Página de confianza de Eddy AI

Propósito: La política tiene como objetivo garantizar el uso adecuado y efectivo de la criptografía para proteger la confidencialidad, autenticidad e integridad de la información.

Alcance: La política se aplica a todos los sistemas de información desarrollados y/o controlados por Document360 que almacenan o transmiten datos confidenciales.

Propietario de la póliza: El CEO es responsable de la póliza.

Fecha de vigencia: La póliza entra en vigencia el 1 de marzo de 2024.

Evaluación de riesgos: Document360 evalúa los riesgos e implementa controles criptográficos para mitigarlos cuando corresponda.

Estándares de cifrado: La criptografía sólida con procesos y procedimientos de administración de claves asociados debe implementarse y documentarse de acuerdo con los estándares de la industria, incluido NIST SP 800-57. Tenemos una implementación parcial del Marco de Gestión de Riesgos de IA del NIST.

Administración de claves: el acceso a claves y secretos está estrictamente controlado, y existen recomendaciones específicas para el uso de claves criptográficas, incluidos tipos de claves, algoritmos y longitudes de clave para varios dominios, como certificados web, cifrados web y almacenamiento de puntos de conexión.

Excepciones: Las solicitudes de excepciones a la política deben enviarse al CEO para su aprobación y deben documentarse.

Violaciones y cumplimiento: Las violaciones conocidas deben informarse al CEO y pueden resultar en medidas disciplinarias, incluida la terminación del empleo.

Datos en reposo: Los datos confidenciales en reposo deben cifrarse mediante cifrado simétrico con AES-256 bits durante un período máximo de 1 año.

Contraseñas: Las contraseñas deben ser hash utilizando funciones hash unidireccionales como Bcrypt, PBKDF2, scrypt o Argon2, con una clave de 256 bits y un estiramiento de 10K, incluida una sal y pimienta criptográfica única.

Propósito y alcance: El documento tiene como objetivo proporcionar un plan para gestionar incidentes y eventos de seguridad de la información, que cubra todos estos sucesos dentro de la empresa.

Definiciones: Aclara la diferencia entre un evento de seguridad (un suceso observable relevante para la seguridad de los datos) y un incidente de seguridad (un evento que resulta en pérdida o daño a la seguridad de los datos).

Informes y documentación: Los empleados deben informar cualquier incidente sospechoso de inmediato utilizando canales de comunicación específicos, y todos los incidentes deben documentarse.

Niveles de gravedad: Los incidentes se clasifican en niveles de gravedad S1 (crítico), S2 (alto) y S3/S4 (medio/bajo), con pautas claras para la escalada y la respuesta.

Equipo de respuesta a incidentes: Los gerentes de ingeniería lideran el esfuerzo de respuesta a incidentes, con una "sala de guerra" designada para una respuesta centralizada. Se llevan a cabo reuniones periódicas para actualizar el ticket del incidente, documentar los indicadores de compromiso y realizar otras actividades de respuesta.

Análisis de causa raíz: Para incidentes críticos, el Director de Ingeniería realiza, documenta y revisa un análisis de causa raíz, quien decide sobre la necesidad de una reunión post-mortem.

Proceso de respuesta: El proceso de respuesta incluye triaje, investigación, contención, erradicación, recuperación y endurecimiento, con un enfoque en las lecciones aprendidas y las mejoras a largo plazo.

Seguridad física: El documento aborda la seguridad física de los sistemas afectados, incluidos los procedimientos de aislamiento y copia de seguridad.

Determinación e informes de infracciones: Solo el propietario del producto puede determinar si un incidente constituye una infracción. La empresa notificará de inmediato a todas las partes relevantes de acuerdo con las políticas y los requisitos reglamentarios.

Comunicaciones externas: La empresa coopera con los clientes, los controladores de datos y las autoridades según sea necesario, y el personal legal y ejecutivo determina el enfoque.

Roles y responsabilidades: El documento describe las responsabilidades específicas de los roles de respuesta a incidentes.

