Дороги к доверию

Дорога для любого стандарта

Используйте, когда закон, стандарт или заказчик требует доказательств. Одни и те же девять шагов проходят через любой из них, поэтому каждый стандарт становится вариацией этого пути.

1. Назовите обязательство

   Что требуется, от кого, к какому сроку и кто решает, что требование выполнено: закон, стандарт, заказчик.

2. Определите область действия

   Какие системы, сервисы, люди и данные входят в область. Сначала запишите это.

3. Сопоставьте требования с контролями

   Один контроль может отвечать на многие требования, поэтому пишите его один раз.

4. Найдите разрывы

   Сравните то, что происходит на деле, с тем, чего ожидают контроли, и сохраните доказательства.

5. Дайте каждому контролю владельца

   Названный человек, срок и приоритет, ранжированный по риску. План, которым никто не владеет, — это пожелание.

6. Постройте и эксплуатируйте

   Политики, которым люди могут следовать, и контроли, которые работают. Доказательства должны получаться из самой работы.

7. Проверьте себя

   Внутренняя проверка и управленческий анализ до того, как посмотрит кто-то внешний.

8. Получите независимую гарантию

   Там, где стандарт этого требует: аудитор, орган по сертификации или нотифицированный орган. Закон же может исполняться регулятором, без аудита, который нужно пройти.

9. Поддерживайте в живом состоянии

   Мониторинг, управление изменениями и годовой ритм, чтобы следующий аудит стал рутиной.

Где помогают ИИ и автоматизация

• Поддерживать связь между картой «требование — контроль», владельцами и доказательствами.
• Собирать доказательства по расписанию и сверять их с контролем.
• Наблюдение за дрейфом: контроль перестал работать, ревью просрочено, утверждение не подкреплено артефактом.

Ловушки, которые стоят больше всего времени

• Начинать с документов вместо области действия.
• Карта контролей, скопированная из шаблона, которую никто не может объяснить.
• Доказательства, существующие только в чьей-то голове.
• Считать аудит финишной чертой.

Дорога к SOC 2

Используйте, когда заказчики просят гарантий. SOC 2 — это отчёт аудитора о том, как ваши контроли отвечают Trust Services Criteria. Отчёт и есть продукт: заказчики читают его вместо того, чтобы присылать вам опросник.

1. Выберите область действия

   Какие сервисы и системы и какие критерии. Безопасность входит всегда; доступность, конфиденциальность, целостность обработки и приватность добавляются, когда об этом просят заказчики.

2. Опишите систему и оцените риск

   Описание системы руководством и оценка риска, объясняющая, зачем существует каждый контроль. Аудиторы читают и то и другое, прежде чем что-либо проверять.

3. Найдите разрывы

   Сравните то, что вы делаете сегодня, с тем, чего ожидают критерии. Короткая оценка готовности сэкономит месяцы позже.

4. Запишите контроли

   Политики, которым люди могут следовать, названные владельцы и контроли, которые соответствуют тому, как команда работает на самом деле.

5. Собирайте доказательства с первого дня

   Заявки, ревью, списки доступа и результаты тестов уже существуют; фиксируйте их по мере появления.

6. Тип I: контроли в том виде, как они спроектированы

   Аудиторская фирма (CPA) сообщает, насколько контроли надлежащим образом спроектированы на определённый момент времени. Это самый быстрый первый отчёт. SOC 2 — это аттестация, а не сертификация, и отчёт обычно передаётся заказчикам с ограничением использования.

7. Тип II: контроли в действии

   Те же контроли, показанные в работе в течение периода наблюдения, часто от трёх до двенадцати месяцев. Заказчики обычно больше всего ценят этот отчёт.

Где помогают ИИ и автоматизация

• Получение доказательств из систем по расписанию и проверка их на соответствие контролю вместо скриншотов в момент аудита.
• Подготовка черновиков политик и описаний контролей на основе вашей реальной практики, для проверки и одобрения человеком.
• Наблюдение за дрейфом: контроль тихо перестал работать, проверка доступа просрочена.

Ловушки, которые стоят больше всего времени

• Написание политик, которым никто не следует. Аудитор проверяет то, что происходит, а не то, что сказано в документе.
• Область действия, которая растёт во время аудита. Решите её заранее и запишите.
• Доказательства, которыми никто не владеет. У каждого контроля должен быть названный человек, который его проверяет.

