GenAI is an indispensable part of the Guru service, and Guru keeps source content protected throughout the entire input/output transaction. Key security features include:

• Only relevant document matches are submitted to the third party LLM; thus ensuring the vast majority of content remains out of the AI workstream (Answers)
• Any content submitted to the third party LLM for processing is immediately removed after the output is returned (“zero day retention”)
• Guru does not use your content to train the LLM in any way; your content remains exclusively yours in a protected enclave
• Our third party AI partner undergoes recurring risk reviews and is bound by a Data Protection Agreement

Le programme est géré par un leader en infosec dédié travaillant en tandem avec la direction exécutive et les experts en la matière pour codifier les procédures et garantir l'exécution.

Guru engage un cabinet d'audit indépendant pour réaliser un audit SOC 2, Type II annuel, qui inclut non seulement les Critères Communs, mais aussi les critères de services de Confide**{'text', ''}ntialité et de Confidentialité.

Oui. Nous examinons les changements dans la gamme de produits, l'environnement réglementaire et la menace cybernétique. Nous attribuons des scores de risque et nous assurons que la direction exécutive est régulièrement impliquée dans la limitation des risques. Ces étapes sont vérifiées lors de l'audit SOC 2 annuel.

• Guru propose plusieurs fonctionnalités pour synchroniser, traiter, stocker et comprendre vos sources de connaissance; inhérente à toutes ces fonctionnalités est votre capacité à contrôler quelles connaissances sont partagées
• Guru ne traitera que ce dont il a besoin pour fournir son service, et réduira par conséquent au minimum la collecte de contenu et limitera le temps de conservation autant que possible.
• Vos contenus sont stockés et gérés dans une base de données AWS hautement sécurisée, séparés et protégés des contenus des autres clients par un ID d'équipe unique.
• Toute utilisation d'intégrateurs est contrôlée via des connexions API hautement sécurisées et chiffrées.

Nous avons un cadre de contrôle basé sur les contrôles du Center for Internet Security, couvrant un large spectre de conformité et garantissant que nous sommes focalisés sur les bonnes choses. Nous avons neuf politiques distinctes régissant les éléments suivants :

• Rôles de Sécurité et Vie Privée
• Gestion des Risques
• Gestion et Protection des Biens
• Classification/Manipulation/Transmission des Données
• Récupération des Données et Continuité d'Activité
• Gestion des Accès Utilisateur
• Personnes et Formation
• Développement de Produits et Gestion du Changement
• Relations Fournisseur

Par défaut, le personnel de Guru n'a pas accès aux données du client. Ceci est réservé aux administrateurs de backend dûment approuvés. Ces membres sont approuvés par le CTO par écrit et les accès sont revus trois fois par an.

Guru prend au sérieux vos besoins en matière de confidentialité et de sécurité médicale, et bien que nous soyons prêts à conclure un accord d'associé commercial pour la conformité HIPAA, nous vous demanderions d'abord de prendre en considération la probabilité que la plateforme Guru consommera, traitera ou stockera jamais des informations de santé protégées électroniques. Si vous croyez qu'il y a une chance raisonnable pour que de telles données personnelles se retrouvent dans le système, nous sommes prêts à fournir un accord type d'associé commercial en tant qu'assurance signée par Guru que nous respecterons les mandats HHS applicables pour la protection de vos données.

Tout fournisseur ayant le potentiel d'accéder à des données client sensibles doit fournir un audit externe ou, au minimum, se soumettre à une entrevue de risque et démontrer les meilleures pratiques de sécurité. Ces artefacts sont rafraîchis annuellement pour garantir aucune lacune dans la surveillance. De plus, chaque fournisseur est tenu de signer un accord de traitement des données et de s'engager contractuellement à respecter les pratiques de sécurité des données.

Notre réseau public est scanné mensuellement pour la validité des certificats, les ports ouverts et les protocoles ainsi que les en-têtes de sécurité. Nos conteneurs d'application sont scannés via AWS avant le déploiement pour découvrir et résoudre les vulnérabilités.

Oui. L'application est régulièrement testée en pénétration par une agence externe au moins deux fois par an pour révéler les vulnérabilités OWASP courantes. Un résumé exécutif est disponible sur demande.

Nous copions notre base de données quotidiennement et la sauvegardons sur un site de récupération après sinistre dans une région complètement séparée. Nous effectuons quotidiennement une vérification d'intégrité de cette sauvegarde pour nous assurer qu'elle est utilisable en cas de besoin. L'objectif de point de récupération est d'1 heure, avec un objectif de temps de récupération de 24 heures.

Guru maintient une procédure complète de classification et de réponse aux incidents, répétant les incidents potentiels deux fois par an à travers un exercice formel de table. Les participants capturent les leçons apprises et s'efforcent constamment d'améliorer le programme. Bien que très peu probable, toute violation de données serait communiquée à l'administrateur Guru du client dans les 24 heures suivant la confirmation.

La sécurité est intégrée dans le processus de codage, et un certain nombre de vérifications sont effectuées pour valider le nouveau code avant le déploiement. De plus, les développeurs de Guru suivent une formation spécialisée en sécurité pour traiter les vulnérabilités courantes telles que le Cross Site Scripting et l'injection SQL.

Guru respecte pleinement les réglementations sur la confidentialité établies et émergentes et a créé les processus nécessaires pour soutenir les droits des sujets de données. Guru propose un accord de protection des données et accepte contractuellement de soutenir toutes les réglementations émergentes sur la confidentialité telles qu'elles s'appliquent au service. Les tierces parties doivent également documenter leurs engagements en matière de sécurité conformément aux lois et règlements.

En plus d'AWS, Guru utilise certaines tiers parties pour effectuer certains composants de ses opérations. Seuls les fournisseurs qui ont démontré avec succès des capacités de sécurité suffisantes et des engagements sont autorisés à soutenir le système Guru.