Página de confianza de Eddy AI

Objetivo: La política tiene como objetivo garantizar el uso adecuado y eficaz de la criptografía para proteger la confidencialidad, autenticidad e integridad de la información.

Alcance: La política se aplica a todos los sistemas de información desarrollados y/o controlados por Document360 que almacenen o transmitan datos confidenciales.

Propietario de la póliza: El CEO es responsable de la póliza.

Fecha de Vigencia: La póliza entra en vigor el 1 de marzo de 2024.

Evaluación de riesgos: Document360 evalúa los riesgos e implementa controles criptográficos para mitigarlos cuando sea apropiado.

Estándares de cifrado: Debe implementarse y documentarse criptografía sólida con procesos y procedimientos asociados de gestión de claves conforme a los estándares del sector, incluyendo el NIST SP 800-57.

Gestión de claves: El acceso a claves y secretos está estrictamente controlado, y existen recomendaciones específicas para el uso de claves criptográficas, incluyendo tipos de claves, algoritmos y longitudes de clave para diversos dominios como certificados web, cifrados web y almacenamiento de endpoints.

Excepciones: Las solicitudes de excepciones a la política deben presentarse al CEO para su aprobación y deben documentarse.

Infracciones y Aplicación: Las infracciones conocidas deben ser reportadas al CEO y pueden conllevar medidas disciplinarias, incluyendo el despido del empleo.

Datos en reposo: Los datos confidenciales en reposo deben cifrarse mediante cifrado simétrico con bit AES-256 durante un periodo máximo de 1 año.

Contraseñas: Las contraseñas deben ser hasheadas usando funciones hash unidireccionales como Bcrypt, PBKDF2, scrypt o Argon2, con una clave de 256 bits y un estampamiento de 10K, incluyendo un hash criptográfico único.

Cifrado de bases de datos vectoriales: Las incrustaciones de texto almacenadas en MongoDB deben usar cifrado a nivel de campo para vectores que contienen contenido del cliente.

Cifrado por prompt y respuesta:

• Todas las indicaciones de usuario deben estar cifradas antes de almacenarse.

• Las respuestas de la IA deben cifrarse tanto en tránsito como en reposo.

Datos de terceros en tránsito:

• TLS 1.3 es necesario para todas las llamadas a la API de OpenAI.

• El fijación de certificados debe aplicarse para los endpoints OpenAI.

• La autenticación TLS mutua es necesaria para despliegues de alta sensibilidad.

Propósito y alcance: El documento pretende proporcionar un plan para gestionar incidentes y eventos de seguridad de la información, cubriendo todos estos sucesos dentro de la empresa.

Definiciones: Aclara la diferencia entre un evento de seguridad (un suceso observable relevante para la seguridad de los datos) y un incidente de seguridad (un evento que resulta en pérdida o daño a la seguridad de los datos).

Informes y documentación: Se instruye a los empleados para que informen de inmediato cualquier incidente sospechoso utilizando canales de comunicación específicos, y todos los incidentes deben ser documentados.

Niveles de gravedad: Los incidentes se clasifican en niveles de gravedad S1 (Crítico), S2 (Alto) y S3/S4 (Medio/Bajo), con directrices claras para la escalada y la respuesta.

Equipo de Respuesta a Incidentes: Los gestores de ingeniería lideran el esfuerzo de respuesta a incidentes, con una "Sala de Guerra" designada para la respuesta centralizada. Se celebran reuniones regulares para actualizar el ticket del incidente, documentar indicadores de compromiso y realizar otras actividades de respuesta.

Análisis de causa raíz: Para incidentes críticos, el Director de Ingeniería realiza un análisis de causa raíz, se documenta y revisa por el Director de Ingeniería, quien decide la necesidad de una reunión post-mortem.

Proceso de respuesta: El proceso de respuesta incluye triaje, investigación, contención, erradicación, recuperación y endurecimiento, con énfasis en las lecciones aprendidas y mejoras a largo plazo.

Seguridad física: El documento aborda la seguridad física de los sistemas afectados, incluyendo procedimientos de aislamiento y respaldo.

