Cómo usar ISMS Copilot de forma responsable

Resumen

El uso responsable de herramientas de IA requiere comprender sus capacidades, limitaciones y aplicaciones adecuadas. Esta guía proporciona mejores prácticas prácticas para usar ISMS Copilot de manera efectiva y ética en su trabajo de cumplimiento.

A quién va dirigido

Este artículo es para:

• Profesionales de cumplimiento que utilizan IA por primera vez

• Equipos que establecen políticas de gobernanza de IA

• Consultores que gestionan múltiples proyectos de clientes

• Cualquier persona que quiera maximizar el valor de la IA minimizando los riesgos

Principios fundamentales del uso responsable de la IA

1. La IA como asistente, no como reemplazo

La mentalidad correcta:

• Piense en ISMS Copilot como un consultor junior con conocimientos

• Proporciona borradores y sugerencias, no entregables finales

• La experiencia, el juicio y la revisión humanos siguen siendo esenciales

• La IA acelera el trabajo pero no reemplaza la responsabilidad profesional

2. Verificar antes de confiar

Validar siempre:

• Números de control y citas de marcos de trabajo

• Requisitos regulatorios y mandatos de cumplimiento

• Especificaciones técnicas y detalles de implementación

• Estadísticas, cronogramas y afirmaciones cuantitativas

Fuentes de verificación:

• Estándares oficiales (ISO 27001:2022, criterios SOC 2, etc.)

• Documentos de orientación regulatoria

• Marcos de la industria y guías de mejores prácticas

• Expertos legales y de cumplimiento

3. El contexto lo es todo

La IA necesita el contexto de su organización:

• Entorno industrial y regulatorio

• Tamaño y complejidad de la organización

• Nivel actual de madurez del SGSI

• Tolerancia al riesgo y objetivos comerciales

• Recursos disponibles y cronograma

4. Transparencia en el uso de la IA

Sea abierto sobre el uso de la IA:

• Divulgar el trabajo asistido por IA a los clientes cuando sea apropiado

• Documentar el uso de la IA en sus procesos de cumplimiento

• Incluir herramientas de IA en sus acuerdos de procesamiento de datos

• Capacitar a su equipo sobre el uso adecuado de la IA y sus limitaciones

Mejores prácticas para hacer preguntas

Sea específico y detallado

En lugar de preguntas vagas:

• ❌ "Háblame de ISO 27001"

• ❌ "¿Cómo hago el control de acceso?"

• ❌ "¿Qué es SOC 2?"

Haga preguntas específicas y contextualizadas:

• ✓ "¿Cómo implemento el control 5.15 (Control de acceso) de ISO 27001:2022 para una empresa SaaS de 50 personas?"

• ✓ "¿Qué evidencia necesito para el CC6.1 de SOC 2 (Controles de acceso lógico y físico) para nuestra aplicación alojada en AWS?"

• ✓ "¿Cuáles son los pasos clave para crear una política de retención de datos que cumpla con el RGPD para los registros de atención al cliente?"

Proporcionar contexto relevante

Contexto útil a incluir:

• Perfil de la organización: "Somos una empresa de SaaS para el sector salud de 200 empleados..."

• Estado actual: "Estamos implementando ISO 27001 por primera vez..."

• Objetivo específico: "Necesitamos prepararnos para nuestra auditoría de Etapa 2 en 3 meses..."

• Limitaciones: "Tenemos personal de seguridad de TI limitado y un presupuesto pequeño..."

• Versión del marco: "Estamos trabajando con ISO 27001:2022, no con la versión de 2013..."

Desglosar preguntas complejas

En lugar de una pregunta masiva:

❌ "¿Cómo implemento ISO 27001 desde cero, incluyendo evaluación de riesgos, controles, políticas, procedimientos y preparación para la certificación?"

Dividir en preguntas enfocadas:

1. "¿Cuáles son las fases clave de la implementación de ISO 27001 para una organización que lo hace por primera vez?"

2. "¿Cómo realizo una evaluación de riesgos de ISO 27001 para una plataforma SaaS basada en la nube?"

3. "¿Qué políticas se requieren para la certificación ISO 27001:2022?"

4. "¿Qué evidencia debo preparar para una auditoría de Etapa 2 de ISO 27001?"

Pedir explicaciones, no solo respuestas

Preguntas que promueven la comprensión:

• "Explica la diferencia entre los controles 5.15 y 8.2 de ISO 27001"

• "¿Por qué es importante la segregación de funciones para el cumplimiento de SOC 2?"

