Anthropic aporta la base de cumplimiento, tu cliente construye encima

Módulo 6 · Seguridad y gobernanza · Lección 6 de 6

Al terminar esta lección podrás responder un cuestionario de seguridad de un cliente, dirigirlo a los artefactos de cumplimiento adecuados y explicar dónde termina la responsabilidad de Anthropic y dónde empieza la del cliente.

La pila de certificaciones

SOC 2 Tipo II es la base. La pila completa cubre más terreno del que esperan la mayoría de los clientes.

Anthropic cuenta con SOC 2 Tipo 2, ISO 27001:2022, ISO 27017, ISO 27018, CSA STAR nivel 2, UK Cyber Essentials, HIPAA (BAA disponible), FedRAMP High (Claude for Government), GDPR, NIST 800-171 e ISO 42001:2023. Todos los artefactos, incluidos los informes, las cartas de atestación y las respuestas a cuestionarios, están disponibles en trust.anthropic.com.

Seguridad: SOC 2 Tipo 2, ISO 27001:2022

Infraestructura de seguridad auditada anualmente. Es la base que pedirá cualquier cliente empresarial.

Cómo responder: «Sí, ambas, auditadas anualmente», y después dirige a trust.anthropic.com para los informes vigentes. Es la pregunta con la que empieza todo cuestionario.

Nube y privacidad: ISO 27017, ISO 27018, CSA STAR nivel 2

Controles específicos de la nube y protecciones de privacidad para los datos procesados en entornos de nube.

Cómo responder: estas certificaciones cubren los puntos de nube y privacidad que un equipo de seguridad minucioso añade además de SOC 2. Se responde igual: dirígelos al centro de confianza para las atestaciones.

Industrias reguladas: HIPAA (BAA disponible), FedRAMP High, GDPR

Cumplimiento específico de cada marco. FedRAMP High es específico de Claude for Government, no de los planes Enterprise estándar.

La advertencia que hay que señalar: FedRAMP High aplica a Claude for Government, no a Enterprise estándar. Si un cliente pregunta por FedRAMP, confirma qué producto necesita antes de cotizar la cobertura.

Estándares: NIST 800-171, ISO 42001:2023

Requisitos para contratistas del gobierno y sistemas de gestión de IA. ISO 42001 es la certificación específica de IA.

Vale la pena mencionarla: ISO 42001 es la certificación de sistema de gestión específica para IA, una señal fuerte para un cliente que evalúa la madurez de su gobernanza de IA en concreto, no solo la seguridad general.

Para recordar

Dirige cada cuestionario de seguridad y cada conversación con el CIO a trust.anthropic.com. Responder de memoria las preguntas de certificación introduce riesgo: la página siempre está actualizada.

Modelo de responsabilidades

La capa de Anthropic no se puede configurar ni desactivar. La tuya sí, y debe hacerse.

• Anthropic controla el suelo del modelo. Constitutional AI, entrenamiento de seguridad RLHF, aplicación de la política de uso, clasificadores en tiempo de ejecución, integridad de la plataforma y evaluación previa al lanzamiento. Es universal, no negociable y no puede desactivarse.
• El cliente configura la capa de gobernanza. Managed settings, SSO y SCIM, ventanas de retención de datos, acceso a los registros de auditoría, gobernanza de conectores, IP allowlisting y reglas de permisos. Aquí es donde viven los entregables del proyecto.

flowchart TB
    subgraph ANT["Anthropic controla: el suelo del modelo"]
        A1["Constitutional AI y entrenamiento de seguridad RLHF"]
        A2["Aplicación de la política de uso y clasificadores en tiempo de ejecución"]
        A3["Integridad de la plataforma y evaluación previa al lanzamiento"]
    end
    subgraph CLI["El cliente configura: la capa de gobernanza"]
        C1["Managed settings, SSO y SCIM"]
        C2["Ventanas de retención de datos y acceso a registros de auditoría"]
        C3["Gobernanza de conectores, IP allowlisting y reglas de permisos"]
    end

La pregunta del cuestionario de seguridad casi siempre es «¿quién es responsable de qué?». Esta división es la respuesta. La capa de Anthropic es la base; la capa del cliente es donde se hace visible el trabajo de un consultor.

