Quadro de referência · Segurança de sistemas de IA
A ISO 27090 descreve como os atacantes podem comprometer sistemas de IA e como detetar e conter esses ataques. O Sightadel ajuda a avaliar estas ameaças para cada sistema de IA e a gerir as medidas onde já estão as suas evidências para a ISO 27001, a ISO 42001 e o Regulamento da IA.
Do que se trata
A primeira edição da ISO 27090 foi publicada em outubro de 2026. A norma trata das ameaças de segurança que afetam especificamente os sistemas de IA. Descreve as consequências que um ataque pode ter ao longo do ciclo de vida de um sistema e a forma de detetar e mitigar esses ataques. Destina-se a organizações de todo o tipo e dimensão que desenvolvem ou utilizam sistemas de IA.
Trata-se de ataques que não existem desta forma no software convencional. A ISO dá como exemplos o envenenamento dos dados de treino e o roubo de um modelo através de consultas aparentemente inofensivas. Artigos especializados sobre a norma referem outros tipos, como entradas preparadas que enganam um modelo, a injeção de prompts ou inferências sobre os dados de treino. A norma ajuda também a clarificar o que deve ser protegido, dos dados de treino ao modelo final.
A ISO 27090 é um guia. Não contém requisitos segundo os quais um organismo certifique, nem um sistema de gestão próprio. A ISO apresenta-a como complemento da ISO 27001 e da ISO 27002: quem opera um SGSI integra as ameaças específicas da IA na avaliação de riscos e escolhe as medidas adequadas. Por enquanto, a norma só existe em inglês.
Clientes e compras perguntam como protege os modelos e os dados de treino contra manipulação. A norma dá-lhe uma linguagem comum para estas respostas e uma lista de ataques que deveria ter verificado.
Mesmo quem só usa um modelo de linguagem através de um fornecedor é afetado, por exemplo quando o texto de e-mails ou documentos leva o sistema a uma ação errada. Aqui o essencial é a escolha do fornecedor, a configuração e a monitorização.
Quem opera a ISO 27001 ou a ISO 42001 não precisa de um processo novo. As ameaças da ISO 27090 entram na avaliação de riscos existente e as medidas no plano de tratamento existente.
Requisitos
Resumido por palavras nossas. Prevalece sempre o texto original na versão em vigor.
Sabe que sistemas de IA desenvolve ou utiliza e que partes devem ser protegidas: dados de treino, modelos, entradas e saídas.
No SightadelRegista os sistemas de IA e os seus componentes como ativos com um responsável. Um inventário de IA da ISO 42001 é reutilizado.
São conhecidos os tipos de ataque possíveis para os seus sistemas, por exemplo envenenamento de dados ou roubo de modelos, bem como o dano que um ataque bem-sucedido causaria.
No SightadelRegista as ameaças por sistema de IA no registo de riscos, avaliadas e ligadas aos ativos afetados.
Os ataques são associados às fases em que atuam: desenvolvimento, operação e atualização do modelo.
No SightadelOs pontos em aberto de cada fase tornam-se planos de ação com responsável e prazo.
As consequências de um ataque estão estimadas, sobretudo onde a IA intervém em aplicações críticas para a segurança ou em decisões importantes.
No SightadelA avaliação fica junto ao risco e a justificação no comentário. O registo de atividade mostra quem decidiu o quê e quando.
Para as ameaças relevantes estão escolhidas medidas que permitem detetar ataques ou limitar o seu efeito.
No SightadelCada medida com estado, responsável e evidência. A mesma medida pode também cobrir um requisito da ISO 27001 ou da ISO 42001.
Os dados de treino, os modelos pré-treinados e os serviços de IA de terceiros são tratados como possível porta de entrada. Sabe de onde vêm e quem os pode alterar.
No SightadelAvalia os fornecedores de dados, modelos e serviços de IA no módulo Fornecedores, com questionário e evidências.
Na operação, está atento a sinais de ataque, como padrões de consulta invulgares. Os incidentes em sistemas de IA seguem o processo habitual de gestão de incidentes.
No SightadelO que se aprende com os incidentes torna-se medidas com prazo, e o histórico fica visível no registo de atividade.
As ameaças específicas da IA fazem parte da avaliação de riscos do SGSI e as medidas do plano de tratamento.
No SightadelAssocia as evidências uma vez e usa-as para a ISO 27001, a ISO 42001 e o Regulamento da IA.
Processo
Dois a quatro meses até à análise de ameaças e ao plano de medidas dos sistemas de IA mais importantes, se já houver um SGSI em funcionamento. Implementar medidas técnicas pode demorar mais.