Determinación y notificación de incumplimientos: Solo el Product Owner puede determinar si un incidente constituye una infracción. La empresa deberá notificar rápidamente a todas las partes implicadas de acuerdo con las políticas y requisitos regulatorios.

Comunicaciones externas: La empresa coopera con clientes, responsables de tratamiento de datos y autoridades según sea necesario, siendo la responsabilidad legal y ejecutiva de los responsables de la determinación del enfoque.

Roles y responsabilidades: El documento detalla las responsabilidades específicas de los servicios de respuesta a incidentes.

Consideraciones especiales: Incluye gestionar problemas internos, comunicaciones comprometidas y cuentas raíz.

Estado y resumen del incidente: Se proporciona una plantilla detallada para documentar los detalles del incidente, incluyendo fecha, hora, lugar, personal implicado, tipo de información implicada, indicadores de compromiso, causa raíz y acciones tomadas.

Titular de la póliza y fecha de vigencia: El Product Owner es el titular de la póliza, y el plan entra en vigor el 1 de marzo de 2024.

Categorías de incidentes específicas de IA:

S1 - Incidentes críticos de IA

• Sesgo sistemático que afecta a grupos protegidos.

• Jailbreak exitoso en producción que afectó a más de 100 usuarios.

• PII expuesta mediante respuestas generadas por IA.

• Tasa sostenida de alucinaciones superior al 5% durante una o más horas.

S2 – Incidentes de IA de alto nivel

• Se detectó un bypass de API de moderación.

• Ataque de inyección inmediata que afecta a menos de 100 usuarios.

• La deriva del modelo provoca una degradación de precisión superior al 10%.

• Tasa de fallo de citación superior al 15%.

S3 – Incidentes de IA Medios

• Un caso único de una respuesta de IA sin fuentes.

• Intento de fuga al estilo DAN que fue bloqueado con éxito.

• Latencia de respuesta anómala superior a 10 segundos.

Objetivo: Establecer roles y responsabilidades claros para proteger los sistemas electrónicos de información y los equipos relacionados.

Propietario de la póliza y fecha de vigencia: El CEO es el titular de la póliza, y el plan entra en vigor el 1 de marzo de 2024.

Aplicabilidad

• Se aplica a toda la infraestructura de Document360, segmentos de red, sistemas, empleados y contratistas implicados en funciones de seguridad y TI.

Público

• Todos los empleados y contratistas implicados en el Programa de Seguridad de la Información.

• Incluye socios, afiliados, empleados temporales, becarios, invitados y voluntarios.

Roles y responsabilidades

1. Liderazgo Ejecutivo:

• Aprueba gastos de capital para programas de seguridad.

• Supervisa la ejecución y comunicación de la seguridad de la información y la gestión de riesgos de privacidad.

• Garantiza el cumplimiento de leyes y normas (por ejemplo, GDPR, CCPA, SOC 2, ISO 27001).

• Revisa los contratos de servicio de proveedores y supervisa la gestión de riesgos de terceros.

2. Director de Ingeniería:

• Supervisa la seguridad de la información en el desarrollo de software.

• Implementa y supervisa los controles de seguridad para procesos de desarrollo y TI.

• Realiza evaluaciones de riesgos informáticos y comunica los riesgos a los directivos.

3. Vicepresidente de Atención al Cliente:

• Gestiona herramientas y procesos de seguridad de la información en entornos de clientes.

• Garantiza el cumplimiento de las políticas de retención y eliminación de datos.

4. Propietarios del sistema:

• Mantener la confidencialidad, integridad y disponibilidad de los sistemas de información.

• Aprobar solicitudes de acceso y cambio para sus sistemas.

5. Empleados, contratistas, trabajadores temporales:

• Actúa con responsabilidad para proteger la salud, la seguridad y los recursos de información.

• Identificar áreas para mejorar las prácticas de gestión de riesgos.

• Reporta incidentes y cumple con las políticas de la empresa.

6. Director de Personas

• Garantiza que empleados y contratistas estén cualificados y sean competentes.

