Página de confiança da Eddy AI

Objetivo: A política visa garantir o uso adequado e eficaz da criptografia para proteger a confidencialidade, autenticidade e integridade das informações.

Escopo: A política se aplica a todos os sistemas de informação desenvolvidos e/ou controlados pelo Document360 que armazenam ou transmitem dados confidenciais.

Proprietário da Política: O CEO é responsável pela política.

Data de Vigência: A apólice entra em vigor em 1º de março de 2024.

Avaliação de Riscos: O Document360 avalia riscos e implementa controles criptográficos para mitigá-los quando apropriado.

Padrões de Criptografia: Criptografia forte com processos e procedimentos associados de gerenciamento de chaves deve ser implementada e documentada de acordo com os padrões da indústria, incluindo o NIST SP 800-57.

Gerenciamento de chaves: O acesso a chaves e segredos é rigidamente controlado, e há recomendações específicas para o uso de chaves criptográficas, incluindo tipos de chaves, algoritmos e comprimentos de chave para diversos domínios, como certificados web, cifras web e armazenamento de endpoints.

Exceções: Pedidos de exceção à política devem ser submetidos ao CEO para aprovação e devem ser documentados.

Infrações e Fiscalização: Infrações conhecidas devem ser reportadas ao CEO e podem resultar em ação disciplinar, incluindo demissão de emprego.

Dados em Repouso: Dados confidenciais em repouso devem ser criptografados usando criptografia simétrica com bit AES-256 por um período máximo de 1 ano.

Senhas: As senhas devem ser hashadas usando funções hash unidirecionais como Bcrypt, PBKDF2, scrypt ou Argon2, com uma chave de 256 bits e um estiramento de 10K, incluindo um sal e pimenta criptográfico único.

Criptografia de Banco de Dados Vetorial: Embeddings de texto armazenados no MongoDB devem usar criptografia em nível de campo para vetores contendo conteúdo do cliente.

Criptografia por Prompt e Resposta:

• Todos os prompts do usuário devem ser criptografados antes do armazenamento.

• As respostas da IA devem ser criptografadas tanto em trânsito quanto em repouso.

Dados de Terceiros em Trânsito:

• TLS 1.3 é exigido para todas as chamadas de API do OpenAI.

• O fixing de certificados deve ser aplicado para endpoints OpenAI.

• A autenticação TLS mútua é necessária para implantações de alta sensibilidade.

Propósito e Escopo: O documento visa fornecer um plano para gerenciar incidentes e eventos de segurança da informação, abrangendo todos esses ocorrências dentro da empresa.

Definições: Ele esclarece a diferença entre um evento de segurança (um evento observável relevante para a segurança de dados) e um incidente de segurança (um evento que resulta em perda ou dano à segurança dos dados).

Denúncia e Documentação: Os funcionários são instruídos a relatar imediatamente qualquer incidente suspeito usando canais de comunicação específicos, e todos os incidentes devem ser documentados.

Níveis de Gravidade: Os incidentes são categorizados em níveis de gravidade S1 (Crítico), S2 (Alto) e S3/S4 (Médio/Baixo), com diretrizes claras para escalonamento e resposta.

Equipe de Resposta a Incidentes: Gerentes de Engenharia lideram o esforço de resposta a incidentes, com uma "Sala de Guerra" designada para resposta centralizada. Reuniões regulares são realizadas para atualizar o chamado de incidente, documentar indicadores de comprometimento e realizar outras atividades de resposta.

Análise da Causa Raiz: Para incidentes críticos, uma análise da causa raiz é realizada, documentada e revisada pelo Diretor de Engenharia, que decide sobre a necessidade de uma reunião pós-mortem.

Processo de Resposta: O processo de resposta inclui triagem, investigação, contenção, erradicação, recuperação e endurecimento, com foco nas lições aprendidas e melhorias a longo prazo.

Segurança Física: O documento aborda a segurança física dos sistemas afetados, incluindo procedimentos de isolamento e backup.

