AWS · infraestructura
AWS protege la infraestructura que opera sus servicios de nube. Su responsabilidad varía según el servicio utilizado, conforme a su modelo de responsabilidad compartida.
QUARKS / CENTRO DE CONFIANZA
Seguridad para operar con confianza.
En los despliegues sobre AWS combinamos servicios de infraestructura con controles definidos para cada proyecto, para que tu equipo conozca cómo se protege la operación y quién se hace cargo.
Seleccionamos y configuramos capacidades de AWS según los datos, los sistemas y los requisitos de cada proyecto. El alcance, la cobertura y las responsabilidades se documentan con el cliente para su evaluación.
Identidad y acceso
Que cada persona y aplicación acceda solo a lo que necesita para trabajar.
Capacidades AWS relacionadas
IAM e IAM Identity Center permiten gestionar identidades, roles y permisos con mínimo privilegio, MFA y credenciales temporales.
Qué se acuerda
Se acuerdan los roles, las acciones permitidas, la federación de identidad, el uso de MFA, el ciclo de altas y bajas y los responsables de revisar los accesos.
Datos y secretos
Proteger información y credenciales sin dispersarlas entre equipos y aplicaciones.
Capacidades AWS relacionadas
KMS gestiona llaves y cifrado; TLS protege el tránsito según el servicio. Secrets Manager permite administrar credenciales y configurar rotación para los secretos compatibles.
Qué se acuerda
Se definen clasificación de datos, permisos de lectura/escritura, propiedad y acceso a llaves, configuración de cifrado, versiones TLS compatibles y políticas de rotación.
Red y aplicaciones
Reducir la exposición de los sistemas y gestionar el tráfico que llega a las aplicaciones.
Capacidades AWS relacionadas
VPC organiza la red; PrivateLink ofrece conectividad privada donde el servicio sea compatible. WAF permite filtrar tráfico web y Shield aporta protección DDoS según la modalidad contratada.
Qué se acuerda
Se acuerdan rutas, endpoints, conectividad, reglas WAF y cobertura DDoS. La modalidad de Shield y cualquier suscripción Advanced se especifican en el alcance.
Auditoría y monitoreo
Contar con señales útiles para investigar actividad, cambios y problemas operativos.
Capacidades AWS relacionadas
CloudTrail registra actividad de usuarios y API para los eventos configurados. CloudWatch y Config son opciones para métricas, logs, alertas e inventario y evaluación de configuración.
Qué se acuerda
Se definen fuentes y eventos, retención, cobertura, destinatarios de alertas y responsables de revisión y respuesta. Los eventos cubiertos y los horarios de atención quedan documentados en el alcance.
Amenazas y exposición
Priorizar señales de riesgo y revisar exposición antes de tomar medidas.
Capacidades AWS relacionadas
GuardDuty aporta detección de amenazas; Security Hub reúne y prioriza hallazgos; Inspector evalúa vulnerabilidades en recursos compatibles. Macie descubre datos sensibles en Amazon S3.
Qué se acuerda
Estas capacidades se seleccionan según arquitectura, recursos y servicios contratados. El alcance documenta los servicios habilitados, su cobertura y los criterios de priorización y remediación.
Respaldo y continuidad
Preparar una recuperación verificable para la información y los recursos acordados.
Capacidades AWS relacionadas
AWS Backup permite centralizar políticas y respaldos para recursos compatibles, con separación entre cuentas o regiones cuando aplique.
Qué se acuerda
Se acuerdan cobertura, retención, acceso, restauración y pruebas. Los objetivos de disponibilidad y recuperación (RTO/RPO) se definen según la evaluación específica del proyecto.
IA con Amazon Bedrock
Incorporar IA con límites de acceso, uso de datos y revisión adecuados al proceso.
Capacidades AWS relacionadas
Bedrock permite configurar permisos y redes privadas donde sea compatible. Guardrails ofrece filtros de contenido y datos sensibles y comprobaciones de fundamento contextual para usos compatibles.
Qué se acuerda
Se seleccionan modelo, API, región o perfil de inferencia, filtros y supervisión humana. La validación de casos y respuestas acompaña su uso para reducir riesgos.
RESPONSABILIDAD COMPARTIDA
La seguridad se construye entre las partes.
Quarks · implementación
Quarks diseña y configura los componentes, aplicaciones, integraciones y controles incluidos en el contrato, y acuerda responsables para su operación y evolución.
Cliente · operación y datos
El cliente define responsables, autoriza accesos y usos de datos, aporta requisitos y gestiona las tareas y sistemas bajo su control. La distribución de obligaciones se documenta por proyecto.
IA / DATOS
IA y privacidad: decisiones explícitas sobre los datos.
Según AWS, las cuentas de despliegue de modelos de Amazon Bedrock son operadas por AWS. Los proveedores de modelos no acceden a esas cuentas, a sus logs ni a los prompts y completions de los clientes allí. Esta descripción se limita a Bedrock y no se extiende a otros proveedores o productos.
El uso de datos para entrenamiento y la retención operativa son decisiones distintas. Antes de seleccionar un modelo o API, revisamos sus condiciones de uso y tratamiento de datos; cualquier compromiso de no entrenamiento debe corresponder a esas condiciones documentadas.
La retención depende del modelo, región, API y configuración, incluidas las excepciones de detección de abuso descritas por AWS. Puede existir almacenamiento y revisión bajo esas excepciones. Los logs de invocación que se configuren para el proyecto tienen su propia cobertura y retención.
La residencia y el procesamiento se acuerdan al elegir región, modelo y perfil de inferencia. Los perfiles entre regiones pueden procesar solicitudes fuera de la región de origen. Definimos datos permitidos, minimización, filtros y revisión humana según el proceso.
REQUISITOS / DOCUMENTACIÓN
Una evaluación que parte de tu operación.
En finanzas, salud, farma y operaciones entre países, levantamos con el cliente requisitos de acceso, separación de funciones, clasificación, consentimiento, retención, ubicación e integración. Los controles se vinculan al caso y a las obligaciones identificadas.
Para evaluar el proyecto puedes solicitar el alcance de controles y la documentación aplicable: arquitectura, flujos de datos, responsabilidades, configuración y criterios de respaldo y restauración que se acuerden. La disponibilidad y el nivel de detalle se revisan según el alcance y la confidencialidad.
Los informes y certificaciones disponibles en AWS Artifact corresponden a AWS y a los servicios incluidos en su alcance. Esta documentación no acredita por sí sola la conformidad de Quarks o de una implementación. La evaluación del cliente considera además aplicaciones, configuración y operación.
FAQ
Antes de conversar.
¿Están todos estos controles activos en mi proyecto?
La selección depende de la arquitectura y del alcance contratado. En la revisión identificamos servicios, configuración, cobertura y responsables de cada control.
¿Puedo revisar requisitos de mi sector?
Sí. Comparte los requisitos y restricciones de tu operación para evaluar controles, evidencias aplicables y responsabilidades con tu equipo.
¿Dónde se procesan los datos de IA?
La región y el perfil de inferencia se definen al seleccionar el modelo. Revisamos residencia, procesamiento entre regiones, retención y condiciones de la API antes de acordar su uso.
¿Cómo solicito documentación de seguridad?
Completa el contacto con el sistema o proceso que quieres evaluar. El equipo revisará el contexto para conversar sobre alcance de controles y documentación aplicable.
Revisemos los requisitos de tu operación.
Cuéntanos qué proceso quieres desplegar, qué datos utiliza y qué requisitos debe cumplir. Nuestro equipo revisará el contexto para conversar sobre controles y responsabilidades.
Solicitar revisión de seguridad