• "¿Cuál es la lógica detrás del principio de minimización de datos del RGPD?"

• "Guíame a través de la lógica de la toma de decisiones sobre el tratamiento de riesgos en ISO 27001"

Beneficios:

• Profundiza su comprensión de los conceptos de cumplimiento

• Le ayuda a explicar los requisitos a las partes interesadas

• Permite una mejor personalización para su organización

• Lo convierte en un profesional de cumplimiento más efectivo

Mejores prácticas para la generación de documentos

Usar la IA para los primeros borradores

Buenos casos de uso para la redacción con IA:

• Plantillas de políticas y procedimientos

• Marcos de evaluación de riesgos

• Guías de implementación de controles

• Documentación de análisis de brechas (gap analysis)

• Listas de verificación de preparación para auditorías

Flujo de trabajo:

1. Generar: Pida a ISMS Copilot que cree un borrador de política

2. Revisar: Compruebe la precisión, integridad y relevancia

3. Personalizar: Adaptar al contexto específico de su organización

4. Mejorar: Añadir detalles y ejemplos específicos de la organización

5. Validar: Haga que un experto en cumplimiento o auditor revise el documento

6. Aprobar: Firma final por la autoridad correspondiente

Personalizar según su organización

Áreas que requieren personalización:

• Roles y responsabilidades: Títulos de puestos y nombres reales

• Entorno técnico: Sistemas, herramientas y plataformas específicos

• Procesos de negocio: Cómo opera realmente su organización

• Perfil de riesgo: Sus amenazas, vulnerabilidades y apetito de riesgo específicos

• Requisitos regulatorios: Reglas específicas de la industria o jurisdicción

Ejemplo de personalización:

Generado por IA (genérico):

"El Responsable de Seguridad de la Información es responsable de supervisar los procesos de control de acceso."

Personalizado (específico):

"El Director de Seguridad de la Información (CISO), Jane Smith, delega la supervisión del control de acceso en el Gerente de Operaciones de TI, quien utiliza Okta para la gestión de identidades y revisa los registros de acceso semanalmente a través de Splunk."

Añadir evidencia y detalles de implementación

Transformar las políticas de IA en documentación lista para auditoría:

• Añadir nombres de herramientas específicas (p. ej., "usando Vanta para la automatización del cumplimiento")

• Incluir ubicaciones de evidencia (p. ej., "registros de acceso almacenados en el bucket S3: company-audit-logs")

• Referenciar procedimientos relacionados (p. ej., "Ver SOP-001: Proceso de incorporación de usuarios")

• Documentar ciclos de revisión (p. ej., "Política revisada trimestralmente por el Comité de Seguridad")

• Vincular con artefactos de cumplimiento (p. ej., "Matriz de riesgos mantenida en el proyecto de Seguridad de Jira")

Mejores prácticas para la carga de archivos

Qué subir

Buenos documentos para analizar:

• Políticas existentes para análisis de brechas

• Evaluaciones de riesgos para revisión y mejora

• Informes de auditoría para la planificación de remediación

• Matrices de control para comprobaciones de integridad

• Cuestionarios de seguridad de proveedores para redactar respuestas

Requisitos de archivos:

• Máximo 10 MB por archivo

• Formatos compatibles: PDF, DOCX, DOC, XLSX, XLS, TXT, CSV, JSON

• Un archivo a la vez

Consideraciones sobre la sensibilidad de los datos

Antes de subir datos sensibles:

1. Revise qué información personal o confidencial contiene el documento

2. Considere anonimizar nombres de clientes, detalles de empleados o información patentada

3. Recuerde que los archivos subidos se conservan según su configuración de retención de datos

4. Use espacios de trabajo para aislar los datos de diferentes clientes

Qué NO subir

Evite subir:

• Estándares ISO con derechos de autor o marcos patentados (la IA no los procesará; consulte nuestra política de Cumplimiento de Propiedad Intelectual)

• Archivos de credenciales sin procesar o contraseñas

• PII no redactada o datos personales sensibles

• Datos de clientes sin los acuerdos contractuales apropiados

• Documentos que contengan secretos comerciales a menos que sea necesario

Mejores prácticas de gestión de espacios de trabajo

Organizar por proyecto o cliente

Estructura de espacio de trabajo recomendada:

• Para consultores: Un espacio de trabajo por cliente

• Para organizaciones: Un espacio de trabajo por marco de trabajo o iniciativa

• Para proyectos multifase: Espacios de trabajo separados para planificación, implementación y preparación de auditoría

Ejemplos de nombres de espacios de trabajo:

• "Cliente A - Implementación ISO 27001:2022"

• "Preparación Auditoría SOC 2 Tipo II T1 2024"

• "Cumplimiento RGPD - Departamento de RR. HH."

