Chuyển đến nội dung chính
Khi một auditor hỏi gateway AI của bạn thực thi một Trust Services Criterion như thế nào, ảnh chụp màn hình một dashboard không đủ. Công thức này biến các kiểm soát bạn đã chạy trên OrcaRouter thành soc 2 evidence ai mà các auditor có thể kiểm chứng độc lập: cài đặt SOC 2 pack, theo dõi nó trong observe mode, lật sang enforce, rồi xuất một báo cáo mức sẵn sàng được ký mật mã và chia sẻ một liên kết chỉ-đọc. Mọi thứ bên dưới là cấu hình workspace trong console — ứng dụng của bạn vẫn gọi /v1/chat/completions không đổi.
Duyệt catalog và đọc mức sẵn sàng mở cho mọi Member và miễn phí. Cài đặt một pack, tạo một báo cáo, go-live, và đặt nơi cư trú là các hành động workspace Admin và yêu cầu một gói trả phí — gateway thực thi cả hai phía server. Các route quản lý compliance dưới /api/compliance/* dùng session console của bạn, không phải một relay key.

​
1. Quy trình soc 2 evidence ai trong bốn động tác

Một audit trail SOC 2 trên OrcaRouter là bốn bước bạn chạy một lần, rồi chạy lại báo cáo bất cứ khi nào auditor muốn một snapshot mới:

Cài đặt pack

Pack soc2 cụ thể hóa một guardrail và một chính sách firewall ánh xạ tới Trust Services Criteria — được cài đặt trong observe mode trước.

Observe, rồi enforce

Observe thu thập bằng chứng “would-have-blocked” với zero bán kính sát thương; go-live lật cùng các kiểm soát sang thực thi.

Tạo một báo cáo đã ký

Xuất một báo cáo mức sẵn sàng được ký Ed25519, hash SHA-256 dưới dạng PDF, JSON, hoặc CSV.

Chia sẻ với auditor

Trao một liên kết chia sẻ chỉ-đọc; auditor kiểm chứng chữ ký đối với public key của OrcaRouter — không cần tài khoản.
Phần còn lại của trang này đi qua cả bốn với một ví dụ SOC 2 cụ thể.

​
2. Cài đặt SOC 2 pack

Mở Compliance trong console và duyệt catalog (GET /api/compliance/catalog, Member). Pack soc2 ánh xạ tới AICPA SOC 2 Trust Services Criteria. Các kiểm soát gateway-thực-thi của nó là xử lý dữ liệu bảo mật (TSC CC6.1), giám sát hệ thống (TSC CC7.2), và một audit trail cuộc gọi tool (TSC CC7.2). Cài đặt nó (workspace Admin, gói trả phí): 
POST /api/compliance/packs/soc2/install
Cài đặt cụ thể hóa hai đối tượng thực thi trong một transaction nguyên tử:
  • một guardrail workspace — mặt phẳng chính sách nội dung (PII, secret, và phần còn lại của các tiêu chí sàng lọc văn bản request/response), và
  • một chính sách firewall workspace — mặt phẳng hành động (cuộc gọi tool, dispatch MCP, và egress ánh xạ tới các tiêu chí truy cập và quản lý thay đổi).
Pack rơi vào observe mode theo mặc định. Trong observe, các hành động guardrail bị ép thành flag và chính sách firewall chạy trong shadow — mọi kiểm soát ghi lại những gì nó sẽ làm mà không chạm tới một request sống nào. Đó là lô bằng chứng đầu tiên của bạn.
Một số điều khoản Trust Services là tổ chức — đào tạo nhân lực, thỏa thuận nhà cung cấp — và một gateway không thể thực thi chúng. Báo cáo công bố những cái đó một cách trung thực như các khoảng trống thay vì tuyên bố độ phủ mà nó không thể tạo ra. Xem chế độ thực thi để biết observe, shadow, và enforce khác nhau thế nào.

​
3. Đọc mức sẵn sàng trực tiếp của bạn

Với pack đã cài đặt, Compliance → Readiness (GET /api/compliance/readiness, Member) hiển thị tư thế của bạn theo từng framework: bao nhiêu kiểm soát đang enforcing, bao nhiêu vẫn trong observe, và bao nhiêu còn lại gaps. Mỗi điều khoản ánh xạ tới kiểm soát guardrail hoặc firewall thỏa mãn nó, với một trạng thái độ phủ mà bạn có thể đào sâu vào.
Chạy một tuần trong observe trước khi bạn enforce. Chế độ xem mức sẵn sàng cộng với feed Matches guardrail và feed Events firewall cho bạn biết chính xác những gì sẽ bị block — nên bạn tinh chỉnh false positive trước khi bất kỳ request thực nào bị quản lý.

