Cuatro temas
Dónde se aplican los principios: agentes sin deriva, controles estrictos, cumplimiento como automatización y datos dentro de límites.
Operar agentes sin deriva
Dividir los agentes de programación autónomos en cuatro bucles separados, cada uno con reglas de progreso medibles.
- El trabajo se entrega rama por rama: revisión independiente, un análisis automático que bloquea los datos de la organización y una fusión aprobada por el responsable.
- Los revisores quedan vinculados al commit exacto; los trabajos pesados se ejecutan de uno en uno.
- Un repositorio núcleo compartido con instancias por organización.
Leer: El patrón de los cuatro bucles ↗ Proyectos relacionados →
Primero los controles estrictos
El aislamiento en sandbox y las credenciales limitadas protegen más que las instrucciones o los archivos de indicaciones.
- Gobierne a los agentes de IA como a operadores capaces pero falibles.
- El diseño de un agente de host pequeño y sin modelo: ejecutaría solo comandos de la lista de permitidos sobre git, con mensajes firmados y sin puerto de entrada.
Leer: Primero los controles estrictos ↗ Proyectos relacionados →
Cumplimiento como automatización
Las operaciones del SGSI, los registros de riesgos y las tareas de seguridad pueden funcionar como automatización en lugar de hojas de cálculo.
- Programas de ISO 27001 y SOC 2: auditorías y análisis de brechas.
- Un marco GRC jerárquico sobre la CSA Cloud Controls Matrix, con correspondencia automatizada de controles y flujos de tareas para auditorías del SGSI.
- Preparación para la Ley de Ciberresiliencia de la UE y la Ley de IA.
Rutas de implementación: SOC 2 e ISO 27001 → Trabaje conmigo →
Datos dentro de límites
Obtener, mediante una sesión de navegador autenticada, datos que un usuario ya puede ver cuando las API oficiales o las exportaciones se quedan cortas, con los límites legales, contractuales y de seguridad expuestos con claridad.
- Análisis y presentación visual en SQL, Python y BI para informes de controles y riesgos.
Web semántica y grafos de conocimiento
El conocimiento, los requisitos y la evidencia se guardan mejor como un grafo de afirmaciones enlazadas, donde cada enlace indica su grado de fiabilidad.
- Las afirmaciones son nodos y los pasos entre ellas son aristas; la confianza crece cuando rutas independientes coinciden, no cuando se repite una sola fuente.
- Conectar dos modelos sin imponer un vocabulario común: cada modelo se describe a sí mismo y cada enlace declarado con otro modelo es un objeto explícito y comprobable.
- Dividir una definición en unas pocas relaciones básicas, de modo que se vea que «presidente» y «gerente de la empresa» comparten una misma estructura.
Leer: Cumplimiento como grafo, no como hoja de cálculo Proyectos relacionados →
Linaje de datos y confianza
La cifra de un panel es el final de una cadena de pasos, por lo que merece las mismas comprobaciones de evidencia que una afirmación de cumplimiento.
- Cada columna o métrica derivada se trata como una afirmación, con una puntuación de confianza calculada a partir de aquello de lo que deriva.
- Las definiciones y las traducciones entre modelos llevan una fecha indicada, de modo que una definición modificada obliga a una revisión en lugar de heredarse en silencio.
- Una forma de incorporar un sistema desconocido, como una API u otro agente: partir de una plantilla genérica, completarla mediante consultas y modificarla con seguimiento de cambios.
Son especificaciones y ejemplos desarrollados, no resultados validados.