• "Evaluación de Riesgos - Infraestructura en la Nube"

Usar las instrucciones personalizadas de manera efectiva

Buenas instrucciones personalizadas:

• "Céntrate en los controles de ISO 27001:2022. Somos una empresa de SaaS de salud sujeta a HIPAA."

• "Nos estamos preparando para la auditoría SOC 2 Tipo II. Enfatiza la recopilación de evidencias y documentación."

• "Esta es una pequeña startup (20 empleados) con recursos de seguridad limitados. Prioriza los controles prácticos y rentables."

Instrucciones que no funcionarán:

• ❌ Intentar eludir las restricciones de seguridad

• ❌ Solicitar contenido que no cumpla con las normas

• ❌ Pedir que se ignoren las protecciones de derechos de autor

Limpiar espacios de trabajo finalizados

Cuándo eliminar espacios de trabajo:

• El proyecto o compromiso ha terminado

• El período de retención de datos para ese cliente ha expirado

• El contrato del cliente requiere la eliminación de datos

• El espacio de trabajo se creó para pruebas o experimentación

Antes de eliminar:

1. Exporte cualquier conversación o documentación importante

2. Archive la información relevante en su sistema de gestión de cumplimiento

3. Verifique que no necesita el espacio de trabajo para futuras referencias

4. Elimine el espacio de trabajo para mantener la higiene de los datos

Mejores prácticas de retención de datos

Establecer períodos de retención adecuados

Considere:

• Requisitos legales: Mandatos regulatorios de retención para su industria

• Obligaciones contractuales: Acuerdos con clientes sobre retención de datos

• Necesidades comerciales: Cuánto tiempo necesita el historial de conversaciones para referencia

• Perfil de riesgo: Equilibrio entre la utilidad de los datos y la minimización de la exposición

Períodos de retención recomendados:

Exportar antes del vencimiento

Para conversaciones importantes:

1. Copie el contenido de la conversación antes de que expire el período de retención

2. Guárdelo en su sistema de gestión de cumplimiento o repositorio de documentación

3. Incluya metadatos relevantes (fecha, espacio de trabajo, contexto)

4. Siga los procedimientos de gestión de registros de su organización

Uso adecuado del chat temporal

Cuándo usar el chat temporal

Buenos casos de uso:

• Preguntas rápidas y puntuales que no necesitan almacenamiento permanente

• Investigación exploratoria antes de comprometerse con un espacio de trabajo

• Discusiones sensibles que no desea en el historial permanente

• Probar cómo redactar preguntas complejas

No adecuado para:

• Trabajo de proyecto importante que necesitará consultar más adelante

• Generar documentación para auditorías

• Construir la base de conocimientos organizacional

• Trabajo que pueda necesitar como evidencia de actividad de cumplimiento

Recuerde la ventana de seguridad de 30 días

Limitación importante:

Incluso los chats temporales pueden conservarse hasta 30 días para fines de supervisión de seguridad y prevención de abusos.

Qué significa esto:

• El chat temporal no es completamente efímero

• Los datos pueden ser revisados si surgen problemas de seguridad

• Sigue sujeto a los acuerdos de procesamiento de datos

• Use espacios de trabajo regulares si necesita un control total sobre la retención

Consideraciones éticas

Confidencialidad del cliente

Proteger la información del cliente:

• Use espacios de trabajo separados para diferentes clientes

• Anonimice los nombres de los clientes en los documentos cuando sea posible

• Incluya el uso de IA en sus contratos con clientes y acuerdos de confidencialidad

• Establezca períodos de retención que cumplan con los acuerdos del cliente

• Informe a los clientes si utiliza herramientas de IA para su trabajo

• Active el Modo Avanzado de Protección de Datos cuando los contratos de los clientes requieran procesamiento de datos exclusivo de la UE o retención cero por parte del proveedor de IA

Atribución y divulgación

Al entregar trabajo a los clientes:

• Sea transparente sobre la asistencia de la IA en la creación de los entregables

• Destaque su revisión experta y personalización

• No presente contenido generado por IA como trabajo puramente original

• Explique cómo la IA mejoró la eficiencia sin comprometer la calidad

Evitar la dependencia excesiva

Señales de advertencia de dependencia excesiva:

