मॉडल और डेटा सिक्योरिटीएडवांस्डपाठ 1775 मिनट का पाठ

AI रिस्क फ्रेमवर्क: NIST AI RMF और ISO/IEC 42001

व्यापक रूप से उपयोग किए जाने वाले दो फ्रेमवर्क आपको AI रिस्क से जुड़े काम को व्यवस्थित करने और इसे दूसरों के सामने साबित करने में मदद करते हैं। जानें कि वे क्या हैं और सुरक्षा टीमें उनका उपयोग कैसे करती हैं।

✦ ट्यूटर से पूछें🧪 लैब · 30 min📝 पाठ का टेस्ट
पाठ वीडियो में

60 सेकंड में

AI रिस्क फ्रेमवर्क: NIST AI RMF और ISO/IEC 42001

व्यापक रूप से उपयोग किए जाने वाले दो फ्रेमवर्क आपको AI रिस्क से जुड़े काम को व्यवस्थित करने और इसे दूसरों के सामने साबित करने में मदद करते हैं। जानें कि वे क्या हैं और सुरक्षा…

1/5
आसान शब्दों में
एक क्रिकेट टीम के पास एक कोच होता है, हर मैच के लिए एक योजना होती है, यह देखने का एक तरीका होता है कि मैच कैसा चल रहा है और समस्याओं को ठीक करने का एक तरीका होता है। रिस्क फ्रेमवर्क किसी कंपनी को उसके AI के लिए इसी तरह की योजना देते हैं।
फ्रेमवर्क अपने आप AI को सुरक्षित नहीं बनाते हैं। वे आपको एक साझा ढाँचा (structure) देते हैं, ताकि हर कोई (इंजीनियर्स, सुरक्षा, कानूनी टीम, नेतृत्व और ऑडिटर्स) रिस्क के बारे में एक ही तरह से बात करे और कोई भी बड़ी चीज़ छूट न जाए।

NIST AI रिस्क मैनेजमेंट फ्रेमवर्क

NIST AI RMF 1.0 को 2023 में अमेरिकी राष्ट्रीय मानक और प्रौद्योगिकी संस्थान (NIST) द्वारा प्रकाशित किया गया था। यह स्वैच्छिक (voluntary) है और अमेरिका के बाहर भी इसका व्यापक रूप से उपयोग किया जाता है। इसे चार फ़ंक्शंस में व्यवस्थित किया गया है।
फ़ंक्शनमुख्य विचारसुरक्षा टीम के उदाहरण
Govern (शासन)संस्कृति, भूमिकाएँ, नीतियां और जवाबदेही; बाकी तीनों पर लागू होता हैAI सुरक्षा नीति, प्रत्येक मॉडल के मालिक, रिस्क उठाने की क्षमता (risk appetite), ट्रेनिंग
Map (मैप करना)संदर्भ को समझें: सिस्टम क्या है, यह किसे प्रभावित करता है, क्या गलत हो सकता हैAI इन्वेंट्री, थ्रेट मॉडल, डेटा फ्लो, तीसरे पक्ष पर निर्भरता (third-party dependencies)
Measure (मापना)रिस्क का विश्लेषण करें, परीक्षण करें और ट्रैक करेंरेड टीमिंग, मूल्यांकन परिणाम, मजबूती और गोपनीयता परीक्षण, मेट्रिक्स
Manage (प्रबंधन)जोखिमों को प्राथमिकता दें और उन पर कार्रवाई करें, और चीजें गलत होने पर कदम उठाएंसुधार (fixes), भरपाई करने वाले नियंत्रण (compensating controls), घटना प्रतिक्रिया (incident response), डिकमीशनिंग
यह ढाँचा भरोसेमंद AI की विशेषताओं का भी वर्णन करता है, जिसमें वैध और विश्वसनीय होना, सुरक्षित, सुरक्षित और लचीला (secure and resilient) होना, जवाबदेह और पारदर्शी होना, समझाने और व्याख्या करने योग्य होना, गोपनीयता-संवर्धित होना और हानिकारक पूर्वाग्रह को प्रबंधित करते हुए निष्पक्ष होना शामिल है। सुरक्षा टीमें "सुरक्षित और लचीला" के लिए जिम्मेदार होती हैं, लेकिन दूसरों में भी योगदान देती हैं।
2024 में NIST ने जेनरेटिव AI प्रोफ़ाइल (NIST AI 600-1) प्रकाशित की। यह AI RMF को जेनरेटिव AI पर लागू करता है, इसके लिए विशिष्ट जोखिमों का वर्णन करता है और चार कार्यों से जुड़े सुझाव देता है।

