SOC 2 Cumplimiento con IA
SOC 2 Cumplimiento con IA para Organizaciones impulsadas por la confianza
Las herramientas de IA que procesan datos de clientes, generan resultados utilizados en decisiones empresariales y acceden a información confidencial pueden socavar tus controles SOC 2 . Aona descubre el uso de IA en endpoints cubiertos, aplica políticas configuradas a interacciones soportadas y proporciona pruebas de uso de apoyo para tu revisión de control.
- Visibilidad en el uso de la IA
- Endpoint
- controles de IA compatibles
- Policy-led
- Evidencia para revisión de control
- Usage
- Herramientas de IA en el catálogo de riesgos
- 10,000+
Lo que SOC 2 requiere para las herramientas de IA
Los Criterios de Servicios de Confianza SOC 2 se aplican a todos los sistemas que procesan datos dentro del alcance, incluidas las herramientas de IA que tus empleados adoptaron la semana pasada.
Security (CC6/CC7)Criterios comunesControles de acceso y monitorización de IA
Los criterios de seguridad requieren controles lógicos de acceso sobre la información y los sistemas. Esto se extiende a las herramientas de IA que acceden, procesan o almacenan datos dentro del alcance. Las organizaciones deben implementar controles de acceso para las herramientas de IA, monitorizar el uso de la IA para acceder no autorizado y garantizar que los servicios de IA cumplan con los mismos estándares de seguridad que otros sistemas dentro del alcance.
AvailabilityServicios fiduciariosFiabilidad y redundancia de sistemas de IA
Cuando los procesos de negocio dependen de herramientas de IA, los criterios de Disponibilidad exigen que estas herramientas cumplan con compromisos de servicio definidos. Las organizaciones deben evaluar si los procesos dependientes de la IA cuentan con redundancia, capacidades de fallo y procedimientos de respuesta a incidentes adecuados, especialmente para herramientas de IA integradas en flujos de trabajo orientados al cliente.
Integridad de procesamientoServicios fiduciariosPrecisión y completitud de la salida de la IA
La Integridad del Procesamiento requiere que el procesamiento del sistema sea completo, válido, preciso, oportuno y autorizado. Las herramientas de IA que generan resultados utilizados en decisiones empresariales, entregables de clientes o informes financieros deben ser validadas para garantizar su exactitud. Las organizaciones deben implementar controles para verificar las salidas de la IA y abordar el riesgo de alucinaciones o inexactitudes de la IA.
ConfidentialityServicios fiduciariosManejo y Protección de Datos por IA
Los criterios de confidencialidad exigen la protección de la información designada como confidencial. Cuando los empleados comparten datos de clientes, información propietaria o secretos comerciales con herramientas de IA, se pueden vulnerar los compromisos de confidencialidad. Las organizaciones deben controlar qué datos llegan a las herramientas de IA y asegurarse de que los proveedores de IA proporcionen las protecciones de confidencialidad adecuadas.
PrivacyServicios fiduciariosIA y Procesamiento de Datos Personales
Los criterios de privacidad abordan cómo se recopila, utiliza, retiene, divulga y elimina la información personal. Las herramientas de IA que procesan datos personales deben cumplir con los compromisos de privacidad de la organización. Esto incluye garantizar que los proveedores de IA cumplan con los requisitos de privacidad, limitar los datos personales compartidos con herramientas de IA y mantener registros de las actividades de procesamiento de IA que involucren datos personales.
El problema de la IA en las sombras para SOC 2
La IA en la sombra es la amenaza de más rápido crecimiento para el cumplimiento SOC 2. Las herramientas de IA adoptadas sin gobernanza crean flujos de datos no controlados que los auditores identificarán.
Herramientas de IA no aprobadas con datos de clientes
Usar una herramienta de IA con datos de clientes puede incumplir compromisos de confidencialidad o seguridad cuando ese uso entre en conflicto con las políticas, los contratos o los controles seleccionados por la organización. Antes de aprobarla, revisa el servicio, la cuenta, los controles de acceso y los ajustes de conservación concretos en relación con el alcance de tu sistema y tus compromisos.