Determinação e Denúncia de Violação: Somente o Product Owner pode determinar se um incidente constitui uma violação. A empresa deverá notificar prontamente todas as partes relevantes, de acordo com as políticas e requisitos regulatórios.

Comunicações Externas: A empresa coopera com clientes, controladores de dados e autoridades conforme necessário, com a equipe jurídica e executiva determinando a abordagem.

Papéis e Responsabilidades: O documento descreve as responsabilidades específicas dos papéis de respondente a incidentes.

Considerações Especiais: Inclui lidar com problemas internos, comunicações comprometidas e comprometimento de contas root.

Status e Resumo do Incidente: Um modelo detalhado é fornecido para documentar detalhes do incidente, incluindo data, hora, local, pessoal envolvido, tipo de informação envolvida, indicadores de comprometimento, causa raiz e ações tomadas.

Proprietário da Apólice e Data de Vigência: O Product Owner é o titular da apólice, e o plano entra em vigor em 1º de março de 2024.

Categorias de Incidentes Específicas para IA:

S1 - Incidentes Críticos de IA

• Viés sistemático afetando grupos protegidos.

• Jailbreak bem-sucedido em produção, impactando mais de 100 usuários.

• PII expostas por meio de respostas geradas por IA.

• Taxa de alucinação sustentada superior a 5% por uma ou mais horas.

S2 – Incidentes de IA de alto nível

• Bypass de API de moderação detectado.

• Ataque de injeção rápida impactando menos de 100 usuários.

• Deriva do modelo causando degradação da precisão de mais de 10%.

• Taxa de falha em citações superior a 15%.

S3 – Incidentes de IA Média

• Uma única instância de resposta de IA sem fonte.

• Tentativa de fuga no estilo DAN que foi bloqueada com sucesso.

• Latência de resposta anômala superior a 10 segundos.

Objetivo: Estabelecer papéis e responsabilidades claros para proteger sistemas eletrônicos de informação e equipamentos relacionados.

Proprietário da Apólice e Data de Vigência: O CEO é o proprietário da apólice, e o plano entra em vigor em 1º de março de 2024.

Aplicabilidade

• Aplica-se a toda a infraestrutura do Document360, segmentos de rede, sistemas, funcionários e contratados envolvidos em funções de segurança e TI.

Público

• Todos os funcionários e contratados envolvidos no Programa de Segurança da Informação.

• Inclui parceiros, afiliados, funcionários temporários, trainees, convidados e voluntários.

Papéis e Responsabilidades

1. Liderança Executiva:

• Aprova gastos de capital para programas de segurança.

• Supervisiona a execução e comunicação da segurança da informação e gestão de riscos de privacidade.

• Garante conformidade com leis e normas (por exemplo, RGPD, CCPA, SOC 2, ISO 27001).

• Revisa contratos de serviços de fornecedores e supervisiona a gestão de riscos de terceiros.

2. Diretor de Engenharia:

• Supervisiona a segurança da informação no desenvolvimento de software.

• Implementa e monitora os controles de segurança para processos de desenvolvimento e TI.

• Realiza avaliações de riscos de TI e comunica riscos à liderança.

3. VP de Suporte ao Cliente:

• Gerencia ferramentas e processos de segurança da informação em ambientes de clientes.

• Garante conformidade com as políticas de retenção e exclusão de dados.

4. Proprietários do Sistema:

• Manter a confidencialidade, integridade e disponibilidade dos sistemas de informação.

• Aprove solicitações de acesso e alteração para seus sistemas.

5. Funcionários, Contratados, Trabalhadores Temporários:

• Aja com responsabilidade para proteger os recursos de saúde, segurança e informação.

• Identifique áreas para melhorar as práticas de gestão de riscos.

• Relate incidentes e siga as políticas da empresa.

6. Diretor de Pessoas

• Garante que funcionários e contratados sejam qualificados e competentes.