Consideraciones especiales: Incluye el manejo de problemas internos, comunicaciones comprometidas y compromisos de cuentas raíz.

Estado y resumen del incidente: Se proporciona una plantilla detallada para documentar los detalles del incidente, incluida la fecha, la hora, la ubicación, el personal involucrado, el tipo de información involucrada, los indicadores de compromiso, la causa raíz y las acciones tomadas.

Propietario de la póliza y fecha de vigencia: El propietario del producto es el propietario de la póliza y el plan entra en vigencia el 1 de marzo de 2024.

Objetivo: Establecer funciones y responsabilidades claras para proteger los sistemas de información electrónica y el equipo conexo.

Propietario de la póliza y fecha de vigencia: El CEO es el propietario de la póliza y el plan entra en vigencia el 1 de marzo de 2024.

Aplicabilidad

• Se aplica a toda la infraestructura, segmentos de red, sistemas, empleados y contratistas de Document360 involucrados en funciones de seguridad y TI.

Audiencia

• Todos los empleados y contratistas involucrados en el Programa de Seguridad de la Información.

• Incluye socios, afiliados, empleados temporales, aprendices, invitados y voluntarios.

Funciones y responsabilidades

1. Liderazgo ejecutivo:

• Aprueba los gastos de capital para programas de seguridad.

• Supervisa la ejecución y comunicación de la gestión de riesgos de seguridad y privacidad de la información.

• Garantiza el cumplimiento de las leyes y normas (por ejemplo, GDPR, CCPA, SOC 2, ISO 27001).

• Revisa los contratos de servicio de los proveedores y supervisa la gestión de riesgos de terceros.

2. Director de Ingeniería:

• Supervisa la seguridad de la información en el desarrollo de software.

• Implementa y monitorea controles de seguridad para procesos de desarrollo y TI.

• Realiza evaluaciones de riesgos de TI y comunica los riesgos a los líderes.

3. Vicepresidente de Atención al Cliente:

• Gestiona herramientas y procesos de seguridad de la información en entornos de clientes.

• Garantiza el cumplimiento de las políticas de retención y eliminación de datos.

4. Propietarios del sistema:

• Mantener la confidencialidad, integridad y disponibilidad de los sistemas de información.

• Aprobar solicitudes de acceso y cambio para sus sistemas.

5. Empleados, contratistas, trabajadores temporales:

• Actuar de manera responsable para proteger la salud, la seguridad y los recursos de información.

• Identificar áreas para mejorar las prácticas de gestión de riesgos.

• Informe incidentes y cumpla con las políticas de la empresa.

6. Director de Personal

• Garantiza que los empleados y contratistas estén calificados y sean competentes.

• Supervisa las verificaciones de antecedentes, la presentación de políticas y el cumplimiento del Código de Conducta.

• Evalúa el desempeño de los empleados y brinda capacitación en seguridad.

Cumplimiento de políticas

• Cumplimiento medido a través de informes, auditorías y comentarios.

• Las excepciones deben ser aprobadas previamente por el CEO.

• El incumplimiento puede dar lugar a acciones disciplinarias, incluido el despido.

Control de documentos

• Versión: 1.0

• Fecha: 3 de febrero de 2024

Propietario de la póliza y fecha de vigencia: El CEO es el propietario de la póliza y el plan entra en vigencia el 1 de marzo de 2024.

Propósito: Garantizar que la seguridad de la información se diseñe e implemente dentro del ciclo de vida de desarrollo de aplicaciones y sistemas de información.

Alcance: Se aplica a todas las aplicaciones y sistemas de información de Document360 que son críticos para el negocio y/o procesan, almacenan o transmiten datos confidenciales.

Principios de seguridad por diseño:

• Minimice el área expuesta a ataques.

• Establezca valores predeterminados seguros.

• Aplicar el principio de privilegio mínimo.

• Implemente la defensa en profundidad.

• Fallar de forma segura.

• Evite la seguridad por oscuridad.

• Mantenga la seguridad simple.

