事件经过
窗口期内确认（状态报告约2026年10月4-9日）：ISO/IEC 27090已进入ISO阶段60.00“国际标准出版中”，最终制作步骤预计最多七周内完成。此前有未经确认的“即将发布”报告（2026年9月）。该标准为组织提供了结构化基础，用于在AI系统全生命周期中识别、理解和缓解安全威胁（数据投毒、模型窃取等），补充而非替代ISO/IEC 27001/27002和ISO/IEC 42001。
影响分析
ISO/IEC 27090是首个专门针对AI特定安全威胁与入侵的国际标准，区别于通用ISMS控制。其正式发布在即，因此受监管行业的CISO、AI提供商/部署方、审计人员和采购团队面临一个具体的合规准备窗口。该标准还纳入ISO 27001/42001/27090体系，第三方AI保证计划已在引用这一体系。
建议行动
将现有AI威胁建模和测试与评估流程映射到ISO/IEC 27090控制项；规划标准发布后AI资产（训练数据、模型、推理、集成）如何纳入ISMS扩展覆盖；向采购和审计团队briefing新义务。