суббота, 14 ноября 2026 г.

ИСО и МЭК: Опубликован новый стандарт ISO/IEC 27090:2026 «Устранение угроз и нарушений безопасности для систем ИИ»

В октябре 2026 года сайт Международной организации по стандартизации (ИСО) сообщил о публикации нового стандарта ISO/IEC 27090:2026 «Кибербезопасность - Искусственный интеллект - Устранение угроз и нарушений безопасности для систем ИИ» (Cybersecurity - Artificial intelligence (AI) - Addressing security threats and compromises to AI systems) объёмом 65 страниц, см. https://www.iso.org/standard/27090 

Документ подготовлен техническим подкомитетом ISO/IEC JTC1/SC27 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни» (Information security, cybersecurity and privacy protection).

В аннотации на документ говорится следующее:

Что представляет собой стандарт ISO/IEC 27090?

Стандарт ISO/IEC 27090 содержит рекомендации в отношении понимания, выявления и смягчения угроз безопасности, специфических для систем искусственного интеллекта (ИИ) на протяжении их жизненного цикла. В стандарте объясняется, как могут быть использованы уязвимости, к каким последствиям это может привести и какие меры помогут противостоять таким угрозам.

Данный стандарт помогает разрабатывающим и/или использующим ИИ организациям выявить требующие защиты объекты, от обучающих данных до моделей ИИ. В нём рассматриваются такие угрозы, как «отравление» данных (data poisoning) и кража моделей, при этом подчеркивается, что традиционные методы обеспечения кибербезопасности остаются по-прежнему необходимыми.

Чем важен стандарт ISO/IEC 27090?

Вместе с внедрением ИИ появляются специфические проблемы безопасности, для устранения которых может быть недостаточно одних лишь традиционных мер кибербезопасности. Манипуляции с обучающими данными способны изменить поведение системы, а внешне безобидные запросы могут быть использованы для кражи модели. Подобные атаки, которые зачастую может быть трудно обнаружить, способны скомпрометировать системы даже в случае наличия традиционных мер защиты. 

По мере расширения использования ИИ организациями сбои в обеспечении безопасности могут иметь серьёзные последствия как для деловых организаций, так и для физических лиц - особенно в критически-важных в плане безопасности областях. Стандарт ISO/IEC 27090 помогает организациям оценить потенциальное воздействие таких угроз и принять обоснованные решения относительно их выявления и нейтрализации. Это способствует более безопасному развитию и использованию технологий ИИ в условиях эволюции как самих систем ИИ, так и угроз, с которыми они сталкиваются.

Преимущества стандарта ISO/IEC 27090 заключаются в том, что он поддерживает:

  • Выявление специфических для ИИ уязвимостей и оценка их возможных последствий,

  • Принятие обоснованных решений по выявлению и нейтрализации угроз,

  • Усиление защиты обучающих данных, моделей ИИ и интеллектуальной собственности,

  • Смягчение рисков безопасности на этапах разработки, эксплуатации и обновления моделей ИИ,

  • Дополнение существующих практик обеспечения кибербезопасности мерами, специфическими для систем ИИ.

Содержание документа следующее:

Предисловие
Введение
1. Область применения
2. Нормативные ссылки
3. Термины и определения
4. Аббревиатуры
5. Применение информационной безопасности
6. Виды потенциальных компрометаций систем ИИ
7. Меры смягчения рисков и их взаимосвязь с угрозами и другими применяемыми мерами
Приложение A: Соотнесение атак с этапами жизненного цикла систем ИИ и с активами
Приложение B: Специфические для систем ИИ варианты традиционных атак
Приложение C: Федеративное машинное обучение
Библиография

Источник: сайт ИСО
https://www.iso.org/standard/27090 

Ассоциация IEEE опубликовала стандарт IEEE 2863-206 «Рекомендуемая практика стратегического управления искусственным интеллектом в организации»

16 октября 2026 года сайт Международной ассоциации специалистов по электротехнике и радиоэлектронике IEEE (от Institute of Electrical and Electronics Engineers – «Институт инженеров по электротехнике и радиоэлектронике») сообщил о публикации окончательной редакции нового стандарта IEEE 2863-2026 «Рекомендуемая практика стратегического управления искусственным интеллектом в организации» (IEEE Recommended Practice for Organizational Governance of Artificial Intelligence) объёмом 84 страницы, см. https://standards.ieee.org/ieee/2863/10142/ .

