歐洲電信標準協會（ETSI）近日正式發布 ETSI EN 304 223 標準，為人工智慧（AI）模型與系統訂定基礎資安要求。該標準為全球首個經歐洲各國標準組織正式投票通過的 AI 資安歐洲標準，具備高度權威性與國際適用性，象徵 AI 資安治理由原則倡議邁向制度化與可落實階段。

ETSI 指出，AI 系統相較於傳統軟體，衍生出多項全新且複雜的資安風險，包括 資料毒化、模型混淆、間接提示注入，以及因模型訓練、資料管理與營運流程高度複雜所產生的潛在控制弱點。若沿用既有資安或內控架構，恐難以有效識別與控管相關風險。

ETSI EN 304 223 採取 全生命週期管理 方法，整合既有資安最佳實務與 AI 專屬防護要求，並於五大階段中訂定共 13 項原則，涵蓋：安全設計、安全開發、安全部署、安全維護，以及安全終止營運。此一設計有助於企業於內控制度中，清楚界定 AI 系統在不同階段的責任分工、控管措施與查核重點，避免僅於系統上線後才進行事後補強。

本標準適用於採用 深度神經網路 之 AI 系統，包含 生成式 AI，並以實際營運環境為設計前提，適用對象涵蓋 AI 供應商、系統整合商及最終營運單位，有助於整體 AI 供應鏈建立一致且可稽核的資安管理基準。

ETSI 另預告將發布 ETSI TR 104 159 技術報告，針對生成式 AI 的特定風險提供進一步指引，聚焦 深偽技術、不實與錯誤資訊、機密性風險，以及著作權與智慧財產權 等議題，並於必要時提出更具體的規範性建議。

ETSI 人工智慧安全技術委員會主席 Scott Cadzow 表示，ETSI EN 304 223 為 AI 系統安全建立共同且嚴謹的基礎，能在 AI 日益導入關鍵服務與基礎設施的趨勢下，提供清晰且務實的安全指引，協助組織提升 AI 系統的 韌性、可信賴度與設計安全性。

(來源網址：https://www.informationsecurity.com.tw/article/article_detail.aspx?aid=12647)

0