ISO/IEC 42001

ISO/IEC 42001 (2023) एक AI प्रबंधन प्रणाली के लिए एक अंतरराष्ट्रीय मानक है। सूचना सुरक्षा के लिए ISO/IEC 27001 की तरह, यह एक प्रबंधन प्रणाली मानक है: यह नीतियों, भूमिकाओं, रिस्क मूल्यांकन, नियंत्रण, निगरानी और निरंतर सुधार के लिए आवश्यकताएं निर्धारित करता है। संगठनों को एक मान्यता प्राप्त प्रमाणन निकाय द्वारा इसके तहत प्रमाणित (certified) किया जा सकता है।
NIST AI RMF
  • स्वैच्छिक मार्गदर्शन
  • लचीला; कोई प्रमाणन नहीं
  • AI जोखिमों और कार्यों पर विस्तृत जानकारी
  • आपके जोखिम कार्य को डिज़ाइन करने के लिए अच्छा
ISO/IEC 42001
  • औपचारिक आवश्यकताएं (shall विवरण)
  • तीसरे पक्ष द्वारा प्रमाणित किया जा सकता है
  • प्रबंधन प्रणाली संरचना, ISO 27001 के समान
  • ग्राहकों को अपना AI गवर्नेंस साबित करने के लिए अच्छा
कई संगठन दोनों का उपयोग करते हैं: NIST AI RMF यह तय करने के लिए कि क्या करना है, और ISO/IEC 42001 इसे एक प्रबंधित, ऑडिट योग्य प्रणाली के रूप में चलाने के लिए। यदि आपके पास पहले से ही ISO 27001 है, तो आप नए सिरे से शुरू करने के बजाय मौजूदा प्रक्रियाओं का विस्तार कर सकते हैं।

खतरों के लिए MITRE ATLAS

MITRE ATLAS AI प्रणालियों के खिलाफ विरोधी रणनीति और तकनीकों का एक ज्ञानकोष (knowledge base) है, जो MITRE ATT&CK पर आधारित है, जिसमें केस स्टडी भी शामिल हैं। इसका उपयोग मैप और मेज़र कार्य में करें: थ्रेट मॉडल बनाने, रेड टीम परीक्षणों की योजना बनाने और अपने डिटेक्शन कवरेज की जांच करने के लिए।
  1. 1

    इन्वेंट्री

    AI सिस्टमों की सूची बनाएं (Map)।
  2. 2

    खतरे (Threats)

    प्रासंगिक खतरों को खोजने के लिए ATLAS और OWASP सूचियों का उपयोग करें (Map)।
  3. 3

    परीक्षण (Test)

    उनके खिलाफ रेड टीम और मूल्यांकन करें (Measure)।
  4. 4

    निपटारा (Treat)

    ठीक करें, नियंत्रण जोड़ें या साइन-ऑफ के साथ स्वीकार करें (Manage)।
  5. 5

    निगरानी (Oversee)

    रिपोर्ट करें, समीक्षा करें और सुधारें (Govern)।

और देखें और पढ़ें

AI Risk Management FrameworkNIST · readingMITRE ATLASMITRE · knowledge base · reading

लैब

NIST AI RMF के सभी चार कार्यों के लिए मैप किया गया एक वास्तविक AI उपयोग का मामला, जिसमें ATLAS-आधारित खतरे शामिल हैं।

~30 min

समस्या

AI का कोई एक उपयोग मामला चुनें, जैसे बैंक के लिए लोन दस्तावेज़ चेकर, या IT सेवा कंपनी के लिए सहायता चैटबॉट।

  1. प्रत्येक फ़ंक्शन के तहत दो या तीन ठोस गतिविधियाँ लिखें: Govern, Map, Measure, Manage।
  2. MITRE ATLAS ब्राउज़ करें और अपने उपयोग मामले से संबंधित तीन तकनीकें चुनें। ध्यान दें कि प्रत्येक को कहाँ संभाला जाता है (पहचानने के लिए Map, परीक्षण के लिए Measure, समाधान के लिए Manage)।
  3. प्रत्येक गतिविधि के मालिक का नाम बताएं।
  4. चिह्नित करें कि आप कौन सी गतिविधियाँ पहले से करते हैं, और कौन सी कमियां (gaps) हैं।