Набор SOC и критерии (AICPA) ↗↗ Больше источников в библиотеке →

Дорога к ISO 27001

Используйте, когда вам нужно независимое сертифицированное подтверждение того, как вы управляете информационной безопасностью. ISO 27001 сертифицирует систему управления, а не продукт: способ работы, который постоянно улучшается и который проверяет независимый орган.

1. Поймите контекст

   Кто от вас зависит, что требуют закон и договоры и что необходимо защищать.

2. Задайте область действия и политику

   Какие части организации и какие активы входят. Политикой владеет высшее руководство.

3. Оцените риск и работайте с ним

   Повторяемый метод оценки рисков, реестр с владельцами и решения: снизить, принять, передать или избежать.

4. Выберите контроли

   Выберите из контролей Приложения A (ISO/IEC 27001:2022) и запишите свой выбор и его причины в Заявлении о применимости.

5. Эксплуатируйте систему

   Применяйте контроли, обучайте людей, ведите мониторинг и храните записи, которые это показывают.

6. Проведите аудит самостоятельно, затем анализ

   Внутренний аудит, корректирующие действия по его замечаниям и управленческий анализ до прихода органа по сертификации.

7. Сертификация и цикл

   Двухэтапный аудит аккредитованным органом по сертификации, ежегодные надзорные аудиты и повторная сертификация в конце трёхлетнего цикла.

Где помогают ИИ и автоматизация

• Поддерживать связь между реестром рисков, списком контролей и доказательствами.
• Отслеживание дат проверок, просроченных задач и корректирующих действий, с напоминаниями владельцам.
• Подготовка внутреннего аудита: выборка, проверка доказательств и первый список замечаний, которые аудитор подтвердит.

Ловушки, которые стоят больше всего времени

• Относиться к этому как к проекту по написанию документов. Аудиторы ищут систему, которая работает и улучшается.
• Заявление о применимости, скопированное из шаблона, с причинами, которые никто не может объяснить.
• Позволить управленческому анализу стать формальностью. Именно в нём фиксируются решения.

ISO/IEC 27001 (ISO) ↗↗ Больше источников в библиотеке →

Дорога к ISO/IEC 42001

Используйте, когда вы разрабатываете ИИ, предоставляете его или используете и вам нужен способ управления им, который может проверить независимый орган. ISO/IEC 42001 — стандарт системы управления для ИИ, опубликованный в 2023 году. Если вы уже работаете по ISO 27001, структура у них общая, и многое можно использовать повторно.

1. Поймите свою роль

   Вы разрабатываете ИИ, поставляете его или используете? Кто от него зависит и чего ждут закон и ваши заказчики?

2. Задайте область действия и политику в области ИИ

   Какие системы ИИ и какие части организации входят, и политика, которой владеет высшее руководство.

3. Составьте перечень систем ИИ

   Каждая система, её владелец, данные, которые она использует, и поставщики, которые за ней стоят. Нельзя управлять тем, чего не видишь.

4. Оцените риск и воздействие

   Риски ИИ для организации и оценка воздействия каждой системы на людей, которых она затрагивает. Повторяйте при изменении системы.

5. Выберите контроли

   Выберите подходящие контроли, запишите причины и охватите весь жизненный цикл ИИ: данные, разработку, тестирование, внедрение и мониторинг.

6. Работайте, сохраняя человека в контуре

   Человеческий надзор там, где это важно, мониторинг того, что система делает на самом деле, и обработка инцидентов и жалоб.

7. Аудит и анализ

   Внутренний аудит и управленческий анализ, затем сертификационный аудит аккредитованным органом, после него надзорные аудиты.

Где помогают ИИ и автоматизация

• Поддержание перечня ИИ в актуальном состоянии на основе того, что реально развёрнуто, и выявление использований, которые никто не зарегистрировал.
• Собирать доказательства мониторинга по расписанию: производительность, дрейф, вмешательства человека.
• Подготовка черновиков оценок воздействия для проверки и одобрения человеком.