• Supervisiona verificações de antecedentes, apresentação de políticas e cumprimento do Código de Conduta.

• Avalia o desempenho dos funcionários e oferece treinamento em segurança.

Conformidade de Políticas

• Conformidade medida por meio de relatórios, auditorias e feedback.

• Exceções devem ser pré-aprovadas pelo CEO.

• O descumprimento pode levar a ações disciplinares, incluindo demissão.

Controle de Documentos

• Versão: 1.0

• Data: 3 de fevereiro de 2024

Proprietário da Apólice e Data de Vigência: O CEO é o proprietário da apólice, e o plano entra em vigor em 1º de março de 2024.

Propósito: Garantir que a segurança da informação seja projetada e implementada durante o ciclo de vida de desenvolvimento de aplicações e sistemas de informação.

Escopo: Aplica-se a todas as aplicações e sistemas de informação do Document360 que sejam críticos para o negócio e/ou processem, armazenem ou transmitam dados confidenciais.

Princípios de Segurança por Design:

• Minimize a área de superfície de ataque.

• Estabeleça defaults seguros.

• Aplique o princípio do Menor Privilégio.

• Implemente defesa em profundidade.

• Falhe com segurança.

• Evite segurança por obscuridade.

• Mantenha a segurança simples.

Princípios de Privacidade desde o Projeto:

• Abordagem proativa e preventiva.

• Privacidade como configuração padrão.

• Privacidade embutida no design.

• Funcionalidade completa sem comprometer a privacidade.

• Segurança de ponta a ponta.

• Proteção total ao longo do ciclo de vida.

Ambiente de Desenvolvimento: Segregação lógica ou física dos ambientes: Produção, Teste/Encenação, Desenvolvimento.

Testes de Aceitação do Sistema: Estabelecer programas e critérios de testes de aceitação para novos sistemas de informação, atualizações e novas versões. Complete uma Lista de Verificação de Lançamento antes de implantar o código.

Proteção dos Dados de Teste: Os dados de teste devem ser selecionados cuidadosamente, protegidos e controlados. Dados confidenciais dos clientes devem ser protegidos e não usados para testes sem permissão explícita.

Procedimentos de Controle de Mudanças: Garantir que o desenvolvimento, os testes e a implementação das mudanças não sejam realizados por um único indivíduo sem aprovação e supervisão.

Controle de Versão de Software: Todo o software é controlado por versão, com acesso restrito conforme o papel.

Conformidade com as Políticas: Medidas por meio de relatórios, auditorias e feedback. O descumprimento pode resultar em ação disciplinar, até e incluindo demissão.

Proprietário da Política: O CEO é responsável pela política.

Data de Vigência: A apólice entra em vigor em 1º de março de 2024.

Objetivo: A política visa estabelecer e manter um ambiente seguro e inclusivo para todos os funcionários.

Escopo: Esta política se aplica a todos os membros da equipe em todos os ambientes profissionais dentro da organização.

Cultura: A cultura organizacional promovida por esta política enfatiza respeito, colaboração e consideração entre todos os funcionários.

Comportamento Esperado: Espera-se que os membros da equipe participem ativamente da criação de um ambiente de trabalho respeitoso e colaborativo.

Comportamento Inaceitável: Qualquer forma de assédio, violência, discriminação ou conduta inadequada é estritamente proibida.

Política de Armas: A política proíbe a posse de armas nas dependências da empresa, com consequências rigorosas para violações.

Consequências: O descumprimento desta política resultará em ações corretivas imediatas, incluindo medidas disciplinares e a exigência de relatar violações.

Responsabilidade: O CEO é responsável por garantir que todos os membros da equipe cumpram e respeitem os princípios estabelecidos nesta política.

Proprietário da Política: O CEO é responsável pela política.

Data de Vigência: A apólice entra em vigor em 1º de março de 2024.

Propósito: O objetivo desta política é restringir o acesso a informações e sistemas a indivíduos autorizados, de acordo com os objetivos do negócio.

