Saltar para o conteúdo principal
Você está colocando o escopo do seu ISMS em torno de um agente de IA e seu auditor quer saber quais controles do Anexo A você pode de fato evidenciar no caminho da requisição. Em um gateway hospedado, a resposta honesta é estreita e verificável: as cláusulas do Anexo A que mapeiam para um controle rodando em cada requisição que cruza o gateway — acesso, criptografia e logging de eventos — mais as cláusulas organizacionais que um proxy nunca pode aplicar e deve divulgar como gaps. Esta página é o passo a passo de iso 27001 ai: quais cláusulas do Anexo A o pack ISO/IEC 27001 cobre, os controles que ele materializa, e como a evidência é assinada. Para o fluxo de instalação e o formato do relatório em profundidade, siga os links no final — este é o mapa específico do 27001, não a referência completa de Compliance.

​
1. O que o pack iso 27001 ai cobre

O pack ISO/IEC 27001 mapeia os controles do Anexo A de 2022 para guardrails que rodam em cada requisição que cruza o gateway. Três cláusulas mapeiam para enforcement ao vivo; duas são organizacionais e são divulgadas como gaps em vez de afirmadas.
Cláusula do Anexo APlanoControle
A.9 Controle de acessoguardrailManter a PII fora do provedor upstream, consistente com need-to-know
A.10 CriptografiaguardrailBloquear chaves privadas e segredos em trânsito
A.12.4 Logging e monitoramentoguardrailRegistrar cada decisão de guardrail como evidência
A.5 Controles organizacionais e A.6 Controles de pessoas são cláusulas de governança — propriedade de política, triagem e direcionamento de gestão. Um proxy não pode aplicá-las, então o pack as exibe como gaps divulgados (ou linhas owner-attested) tanto no console quanto no relatório, nunca como cobertura automatizada. Os gaps honestos são o que torna as linhas aplicadas confiáveis. Veja a matriz de controles.
Todos os três controles aplicadores rodam na mesma maquinaria de Guardrails que você configura à mão. O pack é o mapeamento autorado que diz qual guardrail existente satisfaz qual cláusula do Anexo A — ele não traz nenhum novo motor de runtime. Veja Conteúdo do pack para a anatomia completa.

​
2. Instale o pack — um exemplo concreto

Instalar materializa o mapeamento em políticas reais de guardrail no seu workspace, cada uma marcada com a proveniência do pack. Você faz isso a partir do console, não de uma chave de relay: Compliance → Catalog → ISO/IEC 27001 → Install Essa é uma ação de Admin do workspace em um plano pago, e o servidor aplica ambos. Por baixo dos panos a sua sessão de console chama: 
POST /api/compliance/packs/iso_27001/install
Nunca entregue uma chave de relay sk-orca-… a uma rota de configuração. As rotas /api/compliance/* autenticam com a sua sessão de console, não com a chave de relay — apenas as chamadas de modelo /v1/* usam sk-orca-…. Navegar pelo catálogo, pelos packs instalados e pela prontidão é gratuito e aberto a todo membro do workspace; install, go-live, report e residência são as ações gated de Admin.
Após a instalação, as linhas do Anexo A deixam de ser prosa:
Uma regra de guardrail pii_block real rejeita totalmente requisições que carregam dados pessoais (emails, números de telefone, SSNs, números de cartão, IPs) no stage da requisição, de modo que nunca cheguem ao provedor upstream — consistente com acesso need-to-know. Você pode abri-la, lê-la e ajustar o conjunto de entidades como qualquer outra regra.
Regras de regex que bloqueiam chaves privadas PEM e tokens de cloud, sobrepostas com o Secrets Blocker, de modo que material criptográfico nunca transite pelo gateway em um prompt.
Uma regra de ação flag registra cada decisão de guardrail como evidência sem bloquear o tráfego — a cláusula de logging-e-monitoramento se torna uma linha de log real por decisão.

