메인 콘텐츠로 건너뛰기
프레임워크 체크리스트는 조항의 목록입니다. 컴플라이언스 팩은 각 조항이 게이트웨이에서 실제로 실행되는 컨트롤에 연결된 동일한 체크리스트입니다. 팩을 설치하면 OrcaRouter가 그것의 조항-대-컨트롤 매핑을 읽고 워크스페이스에 실제로 편집 가능한 정책 객체를 구체화합니다 — 그래서 “SOC 2 CC6.1”은 스프레드시트의 한 줄이기를 멈추고 기밀 PII가 모델에 도달하기 전에 차단하는 guardrail이 됩니다. 이 페이지는 AI 컴플라이언스 팩이 무엇을 담고 있는지, 그것의 두 강제 평면이 조항에 어떻게 다시 매핑되는지, 그리고 감사인이 어떤 조항이든 그것을 강제하는 정확한 정책까지 추적하게 하는 출처 계보를 설명합니다. 설치 흐름과 서명된 보고서에 대해서는 끝의 링크를 따라가세요.

​
1. 팩은 조항-대-컨트롤 매핑이지, 새로운 강제가 아니다

팩은 새로운 런타임 엔진을 출하하지 않습니다. 그것이 담는 모든 컨트롤은 당신이 이미 손으로 구성하는 동일한 Guardrails와 Firewall 기계 장치를 재사용합니다 — 팩은 어떤 기존 컨트롤이 어떤 조항을 충족하는지 말하는 작성된 매핑입니다. 각 팩은 두 강제 평면에 걸칩니다:

Guardrail 평면

텍스트 / 데이터 컨트롤 — 기밀 데이터, PII 노출, 인젝션 방어, 또는 필수 공개에 관한 조항은 block, mask, 또는 flag 액션을 가진 guardrail 규칙(pii, regex, llm_judge 등)에 매핑됩니다.

Firewall 평면

툴 호출 컨트롤 — 과도한 자율성, 위험한 액션, 또는 egress에 관한 조항은 inbound, response, mcp, 또는 egress 표면에서 allow / audit / deny 판정을 가진 firewall 규칙에 매핑됩니다.
팩을 설치하면 선택된 컨트롤이 하나의 guardrail과 하나의 firewall 정책으로 병합되며, 팩의 출처로 태그되므로 그것들은 정상적인 리졸버를 통해 공동 강제되고 모든 기존 연결 및 히스토리 경로가 계속 작동합니다.
팩은 게이트웨이가 강제할 수 있는 컨트롤만 커버합니다. 조직적 조항 — 인력 교육, Business Associate Agreement, 물리적 접근 — 은 프록시가 결코 강제할 수 없으므로, 보고서는 그것들을 거짓 커버리지를 주장하는 대신 갭으로(또는 소유자 증명으로) 공개합니다. 컨트롤 매트릭스를 참조하세요.

​
2. 하나의 조항, 처음부터 끝까지 — 구체적 예시

SOC 2 팩을 보세요. 그것은 세 개의 Trust Services 조항을 세 개의 라이브 컨트롤에 매핑합니다:
조항평면컨트롤
CC6.1 논리적 접근guardrail프롬프트에서 기밀 PII 차단
CC7.2 시스템 모니터링guardrail모든 guardrail 결정을 증거로 기록
CC7.2 이상 탐지firewall모든 툴 디스패치 감사
콘솔에서 설치합니다 — Compliance → Catalog → SOC 2 → Install — 이는 워크스페이스 Admin 전용이며 콘솔 세션 하에서 당신을 대신 POST /api/compliance/packs/soc2/install을 호출합니다. 구성 라우트에 릴레이 sk-orca-… 키를 절대 건네지 않습니다; 콘텐츠와 정책은 전적으로 콘솔 로그인 뒤에 존재합니다. 설치 후 CC6.1 행은 더 이상 산문이 아닙니다 — 다른 어떤 규칙처럼 열고, 읽고, 튜닝할 수 있는 guardrail 규칙입니다.

