פרק 10: ההבדל בין ISO 42001 ל-ISO 27001: מדריך מלא

ההבדל בין ISO 42001 ל-ISO 27001: מדריך מלא

מבוא: שני תקנים, עולם אחד של אבטחת מידע ו־AI

בעשור האחרון הפך תקן ISO 27001 למודל הבינלאומי המוביל לניהול אבטחת מידע. הוא מלווה ארגונים מכל מגזר: פיננסים, בריאות, תעשייה, ממשלה והייטק: ומספק שיטה מסודרת להבטחת סודיות, שלמות וזמינות המידע. אולם הופעת מערכות בינה מלאכותית מתקדמות יצרה אתגר חדש: מודלים לומדים, דינמיים, אוטונומיים לעיתים, הפועלים על נפחי מידע עצומים ואינם מתנהגים כמו מערכות מידע רגילות.

לכן הושק בשנת 2023 תקן ISO/IEC 42001: מסגרת ניהולית מלאה המוקדשת למערכות AI. מטרתו אינה להחליף את ISO 27001, אלא להשלים אותו: להבטיח שה־AI בארגון יהיה אמין, בטוח, ניתן להסבר, הוגן, עקיב ומפוקח.

במאמר זה נבחן כיצד שני התקנים עובדים, היכן הם דומים, היכן הם שונים: ומתי צריך אחד, מתי צריך את השני, ומתי יש צורך בשניהם.

הבסיס המשותף: מבנה HLS

שני התקנים בנויים על High-Level Structure (HLS): מסגרת ISO המורכבת מעשרה סעיפים זהים: הקשר ארגוני, מנהיגות, תכנון, תמיכה, תפעול, הערכת ביצועים ושיפור מתמיד. הם חולקים את מודל PDCA (Plan-Do-Check-Act) ולכן קל יחסית לשלב אותם במערכת ניהול אחת.

עם זאת, הדמיון המבני מסתיר הבדל מהותי: האובייקט שכל מסגרת מנהלת שונה לחלוטין.

• ISO 27001 מנהל סיכוני מידע.

• ISO 42001 מנהל סיכוני AI ומחזור חיים מלא של מערכות AI.

ISO 27001: מערכת ניהול אבטחת מידע (ISMS)

תקן ISO 27001 מתמקד בהגנה על נכסי מידע מפני פגיעה בסודיות, בשלמות או בזמינות. הוא מבוסס על זיהוי סיכונים ובחירת בקרות מתאימות.

מה מכסה ISO 27001?

• זיהוי, סיווג והגנה על נכסי מידע

• ניהול סיכוני סייבר

• בקרות טכניות וארגוניות (93 בקרות בגרסת 2022)

• ניהול ספקים וצד ג׳

• אבטחת אנשים, תשתיות, תהליכים וטכנולוגיה

• תאימות לרגולציות כמו GDPR, HIPAA, PCI-DSS

ISO 27001 מתאים לכל ארגון המעוניין להוכיח ניהול אבטחת מידע ברמה בינלאומית, והוא משמש בסיס להגנת מערכות IT רגילות: מערכות קבצים, מסדי נתונים, מערכות ארגוניות, יישומים, תשתיות ענן ועוד.

ISO 42001: מערכת ניהול בינה מלאכותית (AIMS)

זהו התקן הראשון מסוגו לניהול מערכות AI: לא כאוסף “טכנולוגיות”, אלא כמערכת חיים שלמה: נתונים, מודלים, אימון, בדיקה, פריסה, ניטור ואחריות.

התקן מת聚ב ב־AI Trustworthiness וברמת ניהול גבוהה המשלבת טכנולוגיה, אתיקה, פרטיות ורגולציה.

מה מכסה ISO 42001?

• ממשל ו־Governance של AI

• אחריות ותפקידים בארגון (Human Oversight)

• ניהול נתוני אימון ובדיקה

• פיתוח, אימון, ולידציה ופריסה של מודלים

• ניטור ביצועים, סטיות (drift) והתנהגות חריגה

• הוגנות, מניעת Bias ושקיפות

• הסברתיות (Explainability) ותיעוד מלא

• פרטיות בעיבוד AI, כולל מניעת inference ופגיעויות ייחודיות

• ניהול מחזור חיים מלא של AI

• 39 בקרות AI־ספציפיות (Annex A)

התקן אינו מיועד רק לארגונים שמפתחים AI. גם ארגונים שמשתמשים ב־AI מקבלים אחריות מלאה על תפעולו, הסברתיות שלו והשפעותיו.

27001 רואה את המידע כמשאב.

42001 רואה את המודל כתהליך לומד ודינמי שיש לנהל.

הבדל 2: סוגי הסיכונים

סיכונים ב־ISO 27001

• פריצות ותקיפות סייבר

• גישה לא מורשית

• אובדן נתונים

• פגיעות תשתיות

• כשלים אנושיים

סיכונים ב־ISO 42001

• Adversarial Attacks (הטיית המודל באמצעות קלטים זדוניים)

• Model Poisoning (זיהום נתוני אימון)

• Hallucinations וייצור מידע שגוי

• Data Drift וירידה בביצוע לאורך זמן

• Bias והפליה

• Model Inversion (שחזור מידע רגיש מהמודל)

• חוסר שקיפות וחוסר הסברתיות

• פגיעה בציבור משתמשים ולא רק בארגון עצמו

42001 מתייחס ל־AI כמרחב סיכונים חדש לחלוטין, בעל היבטים טכנולוגיים, משפטיים, חברתיים ואתיים.

