Przejdź do głównej treści
Gdy audytor pyta, jak twoja brama AI egzekwuje kryterium Trust Services, zrzuty ekranu pulpitu nie wystarczają. Ten przepis zamienia kontrole, które już prowadzisz na OrcaRouter, w dowody SOC 2 AI, które audytorzy mogą niezależnie zweryfikować: zainstaluj paczkę SOC 2, obserwuj ją w trybie observe, przełącz na egzekwowanie, potem wyeksportuj kryptograficznie podpisany raport gotowości i udostępnij link tylko do odczytu. Wszystko poniżej to konfiguracja przestrzeni roboczej w konsoli — twoja aplikacja dalej woła /v1/chat/completions bez zmian.
Przeglądanie katalogu i odczyt gotowości są otwarte dla każdego Membera i bezpłatne. Instalacja paczki, generowanie raportu, wyjście na żywo i ustawienie rezydencji to akcje Admina przestrzeni roboczej i wymagają płatnego planu — brama egzekwuje oba po stronie serwera. Trasy zarządzania zgodnością pod /api/compliance/* używają twojej sesji konsoli, nie klucza relay.

​
1. Przepływ dowodów SOC 2 AI w czterech ruchach

Ślad dowodów SOC 2 na OrcaRouter to cztery kroki, które uruchamiasz raz, potem ponownie uruchamiasz raport, kiedy audytor chce świeżej migawki:

Zainstaluj paczkę

Paczka soc2 materializuje guardrail i politykę firewalla zmapowane na Trust Services Criteria — zainstalowane najpierw w trybie observe.

Obserwuj, potem egzekwuj

Observe zbiera dowody „byłoby-zablokowane” z zerowym promieniem rażenia; go-live przełącza te same kontrole na egzekwowanie.

Wygeneruj podpisany raport

Wyeksportuj raport gotowości podpisany Ed25519, zhashowany SHA-256 jako PDF, JSON lub CSV.

Udostępnij audytorowi

Wręcz link udostępniania tylko do odczytu; audytor weryfikuje podpis wobec klucza publicznego OrcaRouter — bez potrzeby konta.
Reszta tej strony przechodzi przez wszystkie cztery na jednym konkretnym przykładzie SOC 2.

​
2. Zainstaluj paczkę SOC 2

Otwórz Compliance w konsoli i przejrzyj katalog (GET /api/compliance/catalog, Member). Paczka soc2 mapuje się na AICPA SOC 2 Trust Services Criteria. Jej kontrole egzekwowane przez bramę to obsługa danych poufnych (TSC CC6.1), monitorowanie systemu (TSC CC7.2) oraz ślad audytu wywołań narzędzi (TSC CC7.2). Zainstaluj ją (Admin przestrzeni roboczej, płatny plan): 
POST /api/compliance/packs/soc2/install
Instalacja materializuje dwa obiekty egzekwowania w jednej atomowej transakcji:
  • jeden guardrail przestrzeni roboczej — płaszczyzna polityki treści (PII, sekrety i reszta kryteriów, które prześwietlają tekst żądania/odpowiedzi), oraz
  • jedna polityka firewalla przestrzeni roboczej — płaszczyzna akcji (wywołania narzędzi, dyspozycje MCP i egress, które mapują się na kryteria dostępu i zarządzania zmianą).
Paczka ląduje domyślnie w trybie observe. W observe akcje guardrailu są wymuszane do flag, a polityka firewalla działa w cieniu — każda kontrola rejestruje, co by zrobiła, nie dotykając ani jednego żywego żądania. To twoja pierwsza partia dowodów.
Niektóre klauzule Trust Services są organizacyjne — szkolenie kadr, umowy z dostawcami — a brama nie może ich egzekwować. Raport ujawnia je uczciwie jako luki, zamiast rościć pokrycie, którego nie może wyprodukować. Zobacz tryby egzekwowania dla tego, jak różnią się observe, cień i egzekwuj.

​
3. Odczytaj swoją żywą gotowość

Z zainstalowaną paczką Compliance → Readiness (GET /api/compliance/readiness, Member) pokazuje twoją postawę per framework: ile kontroli egzekwuje, ile jest wciąż w observe i ile pozostaje lukami. Każda klauzula mapuje się na kontrolę guardrailu lub firewalla, która ją spełnia, ze stanem pokrycia, w który możesz wniknąć.
Uruchom tydzień w observe, zanim egzekwujesz. Widok gotowości plus strumień Matches guardrailu oraz strumień Events firewalla mówią ci dokładnie, co by zostało zablokowane — więc stroisz fałszywie dodatnie, zanim jakiekolwiek prawdziwe żądanie jest zarządzane.