Listar todos os sistemas de IA, incluindo serviços adquiridos. Registar para cada sistema que dados, modelos e interfaces lhe pertencem.
Percorrer a norma para ver que tipos de ataque são relevantes para cada sistema e em que fase atuam.
Estimar consequências e probabilidade, primeiro os sistemas críticos. Os resultados passam para o registo de riscos existente.
Escolher contramedidas, nomear responsáveis e sustentar a implementação com evidências. Planear as medidas técnicas em conjunto com o desenvolvimento e a operação.
Acompanhar a operação, reavaliar após mudanças de modelo e quando se conhecem novos tipos de ataque, e levar os resultados à revisão pela gestão.
Pronto para começar
Quem esclarece estas questões cedo poupa semanas mais tarde. No Sightadel estão configuradas como as primeiras tarefas.
Divisão de tarefas
Se um software preenchesse tudo, a norma não cumpriria o seu objetivo – e o auditor notaria. Por isso está claramente definido o que fica a seu cargo.
Da prática
Da longa experiência em consultoria e certificação: estes são os pontos que mais tempo consomem ou que levam a não conformidades na auditoria.
Firewall e controlo de acessos não ajudam contra dados de treino envenenados ou entradas preparadas. Verifique à parte os ataques dirigidos ao próprio modelo.
Os modelos de linguagem em software standard e serviços na nuvem também contam. É precisamente aí que funcionam os ataques através das entradas, mesmo sem um modelo treinado por si.
Para a ISO 27090 não existe. Planeie a comprovação através da auditoria à ISO 27001 ou à ISO 42001 ou de uma revisão externa.
Implementá-la ajuda no art. 15 do Regulamento da IA, mas não demonstra o seu cumprimento. Verifique separadamente as obrigações legais.
Sem o desenvolvimento e os responsáveis pelos dados, a análise de ameaças fica na teoria. Quem constrói ou opera o modelo tem de estar à mesa.
Novos modelos, dados e tipos de ataque mudam a situação constantemente. Defina gatilhos para reavaliações e reveja regularmente os sistemas críticos.
Uma evidência, vários frameworks
Não indicamos propositadamente uma percentagem – depende do seu âmbito. Onde os requisitos coincidem, uma evidência fica associada a todos.
A ISO descreve a ISO 27090 como complemento da ISO 27001 e da 27002. A avaliação de riscos, o plano de tratamento, o processo de incidentes e a auditoria interna do SGSI suportam também as medidas para sistemas de IA.
ISO 42001O sistema de gestão de IA exige uma avaliação de riscos para os sistemas de IA. A ISO 27090 fornece a parte sobre ataques direcionados, e o inventário de IA serve ambas.
EU AI ActO art. 15 exige solidez e cibersegurança para sistemas de IA de risco elevado, expressamente também contra o envenenamento de dados, a evasão do modelo e ataques à confidencialidade. A ISO 27090 ajuda na implementação, mas não é uma norma harmonizada.
RGPDAtaques que permitem inferências sobre os dados de treino podem expor dados pessoais. Para a privacidade na IA, a ISO trabalha na norma irmã ISO 27091, que ainda não foi publicada.
Auditoria e evidências
Não é possível obter certificação segundo a ISO 27090. A norma é um guia e não contém requisitos auditáveis. Torna-se visível através dos sistemas de gestão em que a integra: na auditoria à ISO 27001 ou à ISO 42001, mostra como avaliou e tratou as ameaças aos sistemas de IA.
Se quiser um olhar independente, peça uma revisão externa da análise de ameaças e das medidas. O Sightadel não revê. A sua organização escolhe um revisor da nossa rede de parceiros independente ou um à sua escolha, e pelas revisões não é paga qualquer comissão, nem a nós, nem aos parceiros. O revisor recebe no Sightadel um acesso próprio a respostas, justificações e evidências e não pode apagar nada.
Ver a rede de auditores independentesA ISO 27090 concentra-se nas ameaças que afetam apenas ou sobretudo os sistemas de IA. Associa-as ao ciclo de vida, descreve as consequências possíveis e mostra formas de detetar e mitigar ataques. A descrição da norma pela ISO refere expressamente o envenenamento dos dados de treino e o roubo de um modelo através de consultas que parecem uso normal. Sublinha também as consequências em aplicações críticas para a segurança.
