Skip to content
PointSav Digital Systems

Last updated · 9e782ef0 · English

compliance-and-continuous-disclosure

Cumplimiento y divulgación continua describe los marcos regulatorios que aborda la arquitectura PointSav y el enfoque estructural que adopta para evidenciar esos controles. El cumplimiento empresarial convencional se basa en auditorías anuales en un momento puntual: un auditor examina una muestra, produce un informe escrito y el cliente posee un certificado que puede quedar desactualizado semanas después de su emisión. El sustrato PointSav está diseñado para un modelo continuo: controles legibles por máquina que se actualizan en tiempo real y exponen una superficie de atestación consultable. Todas las certificaciones de cumplimiento y objetivos de marcos descritos aquí son planificados o previstos; se aplica lenguaje prospectivo en todo momento según los requisitos de divulgación continua de valores canadienses [ni-51-102] [osc-sn-51-721]. Al finalizar este artículo, el lector comprenderá los objetivos del marco de cumplimiento, el enfoque de controles estructurales y la disciplina de estado de documentos que aplica la arquitectura.

Cómo la prueba continua reemplaza los ciclos de auditoría anuales

La limitación de la auditoría en un momento puntual es arquitectónica: un certificado emitido después de un período de evaluación de seis meses es preciso para ese período y potencialmente inexacto en cada momento posterior. Para los clientes que gestionan registros regulados — Emisores de información, profesionales médicos, profesionales legales — la brecha entre la evaluación y la postura actual es una responsabilidad.

El sustrato PointSav aborda esto colocando controles a un nivel donde no pueden ser evitados administrativamente: si un control puede ser desactivado por un administrador, es una política. Si no puede ser desactivado, es una garantía arquitectónica. El enfoque previsto mueve los controles de la capa de políticas al nivel del sistema — por debajo del sistema operativo — para que el registro de auditoría no sea una función que fue habilitada, sino una propiedad estructural que nunca estuvo ausente. 1

Marcos de cumplimiento que aborda la arquitectura

Marco Tipo Lo que proporciona la arquitectura
SOC 3 (Controles del Sistema y la Organización 3) Confianza operativa Planeado: controles continuos sobre Seguridad, Disponibilidad, Integridad de Procesamiento, Confidencialidad, Privacidad
Paquete de Resolución de Activos Digitales (DARP) Soberanía estructural Planeado: segregación criptográfica de activos para que permanezcan transferibles ante el fallo del proveedor
OSCAL (Lenguaje de Evaluación de Controles de Seguridad Abierto de NIST) 1 Cumplimiento legible por máquina Planeado: manifiestos en oscal-manifests/ por repositorio; ciclo de autoauditoría de 60 segundos
ISO 19650 Gestión de registros Sufijos de estado de documentos aplicados en artefactos BIM e inmobiliarios
ISO/IEC 42001:2023 — Sistema de Gestión de IA 2 Transparencia algorítmica Planeado: registro inmutable de cada decisión de enrutamiento de IA a través del límite de auditoría del Portero
DORA (Ley de Resiliencia Operativa Digital de la UE) Regulación sectorial de la UE Objetivo: apoya los despliegues previstos de clientes en la UE
FedRAMP Gobierno de EE.UU. Objetivo: apoya los despliegues previstos en el sector público de EE.UU.
GDPR Privacidad en la UE Objetivo: apoya el cumplimiento previsto de privacidad en la UE
BCSC (NI 51-102, OSC SN 51-721) [ni-51-102] [osc-sn-51-721] Divulgación continua Todas las afirmaciones prospectivas llevan lenguaje de planeado/previsto/puede/objetivo
SLSA (Niveles de la Cadena de Suministro para Artefactos de Software) Integridad de la cadena de suministro Planeado: atestación de construcción del lado del proveedor
ISO 15489 Gestión de registros Convenciones de nomenclatura de documentación del repositorio
ISO 24495-1 Lenguaje claro Disciplina de voz y tono para las salidas de service-content

"Objetivo" en la tabla significa que la arquitectura está diseñada teniendo en cuenta los requisitos del marco; la certificación contra ese marco está prevista pero no se ha obtenido.

Controles diseñados por debajo del sistema operativo

Dos componentes están planeados a nivel del sistema para asumir las obligaciones de SOC 3 y DARP:

Componente planeado Función
service-audit Un registro de solo adición inmutable previsto que se ejecutará junto al gestor basado en capacidades. Cada comunicación de un Totebox con el exterior está previsto que registre el enrutamiento de capacidades en el log del micronúcleo. Dado que el componente está previsto para ejecutarse por debajo del SO, un administrador no podría deshabilitarlo sin deshabilitar el sistema operativo.
service-resolution El empaquetador criptográfico planeado para DARP. Previsto para garantizar que cada Totebox esté estructuralmente segregado. Ante el fallo del proveedor o la detención deliberada del sistema, este componente planeado separará los datos y los devolverá limpiamente al propietario legal.

El principio de diseño es que los controles en la capa de políticas son válidos hasta que un administrador los anula; los controles a nivel del sistema no pueden anularse sin detener el sistema.

