Apa yang terjadi
Pada 4 November 2026, CERT nasional India, CERT-In, menerbitkan 'Pedoman Audit Keamanan Kecerdasan Buatan (AI): Kerangka Kerja untuk Sistem Kecerdasan Buatan yang Aman, Etis, dan Dapat Diaudit' (tersedia di cert-in.org.in/PDF/AI_Security_Auditing_Guidelines.pdf). Kerangka kerja sekitar 107 halaman ini, yang dihasilkan oleh Sub-kelompok 03 dari Kelompok Kerja 'Standar India untuk Audit Keamanan Siber', menetapkan pendekatan audit sistem AI yang umum berbasis risiko dan berorientasi siklus hidup. Kerangka ini mengklasifikasikan sistem AI ke dalam empat tingkat risiko (Rendah/Sedang/Tinggi/Kritis), mendefinisikan sembilan domain audit inti (tata kelola dan akuntabilitas AI; siklus hidup data/kualitas/privasi; manajemen risiko model; etika/bias/keadilan; kemampuan menjelaskan dan transparansi; keamanan, ketahanan adversarial, dan pelaporan insiden; pemantauan berkelanjutan, manajemen penyimpangan, dan validasi; pengawasan manusia dan akuntabilitas keputusan; jaminan pihak ketiga dan rantai pasokan AI), menambahkan persyaratan khusus untuk arsitektur GenAI/RAG/agenik/multimodal/otonom (injeksi prompt, agensi berlebihan, keracunan data dan model, kelemahan vektor/embedding, penggunaan alat yang tidak aman, risiko memori persisten dan antar-agen), menentukan metodologi audit terstruktur, model kematangan lima tingkat, dan klasifikasi temuan Kritis/Tinggi/Sedang/Rendah. Kerangka ini mewajibkan insiden keamanan terkait AI di entitas pemerintah dan swasta untuk dilaporkan ke CERT-In dalam waktu enam jam, dan selaras dengan ISO/IEC 42001, ISO/IEC 23894, ISO/IEC 27001, NIST AI RMF, MITRE ATLAS, dan panduan OWASP.
Mengapa penting
Ini adalah kerangka audit keamanan AI nasional pertama dari CERT India, yang menciptakan tolok ukur kepatuhan de-facto bagi setiap badan pemerintah India, operator infrastruktur kritis, entitas yang diatur, dan organisasi swasta yang mengembangkan, mengadakan, atau mengoperasikan sistem AI, serta sistem AI yang memproses data India atau melayani pengguna India. Kewajiban pelaporan insiden enam jam dan kedalaman audit bertingkat risiko memberlakukan kewajiban yang konkret dan dapat diaudit, dan cakupan agenik/GenAI yang eksplisit secara material memperluas panduan tata kelola AI India yang ada (MeitY) dan cetak biru kerentanan CERT-In ke wilayah audit keamanan.
Tindakan yang diperlukan
Bagi organisasi yang beroperasi di atau melayani India: dapatkan kerangka kerja tersebut, klasifikasikan sistem AI ke dalam empat tingkat risiko, petakan kontrol yang ada ke sembilan domain audit, dan siapkan jalur pelaporan insiden AI enam jam serta jejak bukti untuk penerapan agenik/GenAI. Auditor dan tim kepatuhan harus menyelaraskan lingkup audit AI dan klasifikasi temuan dengan kerangka ini sekarang, karena organisasi audit yang terdaftar di CERT-In diharapkan menerapkannya.