Segurança e governação
Reduzir acesso. Definir autoridade. Verificar resultados.
A segurança começa por retirar acesso e autonomia desnecessários. Concebemos controlos para todo o fluxo: os dados que recebe, as ferramentas que pode usar e as ações que pode executar.
O modelo de autoridade da Novaria
O que a IA consegue fazer. O que pode fazer.
Capacidade técnica não confere autoridade. Cada fluxo recebe a autoridade mínima necessária à tarefa, imposta pelo software à volta do modelo.
Nível 1
Ler
Pesquisar · compreender · resumir
Encontrar e explicar informação de fontes aprovadas, respeitando os acessos do utilizador. Sem alterar os sistemas da empresa.
Controlos aplicados
Nível 2
Recomendar
Classificar · redigir · sugerir
Preparar uma proposta com o contexto necessário para a verificar. A equipa decide o que utilizar.
Controlos aplicados
Nível 3
Agir com aprovação
Criar · atualizar · sincronizar · enviar
Uma ação permitida só chega aos sistemas após validação e aprovação explícita da pessoa responsável.
Controlos aplicados
Nível 4
Automatizar
Executar dentro dos limites acordados
Executar ações predefinidas sem aprovação individual apenas quando a tarefa é delimitada, testada e de risco suficientemente baixo. As exceções exigem revisão, com monitorização e mecanismos de paragem.
Controlos aplicados
Mais autonomia não é automaticamente melhor. São opções de funcionamento, não degraus a subir.
Verificações à volta de uma ação
- 01Limite de acesso
- 02IA / automação
- 03Validação
- 04Controlo humano
- 05Ação controlada
- 06Auditoria e monitorização
A aprovação é exigida quando a autoridade do fluxo o determina. A validação falhada impede a execução em qualquer nível de autoridade.
Estes são os nossos princípios de conceção. Acordamos os controlos, o alojamento e as responsabilidades para cada projeto. Não é uma declaração de certificação.
Controlo de acesso
- Risco
- A IA ou uma ferramenta ligada acede a informação fora da sua tarefa.
- Controlos de implementação
- Autenticar utilizadores e contas de serviço. Impor autorização por função, privilégio mínimo e acesso delimitado às API, na aplicação e nos sistemas de destino. Guardar credenciais fora das instruções ao modelo, renovar segredos e rever acessos.
Fronteiras de dados
- Risco
- Informação sensível chega a um modelo, arquivo ou pessoa que não a deve receber.
- Controlos de implementação
- Mapear dados aprovados e excluídos antes da implementação. Minimizar ou ocultar dados enviados, isolar dados de clientes e definir cifragem, armazenamento, retenção e eliminação. Aplicar permissões à pesquisa e à resposta final.
Segurança específica da IA
- Risco
- Um email ou documento tenta substituir instruções, expor dados ou usar indevidamente uma ferramenta.
- Controlos de implementação
- Tratar conteúdo obtido como dados não fiáveis. Separá-lo das instruções do sistema, testar tentativas de injeção de instruções e detetar conteúdo suspeito quando viável. Impor ferramentas permitidas e permissões fora do modelo; validar resultados antes de outro sistema os utilizar. A deteção, por si só, não é uma fronteira de segurança.
Controlo de ações
- Risco
- Uma proposta plausível desencadeia uma ação sensível ou excessiva.
- Controlos de implementação
- Definir ações permitidas, limites de transação e responsáveis pela aprovação. Vincular a aprovação à ação e aos dados exatos; alterações exigem nova revisão. Prever rejeição, encaminhamento, cancelamento e intervenção humana. A paragem deve impedir a execução, não apenas ocultar a interface.
Validação e precisão
- Risco
- Uma resposta confiante ou bem formatada continua a estar errada para a tarefa.
- Controlos de implementação
- Validar esquemas, campos obrigatórios e regras de negócio. Avaliar tarefas representativas e situações de falha face a critérios de aceitação. Usar sinais de confiança apenas com evidência e verificações. Encaminhar incerteza para revisão ou alternativa definida; um esquema válido não prova a exatidão factual.
Monitorização e auditoria
- Risco
- Não se consegue explicar uma ação, ou a qualidade degrada-se sem ser detetada.
- Controlos de implementação
- Registar referências de entrada, versões do modelo e das instruções, propostas, validações, aprovações, ações e resultados. Restringir o acesso aos registos e filtrar conteúdo sensível. Monitorizar erros, qualidade, latência, custo e exceções, com responsáveis por alertas e retenção acordada.
Gestão de incidentes
- Risco
- Um fluxo comporta-se de forma inesperada e continua a agir.
- Controlos de implementação
- Acordar deteção e encaminhamento. Conter o problema desativando ações ou credenciais afetadas, preservar evidência, investigar e repor apenas após verificações. Rever a causa e atualizar os controlos. As responsabilidades e as expectativas de resposta são definidas por projeto.
Fornecedores e modelos
- Risco
- Um fornecedor recebe dados inesperados ou uma atualização do modelo altera o comportamento.
- Controlos de implementação
- Documentar acesso do fornecedor, locais de tratamento, condições de retenção e dependências antes de enviar dados. Escolher modelos para a tarefa, registar versões e avaliar alterações antes da disponibilização. Acordar reversão, exportação e substituição para limitar dependências desnecessárias.
Infraestrutura e recuperação
- Risco
- Uma indisponibilidade, um segredo exposto ou uma alteração de integração interrompe a operação.
- Controlos de implementação
- Rever alojamento, limites de rede, acesso à implementação, gestão de segredos e atualizações. Definir objetivos de cópia de segurança, restauro e recuperação, testar a recuperação e prever uma alternativa manual ou de software convencional quando o fluxo o exigir.
Gestão de alterações
- Risco
- Uma alteração de instruções, regras ou software contorna controlos que funcionavam.
- Controlos de implementação
- Versionar instruções, modelos, regras e integrações. Rever código e dependências, testar segurança e desempenho na tarefa, documentar decisões de disponibilização e manter uma via de reversão. Reavaliar permissões e autoridade quando o âmbito muda.
Responsabilidade partilhada
- Risco
- Permissões incorretas ou responsabilidades pouco claras comprometem os controlos técnicos.
- Controlos de implementação
- A Novaria responde pela implementação e operação dentro do âmbito acordado. O cliente responde pelas permissões dos sistemas de origem, adequação dos dados, responsáveis pela aprovação e políticas organizacionais. As responsabilidades dos fornecedores, os contactos de incidentes e as revisões de acesso são documentados em conjunto.
Governação e requisitos
- Risco
- A implementação não reflete as obrigações ou políticas internas da organização.
- Controlos de implementação
- Os controlos podem ser associados a requisitos identificados pelos assessores jurídicos ou de conformidade do cliente. Documentar fluxos de dados, autoridade, avaliações, alterações e responsabilidades. As decisões jurídicas cabem a profissionais qualificados; não é uma certificação nem uma declaração geral de conformidade.
Contacto de segurança
Comunique uma questão de segurança.
Contacte os fundadores através da página Empresa para combinar um canal de comunicação adequado. Partilhe inicialmente apenas uma breve descrição; não envie credenciais, dados pessoais ou detalhes de exploração num pedido público.
Diga-nos o que precisa de proteger.
Conversamos sobre os dados, as regras de acesso e as aprovações antes de planear a construção.