​
4. Lật từ observe sang enforce

Một khi bằng chứng would-have-blocked trông sạch, đưa pack vào hoạt động (Admin): 
POST /api/compliance/packs/soc2/golive
Go-live khôi phục các hành động đã khai báo của guardrail (flag trở thành block/mask như thiết kế) và đưa chính sách firewall ra khỏi shadow mode, nên cùng các kiểm soát giờ thực thi trên đường relay. Tùy chọn thăng cấp guardrail của pack lên mặc định workspace trong cùng cuộc gọi, để mọi key kế thừa nó.
Enforce là một thay đổi tư thế thực: một prompt bị block giờ trả về HTTP 400 guardrail_blocked và một cuộc gọi tool bị deny trả về HTTP 400 firewall_blocked. Một block tốn no quota — các block input là trước-đo-lường và các block output được hoàn lại — nhưng nó sẽ dừng traffic vi phạm một kiểm soát. Đó là điểm cốt lõi; chỉ cần xác nhận bằng chứng observe của bạn trước.

​
5. Tạo một báo cáo đã ký

Đây là artifact bạn trao cho auditor. Tạo nó (Admin): 
POST /api/compliance/reports
{
  "framework": "soc2",
  "format": "pdf"
}
format là một trong pdf, json, hoặc csv. Mọi báo cáo được ký với Ed25519 trên hash bằng chứng chuẩn tắc và mang một hash nội dung SHA-256, nên nó chống giả mạo và có thể kiểm chứng độc lập — auditor không phải tin ảnh chụp màn hình của bạn, họ kiểm chứng chữ ký.
Ma trận độ phủ của mỗi framework đã cài đặt: điều khoản → kiểm soát → trạng thái (enforcing / observe / gap), cộng với bằng chứng would-have-blocked được chụp trong observe. Các điều khoản tổ chức được liệt kê như các khoảng trống được công bố, không bị âm thầm bỏ qua.
Chữ ký liên kết hash bằng chứng của báo cáo với key ký của OrcaRouter. Bất cứ ai — kể cả một auditor không có tài khoản OrcaRouter — có thể xác nhận báo cáo không bị thay đổi sau khi tạo bằng cách kiểm tra nó đối với public key.

​
6. Chia sẻ nó với auditor của bạn

Tạo một liên kết chia sẻ chỉ-đọc cho báo cáo (Admin): 
POST /api/compliance/reports/:id/share
Auditor mở endpoint chia sẻ công khai — không đăng nhập: 
GET /api/public/compliance/share/:token
Họ sau đó tự kiểm chứng chữ ký đối với key đã công bố của OrcaRouter:
EndpointMục đích
GET /api/public/compliance/pubkeyFetch public key Ed25519.
POST /api/public/compliance/verifyXác nhận chữ ký + hash của một báo cáo.
Một liên kết chia sẻ có thể thu hồi. Phát hành một cái cho mỗi cam kết audit, và thu hồi nó (DELETE /api/compliance/share/:shareId, Admin) khi cam kết đóng — bản thân báo cáo vẫn nằm trong lịch sử workspace của bạn.

​
7. Ghim nơi báo cáo cư trú

Các auditor và cơ quan quản lý thường quan tâm nơi bằng chứng được lưu. Đặt vùng mà artifact báo cáo compliance của bạn được ghim vào (us, eu, uk, ap, cn, global) qua PUT /api/compliance/residency (Admin). Các lượt đọc xuyên vùng của một báo cáo bị giữ lại.
Nơi cư trú ghim vùng artifact báo cáo mà thôi — nó không phải là ghim-địa-lý dữ liệu suy luận. Nó kiểm soát nơi bằng chứng đã ký của bạn cư trú, không phải nơi request được định tuyến.

​
8. Kiểm chứng trước audit

Chứng minh trail là thực trước khi bất cứ ai xem xét nó:
1

Xác nhận độ phủ

Mở Readiness và xác nhận các kiểm soát SOC 2 bạn mong đợi hiển thị enforcing, không phải observe, không có khoảng trống bất ngờ.
2

Round-trip chữ ký

Tạo một báo cáo, rồi POST /api/public/compliance/verify nó đối với public key — xác nhận nó hợp lệ trước khi bạn chia sẻ.
3

Mở liên kết chia sẻ khi đã đăng xuất

Truy cập GET /api/public/compliance/share/:token trong một session trình duyệt sạch để xem chính xác những gì auditor của bạn sẽ thấy.

​
Liên quan

Tham chiếu Guardrails

Mặt phẳng chính sách nội dung mà SOC 2 pack cụ thể hóa.

Tham chiếu Firewall

Mặt phẳng hành động đằng sau các kiểm soát truy cập và thay đổi của pack.

Chế độ thực thi

Observe, shadow, và enforce khác nhau thế nào — và tại sao observe-first.

Triển khai HIPAA

Cùng quy trình pack-và-báo-cáo cho một framework chăm sóc sức khỏe.

Ghi log an toàn PII

Giữ PII thô khỏi các log mà bằng chứng của bạn rút ra từ đó.

Checklist go-live

Bật zero trust trước khi bạn lật các kiểm soát sang enforce.