Ловушки, которые стоят больше всего времени

• Написать одну политику и считать дело сделанным.
• Упустить ИИ, который приходит внутри продуктов поставщиков.
• Воспринимать оценку воздействия как форму, а не как разговор с затронутыми людьми.

Сертификация по ISO/IEC 42001 сама по себе не доказывает соответствия EU AI Act, который является законом со своими собственными требованиями.

ISO/IEC 42001 (ISO)↗ NIST AI Risk Management Framework↗ Больше в библиотеке

Дорога к EU AI Act

Используйте, когда вы создаёте системы ИИ, предоставляете их или используете и к вам может применяться закон. EU AI Act — это закон, а не стандарт: обязанности зависят от вашей роли и от уровня риска ваших систем ИИ. Первый вопрос — какая категория относится к вам.

1. Найдите свою роль

   Поставщик, оператор внедрения (deployer), импортёр, дистрибьютор или уполномоченный представитель. Ваши обязанности зависят от того, кто вы, и ролей может быть несколько.

2. Составьте перечень своих систем ИИ

   Каждая система и каждое применение, включая те, что вы покупаете, и те, что встроены в другие инструменты.

3. Классифицируйте риск

   Запрещённые практики (уже действуют), системы высокого риска, системы с обязанностями по прозрачности и все остальные. Категория определяет, что следует дальше.

4. Обязанности поставщика для систем высокого риска

   Управление рисками, управление данными, техническая документация, журналирование, прозрачность для пользователей, человеческий надзор, точность и устойчивость, а также система управления качеством. У поставщиков ИИ-моделей общего назначения свои обязанности.

5. Обязанности оператора внедрения

   Использовать систему согласно инструкции, поручить человеческий надзор компетентным людям, вести мониторинг, хранить журналы и информировать затронутых людей. Некоторые операторы обязаны также оценивать воздействие на основные права. Системы, которые общаются с людьми или создают синтетическое содержимое, несут обязанности по прозрачности.

6. Докажите

   Для большинства систем высокого риска поставщик оценивает соответствие самостоятельно; нотифицированный орган привлекается лишь в некоторых случаях. Регистрируйтесь там, где это требуется, и ведите документацию, которую мог бы прочитать орган власти.

7. Развивайте грамотность в области ИИ

   Эта обязанность уже действует: людям, работающим с ИИ, нужно достаточное понимание, чтобы делать это ответственно.

8. Следите после запуска

   Наблюдайте за системой в работе, сообщайте о серьёзных инцидентах и обновляйте досье, когда меняются система или закон.

Где помогают ИИ и автоматизация

• Поддерживать инвентаризацию и классификацию в актуальном состоянии, с человеком, подтверждающим каждое решение.
• Собирать журналы и доказательства мониторинга, чтобы техническое досье собиралось само.
• Отслеживать, какие обязанности применяются с какой даты и к каким системам.

Ловушки, которые стоят больше всего времени

• Классифицировать по надежде, а не по тексту.
• Забыть, что использование чужого ИИ всё равно делает вас оператором внедрения с обязанностями.
• Воспринимать это как разовый проект, хотя обязанности продолжаются после запуска.

Общие рекомендации, не юридическая консультация. Закон вступил в силу в августе 2024 года. Насколько я понимаю график, запреты и обязанность по грамотности в области ИИ действуют с февраля 2025 года, правила для моделей ИИ общего назначения с августа 2025 года, а сроки для правил о системах высокого риска зависят от типа системы и могут быть изменены. Проверьте официальный текст и поправки, чтобы узнать, какие даты относятся к вам сегодня.

EU AI Act, официальный текст↗ Независимый путеводитель с поиском↗ Больше в библиотеке

Выполнять несколько стандартов, не делая работу дважды

У этих путей большая часть общая. Создайте контроли и доказательства один раз, сопоставьте их с каждым нужным вам стандартом и пусть каждый аудит читает одни и те же записи.

• Одна запись контроля, связанная с каждым требованием, на которое она отвечает, в SOC 2, ISO 27001, ISO/IEC 42001 и AI Act.
• Один след доказательств для каждого аудита.
• Один реестр рисков, объясняющий, зачем существует каждый контроль.

Нужна помощь с выбором пути или началом? Сотрудничество → Читать: комплаенс как граф → Назад в AI World →