メインコンテンツへスキップ
フレームワークのチェックリストは条項のリストです。コンプライアンスパックは、 各条項がゲートウェイ上で実際に動作するコントロールに配線された同じチェック リストです。パックをインストールすると、OrcaRouter はその条項からコントロール へのマッピングを読み取り、ワークスペース内に実在する編集可能なポリシー オブジェクトを実体化します — そのため「SOC 2 CC6.1」はスプレッドシート内の 一行であることをやめ、機密 PII がモデルに到達する前にブロックするガードレールに なります。 このページは、AI コンプライアンスパックが何を含むか、その 2 つの強制プレーン がどう条項にマッピングし返されるか、そして監査人が任意の条項からそれを強制する 正確なポリシーまで辿れる来歴系統を説明します。インストールフローと署名付き レポートについては、末尾のリンクをたどってください。

​
1. パックは条項からコントロールへのマッピングであり、新しい強制ではない

パックは新しいランタイムエンジンを一切出荷しません。それが持つすべての コントロールは、あなたが既に手で設定している同じ ガードレールとファイアウォール 機構を再利用します — パックは、どの既存コントロールがどの条項を満たすかを述べる オーサリングされたマッピングです。 各パックは 2 つの強制プレーンにまたがります：

ガードレールプレーン

テキスト/データのコントロール — 機密データ、PII 開示、インジェクション防御、 必要な開示に関する条項は、block、mask、flag アクションを持つ ガードレールルール（pii、regex、llm_judge など）にマッピングされます。

ファイアウォールプレーン

ツール呼び出しのコントロール — 過剰なエージェンシー、危険なアクション、 egress に関する条項は、inbound、response、mcp、egress サーフェス上の allow / audit / deny 判定を持つ ファイアウォールルールにマッピングされます。
パックのインストールは、選択されたコントロールをひとつのガードレールと ひとつのファイアウォールポリシーに、パックの来歴でタグ付けしてマージするため、 それらは通常のリゾルバを通じて 共強制し、既存のすべてのアタッチメントと履歴パスが動作し続けます。
パックはゲートウェイで強制可能なコントロールのみをカバーします。組織的な条項 — 従業員研修、ビジネスアソシエイト契約、物理アクセス — はプロキシで決して強制 できないため、レポートはそれらを偽のカバレッジを主張する代わりに、ギャップ （またはオーナーがアテストしたもの）として開示します。 コントロールマトリクスを参照。

​
2. ひとつの条項、端から端まで — 具体例

SOC 2 パックを取り上げます。3 つの Trust Services 条項を 3 つのライブな コントロールにマッピングします：
条項プレーンコントロール
CC6.1 論理アクセスガードレールプロンプト内の機密 PII をブロック
CC7.2 システム監視ガードレールすべてのガードレール決定をエビデンスとして記録
CC7.2 異常検出ファイアウォールすべてのツールディスパッチを audit
インストールはコンソールから行います — Compliance → Catalog → SOC 2 → Install — これはワークスペース管理者専用で、あなたのコンソールセッション下で POST /api/compliance/packs/soc2/install をあなたのために呼び出します。設定 ルートにリレー sk-orca-… キーを渡すことは決してありません；コンテンツと ポリシーは完全にコンソールログインの背後にあります。 インストール後、CC6.1 の行はもはや散文ではありません — 他のどのルールとも同様に 開いて読み、チューニングできるガードレールルールです。