Principios de privacidad por diseño:

• Enfoque proactivo y preventivo.

• Privacidad como configuración predeterminada.

• Privacidad integrada en el diseño.

• Funcionalidad completa sin comprometer la privacidad.

• Seguridad de extremo a extremo.

• Protección completa del ciclo de vida.

Entorno de desarrollo: Segregación lógica o física de entornos: Producción, Test/Staging, Desarrollo.

Pruebas de aceptación del sistema: Establecer programas y criterios de pruebas de aceptación para nuevos sistemas de información, actualizaciones y nuevas versiones. Complete una lista de comprobación de versión antes de implementar el código.

Protección de los datos de prueba: Los datos de prueba deben seleccionarse, protegerse y controlarse cuidadosamente. Los datos confidenciales de los clientes deben protegerse y no utilizarse para pruebas sin permiso explícito.

Procedimientos de control de cambios: Asegúrese de que el desarrollo, las pruebas y la implementación de los cambios no sean realizados por una sola persona sin aprobación y supervisión.

Control de versiones de software: Todo el software está controlado por versiones, con acceso restringido según el rol.

Cumplimiento de políticas: Medido a través de informes, auditorías y comentarios. El incumplimiento puede resultar en medidas disciplinarias, que pueden incluir el despido.

Propietario de la póliza: El CEO es responsable de la póliza.

Fecha de vigencia: La póliza entra en vigencia el 1 de marzo de 2024.

Propósito: La política tiene como objetivo establecer y mantener un entorno seguro e inclusivo para todos los miembros del personal.

Alcance: esta política se aplica a todos los miembros del personal en todos los entornos profesionales dentro de la organización.

Cultura: La cultura organizacional promovida por esta política enfatiza el respeto, la colaboración y la consideración entre todos los empleados.

Comportamiento esperado: Se espera que los miembros del personal participen activamente en la creación de un entorno de trabajo respetuoso y colaborativo.

Comportamiento inaceptable: Cualquier forma de acoso, violencia, discriminación o conducta inapropiada está estrictamente prohibida.

Política de armas: La política prohíbe la posesión de armas en las instalaciones de la empresa, con estrictas consecuencias para las violaciones.

Consecuencias: El incumplimiento de esta política dará lugar a acciones correctivas inmediatas, incluidas medidas disciplinarias y el requisito de informar infracciones.

Responsabilidad: El CEO tiene la responsabilidad de garantizar que todos los miembros del personal se adhieran y defiendan los principios descritos en esta política.

Propietario de la póliza: El CEO es responsable de la póliza.

Fecha de vigencia: La póliza entra en vigencia el 1 de marzo de 2024.

Propósito: El propósito de esta política es restringir el acceso a la información y los sistemas a las personas autorizadas de acuerdo con los objetivos comerciales.

Alcance: Esta política se aplica a todos los sistemas operados por Document360 que manejan datos confidenciales para empleados y partes externas con acceso a la red.

Resumen de control de acceso y gestión de usuarios:

Identificación de usuarios: Los privilegios de acceso se asignan en función de los roles de trabajo específicos y las competencias necesarias para realizar tareas.

Actualización de la autorización: Todas las asignaciones de acceso privilegiado se documentan y mantienen para garantizar la rendición de cuentas.

Aplicación de medidas de seguridad: La autenticación multifactor (MFA) es obligatoria para el acceso privilegiado para mejorar la seguridad. Los identificadores administrativos genéricos están prohibidos para evitar el uso no autorizado.

Adopción de protocolos: Se conceden permisos de acceso con límite de tiempo para limitar la exposición y reducir los riesgos de seguridad.

Registro y auditoría: Todos los inicios de sesión y actividades privilegiados se registran y auditan para monitorear el acceso no autorizado o el uso indebido.

Reseñas de acceso de usuarios: Las revisiones periódicas garantizan que se mantengan identidades distintas y apropiadas para aquellos con acceso privilegiado.

Política de control de acceso: El acceso está restringido solo a partes autorizadas, lo que garantiza que la información permanezca protegida.