Escopo: Esta política se aplica a todos os sistemas operados pelo Document360 que lidam com dados confidenciais para funcionários e partes externas com acesso à rede.

Resumo do Controle de Acesso e Gestão do Usuário:

Identificando Usuários: Os privilégios de acesso são atribuídos com base em funções específicas e competências necessárias para realizar tarefas.

Mantendo a Autorização: Todas as alocações de acesso privilegiado são documentadas e mantidas para garantir a responsabilização.

Aplicando Medidas de Segurança: A autenticação multifator (MFA) é obrigatória para acesso privilegiado a fim de aumentar a segurança. IDs administrativos genéricos são proibidos para evitar o uso não autorizado.

Adoção de Protocolos: Permissões de acesso com prazo limitado são concedidas para limitar a exposição e reduzir riscos de segurança.

Registro e Auditoria: Todos os logins e atividades privilegiados são registrados e auditados para monitorar possíveis acessos ou usos indevidos não autorizados.

Avaliações de Acesso de Usuários: Revisões regulares garantem que identidades distintas e apropriadas sejam mantidas para aqueles com acesso privilegiado.

Política de Controle de Acesso: O acesso é restrito apenas a partes autorizadas, garantindo que as informações permaneçam protegidas.

Gerenciamento de Senhas: Procedimentos seguros de login e políticas de senhas são implementados para proteger contra acessos não autorizados.

Provisão de Acesso ao Usuário: Permissões de acesso são concedidas com base em requisitos comerciais documentados e necessidades validadas.

Violações e Fiscalização: Violações desta política são relatadas e sujeitas a medidas de fiscalização para manter a conformidade e a segurança.

Proprietário da Política: O CEO é responsável pela política.

Data de Vigência: A apólice entra em vigor em 1º de março de 2024.

Propósito: Garantir que as informações sejam classificadas, protegidas, mantidas e descartadas com segurança de acordo com sua importância para a organização.

Escopo: Aplica-se a todos os dados, informações e sistemas de informação do Document360.

Classificação dos Dados: Confidencial: Dados altamente sensíveis que necessitam dos mais altos níveis de proteção. Exemplos incluem dados de clientes, PII, finanças da empresa, planos estratégicos e relatórios técnicos.

Restrito: Informações proprietárias que exigem proteção completa. Classificação padrão para todas as informações da empresa, salvo indicação em contrário. Exemplos incluem políticas internas, documentos legais, contratos e e-mails.

Público: Informações destinadas ao consumo público e podem ser distribuídas livremente. Exemplos incluem materiais de marketing e descrições de produtos.

Tratamento de dados:

Dados Confidenciais:

• Acesso restrito a funcionários ou departamentos específicos.

• Deve ser criptografado em repouso e em trânsito.

• Não deve ser armazenado em dispositivos pessoais ou mídias removíveis.

• Requer armazenamento e descarte seguros.

Dados Restritos:

• Acesso restrito a usuários com base em necessidade de saber.

• Requer aprovação da administração para transferência externa.

• Armazenamento e descarte seguros são obrigatórios.

Dados Públicos: Não é necessário proteção especial ou controles de manuseio.

Retenção e Descarte de Dados:

• Dados mantidos pelo tempo necessário para exigências comerciais, regulatórias ou contratuais.

• Dados confidenciais e restritos são excluídos com segurança quando não são mais necessários.

• PII excluídas ou desidentificadas quando não são mais necessárias para fins comerciais.

Revisão Anual de Dados: A gestão revisa anualmente os requisitos de retenção de dados para garantir o cumprimento da política.

Requisitos legais: Dados associados a retenções legais ou processos judiciais estão isentos dos requisitos padrão da política e são mantidos conforme as estipulações do advogado.

Conformidade com as Políticas: Conformidade medida por meio de relatórios e auditorias de ferramentas de negócios.

Exceções: Qualquer exceção à política requer aprovação do CEO.

