی انجام دهند.

مرحله هفتم: ممیزی، پایش و بهبود مستمر

اثربخشی کنترل‌ها، نتایج ارزیابی ریسک، اقدامات اصلاحی، رخدادهای امنیتی و AI و عملکرد سامانه‌ها به‌طور دوره‌ای پایش و در بازنگری مدیریت استفاده شوند.

اشتباهات رایج در مسیر یکپارچه‌سازی

تبدیل پروژه مشاوره و پیاده سازی به پروژه مستندسازی؛ هدف باید ایجاد یک سیستم مدیریتی مؤثر باشد، نه صرفاً تولید سند.
تشکیل دو تیم مستقل امنیت و AI؛ بسیاری از ریسک‌های AI مستقیماً به داده، زیرساخت، دسترسی و امنیت اطلاعات مربوط می‌شوند.
نادیده گرفتن چرخه عمر AI؛ ارزیابی یک مدل فقط در زمان خرید یا استقرار کافی نیست.
تمرکز بیش از حد بر گواهینامه؛ گواهینامه نتیجه‌ای ارزشمند است، اما هدف اصلی باید اثربخشی واقعی سیستم مدیریتی باشد.
نادیده گرفتن عامل انسانی؛ آموزش، مسئولیت‌پذیری و فرهنگ سازمانی بخش جدایی‌ناپذیر کنترل ریسک هستند.

دستاوردهای یکپارچه‌سازی ISO/IEC 27001 و ISO/IEC 42001

ایجاد متدولوژی ریسک واحد برای ریسک‌های امنیتی و هوش مصنوعی
کاهش دوباره‌کاری در فرایندهای مدیریتی
استفاده بهتر از منابع سازمان
افزایش شفافیت در مسئولیت‌ها و تصمیم‌گیری‌ها
تقویت حفاظت از داده‌های مورد استفاده توسط AI
افزایش اعتماد مشتریان و ذی‌نفعان
بهبود آمادگی سازمان در برابر تهدیدهای جدید
ایجاد زیرساخت مناسب برای توسعه مسئولانه فناوری‌های هوش مصنوعی
تسهیل ممیزی و ارزیابی سیستم‌های مدیریتی
ایجاد ارتباط بهتر میان امنیت سایبری، حاکمیت داده و حاکمیت AI

یکپارچه‌سازی استاندارد ISO/IEC 27001 و ISO/IEC 42001 را نباید صرفاً به‌عنوان کنار هم گذاشتن دو استاندارد دید. موضوع اصلی، ایجاد یک زبان مشترک برای مدیریت ریسک در سازمانی است که هم با اطلاعات حساس سروکار دارد و هم به سمت استفاده گسترده‌تر از هوش مصنوعی حرکت می‌کند.
استاندارد ISO/IEC 27001 پایه محکمی برای مدیریت امنیت اطلاعات فراهم می‌کند و ISO/IEC 42001 همین نگاه مدیریتی را به قلمرو هوش مصنوعی گسترش می‌دهد. وقتی این دو رویکرد در کنار یکدیگر قرار می‌گیرند، سازمان می‌تواند امنیت اطلاعات و حاکمیت هوش مصنوعی را در یک چارچوب هماهنگ دنبال کند.