הבדל 3: בקרות וקונטרולים

בקרות ISO 27001 – כלליות

93 בקרות המחולקות לארבע קטגוריות:

1. Organizational Controls

2. People Controls

3. Physical Controls

4. Technological Controls

מדובר בהגנה רחבה על תשתיות, אנשים ותהליכי IT.

בקרות ISO 42001 – ייחודיות ל־AI

39 בקרות הכוללות:

• ניהול דאטה למודלים

• הסברתיות (Explainability)

• ניהול Bias

• בקרות על אימון מודלים

• ניטור רציף להתנהגות חריגה

• תיעוד מחזור חיי המודל

• בטיחות (Safety) בקבלת החלטות

• שקיפות והקצאת אחריות (Accountability)

• מבחני איכות למודלים

במילים אחרות, ISO 27001 עוסק בבקרות הגנה רחבות, בעוד ISO 42001 עוסק בבקרות על “המוח”, ההתנהגות וההתפתחות של מערכת AI.

הבדל 4: מחזור חיים (Lifecycle)

ISO 27001

מיישם מחזור חיים כללי של אבטחת מידע:

זיהוי → הגנה → גילוי → תגובה → התאוששות.

ISO 42001

מיישם מחזור חיים מלא של AI:

1. איסוף ותיוג נתונים

2. פיתוח מודלים

3. אימון

4. בדיקה ולידציה

5. פריסה (Deployment)

6. ניטור ותחזוקה

7. עדכון ושיפור

8. סיום חיי מודל (Decommissioning)

בכל שלב נדרשת בקרה שונה: מהטיית נתוני אימון ועד Drift במודל פעיל.

הבדל 5: בעלי עניין (Stakeholders)

ב־27001 מעגל בעלי העניין הוא בעיקר ארגוני: לקוחות, שותפים, עובדים, ספקים.

ב־42001 מעגל בעלי העניין רחב בהרבה:

• משתמשי קצה

• נפגעים פוטנציאליים של החלטות אוטומטיות

• רגולטורים בתחום ה־AI

• הציבור הרחב

• קבוצות אוכלוסייה שעלולות להיות מופלות

• דורות עתידיים (השפעות רחבות של AI)

זהו שינוי תפיסתי: AI אינו משפיע רק על הארגון: הוא משפיע על אנשים.

אינטגרציה: האם צריך שני התקנים?

תרחיש 1: ארגון עם ISO 27001 שמתחיל להשתמש ב־AI

ISO 27001 לבדו אינו מספיק.

לא קיימות בקרות למניעת Bias, לא ל־Drift, לא להסברתיות, ולא לניהול מחזור חיים של מודל.

המלצה: לבנות ISO 42001 כהרחבה טבעית.

תרחיש 2: סטארט-אפ AI חדש

כאן ISO 42001 נותן את תשתית הניהול המתאימה ביותר, וצמצום הפער בהמשך ל־ISO 27001 פשוט יותר.

המלצה: להתחיל עם ISO 42001, להוסיף 27001 לפי דרישת לקוחות.

תרחיש 3: ארגון היברידי גדול

בארגונים שבהם גם תשתיות IT קריטיות וגם AI מהווה חלק מרכזי בפעילות:

המלצה: שילוב מלא של שתי המערכות במערכת ניהול אינטגרטיבית (IMS).

יתרונות האינטגרציה בין ISO 27001 ל־ISO 42001

1. כיסוי אבטחה מלא: תשתיות IT לצד עומק AI.

2. תהליכים משותפים: הכל תחת HLS אחד.

3. יעילות וחיסכון: ביקורת משולבת במקום שתיים.

4. תאימות רגולטורית: AI Act + GDPR + אבטחת מידע.

5. אמון מוגבר: הצגה ללקוחות של ניהול סיכונים מפותח ומותאם לעתיד.

________________________________________

תהליך יישום משולב – מסלול מומלץ

שלב 1: ניתוח פערים (Gap Analysis)

מיפוי מערכות AI קיימות, תהליכי אבטחה, ודרישות תקן.

שלב 2: תכנון Scope משולב

הגדרת תחולת שני התקנים כמערכת אחת.

שלב 3: פיתוח מדיניות

• מדיניות אבטחת מידע

• מדיניות AI אחראי

• מסמכי ממשל AI

שלב 4: יישום בקרות

• בקרות IT לפי 27001

• בקרות AI לפי 42001

שלב 5: ביקורת פנימית

בחינת עמידה בכל הדרישות.

שלב 6: הסמכה

שלבי ביקורת 1 ו־2, וקבלת התעודות.

סיכום: הגנה על הבית והגנה על המוח

ISO 27001 הוא הבסיס: הוא מגן על נכסי המידע.

ISO 42001 הוא השכבה החדשה: הוא מגן על מערכות ה־AI: על התנהגותן, על איכותן, על השפעתן ועל האנשים שהן משפיעות עליהם.

בעידן בו AI מעורב כמעט בכל תהליך עסקי, ההבדל בין שני התקנים הוא ההבדל בין הגנה תשתיתית לבין הגנה מערכתית־קוגניטיבית. ארגונים מתקדמים יאמצו את שניהם: בשילוב תהליכי ניהול אחדים: כדי לעמוד בדרישות רגולטוריות, להקטין סיכונים, ולבנות אמון בשוק גלובלי חדש.