• Supervisa las verificaciones de antecedentes, la presentación de políticas y el cumplimiento del Código de Conducta.

• Evalúa el rendimiento de los empleados y ofrece formación en seguridad.

Cumplimiento de políticas

• El cumplimiento se mide mediante informes, auditorías y retroalimentación.

• Las excepciones deben ser preaprobadas por el CEO.

• El incumplimiento puede conllevar acciones disciplinarias, incluido el despido.

Control de Documentos

• Versión: 1.0

• Fecha: 3 de febrero de 2024

Propietario de la póliza y fecha de vigencia: El CEO es el titular de la póliza, y el plan entra en vigor el 1 de marzo de 2024.

Propósito: Garantizar que la seguridad de la información se diseñe e implemente dentro del ciclo de desarrollo de aplicaciones y sistemas de información.

Alcance: Se aplica a todas las aplicaciones y sistemas de información de Document360 que sean críticos para el negocio y/o procesen, almacenen o transmitan datos confidenciales.

Principios de seguridad por diseño:

• Minimizar la superficie de ataque.

• Establece impagos seguros.

• Aplica el principio del Privilegio Mínimo.

• Implementa defensa en profundidad.

• Falla de forma segura.

• Evita la seguridad por la oscuridad.

• Mantén la seguridad sencilla.

Principios de privacidad desde el diseño:

• Enfoque proactivo y preventivo.

• La privacidad es la opción predeterminada.

• La privacidad integrada en el diseño.

• Funcionalidad completa sin comprometer la privacidad.

• Seguridad de extremo a extremo.

• Protección completa durante el ciclo de vida.

Entorno de desarrollo: Segregación lógica o física de los entornos: Producción, Prueba/Escenificación, Desarrollo.

Pruebas de aceptación del sistema: Establecer programas y criterios de pruebas de aceptación para nuevos sistemas de información, actualizaciones y nuevas versiones. Completa una lista de verificación de liberación antes de desplegar el código.

Protección de los datos de prueba: Los datos de prueba deben seleccionarse cuidadosamente, protegerlos y controlarse. Los datos confidenciales de los clientes deben protegerse y no utilizarse para pruebas sin permiso explícito.

Procedimientos de Control de Cambios: Asegurarse de que el desarrollo, las pruebas y la implementación de cambios no sean realizados por una sola persona sin aprobación y supervisión.

Control de versiones de software: Todo el software está controlado por versión, con acceso restringido según el rol.

Cumplimiento de las políticas: Se mide a través de informes, auditorías y retroalimentación. El incumplimiento puede conllevar sanciones disciplinarias, hasta e incluyendo el despido.

Propietario de la póliza: El CEO es responsable de la póliza.

Fecha de Vigencia: La póliza entra en vigor el 1 de marzo de 2024.

Objetivo: La política tiene como objetivo establecer y mantener un entorno seguro e inclusivo para todos los miembros del personal.

Alcance: Esta política se aplica a todo el personal en todos los entornos profesionales dentro de la organización.

Cultura: La cultura organizativa promovida por esta política enfatiza el respeto, la colaboración y la consideración entre todos los empleados.

Comportamiento esperado: Se espera que los miembros del personal participen activamente en la creación de un entorno laboral respetuoso y colaborativo.

Conducta inaceptable: Cualquier forma de acoso, violencia, discriminación o conducta inapropiada está estrictamente prohibida.

Política de armas: La política prohíbe la posesión de armas en las instalaciones de la empresa, con consecuencias estrictas en caso de infracciones.

Consecuencias: El incumplimiento de esta política conllevará acciones correctivas inmediatas, incluyendo medidas disciplinarias y la obligación de informar de las infracciones.

Responsabilidad: El CEO tiene la responsabilidad de garantizar que todo el personal cumpla y cumpla con los principios establecidos en esta política.

Propietario de la póliza: El CEO es responsable de la póliza.

Fecha de Vigencia: La póliza entra en vigor el 1 de marzo de 2024.

