relatório técnico
ISO/IEC 27090: a nova norma para proteger sistemas de IA
Em outubro de 2026 foi publicada a primeira norma internacional da família 27000 dedicada a proteger os sistemas de IA contra ataques específicos: envenenamento de dados, roubo de modelos, injeção de prompts. Esta nota de 4 páginas resume o que ela cobre, o que não cobre, como se encaixa com as normas que você já conhece e os cinco primeiros passos.
- Páginas
- 4
- Formato
- Idioma
- Español
- Custo
- Gratuito
O que contém
- A ficha completa da norma: publicada em 14/10/2026, 56 páginas, guia não certificável do mesmo comitê que mantém a família 27000.
- Por que a cibersegurança tradicional não basta: os dados são parte do código e o acesso legítimo pode ser o vetor.
- As nove ameaças que cobre, do envenenamento de dados às saídas com injeção, e o que cada uma compromete.
- Como se encaixa com a ISO/IEC 27001, 27002 e 42001: a peça técnica que as normas de gestão não desenvolvem.
- O que a norma não faz: não é certificável, não trata a IA defensiva e não garante imunidade.
- Os cinco primeiros passos para começar sem esperar ter a norma em mãos.
- O cruzamento com a proteção de dados pessoais quando os modelos tocam dados de pessoas.
Para quem é
- Responsáveis por segurança da informação com SGSI 27001 cujo escopo já inclui (ou vai incluir) sistemas de IA.
- Organizações que avançam rumo à ISO/IEC 42001 e precisam da camada técnica de segurança.
- Equipes de desenvolvimento e dados que integram modelos próprios ou de terceiros em produtos e processos.