Controles operativos

Los registros de auditoría y la Compliance API son los dos controles sobre los que más preguntará un equipo de seguridad de un cliente.

Control	Qué ofrece	Ventana o retención
Registros de auditoría (audit logs)	Actividad de usuarios, conversaciones y cambios de administrador. Exportación a SIEM disponible.	Ventana móvil de 180 días
Compliance API	Acceso programático al contenido de las conversaciones para DLP, eDiscovery y legal hold	Retención de hasta 6 años

Configura el acceso a los registros de auditoría durante la configuración previa al lanzamiento: los registros empiezan a acumularse desde el primer uso. Ambas funciones son de Enterprise y ninguna viene configurada por defecto.

Comprueba tu comprensión

Estas son las preguntas que hará un equipo de seguridad de cliente. Conoce las respuestas antes de que lo haga la sala.

Actividad: verdadero o falso

Indica si cada enunciado es verdadero o falso y despliega la respuesta para comprobarla.

«La autorización FedRAMP High aplica a todos los planes Enterprise de Claude.»

Ver respuesta

Falso. FedRAMP High es específico de Claude for Government. Los planes Enterprise estándar no están cubiertos por FedRAMP. Si un cliente pregunta por FedRAMP, confirma qué producto necesita antes de citar cobertura de cumplimiento.

«El system prompt de un cliente puede reconfigurar los clasificadores de seguridad en tiempo de ejecución de Anthropic para permitir contenido que viole la política de uso.»

Ver respuesta

Falso. Los clasificadores de seguridad en tiempo de ejecución pertenecen a Anthropic y no pueden reconfigurarse mediante system prompts ni archivos de ajustes. Es el suelo por debajo del cual ninguna configuración del cliente puede ir. Es una pregunta habitual de los clientes que conviene responder directamente en una revisión de seguridad.

«Los informes SOC 2 Tipo 2 y otros artefactos de cumplimiento están disponibles públicamente en trust.anthropic.com.»

Ver respuesta

Verdadero. El conjunto completo de informes, cartas de atestación y respuestas a cuestionarios está disponible en trust.anthropic.com. Dirige a los clientes allí en lugar de responder de memoria o dar información que pueda estar desactualizada.

El cumplimiento tiene dos capítulos: lo que Anthropic certifica (documentado en trust.anthropic.com) y lo que configura el cliente (registros de auditoría, Compliance API, retención y controles de acceso). Saber qué capítulo responde a cada pregunta del cliente marca la diferencia entre una conversación de seguridad segura y una vacilante.

Actividad: ejecuta el cuestionario

Preguntas reales de una revisión de seguridad de un cliente. Para cada una, elige cómo enrutarías la respuesta: Anthropic controla, el cliente configura o dirigir a trust.anthropic.com.

1. «¿Tienen un informe SOC 2 Tipo II vigente, y podemos ver el informe?»

Ver respuesta

Respuesta correcta: dirigir a trust.anthropic.com. Sí, está en vigor, pero nunca cites detalles de certificación de memoria. trust.anthropic.com contiene los informes vigentes y las cartas de atestación, así que siempre es preciso.

2. «¿Pueden nuestros administradores desactivar o reconfigurar sus clasificadores de seguridad en tiempo de ejecución?»

Ver respuesta

Respuesta correcta: Anthropic controla. Los clasificadores en tiempo de ejecución forman parte del suelo del modelo: son universales e innegociables. Ningún ajuste del cliente puede ir por debajo de ese suelo. Para un equipo de seguridad, ese «no se puede desactivar» es una garantía, no una limitación.

3. «¿Quién establece cuánto tiempo se retienen los datos de nuestras conversaciones, y dónde se configura?»