​
3. Observe primeiro, depois vá ao ar

Uma instalação ISO/IEC 27001 não começa a bloquear tráfego no primeiro dia. As instalações caem em observe mode: as ações de guardrail aplicadoras são forçadas para flag, de modo que você coleta evidência de “would-have-blocked” contra o tráfego real antes de qualquer coisa rejeitar uma requisição. Quando a evidência parece certa, um Admin do workspace promove o pack para go-live, que restaura as ações declaradas — os controles A.9 e A.10 começam a aplicar, o controle A.12.4 continua registrando — e, opcionalmente, promove a política materializada para padrão do workspace. Esta é a mesma disciplina descrita em Observe vs enforce.
O enforcement no stage da requisição está ao vivo hoje: uma requisição que carrega PII é rejeitada antes que o modelo a veja, e o logger A.12.4 sinaliza cada decisão na requisição. O scan ao vivo de response / streaming está no roadmap, então, para o lado de saída, a evidência de monitoramento A.12.4 é o que um auditor lê sobre o período do relatório.

​
4. Evidência assinada que seu auditor pode verificar

O ponto do pack é o relatório. A evidência ISO/IEC 27001 é gerada como um relatório assinado com Ed25519 com um hash de conteúdo SHA256, exportável como CSV, JSON ou PDF, e verificável publicamente — seu auditor verifica a assinatura sem um login OrcaRouter.
Cada linha do Anexo A carrega seu status — covered, observe, gap ou attested — e quantas vezes o controle de fato disparou sobre o período. Um controle A.9 que mascarou milhares de requisições lê diferente para um auditor do que um com zero correspondências, e o relatório mostra ambos.
Cada controle materializado registra seu control_id (ex.: iso27001.access), a cláusula literal (ISO/IEC 27001 A.9 Access control), o plano e o id da política ao vivo que o aplica — de modo que o auditor percorre cláusula → controle → política que a aplica → correspondências sem nenhum passo inferido.
Busque a chave pública de assinatura em GET /api/public/compliance/pubkey, submeta o relatório a POST /api/public/compliance/verify, ou abra um link de compartilhamento com escopo para o auditor em GET /api/public/compliance/share/:token. Nenhuma conta necessária.
Veja o relatório assinado para o layout de capa a rodapé e Verifique um relatório para o passo a passo de verificação.

​
5. Carimbe por região sua evidência ISO 27001

Os relatórios ISO/IEC 27001 são armazenados e servidos sob a sua região de residência declarada — us / eu / uk / ap / cn / global — e um relatório só é servido sob uma região correspondente; as leituras cross-region são retidas. Um Admin do workspace a define via PUT /api/compliance/residency.
A residência aqui é a região do artefato de evidência — onde os relatórios assinados residem e são servidos. Não é a geo-fixação de dados de inferência. Veja Residência de dados e Cross-region para a fronteira.
Os logs de requisição têm padrão de retenção de 30 dias (server-clamped a um máx rígido de 180 dias), e uma exclusão de usuário roda uma janela de carência de 30 dias e depois um scrub de PII — ambos relevantes quando um auditor sonda sua postura de retenção A.12.4. Veja Retenção e Direito ao apagamento.

​
6. Para onde ir a seguir

ISO/IEC 42001

O companheiro de sistema de gestão de IA — combine o escopo de ISMS do 27001 com os controles de AIMS do 42001.

Conteúdo do pack

A anatomia completa de um pack — plano, status e proveniência.

Instale um pack

O fluxo de instalação de ponta a ponta, observe mode e go-live.

Relatório assinado

O que o relatório de evidência assinado com Ed25519 contém.

Guardrails

O plano de conteúdo para o qual o pack 27001 escreve — PII, segredos e logging.

Frameworks

O catálogo completo — SOC 2, HIPAA, GDPR, o EU AI Act e mais.
ISO/IEC 27001 em um gateway hospedado é a disciplina de ser preciso: mapeie os controles do Anexo A que um proxy pode aplicar para guardrails ao vivo, divulgue os organizacionais que ele não pode, e assine a evidência para que a linha entre os dois resista a uma auditoria.