Propósito: El propósito de esta política es restringir el acceso a la información y los sistemas a personas autorizadas de acuerdo con los objetivos empresariales.

Alcance: Esta política se aplica a todos los sistemas operados por Document360 que gestionan datos confidenciales para empleados y partes externas con acceso a la red.

Resumen de control de acceso y gestión de usuarios:

Identificación de usuarios: Los privilegios de acceso se asignan en función de los roles y competencias específicas requeridas para realizar tareas.

Mantenimiento de la autorización: Todas las asignaciones de acceso privilegiado se documentan y mantienen para garantizar la rendición de cuentas.

Aplicación de medidas de seguridad: La autenticación multifactor (MFA) es obligatoria para el acceso privilegiado y así mejorar la seguridad. Se prohíben los identificadores administrativos genéricos para evitar el uso no autorizado.

Adoptar protocolos: Se conceden permisos de acceso con límite de tiempo para limitar la exposición y reducir riesgos de seguridad.

Registro y auditoría: Todos los inicios de sesión y actividades privilegiadas se registran y auditan para monitorizar posibles accesos o abusos no autorizados.

Opiniones sobre el acceso de usuarios: Las revisiones periódicas aseguran que se mantengan identidades distintas y apropiadas para quienes tienen acceso privilegiado.

Política de Control de Acceso: El acceso está restringido solo a partes autorizadas, asegurando que la información permanezca protegida.

Gestión de contraseñas: Se implementan procedimientos seguros de inicio de sesión y políticas de contraseñas para proteger contra accesos no autorizados.

Provisión de acceso de usuario: Los permisos de acceso se conceden en función de los requisitos empresariales documentados y las necesidades validadas.

Infracciones y Aplicación: Las infracciones de esta política se reportan y están sujetas a medidas de cumplimiento para mantener el cumplimiento y la seguridad.

Propietario de la póliza: El CEO es responsable de la póliza.

Fecha de Vigencia: La póliza entra en vigor el 1 de marzo de 2024.

Propósito: Garantizar que la información sea clasificada, protegida, conservada y eliminada de forma segura según su importancia para la organización.

Alcance: Se aplica a todos los sistemas de datos, información e información de Document360.

Clasificación de datos: Confidencial: Datos altamente sensibles que requieren los niveles de protección más altos. Ejemplos incluyen datos de clientes, PII, finanzas de la empresa, planes estratégicos e informes técnicos.

Restringido: Información confidencial que requiere protección exhaustiva. Clasificación predeterminada para toda la información de la empresa, salvo que se indique lo contrario. Ejemplos incluyen políticas internas, documentos legales, contratos y correos electrónicos.

Público: La información destinada al consumo público y puede distribuirse libremente. Ejemplos incluyen materiales de marketing y descripciones de productos.

Gestión de datos:

Datos confidenciales:

• Acceso restringido a empleados o departamentos específicos.

• Debe estar cifrado en reposo y en tránsito.

• No debe almacenarse en dispositivos personales ni en medios extraíbles.

• Requiere almacenamiento y eliminación seguros.

Datos restringidos:

• Acceso restringido a usuarios con necesidad de saber.

• Requiere la aprobación de la dirección para la transferencia externa.

• El almacenamiento y la eliminación seguros son obligatorios.

Datos públicos: No se requieren controles especiales de protección ni manejo.

Retención y eliminación de datos:

• Los datos se conservan durante todo el tiempo necesario para requisitos empresariales, regulatorios o contractuales.

• Datos confidenciales y restringidos eliminados de forma segura cuando ya no se necesitan.

• PII eliminada o desidentificada cuando ya no se necesita para fines empresariales.

Revisión anual de datos: La dirección revisa anualmente los requisitos de retención de datos para garantizar el cumplimiento de la política.

Requisitos legales: Los datos asociados a retenciones legales o demandas están exentos de los requisitos estándar de la póliza y se conservan según las estipulaciones del asesor legal.

Cumplimiento de las políticas: El cumplimiento se mide a través de informes y auditorías de herramientas empresariales.

Excepciones: Cualquier excepción a la política requiere la aprobación del CEO.

