ISO 42001 是第一個針對人工智慧 (AI) 管理系統所制定的國際標準，它為企業提供了一套結構式方法讓您負責任地開發、部署及營運 AI 系統。
目錄
為何企業需要 ISO 42001 認證
今日的企業都相當仰賴 AI 來執行一些核心業務，例如：醫療診斷、詐騙偵測，以及客戶服務等等。如此不斷提高的依賴性，也帶來了傳統治理無法應付的新風險。
導入 AI 技術的企業機構，必須建立負責任的 AI 實務以符合日益嚴格的法規以及利害關係人的期望。當系統從開發環境移至營運環境時，須特別留意資安與法規上的問題，因為，希望導入新的技術與擁有適當的風險管理，兩者之間經常存在著落差。AI 的模型必須遵守資料保護的規定，同時還要確保資訊安全，並維持資料儲存和處理的掌控權。
ISO 42001 的涵蓋範圍
這套標準解決了一些關鍵領域的問題，包括：AI 治理、風險管理、資料品質、透明度以及人為監督。它涵蓋了從最初的開發、到日常營運、再到最終淘汰的整個生命週期。
以下是符合 ISO 42001 標準所要滿足的一些關鍵領域：
- 定義管理系統的情境與範圍。
- 領導階層透過明確的政策與資源來做出承諾。
- 發掘及管理技術相關的風險。
- 開發、部署及監控系統的營運控管。
- 透過持續監控來衡量效能。
- 持續改進的流程。
ISO 42001 與解決技術相關風險
一般標準的網路資安合規作業在面對針對性威脅時便顯得捉襟見肘，例如：資料下毒 (汙染訓練資料)、模型逆向攻擊 (擷取敏感資訊) 以及對抗樣本攻擊 (引誘系統做出錯誤判斷)。AI 已成為技術演進不可或缺的一環，因此我們需要一套合規作業來解決這些有時會讓人感到無力的最新風險。
ISO 42001 的合規作業包含了專門針對獨特特性而設計的防護，例如可持續學習、行為無法預測，而且涉及複雜利害關係的系統，而這些都是 AI 技術的特性。
ISO 42001 的合規效益
符合法規標準可確保您的企業擁有適當的防護措施來隨時保持警戒，尤其當我們隨著 AI 技術而演進時。符合 ISO 42001 的企業將看到以下具體優勢：
- 降低風險：妥善的風險管理可降低資安問題發生的機會並減輕衝擊，進而省下數百萬美元的資安事件成本與罰款。
- 市場優勢：認證有助於企業脫穎而出，尤其是在需要提出治理證明的受監管產業。
- 支援創新：有了良好的治理，既能自信地部署，又能達成資安與合規要求。
- 利害關係人的信任：展現負責任的實務態度，建立客戶、合作夥伴以及監理機關的信心。
- 合規準備度：針對橫跨不同司法管轄區的法規做好準備。
如何實踐
實踐 ISO 42001 需要進階的技術能力、持續的監控，以及專門的知識，而這些都是許多企業內部缺乏的要素。系統需要特殊的監控工具來發掘攻擊、確保資料品質，並維持透明度。除此之外，您的企業還需要專為現代化技術設計的威脅偵測能力，超越了傳統的資安工具。
實踐意味著投入大量的人員、流程和技術來確保您的企業能夠應付技術的複雜性、隨時維持合規，並且擁有所需的資源。
企業必須具備哪些技術能力才能成功
企業必須聘用治理專家、建置新的監控系統，並且建立完整的文件記錄。有效的實踐需要整合式技術能力：
- 資產管理：自動搜尋及分類雲端資源、模型、應用程式以及資料儲存。
- 資安掃描： 檢查是否有技術相關的漏洞，包括大型語言模型 (LLM) 和應用程式安全。
- 風險評估： 預測系統的攻擊路徑與量化風險分析。
- 開發安全：保護整個建構及部署過程當中的容器、程式碼以及開發流程。
- 威脅偵測：透過攻擊偵測和自動化回應來即時監控雲端環境。
託管服務如何協助企業維持合規
許多企業都看上了專家託管服務對於補強內部團隊的價值。在 AI 持續演變的情況下，小型團隊幾乎不可能跟上 AI 的合規要求，所以，請尋找一家能為您提供以下服務的託管服務供應商：
- 持續監控：由全球資安營運中心與通過認證的專業人員幫您執行 7 天 24 小時的資安監控。
- 策略諮詢： 客製化評估、缺失分析，以及按優先次序的建議。
- 事件回應：專門的資安事件處理，包括專家分析與危機管理。
ISO 42001 實踐時程範例
合規並非一夕之間就能達成，事實上，企業通常會在 12 個月內左右達成合規，並經過以下四個階段：
- 第 1 階段 (第 1-3 個月)：透過資產發掘、初步風險評估以及治理框架來奠定基礎。
- 第 2 階段 (第 4-6 個月)： 藉由技術性控管與系統衝擊評估來建置風險管理。
- 第 3 階段 (第 7-9 個月)：透過監控、內部稽核以及事件回應測試來達成卓越營運。