Violações e Fiscalização: Violações conhecidas de políticas devem ser reportadas ao CEO e podem resultar em ações disciplinares, incluindo demissão do emprego.

Proprietário da Política: O CEO é responsável pela política.

Data de Vigência: A apólice entra em vigor em 1º de março de 2024.

Propósito e Escopo:

• Garantir a operação segura dos sistemas e instalações de processamento de informações.

• Aplica-se a todos os sistemas críticos de informação Document360 e entidades terceirizadas com acesso à rede.

Procedimentos Operacionais Documentados:

Os procedimentos técnicos e administrativos devem ser documentados e acessíveis aos usuários relevantes.

Gestão de Mudanças:

• Mudanças significativas devem ser documentadas, testadas, revisadas e aprovadas antes da implantação.

• Mudanças emergenciais exigem revisão retroativa e autorização.

Gestão de Capacidade:

• Monitorar e ajustar os recursos de processamento e o armazenamento do sistema para atender aos requisitos de desempenho.

• Incluir capacidade de recursos humanos no planejamento e nas avaliações anuais de risco.

Prevenção de Vazamento de Dados:

• Identificar e classificar informações conforme a Política de Gerenciamento de Dados.

• Treine os usuários sobre o tratamento adequado de informações sensíveis.

• Use ferramentas de Prevenção à Perda de Dados (DLP) baseadas na avaliação de risco.

Filtragem Web:

• Implemente DNS e bloqueio de IP para restringir o acesso a sites arriscados.

• Bloqueie sites com conteúdo malicioso ou servidores de comando e controle, a menos que seja necessário para negócios.

Separação dos Ambientes:

• Segregue estritamente os ambientes de desenvolvimento, preparação e produção.

• Não use dados confidenciais de clientes em produção em ambientes de desenvolvimento ou testes sem aprovação.

Sistemas e Configuração de Rede:

• Siga os padrões de configuração e reforço para manter a segurança do sistema e da rede.

• Revise as regras de configuração de acesso à rede de produção anualmente.

Proteção contra Malware:

• Implemente controles de detecção, prevenção e recuperação para malware.

• Utilize softwares antimalware e de detecção de ameaças em todos os endpoints e e-mails da empresa.

Backup de Informações: Projetar e implementar processos de backup para sistemas e dados, garantindo a recuperação de dados do cliente conforme os SLAs.

Registro e Monitoramento: Implemente registros e monitoramento para detectar e responder a incidentes de segurança.

Controle do Software Operacional: Gerencie a instalação e o uso de softwares operacionais de acordo com as regras estabelecidas.

Inteligência de Ameaças: Colete e analise ameaças à segurança da informação para produzir inteligência acionável.

Gerenciamento de Vulnerabilidades Técnicas: Identifique, avalie e trate vulnerabilidades técnicas de forma oportuna.

Restrições na Instalação de Software: Estabeleça regras para instalação de software para garantir segurança e conformidade.

Considerações sobre Auditoria de Sistemas de Informação: Planeje e concorde com os requisitos de auditoria para minimizar interrupções nos processos de negócios.

Avaliação e Requisitos de Segurança de Sistemas: Inclua requisitos de segurança na aquisição ou mudanças significativas nos sistemas.

Máscara de dados: Implementar técnicas de mascaramento de dados para proteger PII e dados sensíveis com base na avaliação de risco.

Proprietário da Política: O CEO é responsável pela Política de Retenção de Dados.

Data de Vigência: A apólice entra em vigor em 1º de março de 2024.

Propósito: Esta política descreve como os dados são armazenados, analisados e excluídos dentro do Document360, garantindo transparência e controle do usuário sobre as informações retidas.

Escopo: Esta política se aplica a todos os clientes que utilizam o Document360, incluindo projetos de base de conhecimento públicos e privados.

Coleta de Dados:

• Para sites públicos: Nenhum dado em nível de usuário é coletado.

• Para projetos privados: coletamos dados em nível de usuário, incluindo a identidade do usuário que enviou um prompt, carimbos de data e outras informações disponíveis no Document360.

