Preguntas frecuentes
¿Quién puede ver cada información en Innguma?
En Innguma lo decide tu organización: las personas deciden qué se vigila, qué se publica y a quién llega. El acceso se apoya en el Directorio Activo, con inicio de sesión corporativo y altas y bajas centralizadas, y la difusión se hace mediante boletines enviados desde la Biblioteca a quien el equipo elige. Cómo se organizan los accesos de cada equipo se define con cada organización en la puesta en marcha.
¿Qué principios de seguridad se aplican al acceso a la información?
- Mínimo privilegio. El NIST lo define como el principio por el que cada entidad recibe solo los recursos y autorizaciones que necesita para su función[1].
- Control de acceso basado en roles. Cada usuario recibe uno o varios roles y cada rol, unos privilegios. El modelo del NIST se adoptó como norma estadounidense ANSI/INCITS 359 en 2004 y se revisó en 2012[2].
- Necesidad de conocer. Que alguien pertenezca a la organización no significa que deba leer todas las vigilancias.
¿Qué exige la normativa española y europea?
El Real Decreto 311/2022, que regula el Esquema Nacional de Seguridad, exige que el acceso a los sistemas sea controlado y limitado a usuarios, procesos o sistemas debidamente autorizados (artículo 17) y que los sistemas se configuren otorgando los mínimos privilegios necesarios (artículo 20)[3]. El Reglamento General de Protección de Datos exige protección de datos desde el diseño y por defecto (artículo 25), lo que incluye que, por defecto, los datos personales no sean accesibles a un número indeterminado de personas, y medidas técnicas y organizativas apropiadas al riesgo (artículo 32)[4]. La AEPD desarrolla cómo llevarlo a la práctica en su guía de privacidad desde el diseño[5].
¿Qué información de vigilancia es sensible?
Más de la que parece. Una noticia pública deja de ser inocua cuando se combina con el criterio de la organización:
- Qué se vigila. Una vigilancia sobre una tecnología concreta revela una línea de I+D; una sobre una empresa, quizá una operación corporativa.
- Comentarios internos. Las valoraciones que el equipo añade a una señal expresan posiciones y planes propios.
- Datos personales. Nombres de directivos, investigadores o contactos que aparecen en las señales, y las listas de destinatarios.
Cómo se controla el acceso en cada capa de Innguma
| Capa | Pregunta de control | Cómo se resuelve en Innguma |
|---|---|---|
| Identidad | ¿Quién es y sigue en la organización? | Integración con el Directorio Activo: inicio de sesión corporativo y altas y bajas centralizadas |
| Trabajo | ¿Quién procesa y valida las señales? | Factory, el espacio donde Innguma procesa y estructura las señales, es el entorno de trabajo del analista |
| Difusión | ¿A quién llega cada contenido? | Los boletines se envían desde la Biblioteca a las personas que decide el equipo |
| IA conectada | ¿Qué puede hacer un asistente externo? | Mediante MCP, compatible con ChatGPT, Claude, Microsoft Copilot y Gemini, el asistente trabaja con las capacidades que Innguma pone a disposición de cada integración y que tu organización habilita |
| Infraestructura | ¿Están protegidos los sistemas? | ENS categoría MEDIA para los sistemas que dan soporte a los servicios de vigilancia gestionada (certificado 34/5704/24/05039, OCA Global, vigente hasta junio de 2028)[6], y tratamiento de datos conforme al RGPD |
Preguntas que conviene resolver en la puesta en marcha
- ¿Quién necesita trabajar la información y quién solo recibirla?
- ¿Qué vigilancias tratan información sensible, como proyectos propios, clientes u operaciones, y quién debe recibirla?
- ¿Cómo se comunican las altas, bajas y cambios de área para que el acceso se ajuste a tiempo?
- ¿Cada cuánto se revisan los destinatarios de cada boletín?
- ¿Qué capacidades se habilitan en la integración con un asistente de IA y quién revisa lo que se publica?
Fuentes y referencias
- [1] NIST, Computer Security Resource Center. Glosario: least privilege
- [2] NIST. Role Based Access Control
- [3] Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad. BOE
- [4] Reglamento (UE) 2016/679, General de Protección de Datos. EUR-Lex, 2016
- [5] AEPD. Guía de privacidad desde el diseño. Octubre de 2019
- [6] Certificado ENS de Innguma (PDF)