Administración de contraseñas: se implementan procedimientos de inicio de sesión seguros y políticas de contraseñas para protegerse contra el acceso no autorizado.

Aprovisionamiento de acceso de usuario: Los permisos de acceso se otorgan en función de los requisitos comerciales documentados y las necesidades validadas.

Violaciones y aplicación: Las infracciones de esta política se informan y están sujetas a medidas de cumplimiento para mantener el cumplimiento y la seguridad.

Propietario de la póliza: El CEO es responsable de la póliza.

Fecha de vigencia: La póliza entra en vigencia el 1 de marzo de 2024.

Propósito: Garantizar que la información se clasifique, proteja, retenga y elimine de forma segura en función de su importancia para la organización.

Alcance: Se aplica a todos los datos, información y sistemas de información de Document360.

Clasificación de datos: Confidencial: datos altamente confidenciales que necesitan los más altos niveles de protección. Los ejemplos incluyen datos de clientes, PII, finanzas de la empresa, planes estratégicos e informes técnicos.

Restringido: Información patentada que requiere una protección exhaustiva. Clasificación predeterminada para toda la información de la empresa a menos que se indique lo contrario. Los ejemplos incluyen políticas internas, documentos legales, contratos y correos electrónicos.

Público: Información destinada al consumo público y que puede distribuirse libremente. Los ejemplos incluyen materiales de marketing y descripciones de productos.

Manejo de datos:

Datos confidenciales:

• Acceso restringido a empleados o departamentos específicos.

• Debe estar encriptado en reposo y en tránsito.

• No debe almacenarse en dispositivos personales ni en medios extraíbles.

• Requiere almacenamiento y eliminación seguros.

Datos restringidos:

• Acceso restringido a usuarios con necesidad de saber.

• Requiere la aprobación de la dirección para la transferencia externa.

• El almacenamiento y la eliminación seguros son obligatorios.

Datos públicos: No se requieren controles especiales de protección o manipulación.

Retención y eliminación de datos:

• Datos conservados durante el tiempo que sea necesario para requisitos comerciales, reglamentarios o contractuales.

• Datos confidenciales y restringidos eliminados de forma segura cuando ya no se necesitan.

• PII eliminada o anonimizada cuando ya no sea necesaria para fines comerciales.

Revisión anual de datos: La gerencia revisa los requisitos de retención de datos anualmente para garantizar el cumplimiento de la política.

Requisitos legales: Los datos asociados con retenciones legales o demandas están exentos de los requisitos estándar de la póliza y se conservan según las estipulaciones del asesor legal.

Cumplimiento de políticas: Cumplimiento medido a través de informes y auditorías de herramientas comerciales.

Excepciones: Cualquier excepción a la política requiere la aprobación del CEO.

Violaciones y aplicación: Las violaciones conocidas de las políticas deben informarse al CEO y pueden resultar en acciones disciplinarias, incluida la terminación del empleo.

Propietario de la póliza: El CEO es responsable de la póliza.

Fecha de vigencia: La póliza entra en vigencia el 1 de marzo de 2024.

Propósito y alcance:

• Garantizar el funcionamiento seguro de los sistemas e instalaciones de procesamiento de información.

• Se aplica a todos los sistemas de información críticos de Document360 y a las entidades de terceros con acceso a la red.

Procedimientos operativos documentados:

Los procedimientos técnicos y administrativos deben estar documentados y ser accesibles para los usuarios pertinentes.

Gestión del cambio:

• Los cambios significativos deben documentarse, probarse, revisarse y aprobarse antes de la implementación.

• Los cambios de emergencia requieren una revisión y autorización retrospectiva.

Gestión de la capacidad:

• Supervise y ajuste los recursos de procesamiento y el almacenamiento del sistema para cumplir con los requisitos de rendimiento.

• Incluir la capacidad de los recursos humanos en la planificación y las evaluaciones anuales de riesgos.

Prevención de fugas de datos:

• Identificar y clasificar la información según la Política de gestión de datos.

