Informe Final de Auditoría y Cumplimiento de la Aula 6

Inventario de secretos · Entorno rojo

# ========================================================================
# VECTRATECH SOLUTIONS - INVENTARIO DE SECRETOS DE INFRAESTRUCTURA (ENTORNO ROJO)
# REGLA DE CIBERSEGURIDAD: PROHIBIDO SU INGRESO EN CHATS DE IA GENERATIVA PÚBLICOS
# ==============================================================================

# 1. Claves de API de Inteligencia Artificial & RAG
OPENAI_API_KEY=sk-proj-vTech2026_x89aB... (Llave de acceso a modelos LLM)
GEMINI_API_KEY=A1zaSyA89_vTech_RAG_2026... (Llave para procesamiento RAG)

# 2. Claves de Automatización e Integración (Make.com & Webhooks)
MAKE_WEBHOOK_URL=https://hook.us1.make.com/vtech_automatex_approve_2026
MAKE_API_TOKEN=mk_token_89231_vtech_sec...

# 3. Proveedores de Correo Transaccional (Vercel Serverless & Resend)
RESEND_API_KEY=re_vTech_2026_Secr3t_Key_9812... (Utilizado para avisos a cliente/dev)

# 4. Credenciales de Bases de Datos y Almacenamiento (Supabase / PostgreSQL)
DATABASE_URL=postgresql://vtech_admin:P@ssw0rd_Secur3_2026@db.vectratech.internal:5432/production
SUPABASE_SERVICE_ROLE_KEY=eyJhbGciOiJIUzI1NiIsIn...

# 5. Secretos de Servidor y Despliegues (Vercel / GitHub Actions)
VERCEL_DEPLOY_TOKEN=vercel_tok_89aB_vtech_prod_2026...
JWT_SECRET_KEY=super_secret_jwt_key_vtech_auth_2026

Valores ficticios según la autora; forman parte del ejercicio.

Criterios operativos para proteger los secretos (Paso 1)

1. 1.

   Inyección en Servidor (Variables de Entorno): Allí donde desplegemos código o dashboards (como Vercel o Make), estas claves deben vivir únicamente en el panel de ENVIRONMENT_VARIABLES del servidor. Nunca deben pegarse en texto plano dentro de prompts de ChatGPT, Gemini o Claude.

2. 2.

   Sanitización de Código Fuente: Si le pides a la IA que revise un fragmento de código (por ejemplo, una función serverless o un script en Python), debes reemplazar cualquier secreto real por referencias ficticias como process.env.RESEND_API_KEY o YOUR_API_KEY.

3. 3.

   Auditoría de Entrada: Antes de presionar "Enviar" en cualquier entorno conversacional, se debe hacer un escaneo rápido para verificar que no haya ninguna cadena con formato sk-, Alza- o re_ inyectada involuntariamente.

VectraTech Solutions — Inventario de datos personales y sensibles (PII)

Regla de ciberseguridad: prohibido su envío en texto plano a IAs públicas

Criterios operativos para reconocer y evitar el envío de PII (Paso 2)

1. 1.

   Evaluación Previa al Prompt (Filtro de Entrada): Antes de pegar cualquier archivo (como el archivo Excel de entrevistas o reportes de e-commerce) en ChatGPT o Gemini, el analista debe verificar que no contenga filas o columnas con nombres reales, direcciones de correo o identificadores de clientes.

2. 2.

   Aislamiento por Proyectos (ChatGPT Projects / Gemini Gems): Para evitar que la información de una consulta comercial o de soporte se mezcle entre áreas, se deben utilizar proyectos acotados (Projects) con memorias aisladas por departamento (Marketing, Dev, Operaciones).

3. 3.

   Uso de Bases de Conocimiento Controladas (RAG): Cuando se requiera analizar información interna sensible de VectraTech Solutions, se debe emplear el patrón RAG a través de entornos seguros o herramientas como NotebookLM, donde las respuestas quedan acotadas únicamente a los documentos proporcionados sin reentrenar modelos públicos.

Flujo de sanitización de datos

1. 1
   ENTRADA DE DATOS REALES →

   Documentos con PII, correos, nombres, montos y comunas (direcciones)

2. 2
   CAPA DE ENMASCARAMIENTO →

   Reemplazo por variables opacas (Cliente A, Transacción X)

3. 3
   CAPA DE MINIMIZACIÓN →

   Eliminación de datos irrelevantes (usar rangos en vez de fechas)

4. 4
   DATOS SINTÉTICOS →

   Generación de matrices ficticias proporcionales

5. 5
   PROMPT LIMPIO →

   Envío seguro a ChatGPT, Gemini, Copilot, Deepseek o IA utilizada

Enmascaramiento de datos (Data Masking)

2. Minimización de datos (Data Minimization) & 3. Datos sintéticos

Generación de Datos Sintéticos: Para probar prompts complejos de análisis financiero o prototipos sin exponer métricas reales, se construyen conjuntos de datos ficticios pero estadísticamente proporcionales.

Ejemplo práctico de prompt sanitizado

Arquitectura segura de información

Nota de Ciberseguridad: Los logs guardan únicamente el ID opaco del evento y el estado HTTP para garantizar que no contengan PII ni textos de prompts sensibles.