OWASP, ENISA I ISO w służbie agentom AI?

Michał Nowakowski · 11 listopada 2026

Czy wymogi cyberbezpieczeństwa w odniesieniu do agentów zabiją "biznes IT"? OWASP publikuje nowy "standard", ISO 27090 "nakazuje" zarządzać cyberbezpieczeństwem AI, a ENISA wzywa do rozsądnego wykorzystania w procesach SDLC.

Ostatnio dużo miejsca i czasu poświęcam kwestii cyberbezpieczeństwa w kontekście inicjatyw AI, co jest wynikiem mojej hipotezy, że rozwój AI i rozprzestrzenianie się ryzyk w zakresie cyberbezpieczeństwa, stanowią przedsionek dużych zmian jakie czeka obszar rozwijania oprogramowania.

Dosłownie parę dni temu pojawiły się nowe dobre praktyki prosto od OWASP - Securing Agentic Applications - które bardzo dobrze opisują wyzwania związane z różnymi rozwiązaniami agentowymi.

I to jest fajny punkt do rozmowy o przyszłości IT, choć oczywiście nie uzurpuję sobie bycia wieszczem świata IT. No, ale obserwuję trochę przecięcia pomiędzy governance a technologią i to jakie mamy przeszkody, które powodują, że narastają konflikty. Jednym z powodów jest przekonanie, że praktycznie każdy przejaw porządkowania w ramach systemów zarządzania ma na celu ograniczenie roli i możliwości IT.

Tymczasem governance ma raczej przyśpieszyć niż spowolnić innowację. Jak, zapytacie. Jeżeli w typowej organizacji mamy podział na obszar IT i cyber, to tarcia będą pojawiały się regularnie. Jednym zależy na łatwości i szybkości pracy, a drugim na zapewnieniu bezpieczeństwa. Logiczne.

Zagrożenia związane z wykorzystaniem AI są dość specyficzne i mogą nie podlegać tradycyjnym ryzyko, które są już dobrze rozpoznane. Do tego dochodzi skala, która jest przepotężna. W takiej sytuacji wiele inicjatyw łatwiej jest "ubić" niż zastosować odpowiednie kontrole, zebrać dowody i powiedzieć - mamy na to oko.

Nowe standardy, jak wspomniany OWASP czy ENISA, ale także ISO 27090 dają szansę na znalezienie porozumienia - wszystko (teoretycznie) powinno podlegać wystandaryzowanemu procesowi z dość jasno określonymi kontrolami. Jesteś w stanie wykazać, że jest spełniłeś/aś - to masz zielone światło (lub co najmniej wiesz do kogo udać się po zgodę).

Podobnie w kontekście wytwarzania oprogramowania (SDLC). Jeżeli dzisiaj IT ma całkowicie wolną rękę, to tworzony software może być źródłem wielu kłopotów prawnych i związanych z cyberbezpieczeństwem. Dlatego ENISA sugeruje, aby do praktyki wytwórczej dołożyć mocno uporządkowane kwestie bezpieczeństwa.

Temat oczywiście jest szerszy i obejmuje też same procesy COBIT i inne związane z zarządzaniem IT. No i pojawia się pytanie o to jak to wszystko ze sobą skoordynować. To jednak temat rzeka i jak wiecie - dużo o nim piszę :) Będą więc nowe materiały.

A przy okazji - czy taka forma dodatkowe zaprezentowania treści jest dla Was ciekawa?

Część treści serwisu Legal Architect powstała przy wsparciu AI, również na etapie opracowania pojedynczych fragmentów. Informacja ta nie oznacza, że każdy materiał lub cytowane źródło zostały wygenerowane przez AI.