​
4. Przełącz z observe na egzekwowanie

Gdy dowody „byłoby-zablokowane” wyglądają czysto, wprowadź paczkę na żywo (Admin): 
POST /api/compliance/packs/soc2/golive
Go-live przywraca zadeklarowane akcje guardrailu (flag staje się block/mask jak zaprojektowano) i wyciąga politykę firewalla z trybu cienia, więc te same kontrole teraz egzekwują na ścieżce relay. Opcjonalnie awansuj guardrail paczki do domyślnego przestrzeni roboczej w tym samym wywołaniu, aby każdy klucz go dziedziczył.
Egzekwowanie to prawdziwa zmiana postawy: zablokowany prompt teraz zwraca HTTP 400 guardrail_blocked, a odmówione wywołanie narzędzia zwraca HTTP 400 firewall_blocked. Block kosztuje zero kwoty — bloki input są przed metrowaniem, a bloki output są zwracane — ale zatrzyma ruch, który narusza kontrolę. O to chodzi; po prostu potwierdź najpierw swoje dowody observe.

​
5. Wygeneruj podpisany raport

To artefakt, który wręczasz audytorowi. Wygeneruj go (Admin): 
POST /api/compliance/reports
{
  "framework": "soc2",
  "format": "pdf"
}
format to jeden z pdf, json lub csv. Każdy raport jest podpisany Ed25519 nad kanonicznym hashem dowodu i niesie hash treści SHA-256, więc jest odporny na manipulację oraz niezależnie weryfikowalny — audytor nie musi ufać twojemu zrzutowi ekranu, weryfikuje podpis.
Macierz pokrycia każdego zainstalowanego frameworku: klauzula → kontrola → stan (enforcing / observe / gap), plus dowody „byłoby-zablokowane” przechwycone podczas observe. Klauzule organizacyjne są wymienione jako ujawnione luki, nie po cichu pominięte.
Podpis wiąże hash dowodu raportu z kluczem podpisującym OrcaRouter. Każdy — w tym audytor bez konta OrcaRouter — może potwierdzić, że raport nie został zmieniony po wygenerowaniu, sprawdzając go wobec klucza publicznego.

​
6. Udostępnij go swojemu audytorowi

Utwórz link udostępniania tylko do odczytu dla raportu (Admin): 
POST /api/compliance/reports/:id/share
Audytor otwiera publiczny endpoint udostępniania — bez logowania: 
GET /api/public/compliance/share/:token
Następnie sami weryfikują podpis wobec opublikowanego klucza OrcaRouter:
EndpointCel
GET /api/public/compliance/pubkeyPobierz klucz publiczny Ed25519.
POST /api/public/compliance/verifyPotwierdź podpis + hash raportu.
Link udostępniania jest odwoływalny. Wydaj jeden per zaangażowanie audytowe i odwołaj go (DELETE /api/compliance/share/:shareId, Admin), gdy zaangażowanie się zamyka — sam raport pozostaje w historii twojej przestrzeni roboczej.

​
7. Przypnij, gdzie żyje raport

Audytorzy i regulatorzy często dbają o to, gdzie dowody są przechowywane. Ustaw region, do którego przypięte są artefakty raportu zgodności (us, eu, uk, ap, cn, global) przez PUT /api/compliance/residency (Admin). Odczyty raportu z innego regionu są wstrzymywane.
Rezydencja przypina tylko region artefaktu raportu — to nie geo-przypinanie danych inferencji. Kontroluje, gdzie żyje twój podpisany dowód, nie dokąd są kierowane żądania.

​
8. Zweryfikuj przed audytem

Udowodnij, że ślad jest prawdziwy, zanim ktokolwiek go przejrzy:
1

Potwierdź pokrycie

Otwórz Readiness i potwierdź, że kontrole SOC 2, których oczekujesz, pokazują enforcing, a nie observe, bez zaskakujących luk.
2

Wykonaj round-trip podpisu

Wygeneruj raport, potem POST /api/public/compliance/verify go wobec klucza publicznego — potwierdź, że waliduje, zanim udostępnisz.
3

Otwórz link udostępniania wylogowany

Trafia GET /api/public/compliance/share/:token w czystej sesji przeglądarki, aby zobaczyć dokładnie to, co zobaczy twój audytor.

​
Powiązane

Referencja Guardrails

Płaszczyzna polityki treści, którą materializuje paczka SOC 2.

Referencja Firewall

Płaszczyzna akcji stojąca za kontrolami dostępu i zmiany paczki.

Tryby egzekwowania

Jak różnią się observe, cień i egzekwuj — i dlaczego observe najpierw.

Wdrożenie HIPAA

Ten sam przepływ paczka-i-raport dla frameworku ochrony zdrowia.

Logowanie bezpieczne dla PII

Trzymaj surowe PII poza logami, z których czerpie twój dowód.

Lista kontrolna go-live

Włącz zero trust, zanim przełączysz kontrole na egzekwowanie.