A norma não redefine a segurança da informação em geral. Controlo de acessos, cifragem, registo, gestão de vulnerabilidades e continuidade continuam a ser matéria da ISO 27001 e da 27002. A ISO 27090 atua onde essas medidas não chegam para a IA, por exemplo quando um atacante altera o comportamento de um modelo através de dados ou entradas sem tomar conta de um servidor.
Equidade, transparência ou o impacto nas pessoas afetadas também não são o seu tema. Para isso existem a ISO 42001, com avaliação de riscos e avaliação de impacto para a IA, e o Regulamento da IA da UE. Para a privacidade na IA, a ISO está a elaborar a norma irmã ISO 27091. Quem introduz a norma deve conhecer esta delimitação, para que as responsabilidades não fiquem atribuídas duas vezes ou nenhuma.
A norma em si compra-se à ISO ou a um organismo nacional de normalização. Não precisa de um organismo de certificação, porque não há certificado. Licença Sightadel para a ISO 27090: Preço sob consulta. Se já gere a ISO 27001 ou a ISO 42001 no Sightadel, continua a usar o registo de riscos, as medidas e as evidências.
A maior parcela é o tempo dos especialistas. Uma análise de ameaças para sistemas de IA não se faz apenas com a equipa de segurança da informação. Precisa de pessoas que conheçam os modelos, os dados e as interfaces: desenvolvimento, responsáveis pelos dados, operação e, nos serviços adquiridos, compras. Conte com várias sessões de trabalho por cada sistema de IA crítico.
Implementar medidas técnicas pode sair caro, por exemplo verificações adicionais dos dados de treino, limites de consultas ou testes com entradas preparadas de propósito. Vale a pena avançar por criticidade e começar pelos sistemas em que um ataque causaria mais danos. Onde faltar experiência, contrata consultoria como pacote na aplicação.
No art. 15, o Regulamento da IA da UE exige que os sistemas de IA de risco elevado atinjam um nível adequado de exatidão, solidez e cibersegurança ao longo de todo o ciclo de vida. Entre os ataques referidos estão o envenenamento de dados, o envenenamento de modelos, as entradas preparadas para evasão do modelo, os ataques à confidencialidade e as falhas do modelo. Isto coincide em grande parte com os temas da ISO 27090.
Ainda assim, a norma não é prova de conformidade. Não é uma norma harmonizada com referência publicada no Jornal Oficial da UE e, por isso, não cria a presunção de que o art. 15 é cumprido. O CEN-CENELEC está a elaborar uma norma europeia própria sobre a cibersegurança dos sistemas de IA ao abrigo do regulamento, que por enquanto só existe como projeto. Após o adiamento de 2026, as obrigações para sistemas de risco elevado aplicam-se a partir de dezembro de 2027 para sistemas autónomos e a partir de agosto de 2028 para IA em produtos regulamentados.
Se o seu sistema é considerado de risco elevado e que obrigações daí decorrem é algo que verifica separadamente, de preferência com a sua assessoria jurídica. O Sightadel não presta aconselhamento jurídico sobre isto. Para as obrigações legais, o Sightadel tem um framework próprio para o Regulamento da IA, que gere com as mesmas evidências.
O esforço é menor quando usa a ISO 27090 como fonte de conhecimento para processos existentes. Na avaliação de riscos segundo a ISO 27001, acrescenta para cada sistema de IA as ameaças da norma. As medidas escolhidas vão para o plano de tratamento e, quando vão além do anexo A, para a Declaração de Aplicabilidade como medidas adicionais.
Se opera a ISO 42001, o inventário de IA já lhe dá a lista dos sistemas, das suas finalidades e dos responsáveis. A avaliação de riscos de IA pergunta aí pelos riscos para a organização e para as pessoas afetadas. A ISO 27090 ajuda a preencher bem a parte sobre ataques direcionados, em vez de a despachar com frases gerais sobre segurança informática.
No Sightadel, ameaças, medidas e evidências ficam ligadas ao sistema de IA em causa. A mesma medida, por exemplo uma verificação da origem dos dados de treino, é associada à ISO 27001, à ISO 42001 e ao Regulamento da IA. Assim mantém-na uma só vez e vê em cada framework onde conta. Na auditoria interna verifica depois se as medidas para sistemas de IA funcionam como previsto.
No envenenamento de dados, um atacante introduz dados manipulados no treino para que o modelo reaja depois de forma errada ou a seu favor. Isto conta sobretudo se treina ou volta a treinar modelos por conta própria, por exemplo com dados da internet, de clientes ou de prestadores de serviços. Protegem as fontes conhecidas, as verificações antes do treino e permissões claras sobre quem pode alterar os dados.