Proveedores de IA sin informes de SOC 2
Muchos proveedores de IA, incluidas las herramientas populares de IA de productividad, no disponen de informes SOC 2 Tipo II. Utilizar estos proveedores para datos dentro del alcance sin la debida diligencia adecuada genera un riesgo para el proveedor que los auditores señalarán. Tus obligaciones SOC 2 se extienden a tus organizaciones de subservicios.
Pérdidas de Auditorías de IA
SOC 2 requiere monitorización y registro del acceso a datos dentro del alcance. Las herramientas de IA utilizadas fuera de la gobernanza de TI suelen carecer del rastro de auditoría SOC 2 esperan los auditores. Sin registros de qué datos se compartieron con la IA y por quién, las organizaciones no pueden demostrar la efectividad del control.
Aona en la práctica
Del requisito al control práctico
Vincula los controles del uso de IA por los empleados con las evidencias que necesitan los responsables de los controles y tu auditor.
Seguridad y confidencialidad → controles de datosHaz cumplir una regla sobre el envío de datos a la IA
- El requisito
- Selecciona controles que protejan la información y los sistemas de acuerdo con tus compromisos y los criterios de servicios de confianza aplicables.
- Qué aporta Aona
- Configura restricciones para las herramientas compatibles y bloquea u oculta los datos sensibles detectados en las entradas de IA compatibles.
- Evidencias que revisar
- Conserva la descripción aprobada del control, la configuración de las políticas y las muestras de eventos junto con los resultados de las pruebas con datos sintéticos.
- Responsabilidad de tu organización
- Define con tu auditor el alcance, los responsables y las excepciones. Prueba el control en la población pertinente y durante el período de examen.
Seguimiento de seguridad → evidencias revisablesIncluye los eventos de IA en el seguimiento de los controles
- El requisito
- Tus controles necesitan evidencias adecuadas a su diseño y, para un examen de tipo II, a su funcionamiento durante el período especificado.
- Qué aporta Aona
- Revisa el uso de IA de los empleados y los eventos de políticas registrados en los dispositivos cubiertos para identificar actividades que requieran seguimiento.
- Evidencias que revisar
- Relaciona los eventos pertinentes con las decisiones de los revisores, los registros de incidentes y las evidencias de las medidas correctivas.
- Responsabilidad de tu organización
- Define la frecuencia de revisión y los plazos de conservación. Comprueba que las evidencias proporcionadas al auditor sean completas y fiables.
Revisión del riesgo de proveedores → herramientas de IA observadasActualiza la lista de proveedores de IA según el uso observado
- El requisito
- Aborda los riesgos de los proveedores y socios de negocio pertinentes dentro de tu entorno de control.
- Qué aporta Aona
- Usa la visibilidad de IA en los dispositivos cubiertos para identificar herramientas que revisar y configura las políticas de las herramientas compatibles tras tomar una decisión.
- Evidencias que revisar
- Contrasta el uso observado con la lista de proveedores aprobados, la revisión de riesgos y los compromisos contractuales aplicables.
- Responsabilidad de tu organización
- Revisa el alcance, el período, las excepciones y los controles a cargo del cliente indicados en los informes de los proveedores. Aona no realiza ni sustituye tu diligencia debida sobre proveedores.
Relaciona estos ejemplos con la descripción de tu sistema, tus compromisos y los criterios de servicios de confianza seleccionados. El informe SOC 2 de Aona es una evidencia diferente, referida al sistema de Aona y al período examinados.
Preguntas frecuentes
Preguntas frecuentes
¿El uso de IA afecta mi auditoría SOC 2?
¿Debo incluir herramientas de IA en el alcance de mi SOC 2?
¿Cómo se aplican los Criterios de Servicios de Confianza SOC 2 a la IA?
¿Qué debo buscar en los informes SOC 2 de proveedores de IA?
Protege tus compromisos SOC 2 frente al riesgo de la IA
Descubre el uso de IA en endpoints cubiertos, aplica controles de seguridad compatibles y recopila pruebas de uso para tu revisión de controles SOC 2 .