• Capacitar a los usuarios sobre el manejo adecuado de la información confidencial.

• Utilice herramientas de prevención de pérdida de datos (DLP) basadas en la evaluación de riesgos.

Filtrado web:

• Implemente el bloqueo de DNS e IP para restringir el acceso a sitios web riesgosos.

• Bloquee sitios web con contenido malicioso o servidores de comando y control a menos que sea necesario para el negocio.

Separación de ambientes:

• Segregar estrictamente los entornos de desarrollo, ensayo y producción.

• No utilice datos confidenciales de clientes de producción en entornos de desarrollo o prueba sin aprobación.

Configuración de sistemas y redes:

• Siga los estándares de configuración y refuerzo para mantener la seguridad del sistema y la red.

• Revise las reglas de configuración de acceso a la red de producción anualmente.

Protección contra malware:

• Implemente controles de detección, prevención y recuperación de malware.

• Utilice software antimalware y de detección de amenazas en todos los puntos finales y correos electrónicos de la empresa.

Copia de seguridad de la información: Diseñe e implemente procesos de copia de seguridad para sistemas y datos, asegurando la recuperación de datos del cliente según los SLA.

Registro y monitoreo: Implemente el registro y la supervisión para detectar y responder a incidentes de seguridad.

Control del software operativo: Gestionar la instalación y el uso del software operativo de acuerdo con las reglas establecidas.

Inteligencia de amenazas: Recopile y analice las amenazas a la seguridad de la información para producir inteligencia procesable.

Gestión técnica de vulnerabilidades: Identificar, evaluar y abordar las vulnerabilidades técnicas de manera oportuna.

Restricciones en la instalación de software: Establezca reglas para la instalación de software para garantizar la seguridad y el cumplimiento.

Consideraciones de auditoría de sistemas de información: Planifique y acuerde los requisitos de auditoría para minimizar las interrupciones en los procesos comerciales.

Evaluación y requisitos de seguridad de los sistemas: Incluir requisitos de seguridad en la adquisición o cambios significativos en los sistemas.

Enmascaramiento de datos: Implemente técnicas de enmascaramiento de datos para proteger la PII y los datos confidenciales en función de la evaluación de riesgos.

Propietario de la política: El CEO es responsable de la política de retención de datos.

Fecha de vigencia: La póliza entra en vigencia el 1 de marzo de 2024.

Propósito: Esta política describe cómo se almacenan, analizan y eliminan los datos dentro de Document360, lo que garantiza la transparencia y el control del usuario sobre la información retenida.

Ámbito: esta directiva se aplica a todos los clientes que utilizan Document360, incluidos los proyectos de bases de conocimiento públicos y privados.

Recopilación de datos:

• Para sitios públicos: no se recopilan datos de nivel de usuario.

• Para proyectos privados: Recopilamos datos a nivel de usuario, incluida la identidad del usuario que envía un mensaje, marcas de tiempo y otra información del usuario disponible en Document360.

Uso de datos: Document360 almacena todas las indicaciones/preguntas introducidas en el chatbot de Eddy AI para realizar los siguientes análisis:

• Análisis temático: Agrupación de preguntas/indicaciones utilizando algoritmos internos y API de OpenAI.

• Análisis de citas: Identificación de los artículos más citados.

• Métricas: Mostrar métricas de profundidad y hacer un seguimiento de las preguntas respondidas frente a las no respondidas.

Personalización: Esta política no es personalizable por el cliente, pero los clientes tienen derecho a solicitar la eliminación de sus datos en cualquier momento durante el período del contrato.

Retención y eliminación de datos:

• Todos los datos recopilados se conservan dentro de su proyecto de Document360.

• Los datos se eliminan permanentemente cuando se elimina el proyecto de Knowledge Base.

• Puede solicitar la eliminación de estos datos en cualquier momento durante su contrato con Document360.

Responsabilidad: El CEO es responsable de garantizar la implementación y el cumplimiento de esta política en todas las cuentas y proyectos de los clientes.