Los tres activos que constituyen la Prueba Continua

Cuando el panel previsto sea realizado, está previsto que exponga tres activos legibles por máquina que juntos constituyen lo que la arquitectura llama Prueba Continua:

Activo planeado Contenidos
Lista de Materiales de Hardware (HBOM) Cada componente de hardware en el perfil de referencia de os-workplace del cliente
Lista de Materiales de Software (SBOM) Cada dependencia usada en el sustrato desplegado del cliente
Registro de Auditoría en Tiempo Real El latido operativo actual del Estándar Diodo, anclado mediante puntos de verificación criptográficos, previsto para ser consultable bajo demanda por los propios sistemas de gestión de riesgos del cliente

Los tres son salidas planeadas; el plazo de entrega previsto no se publica aquí.

Convenciones de sufijos de estado de documentos ISO 19650

La arquitectura adopta los códigos de estado de documentos ISO 19650 como convenciones de sufijos de nombres de archivo.

Sufijo Estado ISO 19650 Significado
_JW S0 Trabajo en curso — borrador, aún no compartido
_FIN S4 Final, compartido para aprobación o coordinación
_PUB A0 Publicado y aprobado para uso
_EXE CR Ejecutado o firmado — estado de registro o como construido
_MCH / _DAT (coincide con el padre) Versión legible por máquina del documento padre

Un archivo _EXE ha pasado la confirmación del operador en la puerta de entrada F12 y está sellado en el libro mayor WORM.

Cómo aplica la postura de divulgación continua de la BCSC

PointSav opera dentro de un marco regulatorio canadiense. La Comisión de Valores de Columbia Británica requiere que las declaraciones prospectivas lleven el lenguaje de advertencia apropiado y que las afirmaciones sobre el cumplimiento actual reflejen con precisión el estado actual.

Cada documento público que publica la plataforma aplica la siguiente disciplina: lenguaje de planeado y previsto para controles aún no desplegados; sin afirmaciones de certificación actual sin confirmación del operador; todas las referencias a la Fundación de Datos Soberanos solo en términos planeados y previstos, hasta que el operador conceda autorización para una clasificación diferente.

Véase también

  • SYS-ADR-07 — la decisión arquitectónica que prohíbe que los datos estructurados pasen por IA sin verificación humana
  • SYS-ADR-19 — la decisión arquitectónica que prohíbe la publicación automatizada de IA en libros mayores verificados
  • worm-ledger-design — el sustrato del libro mayor WORM que aplica el mantenimiento de registros de solo adición
  • doorman-protocol — la puerta de IA cuyo límite de auditoría apoya las intenciones de registro ISO/IEC 42001
  • diode-standard — flujo de comandos unidireccional que aplica la restricción de control de dirección única
  • structural-positioning — los ocho compromisos arquitectónicos que apoya la postura de cumplimiento

  1. NIST, Open Security Controls Assessment Language (OSCAL) — formatos legibles por máquina para representar catálogos de controles de seguridad, líneas base, planes de seguridad del sistema y resultados de evaluaciones. https://pages.nist.gov/OSCAL/ ↩ ↩2

  2. Organización Internacional de Normalización, ISO/IEC 42001:2023 — Sistema de Gestión de Inteligencia Artificial (AIMS): requisitos para organizaciones que gestionan sistemas de IA de manera responsable. https://www.iso.org/standard/81230.html ↩

Important Information

Important Information

Corporate structure. PointSav Digital Systems ("PointSav") is a trade name of Woodfine Capital Projects Inc. ("Woodfine"). PointSav does not itself offer, sell, or solicit any security. Any securities offering associated with Woodfine's real-property direct-hold solutions is made exclusively by Woodfine, and only by means of the applicable Private Placement Memorandum.

No investment advice. This wiki's content is provided for engineering, operational, research, and development purposes. Nothing on this wiki constitutes investment advice or a solicitation to invest in any Woodfine partnership or direct-hold solution.

Intellectual property. The PointSav name, trade name, wordmark, and marks, together with all current and future PointSav- and Totebox-branded products, services, and offerings — and the software, source code, documentation, design system, and all related materials — are proprietary to Woodfine and its affiliates, except for components identified as open source. No rights are granted except as expressly set out in a written license or agreement. See TRADEMARK.md in this repository for the full trademark notice.

Open source components. Portions of the platform are made available under permissive open-source licenses identified in the accompanying repository. Use of those components is governed by their respective license terms.

No warranty; informational use. Content on this wiki is provided for general informational purposes only and does not constitute a representation, warranty, or commitment with respect to product functionality, availability, pricing, or roadmap. Some articles describe planned or intended features, capabilities, and milestones — language such as "planned," "intended," "targeted," "may," and "expected" marks this forward-looking content, which is subject to change and does not constitute a commitment regarding future performance.

Confidentiality. Where an article describes an operational or deployment detail that is not intended for public disclosure, that article is not published on this wiki. Content here is general-purpose engineering documentation, not customer-specific configuration.

Jurisdiction. Woodfine Capital Projects Inc. is organized in British Columbia, Canada. References to the Sovereign Data Foundation on this wiki describe a planned or intended initiative only, not a current equity holder or active governance body.

Changes to this notice. PointSav may update this notice from time to time; the version posted on this page governs.

Not a filing system. This wiki is not a securities filing system, an electronic disclosure repository, or a substitute for SEDAR+ or any other regulatory filing system. Formal securities filings are made through the applicable regulatory filing system, not through this wiki.

Full disclaimer. This notice supplements, and does not replace, the full Disclaimers article. In the event of any conflict, the full Disclaimers article governs.

Read the full disclaimer →