Saltar a contenido

Seguridad y comunicaciones externas#

Límites de confianza#

Límites de confianza y comunicaciones salientesDentro de la red del Ministerio están los usuarios, la máquina virtual con Trazo y sus datos permanentes, el proveedor de identidad y el correo institucional. La única salida fuera de esa red es HTTPS hacia la cuenta AWS del Ministerio: Amazon Bedrock recibe solo texto enmascarado y no lo usa para entrenar modelos, Amazon Transcribe recibe el audio sin identificar voces y el bucket S3 temporal se borra al terminar, con un ciclo de vida de 24 horas. No hay telemetría, validación de licencia en línea ni descargas.RED DEL MINISTERIOMÁQUINA VIRTUALUsuariosred internao VPNTrazoweb · api · workerTLS 1.2 o superiorantivirus yenmascaramiento localcontenedores sin rootDatos permanentesbase de datos, insumos,artefactos y versiones,bitácora de auditoría,respaldos cifradoscon AES-256IdentidadOIDC · SAML · LDAPSCorreoSMTP o APICUENTA AWS DEL MINISTERIOfuera de la red, en la región autorizadaAmazon Bedrocksolo texto enmascaradono se usa para entrenarmodelosAmazon Transcribeaudio, sin identificara quien hablaS3 temporalborrado al terminar cadatranscripción; ciclo devida de 24 horas443443587HTTPS 443 · mínimo privilegioNo hay otras salidas: sin telemetría, sin validación de licencia en línea y sin descargas; cada release llega firmado y se instala sin internet.
Límites de confianza. Lo permanente nunca sale de la VM; a la nube va solo lo necesario para cada solicitud, con credenciales de mínimo privilegio y en la región que autoriza el Ministerio.

Identidad y acceso (RO-10, RO-11)#

  • Inicio de sesión único con el proveedor institucional por OpenID Connect (con PKCE), SAML 2.0 o LDAPS; el dominio de correo permitido y los grupos del proveedor fijan el rol (edición, visualización o administrador).
  • Aprovisionamiento SCIM 2.0 desde Entra ID (RD-07), con la capacidad de cuentas de la licencia (regla 2:1).
  • Acceso de emergencia del administrador: contraseña Argon2 de 14 o más caracteres, segundo factor TOTP o códigos de respaldo, bloqueo tras intentos fallidos y registro en la bitácora.
  • Sesiones con cookie HttpOnly firmada, revocables al cerrar sesión.

Datos#

  • TLS 1.2 o superior en el contenedor web con el certificado institucional (RO-21).
  • Respaldos cifrados en reposo con AES-256 y PBKDF2; clave fuera de la aplicación (RO-21).
  • Antivirus ClamAV obligatorio sobre cada archivo cargado (RO-22); tipos admitidos por lista cerrada y firma de bytes.
  • Enmascaramiento local de datos personales antes de la inferencia (RD-13); conservación configurable por tipo de insumo con eliminación automática o asistida y búsqueda por persona (RD-16).
  • Licencia validada sin conexión con firma Ed25519; no transmite nada a Bloomind (RO-18) y al vencer deja solo lectura y exportación durante 90 días (RO-19, RD-11).

Release (RO-13, RO-23)#

Cada release construye las imágenes linux/amd64, escanea las cuatro imágenes del paquete con Trivy (el informe va en seguridad/ del paquete) y se detiene si las imágenes propias tienen vulnerabilidades críticas con corrección disponible; los paquetes del sistema base se actualizan en cada construcción. El paquete lleva las sumas SHA-256 firmadas con Ed25519.

Comunicaciones hacia fuera de la red (letra k del punto 3.2)#

Destino Quién Qué sale Cuándo
Amazon Bedrock (cuenta y región autorizadas) worker Insumos enmascarados e instrucciones; las imágenes y los documentos escaneados, que no se pueden enmascarar, van como archivo y se advierten antes de generar Al generar borradores con el aviso aceptado
Amazon Transcribe y bucket S3 temporal worker El audio o video, solo mientras dura la transcripción; se borra al terminar y el ciclo de vida elimina residuos en 24 h Al cargar una grabación
Proveedor de identidad institucional api La solicitud de autenticación Al iniciar sesión
Relay SMTP o API de correo institucional worker Notificaciones Cuando hay pendientes

Sin telemetría, sin validación de licencia en línea, sin descarga de modelos, firmas ni actualizaciones. El detalle está en la declaración de comunicaciones externas que acompaña a cada oferta y release.