มาตรการความปลอดภัยที่ออกแบบมาเพื่อ ความเชื่อมั่นของธุรกิจ.

มาตรการความปลอดภัยหลัก

สรุประบบปัจจุบันมี control หลายชั้นครอบคลุมทั้ง authentication, encryption, data filtering, rate limiting, retention และ auditability.

• JWT authentication พร้อมข้อกำหนดเรื่อง secret ที่แข็งแรง.
• Password hashing ด้วย bcrypt.
• TLS/SSL สำหรับข้อมูลระหว่างทาง.
• Audit logging เก็บย้อนหลัง 1 ปี.
• กฎการหมุน API key อัตโนมัติและ cooldown ตาม provider.
• Ephemeral token หรือ short-lived token สำหรับ widget session.

DLP, PII และการไหลของข้อมูลไปยัง AI

ก่อนการประมวลผล AI แบบ optional บริการถูกออกแบบให้ตรวจ consent และใช้ DLP/PII handling เพื่อลดความอ่อนไหวของข้อมูลที่ส่งออกไปยัง provider ภายนอก.

• DLP middleware สามารถตรวจจับและ redact ข้อมูลส่วนบุคคลก่อนเรียก LLM.
• Chunking, truncation, deduplication และ caching ช่วยลด payload ที่ไม่จำเป็น.
• Rate limiting ช่วยควบคุม abuse และ excessive requests.
• ทุก provider ยังต้องผ่านการพิจารณา retention policy และ enterprise agreement ก่อนใช้กับงานจริงที่มีความอ่อนไหว.

การแยกข้อมูลและการเก็บรักษา

AILEO แยก metadata, content และ embeddings ออกจากกันเพื่อลด blast radius และทำให้ governance ของการจัดเก็บชัดเจนขึ้น.

• Metadata อาจถูกเก็บแยกจาก raw content.
• Embeddings อยู่ใน retrieval layer ของตัวเอง.
• มีการกำหนด retention window สำหรับ chat history, payment records และ audit logs.
• สถาปัตยกรรมแบบ segmented ช่วยให้ควบคุมสิทธิ์การเข้าถึงแยกตาม storage layer ได้ดีขึ้น.

ข้อควรระวังที่ต้องเปิดเผย

ยังคงมี residual risk เมื่อข้อมูลถูกประมวลผลโดย AI providers ภายนอก เอกสารสรุปภายในระบุชัดว่าต้องตรวจ policy ด้าน retention และ privacy ของแต่ละ vendor ก่อนใช้งาน production ที่เกี่ยวข้องกับข้อมูลสำคัญ.

• ความเสี่ยงระดับต่ำถึงปานกลางขึ้นกับการทำงานของ DLP อย่างถูกต้อง.
• การออกแบบ DLP แบบ fail-open ให้ availability สูงกว่า แต่ privacy-safe น้อยกว่าสำหรับข้อมูลอ่อนไหว.
• สำหรับงานที่มีความอ่อนไหวสูง ควรใช้ fail-closed หรือ hybrid model.

สรุป operational policy