Zgodność i podejście CISO

Ramy regulacyjne opisujemy z podziałem na regiony: RODO, DORA i EU AI Act dla Europy; SOC 2, GLBA, SOX, tajemnica zawodowa i rezydencja danych dla USA i rynku globalnego; przepisy oparte na RODO oraz wymogi LGPD dla Ameryki Łacińskiej. To zestawienie konsoliduje wymagania ze stron branżowych. Izolację agentów oraz kontrolę dostępu definiujemy jako jednoznaczne mechanizmy techniczne, gotowe do natychmiastowego audytu.

Diagram ram regulacyjnych regionów zbiegających się w izolację agentów i kontrolę dostępu

Ramy regulacyjne według regionów

Każdy region funkcjonuje w odmiennym otoczeniu prawnym. Poniżej przedstawiamy kluczowe standardy regulacyjne oraz architekturę w Twojej sieci, zaprojektowaną pod kątem ich spełnienia.

USA i rynek globalny

Wersja językowa: /en/ (English).

Kontrole SOC 2 (Trust Services Criteria)

Kryteria Trust Services Criteria, których wymagają klienci korporacyjni oraz ich audytorzy. Architektura w Twojej sieci realizuje poświadczone w raporcie kontrole bezpieczeństwa, dostępności, integralności przetwarzania, poufności i prywatności. Kontrolujesz je bezpośrednio, bez podziału odpowiedzialności typowego dla chmury publicznej.
Wymogi GLBA (Safeguards Rule)

Reguła Safeguards Rule reguluje ochronę niepublicznych informacji finansowych klientów. Dostęp do danych, ich przechowywanie oraz usuwanie odbywają się wewnątrz Twojej sieci, z dala od współdzielonych środowisk chmurowych aktualizowanych według harmonogramu dostawcy.
Kontrole wewnętrzne SOX nad sprawozdawczością finansową

Wymogi kontroli wewnętrznej i sprawozdawczości ładu korporacyjnego dla spółek publicznych. Tajemnica zawodowa oraz rezydencja danych podlegają bezpośredniej weryfikacji przez regulatorów i audytorów wewnątrz Twojej sieci.

UE i Europa Środkowo-Wschodnia

Wersja językowa: /pl/ (Polski).

RODO (GDPR)

Ogólne rozporządzenie o ochronie danych obowiązujące w Unii Europejskiej. Architektura w Twojej sieci utrzymuje przetwarzanie, retencję i transfery danych w wybranej przez Ciebie jurysdykcji, a nie w zewnętrznych regionach dostawców chmury.
DORA (odporność operacyjna)

Rozporządzenie DORA reguluje odporność systemów ICT w sektorze finansowym oraz zarządzanie ryzykiem dostawców zewnętrznych. Dedykowana infrastruktura w Twojej sieci wraz z lokalną telemetrią daje Ci bezpośrednią kontrolę operacyjną. Przetwarzanie i telemetria domyślnie pozostają w Twojej sieci, a każde połączenie zewnętrzne to jawna konfiguracja, którą ustawia Twój zespół i może ją w każdej chwili cofnąć.
EU AI Act (kategoryzacja ryzyka)

Wymogi oparte na klasyfikacji ryzyka, które unijny AI Act nakłada na systemy w prawie, finansach i technologii - od dokumentacji technicznej po stałą ewaluację. Każde wdrożenie planujemy zgodnie z poziomem ryzyka przypisanym do danego przypadku użycia.

Ameryka Łacińska

Wersja językowa: /es/ (Español).

Przepisy wzorowane na RODO

Przepisy o ochronie danych w Ameryce Łacińskiej, w dużej mierze oparte na standardach europejskich. Działanie wewnątrz Twojej sieci utrzymuje przetwarzanie i przechowywanie danych w wybranej przez Ciebie jurysdykcji, a to właśnie sprawdzają lokalne wymogi rezydencji i przetwarzania danych.
Gotowość LGPD (Brazylia)

Brazylijska ustawa Lei Geral de Proteção de Dados (LGPD) reguluje przetwarzanie danych osobowych podmiotów z Brazylii. Wdrożenie w Twojej sieci utrzymuje rezydencję danych i mechanizmy kontrolne wewnątrz niej, wspierając Twoje podejście do LGPD od pierwszego dnia.

Zakres kontroli

Sandboxing agentów i kontrola dostępu

Wymogi prawne wyznaczają ramy, lecz bezpieczeństwo zależy od architektury technicznej. Model kontroli daje CISO gotowy do audytu fundament: agenci AI działają wyłącznie na dedykowanej infrastrukturze w Twojej sieci. Wywołania inferencji oraz akcje narzędzi podlegają ścisłej izolacji. Uprawnienia dostępu precyzyjnie egzekwują regionalne zasady rezydencji danych.

Domyślnie w Twojej sieci. W standardowej konfiguracji nic z tego, co przetwarza system, nie opuszcza Twojej sieci: wywołania modeli, akcje narzędzi i telemetria pozostają wewnątrz. Jeśli wdrożenie ma korzystać z usługi zewnętrznej, takie połączenie to jawna konfiguracja, którą ustawia Twój zespół i może ją w każdej chwili cofnąć - a brama zapisuje każde wywołanie, które przenosi.
Izolacja inferencji i akcji narzędzi. Wszystkie wywołania modeli i akcje narzędzi wykonują się wyłącznie w odizolowanym środowisku wewnątrz Twojej sieci. Narzędzia mają ściśle wyznaczone granice wykonawcze, co uniemożliwia agentom przekroczenie przyznanych uprawnień.
Dostęp dopasowany do wymogów regionalnych. Dostęp jest ściśle dopasowany do wymogów kontrolnych i zasad rezydencji danych w danym regionie. Zasada najniższych uprawnień jest egzekwowana na poziomie sieci, a nie za pomocą deklaratywnych etykiet zgodności.

Ścieżka każdego żądania

Domyślnie każde żądanie zostaje w Twojej sieci: biegnie od Twojej stacji roboczej do serwera inferencji i z powrotem, a granica sieci pozostaje zamknięta. To ścieżka po prawej stronie. Ścieżka po lewej to wyjątek, który można skonfigurować: żądanie przekracza granicę Twojej sieci do publicznego regionu chmury i wraca, a każde takie przekroczenie wynika z jawnej konfiguracji, którą ustawia Twój zespół i może ją w każdej chwili cofnąć.

Diagram dwóch ścieżek żądania. Lewa ścieżka przekracza granicę Twojej sieci do publicznego regionu chmury i wraca, a wyjście poza sieć zaznacza kreślarski krzyżyk. Prawa ścieżka biegnie wewnątrz nieprzerwanej granicy sieci, od stacji roboczej do serwera w Twojej sieci.

Dalsze kroki

Powyższe zestawienie podsumowuje wymagania regulacyjne z poszczególnych stron branżowych. Na etapie Wdrożenia i walidacji sprawdzamy mechanizmy izolacji oraz kontroli dostępu na rzeczywistej infrastrukturze przed zaangażowaniem kapitału. Poniżej możesz przejść do wymogów branżowych, poznać szczegóły walidacji lub umówić bezpośrednią rozmowę.