20250112-云安全联盟-AI组织责任_核心安全责任_72页_1mb

报告摘要

医疗保健和人工智能安全责任：总结

这份由云安全联盟大中华区发布的报告，主要探讨了组织在医疗保健(IT)领域应用人工智能(AI)和机器学习(ML)时的安全责任。报告为确保AI/ML系统安全、高效、合乎伦理地运行提供了指导框架。

核心内容：

AI安全责任框架： 报告中心是“AI核心安全责任模型”，强调了AI应用的安全运行需要共享责任，由AI用户、应用所有者和开发者以及AI平台提供商共同承担。它定义了关键的治理和技术角色，并基于RACI模型分配了职责。
关键安全领域： 报告重点关注了以下核心领域：
- 数据安全与隐私： 覆盖数据真实性、隐私保护机制（匿名化、假名化）、数据最小化、数据访问控制、安全存储和传输。强调了在模型训练全生命周期应用这些原则的重要性。
- 模型安全： 包括模型访问控制、安全运行环境（硬件、网络、OS级安全）、漏洞和补丁管理、MLOps流水线安全、治理（风险评估、审批、监控、验证）和安全部署（灰度发布、蓝绿部署、回滚、退役）。
- 漏洞管理： 强调及时维护资产清单、进行持续漏洞扫描、基于风险优先排序、执行修复跟踪、处理异常和建立报告指标。
评估与执行策略： 提供可量化（评估标准）、责任分配清晰（RACI）、高层执行策略、持续监控与报告机制、访问控制映射以及与NIST AIRMF、SSDF、SP800系列、ISO标准和CSA CCM等框架一致的基本准则。
AI系统组件视角： 详细分析了AI赋能应用的架构关键层（AI平台层、AI应用程序层、AI使用层）。论述了以数据为中心的AI系统基础组件（原始数据 -> 模型 -> 运营 -> 开发）及其相互关联的风险威胁。
行业指南与最佳实践： 参考了多个标准、框架和准则，如《开放AI准备框架》、美国《人工智能法案》、欧盟GDPR、OWASP LLM Top 10风险等，进行了背书。
适用范围： 同时面向政策制定者、商业领袖、治理与技术人员、开发者，并强调AI治理结构需要随技术发展而演进（如CAIO角色的出现）。
结论： AI安全是一个持续过程，需要跨职能合作，共同承担安全责任，以释放AI价值并确保所有利益相关者的安全与信任。