आपका काम तब पूरा होगा जब

कठिन सवाल

उत्तर देखने से पहले ख़ुद जवाब देने की कोशिश करें। अगर आप इनके जवाब दे सकते हैं, तो आप पाठ समझ गए हैं।

Q1Govern को अन्य तीन कार्यों पर लागू होने के रूप में क्यों वर्णित किया गया है?दिखाएं

Map, Measure और Manage तभी काम करते हैं जब कोई ज़िम्मेदार हो, जिसके पास पालन करने के लिए नीति हो और कार्य करने के लिए संसाधन हों। Govern उन शर्तों को तय करता है: भूमिकाएँ, जवाबदेही, संस्कृति और रिस्क उठाने की क्षमता। इसके बिना, अन्य कार्य एक बार की गतिविधियाँ बन जाते हैं जिनका कोई मालिक नहीं होता और न ही उन्हें दोहराया जाता है।

Q2एक ग्राहक पूछता है, "क्या आप NIST AI RMF प्रमाणित हैं?" आप सटीक उत्तर कैसे देंगे?दिखाएं

समझाएं कि NIST AI RMF स्वैच्छिक मार्गदर्शन है और इसका कोई प्रमाणन नहीं होता है। आप बता सकते हैं कि आप इसके साथ कैसे तालमेल बिठाते हैं और सबूत साझा कर सकते हैं। यदि ग्राहक प्रमाणन चाहता है, तो ISO/IEC 42001 एक प्रमाणित करने योग्य AI प्रबंधन प्रणाली मानक है; बताएं कि क्या आपके पास यह है या आपकी योजना है।

जारी रखने के लिए कृपया साइन इन करें।

अक्सर पूछे जाने वाले सवाल

क्या भारत में होने पर हमें NIST AI RMF का उपयोग करना होगा?

नहीं। यह स्वैच्छिक है। लेकिन कई वैश्विक ग्राहक और भागीदार इसे जानते हैं, इसलिए यह एक उपयोगी सामान्य भाषा है। हमेशा जांचें कि कोई नियामक या अनुबंध किसी विशिष्ट चीज़ की मांग तो नहीं कर रहा है।

क्या ISO/IEC 42001 प्रमाणन फायदेमंद है?

यह आपके ग्राहकों पर निर्भर करता है। यदि एंटरप्राइज खरीदार या नियामक AI प्रशासन के प्रमाण की मांग करते हैं, तो प्रमाणन बार-बार पूछे जाने वाले प्रश्नावली से बचा सकता है। इसमें वास्तविक प्रयास लगता है, इसलिए इसे एक गाइड के रूप में उपयोग करके शुरू करें और प्रमाणन पर बाद में निर्णय लें।

यह हमारे मौजूदा ISO 27001 कार्य के साथ कैसे मेल खाता है?

बहुत अच्छे से। दोनों समान संरचना वाले प्रबंधन प्रणाली मानक हैं, इसलिए आप रिस्क मूल्यांकन, आंतरिक ऑडिट और प्रबंधन समीक्षा जैसी प्रक्रियाओं को साझा कर सकते हैं। बस AI-विशिष्ट भाग जोड़ें: प्रभाव मूल्यांकन, AI के लिए डेटा गवर्नेंस और AI सिस्टम जीवन चक्र।

क्या MITRE ATLAS एक अनुपालन (compliance) फ्रेमवर्क है?

नहीं। यह एक थ्रेट नॉलेज बेस है। यह आपको हमलों को समझने और उनका परीक्षण करने में मदद करता है। AI RMF और ISO/IEC 42001 जैसे फ्रेमवर्क आपको बताते हैं कि रिस्क का प्रबंधन कैसे करें; ATLAS आपको यह जानने में मदद करता है कि किन जोखिमों पर ध्यान देना है।

पाठ का टेस्ट

5 सवाल। पास होने और इस पाठ को पूरा करने के लिए 3 सही होने चाहिए (60%)।

टेस्ट देने और अपनी प्रोग्रेस सेव करने के लिए साइन इन करें