Ver respuesta

Respuesta correcta: el cliente configura. Las ventanas de retención están en la capa de gobernanza, establecidas por el administrador en la consola. Aquí es exactamente donde están los entregables del proyecto: la respuesta demuestra el trabajo del consultor.

4. «Ustedes listan FedRAMP High. ¿Cubre el plan Enterprise estándar que estamos contratando?»

Ver respuesta

Respuesta correcta: dirigir a trust.anthropic.com y señalar la advertencia. FedRAMP High aplica a Claude for Government, no a Enterprise estándar. Confirma qué producto necesitan en lugar de dar a entender que hay cobertura, y después dirígelos a la fuente autorizada.

Artefacto del curso: configuración de OTel y especificación de dashboard

Los dos documentos que dan al equipo de operaciones del cliente visibilidad sobre su despliegue de Claude Code desde el primer día.

1. Trabaja con la configuración de referencia de OTel que se incluye y adáptala al entorno del cliente: confirma el endpoint de OTLP, define el nombre del servicio y verifica la conexión con el collector.
2. Usando la scorecard de activación (activation scorecard) como marco, diseña la especificación de un dashboard de tres métricas: para cada métrica, define el nombre, la fuente de datos y cómo es una línea base saludable.
3. Haz commit de la configuración de OTel y de la especificación del dashboard en el directorio del proyecto del cliente, para que el equipo de operaciones pueda recogerlos después del lanzamiento.

flowchart LR
    A["Paso 1 · Adaptar la configuración de OTel<br/>endpoint OTLP, nombre del servicio y conexión al collector"] --> B["Paso 2 · Diseñar la especificación del dashboard<br/>tres métricas: nombre, fuente de datos y línea base"]
    B --> C["Paso 3 · Commit en el directorio del proyecto del cliente<br/>para que el equipo de operaciones lo recoja"]

Una configuración que funciona y una especificación de dashboard clara son lo que tiende el puente entre el despliegue y la operación continua. Reducen el tiempo hasta la primera alerta y dan al equipo del cliente un punto de partida que puede hacer suyo.

Práctica

Pruébalo. Antes de terminar el curso, trabaja con la configuración de referencia de OTel suministrada y diseña un dashboard de tres métricas según la scorecard de activación. Si tienes acceso de administrador a un tenant de Claude Enterprise, despliega el pipeline en ese tenant con la misma configuración. Estos dos pasos, un diseño de dashboard y, cuando sea posible, un pipeline en vivo, son tu prueba de que sabes instrumentar un despliegue y entregar al cliente algo que realmente pueda monitorear.

Próximo curso: Administración y medición

El próximo curso cubre cómo gestionar un despliegue de Claude Code una vez en producción. Configurarás los ajustes a nivel de organización, gestionarás asientos y accesos, extraerás datos de uso desde la API y construirás la estructura de reportes que los clientes necesitan para seguir la adopción y demostrar el ROI. También cubre los registros de auditoría y el ritmo operativo de un despliegue en marcha.

Ideas clave

• Anthropic certifica la base (SOC 2 Tipo 2, ISO 27001:2022 y otras). Todos los informes y artefactos están en trust.anthropic.com, que es la fuente a citar en lugar de la memoria.
• FedRAMP High aplica a Claude for Government, no a los planes Enterprise estándar: confirma el producto antes de cotizar cobertura.
• La responsabilidad se divide en dos bloques: Anthropic controla el suelo del modelo, que no se puede configurar ni desactivar; el cliente configura la capa de gobernanza.
• Los registros de auditoría (ventana móvil de 180 días, con exportación a SIEM) y la Compliance API (retención de hasta 6 años) son funciones de Enterprise que no vienen activadas por defecto. Configura el acceso antes del lanzamiento.
• Cierra el módulo con la configuración de OTel y la especificación de dashboard entregadas al equipo de operaciones del cliente.

Siguiente: Gestión de asientos y consola