Cumplimiento por diseño

El registro WORM de Designio anota, de forma inmutable y encadenada, cada intención, decisión, aprobación y cambio del proceso de construcción. Esa trazabilidad del PROCESO la produce el método por construcción y es auditable años después.

Designio genera, como subproducto natural del pipeline, gran parte de la documentación exigida: decisiones de arquitectura (ADR), especificaciones de intención (EIS), restricciones (ADN/MAP) y manifiestos firmados. No cubre por sí solo todo el Anexo IV, pero reduce drásticamente el esfuerzo de recopilarla.

La metodología incorpora la validación humana como requisito estructural: ninguna intención de alto riesgo avanza sin firma. Eso construye una cultura y unos puntos de control de supervisión humana; la supervisión del sistema YA DESPLEGADO en operación es responsabilidad de su operador.

El interrogatorio sistemático y el «abogado del diablo» fuerzan a identificar y documentar riesgos y ambigüedades antes de construir, dejando rastro de cada decisión. Es un insumo del sistema de gestión de riesgos, no el sistema completo, que exige evaluación continua en operación.

Las restricciones negativas del ADN y la gobernanza del AIGB permiten codificar como límites innegociables del proyecto las prácticas vetadas, de modo que el agente no las implemente. Facilita evitarlas; no sustituye la evaluación legal de si un sistema cae o no en una práctica prohibida.

Si tu organización integra o ajusta GPAI, Designio documenta cómo y con qué se usaron los modelos en la construcción. Ayuda a la transparencia documental aguas abajo; las obligaciones del proveedor del modelo base recaen en ese proveedor.

Designio produce, por construcción, una cadena inmutable de qué se decidió, por qué y quién lo aprobó. Esa evidencia documental del proceso de construcción es exactamente lo que la accountability exige poder demostrar.

Las restricciones del ADN/MAP permiten fijar como invariantes del proyecto la minimización, el cifrado o la segregación por inquilino; cada criterio de aceptación de una EIS puede exigir esas medidas antes de dar por «hecho». Facilita el «by design»; la corrección de la medida concreta la valida el equipo.

La documentación versionada del proyecto facilita mantener actualizado el registro de tratamientos asociados a cada funcionalidad, pero el registro del Art. 30 es un documento de la organización que va más allá del software construido.

El perímetro de seguridad de la construcción (secretos en bóveda, aislamiento efímero, auditoría del Sentinel) reduce el riesgo durante el desarrollo. La seguridad del sistema en producción depende de su despliegue, fuera del alcance del método.

El interrogatorio estructurado obliga a explicitar riesgos y supuestos sobre los datos antes de construir, y deja rastro. Es un insumo valioso para la DPIA; la evaluación formal y su firma corresponden al responsable y a su DPO.

La trazabilidad inmutable ayuda a reconstruir qué ocurrió y cuándo, acelerando la investigación de un incidente. La detección, la decisión de notificar y los plazos son procesos operativos de la organización.

El ADN y los ADR documentan la arquitectura, las dependencias permitidas y las decisiones técnicas del software construido, una base ordenada para el inventario de activos TIC. El inventario completo de la entidad excede el software de un proyecto.

El perímetro de seguridad del desarrollo y la certificación de salud reducen el riesgo de introducir vulnerabilidades. La protección de los sistemas en operación es responsabilidad de la entidad financiera.

La estructura de gobernanza de Designio (roles, firmas, umbrales de confianza) ofrece un modelo de supervisión y aprobación trasladable al gobierno del riesgo TIC del desarrollo agéntico.

La trazabilidad inmutable acelera la investigación forense de un incidente que afecte a un componente construido. La detección y la notificación reglada son procesos operativos de la entidad.

La intención dirigida por pruebas y el umbral de Health Score elevan la cobertura y la calidad del código entregado. No sustituyen el programa formal de pruebas de resiliencia ni el pentesting exigidos por DORA.

