ISO Control A.5.9: Inventory of information and other associated assets. Az AI rendszerek gyakran "shadow IT" formájában terjednek. Teljes körű eszközleltár nélkül nem tudod megvédeni azt, amiről nem is tudsz.

ISO Control A.5.12: Classification of information. Nem minden AI rendszer egyformán kritikus. Az osztályozás határozza meg a szükséges kontrollokat.

ISO Control A.5.9: Asset ownership. ISO 27001 követelmény, hogy minden eszköznek (asset) legyen felelőse. AI esetében gyakran nem egyértelmű a felelősségi kör.

ISO Control A.5.37: Documented operating procedures. A modellek gyakran verziókezelés nélkül kerülnek éles üzembe (production), vagy elavult modellek futnak évekig.

ISO Control A.5.37: Documented operating procedures. ISO audit első kérdése: "Show me the documentation". AI esetében kritikus a modell céljának, korlátainak és működésének dokumentálása.

ISO Control A.5.19: Information security in supplier relationships. Harmadik feles AI = harmadik feles kockázat. A szolgáltató (vendor) kiesése vagy egy adatszivárgás (data leak) a te felelősséged is.

ISO Control A.5.20: Addressing information security within supplier agreements. Az alapértelmezett (default) szerződések nem fedik le: ki tulajdonolja a modellt? Van-e auditálási jogod?

ISO Control A.5.23: Information security for use of cloud services. HuggingFace-ről letöltött modell tartalmazhat hátsó kaput (backdoor), a könyvtárak (library) lehetnek sebezhető (vulnerable) verziójúak.

ISO Control A.8.24: Use of cryptography. A titkosítatlan (plaintext) API hívás = man-in-the-middle kockázat. Minimum TLS 1.2 vagy privát végpontok (private endpoints) szükségesek.

ISO Control A.8.10/A.8.11: A tanító adat (training data) gyakran tartalmaz PII-t. Ha kiszivárog, az GDPR-sértés (breach) és versenyhátrány. Inaktív adatok titkosítása (Encryption at rest, AES-256) és RBAC szükséges.

ISO Control A.8.11: Data masking. GDPR Article 5(1)(c) - adattakarékosság. Ha nem kell az e-mail cím, ne gyűjtsd be / ne használd.

ISO Control A.8.11: Data masking. GDPR Article 25 - beépített adatvédelem. Anonimizált adatokra nem vonatkozik a GDPR teljes szigora.

ISO Control A.8.10: Information deletion. GDPR Article 17 - törléshez való jog. Nem tárolhatsz adatot a szükségesnél tovább. Automatizált törlési irányelv (automated deletion policy) szükséges.

ISO Control A.8.12: Data leakage prevention. Az LLM-ek "megjegyzik" a tanító adatokat (training data). Kimeneti szűrés (output filtering) és anomáliadetektálás (anomaly detection) szükséges.

ISO Control A.8.32: Change management. Verziókezelés (version control) nélkül nincs auditálhatóság, nincs visszaállítási (rollback) képesség. Git (kód) + DVC (adat) + MLflow (modellek) ajánlott.

ISO Control A.8.32: Change management. Az ad-hoc telepítés (deployment) = kiesési kockázat. Az ISO 27001 megköveteli a dokumentált változtatási folyamatot (documented change process) (CAB jóváhagyás, visszaállítási terv).

ISO Control A.8.16: Monitoring activities. Az AI modellek idővel "romlanak" (adat drift). A pontosság (accuracy) 95%-ról 70%-ra csökkenhet 6 hónap alatt. Ezt észre kell venned.

ISO Control A.8.15: Logging. Az incidensvizsgálat (incident investigation) lehetetlen naplók (logok) nélkül. Központi naplózás (ELK, Splunk) + min. 12 hónap megőrzés + manipulálhatatlan (tamper-proof) tárolás szükséges.

ISO Control A.5.24: Incident management planning. Az általános (generic) IR terv nem fedi le az AI-specifikus incidenseket. Eljárásrend (playbook) + eszkalációs útvonal + utólagos elemzés (post-mortem) szükséges.

ISO Control A.8.8: Management of technical vulnerabilities. A hagyományos (traditional) sebezhetőség-vizsgálók (scannerek) nem találják meg az AI-specifikus sebezhetőségeket. Prompt injection + adversarial tesztelés szükséges.

ISO Control A.8.8: Management of technical vulnerabilities. Az AI könyvtárak kritikus sebezhetőségei (critical vulnerability) gyors hibajavítást (patch-elést) igényelnek. Automatizált függőségfrissítés + SLA: 7 nap szükséges.

ISO Control A.5.28: Collection of evidence. ISO 27001 audit kérdés: "Mutasd a mutatókat (metrics)!" KPI dashboard + negyedéves felülvizsgálat + trendelemzés szükséges.