Insikter · Säkerhet · 7 min läsning
AI som klarar revisionen: principerna från ISO 27001 och SOC 2
Det är sällan tekniken som stoppar ett AI-projekt. Det är frågan från IT-säkerhet: var hamnar vår data? Så bygger vi lösningar som har svaret redo från dag ett.
Säkerhet blir flaskhalsen — om den kommer sist
Ett typiskt förlopp: en prototyp imponerar på ledningsgruppen, alla vill köra. Sedan granskar IT-säkerhet lösningen och hittar personuppgifter som skickas till en extern modell, delade API-nycklar och ingen logg över vem som frågat vad. Projektet pausas i månader.
Problemet är inte att säkerhetskraven är orimliga. Problemet är att de kom in för sent. När säkerheten byggs in från början blir granskningen en formalitet i stället för ett stopp.
Vad standarderna egentligen handlar om
ISO 27001 är en internationell standard för ledningssystem för informationssäkerhet. Kärnan är ett systematiskt arbetssätt: identifiera risker, välj kontroller som hanterar dem, och följ upp att de fungerar.
SOC 2 är en granskningsrapport där en oberoende revisor bedömer en organisations kontroller utifrån fem kriterier: säkerhet, tillgänglighet, behandlingsintegritet, konfidentialitet och integritet.
Båda bygger på samma idé — ni ska kunna visa, inte bara säga, att informationen hanteras rätt. Det är principer som går att följa redan innan ett formellt certifikat finns på plats.
Fem principer vi kan bygga efter
Modellen får bara den data den behöver. Personuppgifter maskeras eller tas bort innan de lämnar era system.
Vi dokumenterar var data lagras och behandlas, inklusive hos modelleverantörer, och väljer EU-alternativ när kraven kräver det.
Personliga konton i stället för delade nycklar, behörigheter efter roll och spårbar logg över vem som gjort vad.
Varje underleverantör bedöms: avtal, personuppgiftsbiträdesavtal, egna certifieringar och hur länge data sparas.
Rutiner för incidenthantering, versionering av modeller och möjlighet att stänga av eller rulla tillbaka snabbt.
Från principer till certifiering
Alla behöver inte ett certifikat — och då ska ni inte heller betala för det. För många räcker det att lösningen följer principerna och att dokumentationen finns. Men om era kunder eller er bransch kräver det, är steget till formell certifiering kort när grunden redan är lagd — då handlar det om att samla bevis, inte bygga om.