- 第 4 階段 (第 10-12 個月)： 透過持續改進流程與外部稽核準備度來做好通過認證的準備。
將 ISO 42001 與現有框架整合
ISO 42001 採用與其他管理系統標準一樣的架構，因此更容易與現有的資訊安全及品質管理系統整合。
企業可在當前的合規投資之上增加一些技術相關的要求。如此可降低複雜性，並發揮現有治理作業的最大價值。
預期投資報酬率 (ROI)
跟實踐一樣，投資報酬並非一蹴可幾，但企業通常會在 12-18 個月內看到正面的投資報酬，包括：
- 避免成本： 防範資安事件發生。
- 營運效率：自動化營運與簡化的流程。
- 創新速度：加快計畫的上市時程。
- 開拓市場：在需要提出治理證明的領域開拓新商機。
企業應如何開始
成功需要適當的技術、專業知識以及策略指導。企業通常可以跟經驗豐富的供應商合作來從中受惠，因為他們可提供整合式平台、託管是服務，以及專門的治理知識。
您可透過以下幾點來朝 ISO 42001 邁進：
- 領導階層教育： 協助高階主管了解治理的要求與業務衝擊。
- 現狀評估： 檢視現有的資安與治理能力。
- 團隊打造： 成立一個治理專案團隊並明確劃分角色。
- 策略規劃： 擬定實踐藍圖，並設定優先次序和時程。
企業很顯然地必須達成治理的要求。企業若能建置一套紮實的管理系統，不僅能取得競爭優勢，還能降低風險並建立信任。ISO 42001 提供了一套框架，而適當的方法則提供了前進的道路。
哪裡可以取得有關 ISO 42001 合規作業的協助？
ISO 42001 要求企業在 AI 的生命週期當中實踐系統化的風險管理。Trend Vision One™ 能協助您企業符合 ISO 42001 規範，因為它是唯一將資安曝險管理、資安營運以及強大的多層式防護集中在一起來支援零信任與合規作業等策略性資安計畫的企業網路資安平台。資安領導人將有能力評量自身企業的資安與風險態勢，自信地在董事會、政府機關以及監理機關面前證明您的資安一直在持續改善。
Fernando Cardoso 是趨勢科技產品管理副總裁，專精於不斷演進的 AI 與雲端世界。在他職業生涯的一開始，曾擔任過網路與銷售工程師，磨練了他在資料中心、雲端、DevOps 以及網路資安領域方面的技能，而這些領域至今依然能持續激發他的熱情。
常見問題 (FAQ)
何謂 ISO 42001 標準？
ISO 42001 標準是由「國際標準化組織」(International Organization for Standardization) 所開發的一套框架，提供有關如何負責任地開發及使用人工智慧 (AI) 系統的指引。
ISO 42001 的原則為何？
ISO 42001 所秉持的主要原則包括：道德、透明、負責、承擔、安全、隱私保障，以及利害關係人的參與。
ISO 42001 與 ISO 27001 有何不同？
ISO 42001 標準是專門針對人工智慧 (AI) 系統的使用與開發來提供指引。ISO 27001 則涵蓋了更廣泛的資訊安全管理系統 (ISMS)。
符合 ISO 42001 是必要的嗎？
不是。ISO 42001 是一個自願性的國際標準框架，可協助企業以道德和負責任的方式開發、建置和使用人工智慧 (AI) 系統。
ISO 42001 與 ISO 27001 之間有哪些關鍵重疊之處？
ISO 42001 和 ISO 27001 的重疊之處在於兩者都能協助企業管理開發或使用「資訊安全與資訊技術 (IT) 系統」的風險。
ISO 42001 與 IEC 62443-4-1 有何不同？
IEC 62443-4-1 是有關安全地開發「工業自動化與控制系統」的一項國際標準。ISO 42001 則是有關人工智慧 (AI) 的使用與開發。
ISO 42001 值得導入嗎？
導入 ISO 42001 標準能為企業提供一套明確的框架，協助企業以道德和安全的方式開發、使用或建置人工智慧 (AI) 系統。
ISO 42001 認證有何效益？
ISO 42001 認證可提供幾項重要效益，包括：協助企業降低風險、建立利害關係人的信任、維持合規，以及從競爭對手中脫穎而出。
ISO 42001 認證的成本是多少？
ISO 42001 認證的成本因幾項不同因素而異，不過大多數企業可預期的成本大約在 3,000 至 20,000 美元以上。
誰需要 ISO 42001？
任何開發、提供或使用 AI 系統的企業都能從 ISO 42001 認證中受惠，包括：AI 開發人員、AI 供應商以及政府機關。