Документ подготовлен Комитетом по стандартам искусственного интеллекта (Artificial Intelligence Standards Committee, C/AISC). О работе над ним я уже рассказывала на блоге здесь: https://rusrim.blogspot.com/2026/10/ieee-ieee-p2863.html .

Во вводной части стандарта отмечается следующее:

Область применения

Данная Рекомендуемая практика устанавливает такие существенные критерии стратегического управления, как безопасность, прозрачность, подотчетность, ответственность и минимизация предвзятости, - а также этапы процесса, необходимые для эффективного внедрения, аудита эффективности, обучения и обеспечения соответствия требованиям при разработке и/или использовании искусственного интеллекта в организациях.

Назначение

В данной Рекомендуемой практике приведены ключевые принципы и этапы процессов, которым должна следовать разрабатывающая и/или использующая искусственный интеллект организация для обеспечения ответственной, этичной и подотчетной разработки и/или применения ИИ в своей оперативной деятельности. 

Данный комплекс рекомендаций объединяет внутренние меры, включающие адаптацию ИИ, обучение персонала, внедрение и обеспечение соблюдения установленных в организации содержательных и процедурных требований к стратегическому управлению. 

Кроме того, в данной Рекомендуемой практике описываются способы участия в формировании внешних инструментов стратегического управления и взаимодействия с ними - включая государственные нормативно-правовые акты, профессиональные стандарты и кодексы поведения, соответствующие рекомендации академических, неправительственных организаций и заинтересованных сторон, а также общественные ценности, имеющие отношение к ответственной разработке и использованию искусственного интеллекта.

В аннотации на документ отмечается:

«Настоящая Рекомендуемая практика описывает меры стратегического управления, которые следует использовать разрабатывающей и/или использующей ИИ организации для обеспечения ответственной, этичной и подотчётной разработки и/или использования ИИ в её оперативной деятельности. 

Рекомендуемая практика описывает принципы стратегического управления, которые органу стратегического управления организации следует принять во внимание и приоритизировать. В ней также приводится перечень процессов, о внедрении которых, с целью реализации принципов, следует подумать органу стратегического управления организации.

Кроме того, в Рекомендуемой практике приведен ряд вариантов применения с использованием конкретных приложений ИИ, которые демонстрируют, каким образом следует использовать описанные в документе процессы для реализации принципов Рекомендуемой практики, в том числе для разрешения противоречий между принципами.»

Содержание документа следующее:

Введение
1. Обзор
2. Нормативные ссылки
3. Определения, обозначения и сокращения
4. Ключевые понятия стратегического управления
5. Принципы стратегического управления ИИ
6. Процессы
7. Краткий обзор вариантов использования
Приложение A (справочное): Варианты использования 
Приложение B (справочное): Библиография

Источники: сайт IEEE / магазин стандартов IEEE SA
https://standards.ieee.org/ieee/2863/10142/
https://store.accuristech.com/standards/ieee-p2863?product_id=3019458 

пятница, 13 ноября 2026 г.

Доклад Энди Поттера на конференции в Стокгольме

Данный пост эксперта в области управления электронными документами, эксперта ИСО от США Энди Поттера (Andy Potter - на фото) был опубликован 14 октября 2026 года в социальной сети LinkedIn в учётной записи технического подкомитета ИСО TC46/SC11 «Управление документами».

14 октября 2026 года я выступил с докладом «От требований к способностям и компетенциям: Измерение зрелости управления документами» (From Requirements to Capability: Measuring Records Management Maturity) на осенней конференции Шведского общества архивистов и специалистов по управлению документами Arkeion, проходившей в Стокгольме 13–14 октября. 

Конференция собрала вместе специалистов в области архивного дела и управления информацией для обсуждения широкого круга вопросов - от искусственного интеллекта и обеспечения долговременной сохранности электронных материалов до готовности к кризисным ситуациям.


На фото: Выступает Энди Поттер

В своём докладе я рассказал о начинающейся в техническом подкомитете TC46/SC11 «Управление документами» Международной организации по стандартизации (ИСО) работе над проектом оценки способности управлять документами, - показав, как стандарты ISO 15489 и ISO 30301 могут быть использованы для совершенствования практической деятельности организаций. 

Мой комментарий:
Здесь имеется в виду проект разработки новых технических спецификаций ISO/AWI TS 25174 «Информация и документация – Модель оценивания способности управлять документами» (Information and documentation — Records management capability assessment model), см. https://www.iso.org/standard/89251.html 


Я обсудил вопрос о том, как оценка предложенных направлений деятельности может помочь организациям понять свои текущие возможности, выявить пробелы и определить приоритеты для дальнейшего развития.

