ISO 27001 ושימוש ב-AI: איך שומרים על ההסמכה כשכולם כבר משתמשים

למה שימוש לא מבוקר ב-AI מסכן את ההסמכה?

כי מבדק ISO 27001 בוחן אם הארגון שולט בפועל בזרימת המידע שלו — ו-Shadow AI הוא זרימת מידע שאף אחד לא מיפה, לא העריך ולא אישר. עובד שמדביק חוזה לקוח בצ'אטבוט מעביר מידע מסווג לספק חיצוני בלי הערכת ספק, בלי הסכם ובלי תיעוד.

הבעיה אינה תאורטית: ברגע שהמבקר שואל 'איך אתם שולטים בשימוש ב-GenAI?' — 'אסרנו את זה במייל' היא תשובה חלשה, כי איסור בלי אכיפה ובלי חלופה כמעט תמיד מופר. מה אסור להזין ל-ChatGPT העובדים לרוב פשוט לא יודעים.

אילו בקרות ISO 27001 רלוונטיות לשימוש ב-AI?

לא צריך להמציא בקרות חדשות — התקן כבר מכסה את התרחיש. אלה תחומי הבקרה מנספח A שמבקר יצפה לראות מיושמים גם על כלי AI:

• מדיניות שימוש מקובל — כללים כתובים לשימוש בנכסי מידע, כולל אילו כלי AI מותרים ובאילו תנאים.
• סיווג מידע וטיפול בו — הגדרה ברורה אילו רמות סיווג מותר להזין לכלי חיצוני, ומה מחייב אנונימיזציה קודם.
• יחסי ספקים ושירותי ענן — כל כלי AI מאושר הוא ספק לכל דבר: הערכת סיכונים, בחינת תנאי השימוש והתחייבויות עיבוד המידע שלו.
• מניעת זליגת מידע — בקרות טכניות שמצמצמות הוצאה של מידע מסווג מהארגון, לא רק נהלים על נייר.
• מודעות והדרכה — העובדים צריכים לדעת לזהות מידע רגיש ולהכיר את התהליך המאושר.
• ניהול אירועי אבטחה — הזנת מידע מסווג לכלי לא מאושר צריכה להיות מטופלת כאירוע: דיווח, תחקור, הפקת לקחים.

איך אנונימיזציה משתלבת במערך הבקרות?

אנונימיזציה היא הבקרה שהופכת מדיניות AI מאיסור גורף לתהליך עבודה: מסמך שעבר אנונימיזציה עקבית — שמות, מזהים ולקוחות הוחלפו בטוקנים כמו PERSON_001 — כבר אינו נושא את המידע שהסיווג נועד להגן עליו.

1. מזעור בשער — המידע המזהה מוסר לפני שהתוכן יוצא מהארגון, בהתאמה לעקרון מזעור הנתונים.
2. בקרה טכנית מתועדת — במקום 'סומכים על העובדים', יש שלב חובה בתהליך שאפשר להציג במבדק.
3. עבודה מקומית — כשהאנונימיזציה רצה בדפדפן והקובץ המקורי לא מגיע לשום שרת, לא נוסף ספק חדש לשרשרת שצריך להעריך.
4. עקביות — טוקנים קבועים שומרים על המסמך שמיש לניתוח, כך שלעובדים אין תמריץ לעקוף את התהליך.

מה זה ISO 42001 ואיך הוא משתלב?

ISO/IEC 42001 הוא תקן ניהול ה-AI — מערכת ניהול ייעודית (AIMS) לשימוש ופיתוח אחראיים של בינה מלאכותית: ממשל, הערכת סיכוני AI, שקיפות ומחזור חיים. הוא לא מחליף את 27001 אלא משלים אותו: אבטחת המידע נשארת ב-ISMS, וממשל ה-AI מקבל מסגרת משלו. לארגון שכבר מוסמך 27001, אימוץ עקרונות 42001 הוא צעד טבעי — ותשובה חזקה גם בשאלוני אבטחה של לקוחות.

מה מציגים למבקר? צ'קליסט מעשי

1. מדיניות AI כתובה ומאושרת: אילו כלים, אילו סוגי מידע, מה התהליך.
2. רשימת כלי ה-AI המאושרים כספקים, כולל הערכת סיכונים לכל אחד.
3. תהליך אנונימיזציה מחייב למסמכים רגישים לפני כל הזנה לכלי חיצוני.
4. תיעוד הדרכות עובדים על שימוש בטוח ב-AI.
5. הכללת תרחישי AI בניהול הסיכונים וברשימת האירועים המדווחים.