• Aceptar respuestas de la IA sin verificación

• Saltarse la revisión experta de documentos generados por IA

• Usar la IA como sustituto del aprendizaje de los marcos de cumplimiento

• Entregar contenido de IA sin personalización

• Tomar decisiones críticas basadas únicamente en los consejos de la IA

Mantener la competencia profesional:

• Siga aprendiendo sobre marcos y estándares

• Participe en la comunidad de cumplimiento y con líderes de opinión

• Asista a programas de formación y certificación

• Lea estándares oficiales y guías regulatorias

• Desarrolle especialización más allá del trabajo asistido por IA

Capacitación del equipo y gobernanza

Establecer políticas de uso de IA

Elementos clave de la política:

1. Casos de uso aprobados: Para qué se puede y no se puede usar la IA

2. Requisitos de revisión: Quién debe revisar el contenido generado por IA

3. Estándares de verificación: Cómo validar el resultado de la IA

4. Manejo de datos: Qué datos se pueden subir y cómo

5. Divulgación al cliente: Cuándo y cómo informar a los clientes del uso de la IA

6. Documentación: Cómo registrar la asistencia de la IA en los productos de trabajo

Capacitar a su equipo

Temas esenciales de capacitación:

• Cómo funciona ISMS Copilot y sus limitaciones

• Reconocimiento y reporte de alucinaciones

• Técnicas efectivas de prompting

• Requisitos de verificación y personalización

• Consideraciones de sensibilidad y privacidad de los datos

• Gestión de espacios de trabajo y retención

• Principios de uso ético de la IA

Procesos de control de calidad

Implementar puntos de control de revisión:

1. Borrador de IA: Contenido inicial generado por la IA

2. Primera revisión: Un experto en la materia verifica la precisión

3. Personalización: Adaptación al contexto de la organización

4. Segunda revisión: El responsable de cumplimiento comprueba la integridad

5. Aprobación final: Firma del revisor autorizado

6. Pista de auditoría: Documentar la revisión y aprobación

Medir la eficacia

Rastrear el valor de la IA

Métricas a considerar:

• Tiempo ahorrado en la redacción de políticas

• Reducción de los ciclos de preparación para el cumplimiento

• Número de hallazgos de auditoría (para asegurar que la calidad no se vea comprometida)

• Satisfacción del equipo con la asistencia de la IA

• Comentarios de los clientes sobre la calidad de los entregables

Mejora continua

Refine su enfoque:

• Documente prompts y preguntas efectivos

• Comparta las mejores prácticas con su equipo

• Rastree e informe de alucinaciones para mejorar el sistema

• Actualice las políticas de uso de IA basándose en la experiencia

• Ajuste las estrategias de retención y espacios de trabajo según sea necesario

Lista de verificación para una IA responsable

Antes de usar la IA

• ✓ Comprenda la política de uso de IA de su organización

• ✓ Revise los contratos de los clientes para ver si hay restricciones sobre herramientas de IA

• ✓ Planifique los procesos de verificación y revisión

• ✓ Establezca períodos de retención de datos adecuados

• ✓ Cree espacios de trabajo para diferentes proyectos/clientes

Durante el uso de la IA

• ✓ Formule preguntas específicas y contextualizadas

• ✓ Revise las respuestas para asegurar precisión y relevancia

• ✓ Personalice el resultado de la IA para su organización

• ✓ Realice referencias cruzadas con estándares oficiales

• ✓ Mantenga el juicio profesional

Después del uso de la IA

• ✓ Haga que un experto revise el contenido generado por IA

• ✓ Documente la asistencia de la IA en los productos de trabajo

• ✓ Informe de alucinaciones o problemas de seguridad

• ✓ Archive conversaciones importantes antes de que expiren

• ✓ Elimine los espacios de trabajo finalizados de manera apropiada

Qué sigue

• Conozca las barreras de seguridad y restricciones de la IA

• Aprenda cómo identificar y prevenir alucinaciones

• Inicie su primera conversación con mejores prácticas

• Configure espacios de trabajo para organizar su trabajo

Obtener ayuda

Para preguntas sobre el uso responsable de la IA:

• Revise el Centro de confianza para obtener orientación sobre gobernanza de IA

• Contacte con soporte a través del menú del Centro de ayuda

• Reporte problemas de seguridad o comportamiento inapropiado de la IA

• Comparta sus comentarios sobre la eficacia y usabilidad de la IA