Основная мысль, которую я хотел донести до аудитории, заключалась в следующем: Стандарты задают определенные ожидания, в то время, как оценка способностей помогает организациям понять, насколько эффективно эти ожидания воплощаются в повседневной практике.

Я благодарю общество Arkeion за возможность представить эти перспективные наработки шведским коллегам.

Энди Поттер (Andy Potter)

Источник: сайт LinkedIn
https://www.linkedin.com/feed/update/urn:li:groupPost:4175551-7516178513222221824/ 


Счётная палата США опубликовала отчёт GAO-27-107784 о необходимости принятием Минобороны мер в связи с ненадлежащим предоставлением кадровой и медицинской информации военнослужащих

16 октября 2026 года Счётная палата США (Government Accountability Office, GAO) опубликовала подготовленный для Комитета по делам вооруженных сил (Committee on Armed Services) Палаты представителей Конгресса США отчёт GAO-27-107784 «Документы военнослужащих: Министерству обороны необходимо принять меры в связи с осуществляемым ненадлежащим образом или с задержкой предоставлением кадровой и медицинской информации» (Service Member Records - DOD Needs to Address Improper and Delayed Releasing of Personnel and Health Information) объёмом 48 страниц, см. https://www.gao.gov/assets/gao-27-107784.pdf .

В аннотации на документ отмечается следующее: 

«Министерство обороны США (Department of Defense, DOD – отмечу, что Счётная палата не стала использовать введённое Трампом новое название «Военное министерство» - Н.Х.) является основным хранителем кадровых и медицинских документов, которые создаются в отношении военнослужащих на протяжении их военной карьеры. Минобороны обязано обеспечивать сохранность этих документов и их своевременную обработку.

В то же время, согласно докладам военных структур, в период с 2021 по 2025 финансовый год было зафиксировано около 50 случаев ненадлежащего предоставления документов, затронувших более 1000 военнослужащих. Кроме того, на фоне кадровых трудностей возросли объем и сложность запросов на предоставление кадровых документов военнослужащих.

Как уже отмечала ранее Счётная палата (см. https://www.gao.gov/products/gao-24-106187 ), использование Министерством обороны множества различных информационных систем для хранения медицинских документов усложнило процесс предоставления ведомством такой документации.

Счётная палата сформулировала ряд рекомендаций, направленных на решение этих проблем (см. http://www.gao.gov/product_recommendations/GAO-26-107784 ), 

Для чего Счётная палата провела это исследование

Получение доступа к документам военнослужащих может быть сопряжено с трудностями - отчасти вследствие большого числа ведомств, вовлечённых в процессы создания, поиска и хранения этой информации. Закон о свободе доступа к государственной информации (FOIA) предоставляет общественности право запрашивать доступ к документам федеральных органов исполнительной власти, в то время, как Закон о неприкосновенности частной жизни 1974 года (Privacy Act of 1974) регламентирует порядок раскрытия персональных данных. Закон HIPAA (Health Insurance Portability and Accountability Act - Закон о перемещаемости медицинского страхования и его подотчётности, принятый в 1996 году. Его первая часть обеспечивает сохранение медицинской страховки рабочими и членами их семей при смене или потере работы; вторая часть закона содержит требование о введении национальных стандартов для транзакций в сфере электронного здравоохранения – Н.Х.) устанавливает национальные стандарты защиты медицинских персональных данных (protected health information).

В докладе Палаты представителей Конгресса США №118-125, сопровождающем законопроект о финансировании национальной обороны (National Defense Authorization Act) на 2024 финансовый год, содержится положение, предписывающее Счётной палате проанализировать практику Министерства обороны по раскрытию документов военнослужащих в рамках исполнения запросов о доступе к государственной информации на основании закона FOIA, а также иных запросов и обращений. В данном отчете рассматривается, в какой мере Министерство обороны реализовало соответствующие политики и процедуры, а также приняло меры для преодоления трудностей, препятствующих надлежащему и своевременному предоставлению кадровых и медицинских документов военнослужащих.

Счётная палата проанализировало соответствующее законодательство, а также внутренние политики и процессы Министерства обороны, регламентирующие предоставление документов военнослужащих. Также были проанализированы данные о запросах на предоставление документов и случаях их неправомерного раскрытия; проведены интервью с соответствующими должностными лицами. Сотрудники Счётной палаты посетили кадровые центры всех четырёх видов вооруженных сил, а также ряд военно-медицинских учреждений. Была проведена скрытая проверка эффективности мер внутреннего контроля и управления, обеспечивающих защиту кадровых документов, в рамках выполнения 26 запросов на предоставление документов.

