GenAI is an indispensable part of the Guru service, and Guru keeps source content protected throughout the entire input/output transaction. Key security features include:

• Only relevant document matches are submitted to the third party LLM; thus ensuring the vast majority of content remains out of the AI workstream (Answers)
• Any content submitted to the third party LLM for processing is immediately removed after the output is returned (“zero day retention”)
• Guru does not use your content to train the LLM in any way; your content remains exclusively yours in a protected enclave
• Our third party AI partner undergoes recurring risk reviews and is bound by a Data Protection Agreement

O programa é gerenciado por um líder dedicado de infosec que trabalha em conjunto com a liderança executiva e especialistas em assuntos para codificar procedimentos e garantir a execução.

A Guru contrata uma empresa de auditoria independente para realizar uma auditoria SOC 2, Tipo II, anualmente, que inclui não apenas os Critérios Comuns, mas também os critérios de serviços de confidencialidade e privacidade.

Sim. Analisamos as mudanças na linha de produtos, no ambiente regulatório e na ameaça cibernética. Atribuímos pontuações de risco e garantimos que a liderança executiva esteja rotineiramente envolvida na mitigação de riscos. Essas etapas são verificadas na auditoria SOC 2 anual.

• A Guru oferece vários recursos para sincronizar, processar, armazenar e dar sentido às suas fontes de conhecimento; inerente a todos esses recursos está a sua capacidade de controlar quais conhecimentos são compartilhados
• A Guru processará apenas o que for necessário para fornecer seu serviço e, consequentemente, minimizará a coleta de conteúdo e restringirá o tempo de retenção ao máximo possível
• Seu conteúdo é armazenado e gerenciado em um banco de dados AWS altamente seguro, separado e protegido do conteúdo de outros clientes por um ID de equipe exclusivo
• Qualquer uso de integradores é controlado por conexões de API altamente seguras e criptografadas

Temos um framework de controle baseado nos Controles do Center for Internet Security, abrangendo um amplo espectro de conformidade e garantindo que estejamos focados nas coisas certas. Temos nove políticas separadas que regem o seguinte:

• Funções de Segurança e Privacidade
• Gerenciamento de Riscos
• Gerenciamento e Proteção de Ativos
• Classificação/Tratamento/Transmissão de Dados
• Recuperação de Dados e Continuidade dos Negócios
• Gerenciamento de Acesso do Usuário
• Pessoas e Treinamento
• Desenvolvimento de Produto e Gerenciamento de Mudança
• Relacionamentos com Fornecedores

Por padrão, a equipe do Guru não tem acesso aos dados do cliente. Isso é reservado para administradores de back-end com uma necessidade demonstrada. Esses membros são aprovados pelo CTO por escrito e os acessos são revisados três vezes ao ano.

O Guru leva a sério suas necessidades de privacidade e segurança médica, e embora estejamos preparados para firmar um Acordo de Associado de Negócios para conformidade com o HIPAA, primeiro pedimos que considere a probabilidade de que a plataforma do Guru vá consumir, processar ou armazenar alguma informação de saúde protegida eletronicamente. Se você acredita que há uma chance razoável de que esses dados pessoais acabem no sistema, estamos dispostos a fornecer um modelo de Acordo de Associado de Negócios como garantia assinada do Guru de que seguiremos os mandatos aplicáveis do HHS para proteger seus dados.

Qualquer fornecedor com potencial para acessar dados sensíveis do cliente deve fornecer uma auditoria externa ou, no mínimo, submeter-se a uma entrevista de risco e demonstrar as melhores práticas de segurança. Esses artefatos são renovados anualmente para garantir nenhuma falha na supervisão. Além disso, cada fornecedor deve assinar um Acordo de Processamento de Dados e se comprometer contratualmente com as práticas de segurança de dados.

Nossa rede de frente pública é varrida mensalmente em busca de validade de certificado, portas abertas e protocolos e headers de segurança. Nossos contêineres de aplicativos são verificados pela AWS antes da implantação para descobrir e resolver vulnerabilidades.

Sim. A aplicação é rotineiramente testada para penetração por uma agência externa não menos que duas vezes por ano para revelar vulnerabilidades OWASP comuns. Um resumo executivo está disponível mediante solicitação.

Copiamos nosso banco de dados diariamente e o salvamos em um site de recuperação de desastres em uma região totalmente separada. Realizamos uma verificação diária de integridade nesse backup para garantir que esteja utilizável se necessário. O objetivo do ponto de recuperação é de 1 hora, com um objetivo de tempo de recuperação de 24 horas.

O Guru mantém um procedimento abrangente de classificação e resposta a incidentes, ensaiando potenciais incidentes duas vezes por ano por meio de um exercício formal de mesa. Os participantes capturam lições aprendidas e se esforçam constantemente para melhorar o programa. Embora altamente improvável, qualquer violação de dados seria comunicada ao administrador do Guru do cliente dentro de 24 horas de confirmação.

A segurança está incorporada ao processo de codificação, e várias verificações são realizadas para validar o novo código antes da implantação. Além disso, os desenvolvedores do Guru passam por treinamento de segurança especializado para abordar vulnerabilidades comuns como Cross Site Scripting e injeção de SQL.

O Guru respeita completamente os regulamentos de privacidade estabelecidos e emergentes e criou os processos necessários para apoiar os direitos dos titulares de dados. O Guru oferece um Acordo de Proteção de Dados e concorda contratualmente em apoiar todas as regulamentações emergentes de privacidade conforme se aplicam ao serviço. Os terceiros também são obrigados a documentar seus compromissos de segurança consistentes com leis e regulamentos.

In addition to AWS, Guru uses some third parties to perform certain components of its operations. Only vendors who have successfully demonstrated sufficient security capabilities and commitments are authorized to support the Guru system.