Sicherheitscheckliste für die RAG-Dokumentenaufnahme
Verwenden Sie diese Checkliste vor der Veröffentlichung von Dokumenten in ein Retrieval-Augmented Generation-System.
Quellregistrierung
- Verantwortliche Person für die Quelle benannt.
- Verantwortliche Person für die Daten benannt.
- Maßgebliches Quellsystem dokumentiert.
- Erlaubte Nutzer, Rollen oder Gruppen dokumentiert.
- Sensitivitätsstufe zugewiesen.
- Aktualisierungshäufigkeit dokumentiert.
- Aufbewahrung und Löschverhalten dokumentiert.
- Prüfintervall zugewiesen.
Dateisicherheit
- Positivliste zulässiger Dateitypen durchgesetzt.
- Obergrenze für Dateigröße durchgesetzt.
- Anforderung für Malware-Scanning oder Inhaltsentschärfung festgelegt.
- Verschlüsselte oder nicht unterstützte Dateien abgelehnt oder an Prüfung weitergeleitet.
- Originaldatei-Hash gespeichert.
- Hochladende Person oder Quellereignis protokolliert.
Extraktion und OCR
- Extraktionsmethode dokumentiert.
- OCR-Konfidenzwert bei Bedarf dokumentiert.
- Seitenzahl und extrahierte Zeichenanzahl dokumentiert.
- Leere oder fehlgeschlagene Seiten markiert.
- Tabellen überprüft, wenn genaue Werte von Bedeutung sind.
- Quellsprache erkannt.
- Extraktionen geringer Qualität ausgeschlossen oder zur Prüfung weitergeleitet.
Metadaten und Berechtigungen
- Jeder Chunk hat eine Quell-ID und Dokument-ID.
- Jeder Chunk enthält Sichtbarkeitsmetadaten für Mandant, Nutzer und Rolle.
- Jeder Chunk enthält Metadaten zur Quellenverantwortung und Sensibilitätsstufe.
- Jeder Chunk enthält eine Version oder einen Inhaltshash.
- Jeder Chunk enthält nach Möglichkeit einen Seiten- oder Abschnittsverweis.
- Retrieval-Filter prüfen Berechtigungen vor dem Ranking.
- Nicht berechtigte Nutzer erhalten in Tests keine eingeschränkten Chunks.
Aufbewahrung und Löschung
- Löschpfad für den Cache der Originaldatei vorhanden.
- Löschpfad für extrahierte Texte vorhanden.
- Löschpfad für Chunks vorhanden.
- Löschpfad für Embeddings/Vektoren vorhanden.
- Löschpfad für Zusammenfassungen/Caches vorhanden.
- Logs und Backups folgen dokumentierten Aufbewahrungsregeln.
- Löschverifikation wird protokolliert.
Freigabekriterium
- Beispielfragen rufen erwartete Quellen ab.
- Veraltete Quellen werden ausgeschlossen oder markiert.
- Quellenangaben verweisen auf gültige Stellen in der Quelle.
- Prompt-Injection-Text innerhalb von Dokumenten wird als Inhalt, nicht als Anweisung behandelt.
- Die für die Quelle verantwortliche Person hat die Indexierung für den Produktionseinsatz freigegeben.