Gobernanza y cumplimiento

Asegure que las arquitecturas cumplen los requisitos organizativos, normativos y de seguridad mediante políticas como código y gobernanza automatizada.

Gobernanza de arquitectura

¿Qué es la gobernanza?

Es el proceso para garantizar que las decisiones de infraestructura:

• Se alinean con la estrategia de la organización.
• Cumplen los requisitos normativos.
• Respetan las políticas de seguridad y costos.
• Sostienen los estándares operativos.

Por qué importa la gobernanza

• Gestión de riesgos: evita errores costosos antes de que ocurran.
• Cumplimiento: satisface requisitos SOC2, HIPAA, PCI y GDPR.
• Control de costos: aplica políticas de optimización.
• Seguridad: garantiza una postura de seguridad coherente.
• Excelencia operativa: estandariza patrones probados.

Políticas como código

Defina requisitos de arquitectura como políticas de aplicación automática.

Ejemplos de políticas

Política: cifrado obligatorio

All databases must be encrypted at rest.
All data in transit must use TLS 1.3.

Política: alta disponibilidad

All databases must be deployed in multi-AZ configuration.
All load balancers must span at least 2 availability zones.

Política: grupos de seguridad

No security groups allowing inbound from 0.0.0.0/0 on port 22 or 3389.
All databases must be in private subnets (not internet-facing).

Política: control de costos

No instances larger than t3.xlarge without approval.
Maximum database storage of 1TB without approval.
All reserved instances must be 1-year or longer.

Política: etiquetas

All resources must have:
- owner: name of responsible person
- cost-center: department paying for resource
- environment: prod, staging, dev
- data-classification: public, internal, confidential, restricted

Aplicación de políticas

(Próximamente: editor de políticas y motor de aplicación integrados.)

1. Defina políticas en Architecto.
2. Aplíquelas a la organización o al equipo.
3. Las arquitecturas existentes se validan automáticamente.
4. Las nuevas se comprueban al crearlas.
5. Los incumplimientos se destacan con pasos correctivos.

Marcos de cumplimiento

SOC 2 Type II

Controles de seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad.

Architecto ayuda con:

• Cifrado en reposo y en tránsito.
• Controles de acceso mediante políticas IAM.
• Registros de auditoría con CloudTrail y CloudWatch.
• Gestión de cambios mediante infraestructura como código.
• Respuesta a incidentes con procedimientos documentados.

Revisión de arquitectura:

✓ Data encrypted at rest (AES-256)
✓ Data encrypted in transit (TLS 1.3)
✓ Multi-AZ deployment (availability)
✓ Access controls configured (least privilege)
✓ Audit logging enabled
✓ Backup and recovery tested

HIPAA: ley de portabilidad y responsabilidad del seguro médico

Protege la privacidad y seguridad de los datos sanitarios.

Requisitos principales:

• Cifrado de toda la información sanitaria protegida, PHI.
• Controles de acceso y autenticación.
• Auditoría de todos los accesos.
• Copias de seguridad y recuperación ante desastres.
• Procedimientos de respuesta a incidentes.
• Acuerdos con socios comerciales.

Patrón de arquitectura de Architecto para HIPAA:

VPC (isolated network)
├─ VPN for healthcare provider access
├─ Encrypted RDS database with encryption keys in AWS KMS
├─ CloudTrail logging all access
├─ VPC Flow Logs for network monitoring
├─ S3 with encryption and versioning for backups
└─ Multi-region disaster recovery

PCI DSS: estándar de seguridad de datos del sector de tarjetas de pago

Protege los datos de tarjetas de crédito y pagos.

Requisitos principales:

• Cortafuegos y segmentación de red.
• Cifrado de datos de titulares de tarjetas.
• Análisis de vulnerabilidades.
• Control de acceso y autenticación.
• Supervisión y registros.
• Pruebas periódicas de seguridad.

Patrón de arquitectura de Architecto para PCI DSS:

Internet-Facing Components (DMZ)
├─ WAF (Web Application Firewall)
├─ Load Balancer (all traffic encrypted)

Application Servers (separated segment)
├─ API Gateway with authentication
├─ Encryption for cardholder data (tokenization)
├─ No storage of sensitive card data

Database Servers (isolated)
├─ Never stores card numbers (only tokens)
├─ Encrypted at rest and in transit
├─ Network segmentation (private subnet)
├─ CloudTrail and database audit logs

GDPR: Reglamento General de Protección de Datos

Protege los datos personales de residentes de la UE.

Derechos principales:

• Acceso: el interesado puede solicitar sus datos.
• Supresión: los datos pueden eliminarse.
• Portabilidad: exportación en un formato estándar.
• Oposición al tratamiento.
• Protección de datos desde el diseño.

Aspectos que considerar en Architecto:

• Residencia de datos: deben permanecer en la UE.
• Políticas de conservación y eliminación de datos antiguos.
• Privacidad desde el diseño y recopilación mínima.
• Gestión del consentimiento.
• Acuerdos de tratamiento con proveedores.

Supervisión y detección de desviaciones

¿Qué es una desviación?