No roubo de modelos, um atacante faz muitas consultas e, a partir das respostas, constrói um modelo que se comporta de forma semelhante. Afeta sobretudo fornecedores cujo modelo é acessível através de uma interface. Padrões de consulta invulgares e limites por utilizador são aqui pontos de partida óbvios. Se apenas adquire IA, este ataque costuma afetá-lo menos.
Nos sistemas com modelos de linguagem junta-se a injeção de prompts: instruções escondidas em entradas, e-mails ou documentos levam o sistema a contornar regras ou a revelar dados. Isto afeta também empresas que só usam IA através de um fornecedor. Que ataques a norma descreve em pormenor encontra no seu texto. O Sightadel não contém o texto literal.
Como não há certificado, ninguém prescreve uma documentação concreta. São úteis, também em auditorias à ISO 27001 ou à ISO 42001, uma lista dos sistemas de IA com as partes a proteger, a análise de ameaças por sistema, as medidas escolhidas com justificação e evidências de que estão implementadas e são eficazes. Registe quem fez cada avaliação e quando.
Os sistemas de IA mudam mais depressa do que muitos outros sistemas. Um modelo novo no fornecedor, um conjunto de dados novo ou uma interface nova podem alterar a avaliação. Defina que alterações desencadeiam uma nova análise e torne a verificação um passo fixo nas compras e na entrada em produção. Após um incidente ou quando se conhece um ataque novo, reveja os sistemas afetados fora do calendário.
No Sightadel, as reavaliações, as revisões de fornecedores, a auditoria interna e a revisão pela gestão decorrem como ciclos recorrentes com data. No Trust Center, mostra aos clientes como protege os sistemas de IA, sem ter de reunir documentos novos para cada pedido.
Quanto custa
Paga apenas os frameworks de que realmente precisa. As edições diferem na capacidade e no tempo de resposta, não no âmbito técnico. Quem gere vários frameworks poupa de forma permanente. Todos os preços, descontos e uma calculadora estão na página de preços.
Os custos do organismo de certificação ou de auditoria são faturados diretamente por este à sua empresa. Se precisar, pode contratar consultoria como pacote na aplicação.
Material de trabalho
Listas de verificação e modelos para outros frameworks estão disponíveis em Recursos.
Material de apoio, não constitui aconselhamento jurídico.
Termos
Perguntas e respostas
Mais nas nossas perguntas frequentes ou diretamente através do nosso formulário de contacto.
Não. A norma é um guia sem requisitos auditáveis. Na auditoria à ISO 27001 ou à ISO 42001 pode, no entanto, mostrar como avaliou e tratou as ameaças aos sistemas de IA.
Sim. A primeira edição foi publicada em outubro de 2026, por enquanto apenas em inglês.
Não automaticamente. No conteúdo, a norma encaixa bem nas obrigações de cibersegurança dos sistemas de IA de risco elevado, mas não é uma norma harmonizada. Se há obrigações que se aplicam a si, e quais, verifica separadamente. O Sightadel não presta aconselhamento jurídico sobre isto.
Muitas vezes sim, em menor escala. Ataques através das entradas, como a injeção de prompts, também afetam os serviços que utiliza. O foco está então na escolha do fornecedor, na configuração, nas permissões do sistema e na monitorização.
A ISO descreve a ISO 27090 como complemento da ISO 27001 e da 27002. Integra as ameaças específicas da IA na avaliação de riscos do seu SGSI e gere as medidas no mesmo plano de tratamento.
A ISO 42001 é o sistema de gestão de IA, com inventário, avaliação de riscos e avaliação de impacto. A ISO 27090 traz conhecimento sobre ataques direcionados que alimenta essa avaliação de riscos. Só a ISO 42001 tem certificado.
Licença Sightadel: Preço sob consulta, com todos os detalhes na página de preços. A isto juntam-se o exemplar da norma e o seu esforço interno. Não há custos de organismo de certificação.
Não. As normas ISO estão protegidas por direitos de autor. O Sightadel contém a estrutura, as perguntas orientadoras, os modelos e explicações próprias, não o texto literal. Precisa de ter um exemplar da norma na empresa.
Além da segurança da informação, as pessoas que desenvolvem ou operam os modelos, os responsáveis pelos dados e, nos serviços adquiridos, as compras. Sem elas, a análise fica à superfície.
14 dias, acesso completo, sem dados de pagamento. Tudo o que configurar mantém-se no plano pago.