​
3. 来歴系統 — 条項から強制ポリシーへ

パックが監査可能なのは、条項とそれを強制するポリシーの間のリンクが、暗示される のではなく記録されているからです。パックが実体化するすべてのコントロールは 次を持ちます：
安定した control_id（例：soc2.confidentiality）と逐語的な条項テキスト （TSC CC6.1 Logical access controls）、加えて公式ソースリンクにより、監査人は 我々の言い換えだけでなく規制そのものを読みます。
コントロールが guardrail プレーンか firewall プレーンのどちらにあるか、 そしてインストールが実体化した正確なガードレールまたはファイアウォール ポリシーの id。その id が、レポート内の行をワークスペース内のライブで編集 可能なオブジェクトに結びつけるものです。
covered、observe、gap、attested — そしてレポート期間にわたって、 そのコントロールが実際に何回発火したか。マッチがゼロの条項と、4,000 件の リクエストをブロックした条項は監査人に異なって読まれ、レポートは両方を 示します。
各パックは MappedBy の行を持ちます — 誰が条項からコントロールへの マッピングをオーサリングしたか、そのバージョン、そしてゲートウェイで強制 可能なコントロールのみをカバーし、それ自体は認証ではないという正直な免責。 その行は署名付きレポートの表紙に スタンプされます。
総合すると、これが監査人が歩む系統です：条項 → コントロール id → 強制する ガードレールまたはファイアウォールポリシー → この期間に生成したマッチ → 誰が マッピングをオーサリングしたか。 どのステップも推測されません。
同じカバレッジマトリクスがコンソールとレポートの両方を駆動するため、両者が 密かにずれることは決してありません。フレームワークが期待するがインストール済み パックがカバーしない条項は、常に両方のサーフェスで開示されたギャップとして レンダリングされます。

​
4. まず観察、それから強制

パックはインストールした瞬間にトラフィックをブロックし始めません。インストール は観察モードで着地します：ガードレールアクションは flag に強制され、 ファイアウォールポリシーはシャドウ（ログのみ）で動作します。パックは 「ブロックしたであろう」エビデンスを生成するため、実行する前に実トラフィックに 対して何をするかを正確に確認できます。 満足したら、ワークスペース管理者がゴーライブを呼び出し、コントロールの宣言済み アクション（mask / block / deny）を復元し、オプションで実体化されたポリシーを ワークスペースデフォルトに昇格します。これは 観察 vs 強制で説明されているのと 同じ観察してから強制する規律です。
カタログ、インストール済みパック、準備状況の閲覧は、すべてのワークスペース メンバーに開放されており無料です。パックのインストールとゴーライブは、有料 プランを必要とするワークスペース管理者アクションです — サーバーが両方の ゲートを強制するため、ビューアや無料ワークスペースは API を直接呼び出しても 強制を実体化できません。レポートの生成も管理者です：無料プランには PDF レポート 1 本が含まれ、CSV/JSON エクスポートと追加レポートには有料プランが必要 です。データレジデンシーの設定もワークスペース管理者ですが、それ自体は ペイウォールされていません。

​
5. パックが含まないもの

境界を正直に保つために：
  • 認証なし。 パックはあなたのゲートウェイコントロールをフレームワークの 条項にマッピングし、署名付きエビデンスを生成します。それは監査でも、組織 全体のアテステーションでも、法的助言でもありません。
  • 組織的コントロールなし。 人とプロセスの条項は、開示されたギャップまたは オーナーアテステーションとして表面化され、決して自動カバレッジとしては 扱われません。
  • 魔法のカタログなし。 カタログ内のフレームワークは、オーサリングされた マッピングを持つもの — SOC 2、HIPAA、GDPR / UK GDPR、EU AI Act、ISO 27001 / 42001、NIST AI RMF、PCI DSS、OWASP LLM Top 10、そして地域プライバシー法 — です。ライブのセットはフレームワークで 閲覧してください。

​
6. 次に行く場所

パックをインストールする

完全なインストールフロー — コントロールの選択、観察モード、ゴーライブ。

署名付きレポート

Ed25519 署名付きエビデンスレポートが何を含み、系統が監査人にどう レンダリングされるか。

コントロールマトリクス

すべての条項、そのプレーン、そしてそれが covered か observed かギャップか attested か。

ガードレール vs ファイアウォール

パックが書き込む 2 つのプレーンと、リゾルバがそれらをどう一緒に動かすか。
コンプライアンスパックは、規制者の言語とゲートウェイの強制の間の橋です：各条項を 実在するコントロールにマッピングし、そのコントロールをあなたが所有しチューニング できるポリシーに実体化し、エビデンスが検査に耐えるよう系統を記録します。