Infracciones y Aplicación: Las infracciones conocidas de la política deben ser reportadas al CEO y pueden conllevar acciones disciplinarias, incluido el despido del empleo.

Propietario de la póliza: El CEO es responsable de la póliza.

Fecha de Vigencia: La póliza entra en vigor el 1 de marzo de 2024.

Propósito y alcance:

• Garantizar el funcionamiento seguro de los sistemas e instalaciones de procesamiento de información.

• Se aplica a todos los sistemas de información críticos de Document360 y entidades de terceros con acceso a la red.

Procedimientos operativos documentados:

Los procedimientos técnicos y administrativos deben estar documentados y accesibles para los usuarios relevantes.

Gestión del cambio:

• Los cambios significativos deben ser documentados, probados, revisados y aprobados antes de su despliegue.

• Los cambios de emergencia requieren revisión y autorización retrospectiva.

Gestión de capacidades:

• Supervisar y ajustar los recursos de procesamiento y el almacenamiento del sistema para cumplir con los requisitos de rendimiento.

• Incluir la capacidad de recursos humanos en la planificación y las evaluaciones anuales de riesgos.

Prevención de fugas de datos:

• Identificar y clasificar la información según la Política de Gestión de Datos.

• Formar a los usuarios en el manejo adecuado de información sensible.

• Utiliza herramientas de Prevención de Pérdidas de Datos (DLP) basadas en la evaluación de riesgos.

Filtrado web:

• Implementa bloqueos de DNS e IP para restringir el acceso a sitios web de riesgo.

• Bloquea sitios web con contenido malicioso o servidores de comando y control salvo que sea necesario para el negocio.

Separación de entornos:

• Segrega estrictamente los entornos de desarrollo, puesta en escena y producción.

• No utilice datos confidenciales de clientes en producción en entornos de desarrollo o pruebas sin aprobación.

Sistemas y configuración de la red:

• Seguir los estándares de configuración y endurecimiento para mantener la seguridad del sistema y la red.

• Revisa anualmente las reglas de configuración de acceso a red de producción.

Protección contra el malware:

• Implementa controles de detección, prevención y recuperación para malware.

• Utiliza software antimalware y de detección de amenazas en todos los endpoints y correos electrónicos de la empresa.

Copia de seguridad de la información: Diseñar e implementar procesos de respaldo para sistemas y datos, asegurando la recuperación de datos del cliente según los SLAs.

Registro y monitorización: Implementa registros y monitorización para detectar y responder a incidentes de seguridad.

Control del software operativo: Gestionar la instalación y uso del software operativo según las normas establecidas.

Inteligencia de amenazas: Recopilar y analizar amenazas a la seguridad de la información para producir inteligencia accionable.

Gestión de vulnerabilidades técnicas: Identificar, evaluar y abordar vulnerabilidades técnicas de manera oportuna.

Restricciones en la instalación de software: Establecer normas para la instalación de software que garantice la seguridad y el cumplimiento.

Consideraciones sobre auditoría de sistemas de información: Planifica y acuerda los requisitos de auditoría para minimizar las interrupciones en los procesos empresariales.

Evaluación y requisitos de seguridad de sistemas: Incluir requisitos de seguridad en la adquisición o cambios significativos en los sistemas.

Enmascaramiento de datos: Implementar técnicas de enmascaramiento de datos para proteger la PII y datos sensibles basándose en la evaluación de riesgos.

Propietario de la Póliza: El CEO es responsable de la Política de Retención de Datos.

Fecha de Vigencia: La póliza entra en vigor el 1 de marzo de 2024.

Propósito: Esta política detalla cómo se almacenan, analizan y eliminan los datos dentro de Document360, garantizando la transparencia y el control del usuario sobre la información retenida.

Alcance: Esta política se aplica a todos los clientes que usan Document360, incluidos proyectos de base de conocimiento pública y privada.

Recogida de datos:

• Para sitios públicos: No se recopilan datos a nivel de usuario.

