Módulo 14Trimestre 4 · Operaciones en producción

Cumplimiento normativo, gobernanza y auditoría

Inicia sesión para guardar tu progreso en todos tus dispositivos. Mientras tanto, se guarda en este navegador.

Este módulo explica marcos normativos para ingenieros. No es asesoramiento jurídico; confirma tus obligaciones con un abogado cualificado para tu jurisdicción y tu sector.

Por qué importa

"Enterprise grade" significa, en última instancia, que puedes demostrarlo. El departamento de compras de una empresa envía un cuestionario de seguridad; un regulador pide registros; la due diligence de un inversor pregunta cómo tratas los datos. Todo lo que construiste entre M01 y M13 se convierte aquí en evidencia.

Resultados de aprendizaje

  1. Construir audit trails que respondan quién hizo qué, cuándo, desde dónde y en nombre de quién.
  2. Aplicar los principios de protección de datos (la PDPA de Singapur como referencia; comparación con el GDPR).
  3. Entender la estructura de SOC 2 e ISO/IEC 27001 y cómo recopilar evidencia de forma continua.
  4. Conocer las normas sectoriales que aplican a las fintech en Singapur (MAS Technology Risk Management Guidelines, expectativas sobre externalización).
  5. Gobernar sistemas de IA con el IMDA Model AI Governance Framework for Agentic AI y saber dónde puede aplicarse la EU AI Act.
  6. Responder con evidencia a un cuestionario de seguridad de proveedores.

Lecciones

14.1 Audit trails

  • Log de solo inserción (append-only) de los eventos relevantes para la seguridad y el negocio: inicios de sesión, cambios de permisos, exportaciones de datos, acciones de administración, movimientos de dinero, llamadas a herramientas de agentes y aprobaciones.
  • Campos: actor (identidad humana o de agente), en nombre de quién, acción, objetivo, antes/después, timestamp (del servidor), IP/dispositivo, ID de petición, resultado.
  • A prueba de manipulaciones (almacenamiento de escritura única, encadenamiento de hashes o una cuenta separada), con reglas de retención.
  • Separado de los logs de depuración; el propio acceso al log de auditoría queda auditado.

14.2 Protección de datos: la PDPA (Singapur) como referencia

Obligaciones clave que implementan los ingenieros:

  • Consentimiento y finalidad: recopila solo para las finalidades declaradas; registra el consentimiento.
  • Acceso y rectificación: los usuarios pueden solicitar sus datos y corregirlos. Construye una vía de exportación y edición.
  • Protección: medidas de seguridad razonables (todo lo de M05).
  • Limitación de la conservación: borra o anonimiza cuando ya no se necesiten. Construye jobs de retención.
  • Limitación de las transferencias: protección equivalente cuando los datos salen de Singapur (comprueba dónde procesan los datos tus regiones en la nube y tus proveedores de IA).
  • Notificación de brechas de datos: evalúa sin demora las brechas sospechosas; notifica a la PDPC en un plazo de 3 días naturales desde que determines que la brecha es notificable, y a las personas afectadas cuando se requiera.
  • NRIC y números de identidad nacional: recopilación restringida; enmascáralos en la interfaz y en los logs.
  • Responsabilidad proactiva: nombra a un Data Protection Officer y documenta las políticas. El GDPR añade reglas más estrictas sobre la base jurídica, una notificación al regulador en 72 horas, derechos de los interesados como la supresión y la portabilidad, y EIPD (evaluaciones de impacto) para los tratamientos de alto riesgo.

Patrones de ingeniería: inventario o mapa de datos, clasificación (público, interno, confidencial, restringido), cifrado a nivel de campo para los datos restringidos, redacción de datos personales en los logs y en los prompts enviados a proveedores de LLM, borrado que se propaga a las copias de seguridad según un calendario, DPAs con cada subencargado (incluidos los proveedores de IA, revisando sus condiciones de entrenamiento y retención).