La lista blanca de dependencias y el SBOM dan visibilidad de los componentes de terceros incorporados al software. La gestión contractual y de concentración de proveedores es competencia de la entidad.

Designio ES, en sí mismo, un ciclo de vida de desarrollo con seguridad y gobernanza integradas en cada fase. Adoptarlo materializa este control de forma directa para los proyectos que gobierna.

El «código de oro» del ADN fija los patrones obligatorios y la auditoría del Sentinel verifica codificación segura antes del despliegue, con un umbral de calidad bloqueante. Facilita fuertemente el control; la cobertura concreta depende de las reglas configuradas.

Cada agente construye en una micro-VM aislada y el despliegue pasa por un entorno de preproducción antes que producción, materializando la separación de entornos durante la construcción.

El registro WORM inmutable y encadenado del proceso de construcción es, por construcción, un log de eventos íntegro y a prueba de manipulación. Garantiza la trazabilidad del proceso; el logging de los sistemas en operación es responsabilidad de su explotación.

El control de red de salida, las identidades de mínimo privilegio y la bóveda de secretos aplican buenas prácticas de seguridad en la nube durante la construcción. La configuración segura de la nube de producción la realiza la organización.

Se puede vetar por ADN el tratamiento o la exposición de PII en el proceso de construcción, y el DPI del egress detecta fugas. Facilita la protección de PII durante el desarrollo; el tratamiento de PII en producción requiere controles propios.

Los patrones obligatorios del ADN y la auditoría del Sentinel (OWASP, Taint Analysis) integran el desarrollo seguro en el ciclo. Facilita el requisito; el alcance exacto depende de las reglas y del entorno de tarjeta.

El SBOM y el análisis de dependencias en la auditoría detectan componentes vulnerables antes del despliegue. La gestión continua de vulnerabilidades del entorno PCI es un proceso operativo más amplio.

Se puede prohibir por ADN que el agente persista o exponga datos de tarjeta, y el sistema de archivos volátil no deja rastro físico tras la construcción. La protección del dato en producción exige cifrado y controles propios del entorno.

Cada agente recibe una identidad efímera de mínimo privilegio y nunca ve las credenciales en claro. Aplica el mínimo privilegio en la construcción; el control de acceso del entorno de producción es responsabilidad de la entidad.

El registro inmutable y encadenado del proceso de construcción provee, por construcción, un rastro de auditoría íntegro de quién hizo qué en el desarrollo. La monitorización del entorno de tarjeta en operación es un proceso continuo de la organización.

Los constructores no tocan la shell: toda instrucción pasa por el Guardián, que la valida contra una lista blanca antes de ejecutarla. Reduce el impacto de una inyección, aunque ningún método elimina del todo el riesgo (lo advierte el propio OWASP).

El agente solo ve referencias opacas a los secretos y toda salida se inspecciona (DPI) buscando fugas. Mitiga fuertemente la divulgación durante la construcción; el manejo de datos sensibles en producción exige sus propios controles.

La agencia del agente está acotada por construcción: entorno aislado, mínimo privilegio y umbrales de confianza que obligan a parar y pedir firma humana para acciones de alto riesgo. Es uno de los riesgos que Designio aborda de forma más directa.

El Financial Guard impone un límite duro de gasto al proceso de construcción y lo bloquea al alcanzarlo. Para el consumo del propio pipeline agéntico, el método garantiza por construcción un tope; el consumo del sistema LLM ya desplegado requiere sus propios límites.

Solo entran dependencias de la lista blanca, el SBOM da visibilidad de la cadena y la jerarquía multimodelo evita depender de un único proveedor. Facilita el control de la cadena de suministro; la verificación de procedencia de modelos y datos sigue siendo necesaria.

La intención dirigida por pruebas y el análisis de taint verifican que la salida construida se maneja de forma segura antes de integrarla. Facilita la validación de salidas; la cobertura depende de los criterios definidos.