​
3. 출처 계보 — 조항에서 강제 정책까지

팩이 감사 가능한 이유는 조항과 그것을 강제하는 정책 사이의 연결이 암시되지 않고 기록되기 때문입니다. 팩이 구체화하는 모든 컨트롤은 다음을 담습니다:
안정적인 control_id(예: soc2.confidentiality)와 축어적 조항 텍스트(TSC CC6.1 Logical access controls), 그리고 감사인이 우리의 의역이 아니라 규정 자체를 읽도록 하는 공식 소스 링크.
컨트롤이 guardrail 평면에 사는지 firewall 평면에 사는지, 그리고 설치가 구체화한 정확한 guardrail 또는 firewall 정책의 id. 그 id가 보고서의 한 행을 워크스페이스의 라이브, 편집 가능한 객체에 묶는 것입니다.
covered, observe, gap, 또는 attested — 그리고 보고 기간 동안 그 컨트롤이 실제로 몇 번 발동했는지. 매치가 0인 조항과 4,000건의 요청을 차단한 조항은 감사인에게 다르게 읽히며, 보고서는 둘 다 보여줍니다.
각 팩은 MappedBy 라인을 담습니다 — 누가 조항-대-컨트롤 매핑을 작성했는지, 그 버전, 그리고 그것이 게이트웨이가 강제할 수 있는 컨트롤만 커버하며 그 자체가 인증이 아니라는 정직한 면책. 그 라인은 서명된 보고서 표지에 스탬프됩니다.
종합하면, 이것이 감사인이 걷는 계보입니다: 조항 → 컨트롤 id → 강제하는 guardrail 또는 firewall 정책 → 이 기간에 그것이 생성한 매치 → 누가 매핑을 작성했는지. 어떤 단계도 추론되지 않습니다.
동일한 커버리지 매트릭스가 콘솔과 보고서 양쪽을 구동하므로, 둘은 결코 조용히 어긋날 수 없습니다. 프레임워크가 기대하지만 설치된 팩이 커버하지 않는 조항은 항상 양쪽 표면에서 공개된 갭으로 렌더링됩니다.

​
4. 먼저 관찰하고, 그다음 강제

팩은 설치하는 순간 트래픽을 차단하기 시작하지 않습니다. 설치는 관찰 모드로 도착합니다: guardrail 액션은 flag로 강제되고 firewall 정책은 shadow(로깅 전용)에서 실행됩니다. 팩은 “차단되었을” 증거를 생성하므로 그것이 행동하기 전에 실제 트래픽에 대해 무엇을 할지 정확히 볼 수 있습니다. 만족하면, 워크스페이스 Admin이 라이브 전환을 호출하며, 이는 컨트롤의 선언된 액션(mask / block / deny)을 복원하고 선택적으로 구체화된 정책을 워크스페이스 기본값으로 프로모트합니다. 이는 관찰 vs 강제에 설명된 동일한 관찰-후-강제 규율입니다.
카탈로그, 설치된 팩, 준비 상태 탐색은 모든 워크스페이스 멤버에게 열려 있으며 무료입니다. 팩 설치와 라이브 전환은 유료 플랜을 요구하는 워크스페이스 Admin 액션입니다 — 서버가 두 게이트를 모두 강제하므로, 뷰어나 무료 워크스페이스가 API를 직접 호출하여 강제를 구체화할 수 없습니다. 보고서 생성도 Admin입니다: 무료 플랜은 PDF 보고서 1건을 포함하며, CSV/JSON 내보내기와 추가 보고서는 유료 플랜이 필요합니다. 데이터 레지던시 설정도 워크스페이스 Admin이지만 그 자체는 페이월이 없습니다.

​
5. 팩이 담지 않는 것

경계를 정직하게 유지하기 위해:
  • 인증 없음. 팩은 게이트웨이 컨트롤을 프레임워크의 조항에 매핑하고 서명된 증거를 생성합니다. 그것은 감사, 당신의 조직 전체에 대한 증명, 또는 법률 자문이 아닙니다.
  • 조직적 컨트롤 없음. 사람-과-프로세스 조항은 자동화된 커버리지가 아니라 공개된 갭 또는 소유자 증명으로 표면화됩니다.
  • 마법 카탈로그 없음. 카탈로그의 프레임워크는 작성된 매핑이 있는 것들입니다 — SOC 2, HIPAA, GDPR / UK GDPR, EU AI Act, ISO 27001 / 42001, NIST AI RMF, PCI DSS, OWASP LLM Top 10, 그리고 지역 프라이버시 법규. 라이브 세트를 프레임워크에서 탐색하세요.

​
6. 다음으로 갈 곳

팩 설치

전체 설치 흐름 — 컨트롤 선택, 관찰 모드, 라이브 전환.

서명된 보고서

Ed25519 서명 증거 보고서가 무엇을 담는지, 그리고 계보가 감사인에게 어떻게 렌더링되는지.

컨트롤 매트릭스

모든 조항, 그것의 평면, 그리고 그것이 covered, observed, gap, 또는 attested인지.

Guardrails vs Firewall

팩이 쓰는 두 평면, 그리고 리졸버가 그것들을 함께 실행하는 방법.
컴플라이언스 팩은 규제자의 언어와 게이트웨이의 강제 사이의 다리입니다: 각 조항을 실제 컨트롤에 매핑하고, 그 컨트롤을 당신이 소유하고 튜닝할 수 있는 정책으로 구체화하며, 증거가 검사를 견디도록 계보를 기록합니다.