Zgodność i podejście CISO

Ramy regulacyjne opisujemy z podziałem na regiony: RODO, DORA i EU AI Act dla Europy; SOC 2, GLBA, SOX, tajemnica zawodowa i rezydencja danych dla USA i rynku globalnego; przepisy oparte na RODO oraz wymogi LGPD dla Ameryki Łacińskiej. To zestawienie konsoliduje wymagania ze stron branżowych. Izolację agentów oraz kontrolę dostępu definiujemy jako jednoznaczne mechanizmy techniczne, gotowe do natychmiastowego audytu.

Diagram ram regulacyjnych regionów zbiegających się w izolację agentów i kontrolę dostępu

Ramy regulacyjne według regionów

Każdy region funkcjonuje w odmiennym otoczeniu prawnym. Poniżej przedstawiamy kluczowe standardy regulacyjne oraz architekturę w Twojej sieci, zaprojektowaną pod kątem ich spełnienia.

USA i rynek globalny

Wersja językowa: /en/ (English).

Kontrole SOC 2 (Trust Services Criteria)

Kryteria Trust Services Criteria, których wymagają klienci korporacyjni oraz ich audytorzy. Architektura w Twojej sieci realizuje poświadczone w raporcie kontrole bezpieczeństwa, dostępności, integralności przetwarzania, poufności i prywatności. Kontrolujesz je bezpośrednio, bez podziału odpowiedzialności typowego dla chmury publicznej.
Wymogi GLBA (Safeguards Rule)

Reguła Safeguards Rule reguluje ochronę niepublicznych informacji finansowych klientów. Dostęp do danych, ich przechowywanie oraz usuwanie odbywają się wewnątrz Twojej sieci, z dala od współdzielonych środowisk chmurowych aktualizowanych według harmonogramu dostawcy.
Kontrole wewnętrzne SOX nad sprawozdawczością finansową

Wymogi kontroli wewnętrznej i sprawozdawczości ładu korporacyjnego dla spółek publicznych. Tajemnica zawodowa oraz rezydencja danych podlegają bezpośredniej weryfikacji przez regulatorów i audytorów wewnątrz Twojej sieci.

UE i Europa Środkowo-Wschodnia

Wersja językowa: /pl/ (Polski).

RODO (GDPR)

Ogólne rozporządzenie o ochronie danych obowiązujące w Unii Europejskiej. Architektura w Twojej sieci gwarantuje, że przetwarzanie, retencja i transfery danych pozostają w wybranej przez Ciebie jurysdykcji, a nie w zewnętrznych regionach dostawców chmury.
DORA (odporność operacyjna)

Rozporządzenie DORA reguluje odporność systemów ICT w sektorze finansowym oraz zarządzanie ryzykiem dostawców zewnętrznych. Dedykowana infrastruktura w Twojej sieci wraz z lokalną telemetrią zapewniają pełną kontrolę operacyjną, której nie daje chmura współdzielona.
EU AI Act (kategoryzacja ryzyka)

Wymogi oparte na klasyfikacji ryzyka, które unijny AI Act nakłada na systemy w prawie, finansach i technologii - od dokumentacji technicznej po stałą ewaluację. Każde wdrożenie planujemy zgodnie z poziomem ryzyka przypisanym do danego przypadku użycia.

Ameryka Łacińska

Wersja językowa: /es/ (Español).

Przepisy wzorowane na RODO

Przepisy o ochronie danych w Ameryce Łacińskiej, w dużej mierze oparte na standardach europejskich. Działanie wewnątrz Twojej sieci gwarantuje pełną zgodność z lokalnymi wymogami rezydencji i przetwarzania danych.
Gotowość LGPD (Brazylia)

Brazylijska ustawa Lei Geral de Proteção de Dados (LGPD) reguluje przetwarzanie danych osobowych podmiotów z Brazylii. Wdrożenie w Twojej sieci zapewnia pełną rezydencję danych i mechanizmy kontrolne wymagane przez LGPD od pierwszego dnia.

Zakres kontroli

Sandboxing agentów i kontrola dostępu

Wymogi prawne wyznaczają ramy, lecz bezpieczeństwo zależy od architektury technicznej. Model kontroli daje CISO gotowy do audytu fundament: agenci AI działają wyłącznie na dedykowanej infrastrukturze w Twojej sieci. Wywołania inferencji oraz akcje narzędzi podlegają ścisłej izolacji. Uprawnienia dostępu precyzyjnie egzekwują regionalne zasady rezydencji danych.

Wdrożenie w Twojej sieci. Wdrożeni agenci działają na dedykowanej infrastrukturze w Twojej sieci, dobranej pod rzeczywiste obciążenie. Żadne wywołanie inferencji ani telemetria agenta nigdy nie opuszczają Twojej sieci.
Izolacja inferencji i akcji narzędzi. Wszystkie wywołania modeli i akcje narzędzi wykonują się wyłącznie w odizolowanym środowisku wewnątrz Twojej sieci. Narzędzia mają ściśle wyznaczone granice wykonawcze, co uniemożliwia agentom przekroczenie przyznanych uprawnień.
Dostęp dopasowany do wymogów regionalnych. Dostęp jest ściśle dopasowany do wymogów kontrolnych i zasad rezydencji danych w danym regionie. Zasada najniższych uprawnień jest egzekwowana na poziomie sieci, a nie za pomocą deklaratywnych etykiet zgodności.

Dalsze kroki

Powyższe zestawienie podsumowuje wymagania regulacyjne z poszczególnych stron branżowych. Na etapie Wdrożenia i walidacji sprawdzamy mechanizmy izolacji oraz kontroli dostępu na rzeczywistej infrastrukturze przed zaangażowaniem kapitału. Poniżej możesz przejść do wymogów branżowych, poznać szczegóły walidacji lub umówić bezpośrednią rozmowę.