Ocurre cuando la infraestructura en ejecución difiere de la arquitectura documentada:

Designed Architecture:
- 3 EC2 instances behind load balancer
- Multi-AZ database with 2 read replicas
- CloudFront CDN for static assets

Actual Infrastructure:
- 2 EC2 instances (someone manually shut one down)
- Single database with no replicas (maintenance never done)
- No CDN (disabled to debug issue, never re-enabled)

Prevención de desviaciones

1. Infraestructura como código

• Todo definido en Terraform o CloudFormation.
• Cambios revisados y aprobados antes de aplicarlos.
• Evita errores accidentales de introducción.

2. Detección de desviaciones (próximamente)

• Comparaciones programadas entre diseño y realidad.
• Alertas cuando se detectan desviaciones.
• Correcciones automatizadas opcionales.

3. Gestión de cambios

• Todos los cambios mediante CI/CD.
• Cambios manuales prohibidos o señalados.
• Historial de auditoría de todos los cambios.
• Reversión automática si se detectan problemas.

Auditoría e informes de cumplimiento

Generar informes de cumplimiento

Exporte la documentación de cumplimiento:

✓ SOC 2 Readiness Report
✓ HIPAA Compliance Checklist
✓ PCI DSS Gap Analysis
✓ GDPR Compliance Inventory
✓ Custom Policy Compliance

Historial de auditoría

Historial completo de:

• Quién creó o modificó cada arquitectura.
• Qué cambió y cuándo.
• Aprobaciones y revisiones.
• Resultados de análisis en cada fase.
• Actividad de exportación y uso compartido.

Documentación

Genere automáticamente la documentación necesaria:

• Diagramas de flujo para cumplimiento HIPAA y PCI.
• Documentación de arquitectura de seguridad.
• Plan de continuidad del negocio.
• Manual de recuperación ante desastres.
• Matrices de evaluación de riesgos.

Gobernanza multiinquilino y empresarial

Políticas de organización

Defina estándares comunes:

• Proveedores aprobados: AWS, GCP y Azure.
• Patrones y tecnologías aprobados.
• Límites de costos y controles presupuestarios.
• Etiquetas y convenciones de nombres obligatorias.
• Marcos de cumplimiento requeridos.

Gobernanza de equipos

Los equipos pueden apartarse de las políticas mediante:

• Excepciones y exenciones.
• Aprobaciones temporales.
• Desviaciones con duración limitada.

Auditoría y registros

Historial de auditoría completo:

Organization Level:
- Organization created/modified
- Members added/removed
- Policies created/changed
- Budget alerts triggered

Team Level:
- Architectures created/deleted
- Analysis results
- Shares and exports
- Comments and reviews

User Level:
- Login/logout
- API calls
- Document edits
- Settings changes

Respuesta a incidentes

Preparación

1. Documente la arquitectura en Architecto.
2. Genere un manual para cada componente crítico.
3. Defina procedimientos de escalamiento.
4. Liste contactos: guardias, responsables y proveedores.
5. Pruebe la recuperación ante desastres cada trimestre.

Respuesta

Durante el incidente:

1. Comparta la arquitectura con el equipo de coordinación.
2. Anote los componentes afectados.
3. Use el modelador de amenazas para identificar vectores de ataque.
4. Busque causas raíz en los módulos de análisis.
5. Documente la cronología y las acciones.

Recuperación

Después del incidente:

1. Genere un informe desde el historial de Architecto.
2. Cree un ADR que documente lo ocurrido y cómo prevenirlo.
3. Actualice la arquitectura para evitar recurrencias.
4. Revise los manuales con lo aprendido.
5. Programe una revisión posterior con el equipo.

Formación y gestión del conocimiento

Documentación

Architecto ayuda a las organizaciones a:

• Guardar patrones y arquitecturas aprobados.
• Compartir conocimientos con los nuevos miembros.
• Documentar decisiones, ventajas y desventajas.
• Crear memoria institucional.

Rutas de aprendizaje

Architecto incluye:

• Más de 1,000 cuestionarios sobre arquitectura, seguridad y cumplimiento.
• Tarjetas para repetición espaciada.
• Casos prácticos reales.
• Guías de mejores prácticas.

Adáptelo a su organización:

• Ejemplos de arquitecturas de la empresa.
• Políticas y requisitos propios.
• Conjunto de tecnologías de la organización.

Hoja de ruta de cumplimiento

La hoja de ruta de Architecto incluye:

• Q2 2024: motor de políticas como código.
• Q3 2024: plantillas de políticas SOC 2, HIPAA y PCI DSS.
• Q3 2024: informes automatizados de cumplimiento.
• Q4 2024: detección y corrección de desviaciones.
• Q1 2025: creador de marcos de cumplimiento personalizados.
• Q2 2025: auditoría y análisis forense avanzados.

Siguientes pasos

• Defina políticas → Cree políticas de organización (próximamente).
• Seleccione un marco → Elija HIPAA, PCI, SOC2 u otro propio.
• Audite lo existente → Analice el cumplimiento de las arquitecturas actuales.
• Genere informes → Exporte documentación de cumplimiento.
• Más información → Mejores prácticas

¿Preguntas? Contacte con compliance@architecto.dev o entre en el Discord de la comunidad.