Uso de Dados: O Document360 armazena todos os prompts/perguntas inseridos no Chatbot de IA Eddy para realizar as seguintes análises:

• Análise Temática: Agrupamento de perguntas/prompts usando algoritmos internos e APIs da OpenAI.

• Análise de Citações: Identificação dos artigos mais citados.

• Métricas: Exibição de métricas de profundidade e acompanhamento de perguntas respondidas vs. não respondidas.

Personalização: Esta política não é personalizável pelo cliente, mas os clientes têm o direito de solicitar a exclusão de seus dados a qualquer momento durante o período do contrato.

Retenção e Exclusão de Dados:

• Todos os dados coletados são mantidos dentro do seu projeto Document360.

• Os dados são deletados permanentemente quando o projeto da base de conhecimento é excluído.

• Você pode solicitar a exclusão desses dados a qualquer momento durante seu contrato com o Document360.

Responsabilidade: O CEO é responsável por garantir a implementação e conformidade dessa política em todas as contas e projetos dos clientes.

Proprietário da Apólice: Diretor Sênior – Ciência de Dados.

Data de Vigência: A política entra em vigor em 1º de janeiro de 2025.

Propósito: Estabelecer uma abordagem sistemática para identificar, avaliar, priorizar e gerenciar riscos associados à Eddy AI ao longo de todo o seu ciclo de vida.

Componentes Chave:

• Avaliação Inicial de Impacto da IA: Uma avaliação pré-desenvolvimento deve ser concluída antes de qualquer atividade de desenvolvimento, abrangendo casos de uso pretendidos, potenciais danos, probabilidade e impacto de risco, identificação de partes interessadas e estratégias de mitigação.

• Monitoramento Contínuo de Riscos: Os riscos são revisados trimestralmente, com avaliações abrangentes realizadas anualmente.

• Limiares de Tolerância ao Risco: Os riscos são classificados em quatro categorias: riscos inaceitáveis (implantação proibida), altos riscos (controles aprimorados necessários), riscos médios (controles padrão aplicados) e riscos baixos (apenas monitoramento).

• Registro de Risco: Uma documentação centralizada de todos os riscos identificados, medidas de mitigação, riscos residuais e propriedade designada.

Proprietário da Apólice: Diretor Sênior – Ciência de Dados

Data de Vigência: A política entra em vigor em 1º de janeiro de 2025.

Propósito: Identificar, medir, mitigar e monitorar continuamente o viés dentro dos sistemas de IA Eddy, garantindo tratamento justo e equitativo em todos os grupos de usuários e tipos de conteúdo.

Categorias de Vieso:

• Viés Sistêmico: O viés originado de grandes modelos de linguagem (LLMs) de terceiros.

• Viés Computacional/Estatístico: Viés decorrente de escolhas de design algorítmico, métodos de amostragem de dados ou das propriedades matemáticas dos modelos subjacentes.

• Viés Humano-Cognitivo: Viés introduzido por meio de suposições, percepções e processos de tomada de decisão humanos.

Requisitos para Testes de Viés:

Pré-Implantação

• Análise de Representatividade de Conteúdo: Analise a base de conhecimento para avaliar o equilíbrio dos temas, a profundidade e a diversidade de perspectivas.

• Teste de Estereótipos: Teste o sistema usando consultas relacionadas a características protegidas e verifique se a IA se recusa consistentemente a reforçar estereótipos.

• Justiça Linguística: Para bases de conhecimento multilíngues, meça e compare a qualidade das respostas entre todos os idiomas suportados.

Monitoramento Pós-Implantação

• Mensalmente: Realize uma análise de perguntas não respondidas segmentada por tema ou grupo de usuários.

• Trimestral: Realize uma auditoria completa de viés usando um corpus de teste atualizado para avaliar.

• Anualmente: Contrate um auditor externo para realizar uma revisão independente de viés e publicar um relatório de transparência.