• Para proyectos privados: recopilamos datos a nivel de usuario, incluyendo la identidad del usuario que envió un prompt, marcas de tiempo y otra información disponible en Document360.

Uso de datos: Document360 almacena todas las indicaciones/preguntas introducidas en el chatbot de IA Eddy para realizar los siguientes análisis:

• Análisis temático: agrupación de preguntas/prompts usando algoritmos internos y APIs de OpenAI.

• Análisis de citas: Identificación de los artículos más citados.

• Métricas: Mostrar métricas de profundidad y rastrear preguntas respondidas frente a sin respuesta.

Personalización: Esta política no es personalizable por el cliente, pero los clientes tienen derecho a solicitar la eliminación de sus datos en cualquier momento durante el periodo del contrato.

Retención y eliminación de datos:

• Todos los datos recopilados se conservan dentro de tu proyecto Document360.

• Los datos se eliminan permanentemente cuando se elimina el proyecto de la base de conocimiento.

• Puedes solicitar la eliminación de estos datos en cualquier momento durante tu contrato con Document360.

Responsabilidad: El CEO es responsable de garantizar la implementación y el cumplimiento de esta política en todas las cuentas y proyectos de los clientes.

Titular de la póliza: Director Senior – Ciencia de Datos.

Fecha de Vigencia: La política entra en vigor el 1 de enero de 2025.

Propósito: Establecer un enfoque sistemático para identificar, evaluar, priorizar y gestionar los riesgos asociados con Eddy AI a lo largo de todo su ciclo de vida.

Componentes clave:

• Evaluación inicial de impacto de IA: Debe completarse una evaluación previa al desarrollo antes de cualquier actividad de desarrollo, cubriendo los casos de uso previstos, posibles daños, probabilidad e impacto del riesgo, identificación de las partes interesadas y estrategias de mitigación.

• Seguimiento continuo de riesgos: Los riesgos se revisan trimestralmente, realizándose evaluaciones exhaustivas anualmente.

• Umbrales de tolerancia al riesgo: Los riesgos se clasifican en cuatro categorías: riesgos inaceptables (prohibido el despliegue), riesgos altos (se requieren controles mejorados), riesgos medios (se aplican controles estándar) y riesgos bajos (solo monitorización).

• Registro de riesgos: Una documentación centralizada de todos los riesgos identificados, medidas de mitigación, riesgos residuales y propiedad designada.

Titular de la póliza: Director Senior – Ciencia de Datos

Fecha de Vigencia: La política entra en vigor el 1 de enero de 2025.

Propósito: Identificar, medir, mitigar y monitorizar continuamente los sesgos dentro de los sistemas de IA Eddy, garantizando un trato justo y equitativo en todos los grupos de usuarios y tipos de contenido.

Categorías de sesgo:

• Sesgo sistémico: El sesgo se origina en grandes modelos de lenguaje (LLMs) de terceros.

• Sesgo computacional/estadístico: Sesgo derivado de elecciones algorítmicas de diseño, métodos de muestreo de datos o las propiedades matemáticas de los modelos subyacentes.

• Sesgo humano-cognitivo: El sesgo se introduce a través de suposiciones, percepciones y procesos de toma de decisiones humanos.

Requisitos para las pruebas de sesgo:

Pre-despliegue

• Análisis de representatividad de contenido: Analiza la base de conocimiento para evaluar el equilibrio de los temas, la profundidad y la diversidad de perspectivas.

• Pruebas de estereotipos: Prueba el sistema usando consultas relacionadas con características protegidas y verifica que la IA se niega de forma constante a reforzar los estereotipos.

• Equidad lingüística: Para bases de conocimiento multilingües, mide y compara la calidad de respuesta entre todos los idiomas soportados.

Monitorización posterior al despliegue

• Mensual: Realizar análisis de preguntas sin respuesta segmentado por tema o grupo de usuarios.

• Trimestral: Realiza una auditoría completa de sesgo utilizando un corpus de pruebas actualizado para evaluar.

• Anualmente: Contrata a un auditor externo para realizar una revisión independiente de sesgos y publicar un informe de transparencia.