Что Счётная палата обнаружила

За время прохождения военной службы накапливается значительный объем кадровых и медицинских документов, относящихся к военнослужащим. Ответственными хранителями этих документов являются Министерство обороны США (DOD) и Департамент по делам ветеранов (Department of Veterans Affairs, VA - большое и хорошо финансируемое министерство, которое, в частности, обеспечивает медицинское обслуживание лиц, отслуживших в вооружённых силах, и членов их семей – Н.Х.). 

Министерство обороны и виды вооруженных сил разработали политики и процедуры, призванные обеспечить надлежащее соблюдение федерального законодательства в части защиты документов и своевременного исполнения запросов на их предоставление. Тем не менее, сохраняются риски утечек информации и задержек при выполнении запросов. В частности, в ходе скрытой проверки, проведенной Счётной палатой в отношении 26 запросов, направленных в Министерство обороны, выяснилось, что по одному из 18 обработанных запросов документы были предоставлены с нарушениями - из них не были удалены персональные данные.


Примеры нарушений, допущенных ответственными хранителями при работе с документами военнослужащих

Кадровые документы. Во всех видах вооруженных силах имеются процедуры, направленные на защиту документов, - например, предусматривающие удаление (цензурирование) из них персональных данных. Тем не менее, при выполнении нескольких тысяч запросов, поступивших в период с 2021 по 2025 финансовый год, было зафиксировано 49 случаев нарушений. 

Согласно Закону о свободе доступа к государственной информации (FOIA), федеральные органы исполнительной власти обязаны отвечать на запросы в течение 20 рабочих дней; аналогичные сроки, как правило, установлены и для обработки запросов в соответствии с Законом о неприкосновенности частной жизни (Privacy Act). 

По словам представителей военных структур, нехватка персонала затрудняет надлежащую и своевременную обработку запросов на получение документов. Так, на момент проведения проверки Счётной палатой, в ВМС обработкой FOIA-запросов занимался всего один сотрудник, что, по оценкам должностных лиц, привело к увеличению среднего времени выполнения таких запросов с 1,6 до 55,5 дней. Более чёткое понимание того, какая численность персонала необходима для того, чтобы справляться с объёмами и сложностью запросов на основании закона FOIA и Закона о неприкосновенности частной жизни, позволило бы Министерству обороны и отдельным видам вооруженных сил сократить сроки подготовки ответов, уменьшить вероятность неправомерного разглашения информации и снизить риски судебных издержек.

Медицинские документы. Как установила Счётная палата, Управление здравоохранения Министерства обороны США (Defense Health Agency, DHA) использует для доступа к медицинским документам военнослужащих сложную систему обработки данных, что создает проблемы при выполнении запросов. 

Исполняющим запросы сотрудникам приходится выявлять нужные медицинские документы в многочисленных системах данных, а затем просматривать их с целью вымарывания персональных данных. Представители DHA отметили, что связанные с системами проблемы и сложные рабочие процессы существенно осложняют выполнение запросов. По словам многих официальных лиц, процедура цензурирования (удаления) персональных данных является наиболее трудоемким этапом исполнения запросов, особенно если документ объёмный или содержит отсканированные материалы. 

Ранее Счётная палата сообщала о том, что Министерство обороны признало необходимость модернизации его многочисленных унаследованных электронных систем управления медицинскими данными пациентов, которые внедрялись на протяжении последних 30 лет. Министерство планировало заменить эти унаследованные системы единой всесторонней электронной системой управления медицинскими документами (на это были потрачены многие миллиарды долларов – Н.Х.). Однако на сегодняшний день Министерство обороны не провело анализа и оценки текущей структуры и систем, используемых для выполнения запросов на предоставление медицинских документов, с целью их оптимизации соответствующих процессов.

Рекомендации

Счётная палата предложила 5 рекомендаций, в том числе: 

  • Проведение Министерством обороны анализ кадровых потребностей, с тем, чтобы привести численность персонала в соответствие с текущими и прогнозируемыми объемом и сложностью запросов на получение кадровых документов; а также 

  • Выявление возможностей для оптимизации систем, используемых при обработке запросов на предоставление медицинских документов. 

Министерство обороны в целом согласилось с этими рекомендациями.

Источник: Сайт счётной палаты США
https://www.gao.gov/products/gao-27-107784