14.3 Marcos de seguridad: SOC 2 e ISO/IEC 27001

  • SOC 2 (AICPA): el informe de un auditor sobre los controles frente a los Trust Services Criteria (Security y, de forma opcional, Availability, Processing Integrity, Confidentiality, Privacy). Type I = diseño en un momento concreto; Type II = eficacia operativa durante un periodo (a menudo de 3 a 12 meses).
  • ISO/IEC 27001:2022: un sistema de gestión de la seguridad de la información certificable, con los controles del Anexo A (93 en la versión de 2022).
  • Lo que buscan los auditores se corresponde directamente con este curso: revisiones de accesos, MFA, gestión de cambios mediante PR y CI, gestión de vulnerabilidades, logging y monitorización, respuesta a incidentes, copias de seguridad y pruebas de restauración, gestión de proveedores, formación en seguridad y políticas.
  • Usa automatización de cumplimiento (Vanta, Drata, Secureframe o equivalentes open source) para recopilar evidencia de forma continua desde GitHub, la nube y los proveedores de identidad.

14.4 Fintech en Singapur: las expectativas de la MAS

Para las entidades reguladas por la MAS y sus proveedores tecnológicos, las MAS Technology Risk Management (TRM) Guidelines fijan expectativas sobre gobernanza del riesgo tecnológico, desarrollo de software seguro, resiliencia de TI, control de acceso, criptografía, vigilancia cibernética y gestión de incidentes, además del riesgo de externalización y de la nube. Los plazos de notificación de los incidentes relevantes son cortos; conócelos antes de necesitarlos. Si construyes para una entidad con licencia, cuenta con que su evaluación de proveedores te medirá contra las TRM.

14.5 Gobernanza de la IA

  • IMDA Model AI Governance Framework for Agentic AI (lanzado en enero de 2026, actualizado en mayo de 2026): acotar los riesgos desde el principio; hacer que las personas rindan cuentas de verdad con puntos de aprobación; controles técnicos durante todo el ciclo de vida; transparencia y formación para el usuario final. Tu evidencia de M06 encaja aquí.
  • AI Verify y el kit de inicio de IMDA para pruebas de LLM, como prácticas de testing.
  • EU AI Act: obligaciones escalonadas por nivel de riesgo, aplicables a proveedores y responsables del despliegue que sirven al mercado de la UE; la evaluación crediticia y algunos usos en el ámbito laboral son de alto riesgo. Comprueba los plazos vigentes, ya que las fechas de aplicación por fases han ido cambiando.
  • ISO/IEC 42001 (sistema de gestión de IA) y el NIST AI RMF son los marcos de referencia empresariales para la gobernanza de la IA.
  • Mantén un registro de modelos/IA: cada funcionalidad de IA, su finalidad, modelo y proveedor, datos utilizados, clase de riesgo, controles, responsable y resultados de evals.

14.6 El paquete de confianza

Lo que un vendedor B2B serio entrega a un comprador: página de resumen de seguridad, diagrama de arquitectura y flujo de datos, lista de subencargados, DPA, resumen del pentest, informe SOC 2 o certificado ISO (o una hoja de ruta para obtenerlo), resumen de respuesta a incidentes y del BCP (plan de continuidad de negocio), declaración de uso y gobernanza de la IA, y un cuestionario estándar completado (SIG Lite o CAIQ).

Lab 14: Aprueba el cuestionario

  1. Construye un mapa de datos de tu app: cada campo de datos personales, su finalidad, ubicación, retención, quién puede acceder y qué subencargados lo reciben.
  2. Implementa un log de auditoría para las acciones de administración y las llamadas a herramientas de los agentes.
  3. Implementa la exportación y el borrado de los datos del usuario.
  4. Completa un cuestionario de seguridad de proveedores de 100 preguntas para tu app, con un enlace a la evidencia por cada "sí".
  5. Escribe una declaración de gobernanza de la IA de una página, mapeada al IMDA MGF.

Definition of Done

Paquete de prompts de IA

  • "Analiza el esquema y el código; genera un mapa de datos de cada campo de datos personales, por dónde fluye y qué terceros lo reciben."
  • "Redacta las respuestas a este cuestionario de seguridad usando solo la evidencia presente en el repo y en las configuraciones; marca como carencia todo lo que no esté respaldado."