INFRAESTRUCTURA
Responsable: Operaciones de TI / Adquisiciones / Gestión de Proveedores / CISO
Controles de infraestructura de IA
Garantizar que los activos y proveedores de IA subyacentes estén inventariados y gestionados de forma segura.
Mapeo de marcos de referencia
Controles de cada marco de referencia de origen que se mapean a este dominio.
| Marco de Referencia | Controles Mapeados |
|---|---|
| ISO 42001 |
A.4 Recursos para sistemas de IA
A.10 Relaciones con terceros y clientes
|
| NIST AI RMF |
GV-6 Cadena de suministro
MP-4 Requisitos de datos
MG-4 Tratamiento de riesgos
|
| OWASP LLM |
LLM05 Vulnerabilidades de la cadena de suministro
|
| OWASP Agentic |
ASI04 Cadena de suministro
ASI10 Confianza mal depositada
|
Controles
2 controles distribuidos entre el Nivel 1 (esencial) y el Nivel 2 (avanzado).
Lista de verificación de auditoría
Elementos de la lista de verificación agrupados por control.
- ☐ Existe un inventario de activos de IA con todos los campos de esquema requeridos, accesible para el equipo de gobernanza
- ☐ Los mecanismos de descubrimiento automatizado están desplegados y detectan activamente el uso de herramientas de IA en toda la red
- ☐ Cada activo inventariado tiene un propietario del negocio asignado y una revisión de seguridad vigente (dentro de los últimos 12 meses)
- ☐ Se realiza una conciliación trimestral entre el descubrimiento automatizado y el inventario registrado, con resultados documentados
- ☐ El inventario se integra con al menos dos flujos de trabajo de gobernanza posteriores (aplicación de políticas, evaluación de proveedores, respuesta a incidentes o informes de cumplimiento)
- ☐ Existe un cuestionario de seguridad de proveedores específico de IA que cubre las prácticas de entrenamiento con datos, la residencia de datos, la procedencia del modelo y la respuesta a incidentes
- ☐ Todos los proveedores de IA que procesan datos organizacionales cuentan con una evaluación completada y archivada dentro de los últimos 12 meses
- ☐ Los contratos con proveedores de IA de Nivel 1 y Nivel 2 incluyen prohibiciones explícitas sobre el uso de los datos del cliente para el entrenamiento del modelo
- ☐ Se mantiene un registro de riesgo de proveedores con el estado de evaluación actual y las próximas fechas de revisión para todos los proveedores de IA
- ☐ Al menos una reevaluación de proveedor ha sido activada por un cambio material (actualización del modelo, adquisición o cambio de política) en los últimos 12 meses