SOC 2 稽核之所以困难，不是因为控制措施复杂，而是因为证据散落各处。存取审查资料在您的身分提供者中。加密细节埋藏在基础设施配置里。供应商风险评估存在试算表中。事件应变程序存在于自上次稽核后就没更新过的 wiki。稽核日志在资料库里，但没人将它们整合成稽核员想要的格式。
每季都有人花好几天从六个不同系统拉取资料、格式化成报告，并祈祷自上次检查以来没有任何变化。
JieGou 的 SOC 2 证据聚合器消除了这项工作。一次 API 呼叫就能回传涵盖六个证据区块的结构化报告——从即时平台资料平行抓取、快取以提升效能，并设计成在任何区块暂时无法使用时仍能优雅失败。
报告结构
单一 GET /api/soc2-evidence?accountId=X 就能回传完整报告。它包含九个围绕 SOC 2 稽核员关注的证据类别组织的区块：
| 区块 | 包含内容 | 来源 |
|---|---|---|
| 存取审查 | 每位使用者的角色、权限、部门分配、资源存取数量、最后活动时间 | 治理模组 + 权限引擎 |
| 安全指标 | 失败的身分验证尝试、封锁的 IP、API 金钥健康状况、使用量激增警报 | 安全分析 |
| 加密清单 | 10 个加密控制措施，包含演算法、金钥大小、范围和管理细节 | 静态目录 |
| 供应商登记 | 11 个第三方供应商，包含风险等级、认证和资料存取分类 | 静态目录 |
| 事件应变 | 4 个阶段中的 6 个程序，包含严重性定义、SLA 和逐步手册 | 静态目录 |
| 合规配置 | 启用的合规框架、资料驻留规则、PII 侦测设定 | 帐户配置 |
| 资料驻留 | 每类别的驻留模式（仅本地、云端同步、云端编修） | 帐户配置 |
| 保留政策 | 稽核日志保留期间和配置 | 帐户配置 |
| 稽核日志摘要 | 30 天事件计数、操作分解、活动前 10 名执行者 | Firestore audit_logs |
报告有版本（1.0.0）和时间戳记。每个区块都包含自己的 generatedAt 时间戳记，让稽核员能确切看到每项证据的收集时间。
存取审查
存取审查区块是稽核员花费最多时间的部分。JieGou 从即时平台资料自动产生它。
对于您帐户中的每位使用者：
- 身分 — 电子邮件、显示名称、使用者 ID
- 角色 — 全域角色（Owner、Admin、Dept Lead、Member、Auditor、Viewer）及数值等级
- 部门 — 使用者所属的部门
- 权限 — 其角色授予的完整细粒度权限清单（8 个类别中的 26 个权限）
- 资源存取 — 此使用者可存取的 recipe 和 workflow 数量
- 最后活动 — 使用者最近活动的时间戳记
报告还包含角色分布 — 每个角色等级有多少使用者 — 让稽核员能验证权限分配是否遵循最小权限原则。
API 金钥摘要补充了存取审查：总金钥数、配置了哪些 LLM 提供者，以及每个金钥的细节（提供者、有效性状态、使用时间）。稽核员可以验证不存在过时或孤立的金钥，无需深入另一个金钥管理控制台。
加密清单
SOC 2 信任服务准则 CC6.1 要求组织记录其加密控制措施。JieGou 的加密清单列出了涵盖静态和传输中资料的 10 个控制措施：
| 控制措施 | 演算法 | 范围 |
|---|---|---|
| BYOK 金钥加密 | AES-256-GCM | 储存在 Firestore 中的客户 API 金钥 |
| Firestore 静态资料 | AES-256 | 所有 Firestore 集合 |
| Session Cookie 签署 | RS256 (JWT) | Firebase Auth session cookie |
| 密码储存 | bcrypt / scrypt | 使用者密码杂凑 |
| TLS — Istio Gateway | TLS 1.3 | 所有至 *.jiegou.ai 的 HTTPS 流量 |
| TLS — Firebase Services | TLS 1.3 | Firestore 和 Auth API 流量 |
| TLS — Redis Cluster | TLS 1.2+ | Redis 快取连线 |
| 文件新鲜度杂凑 | SHA-256 | URL 文件变更侦测 |
| Session 快取金钥杂凑 | SHA-256 | Redis session 快取金钥 |
| 容器映像档验证 | SHA-256 | ECR 中的 Docker 映像档摘要 |
每个控制措施都包含金钥大小、管理者（JieGou、Google Cloud、AWS、Firebase）、程式码库中的来源模组，以及它涵盖的是静态资料、传输中资料或两者。这不是行销宣传——而是直接对应到您基础设施的机器可读清单。
供应商登记
第三方供应商管理是 SOC 2 的要求。JieGou 的供应商登记列出了 11 个供应商，并附有结构化风险评估：
对于每个供应商：
- 风险等级 — 关键、高、中或低
- SOC 2 认证状态 — 供应商是否持有 SOC 2 Type II
- 其他认证 — ISO 27001、FedRAMP、PCI DSS、HIPAA 等
- 资料存取 — 供应商可存取和处理的资料
- 缓解措施 — 降低此供应商风险的特定控制措施
- 审查排程 — 上次审查日期和下次审查日期
供应商范围从关键（GCP、AWS、Firebase Auth — 它们托管您的资料）到中（Resend 用于电子邮件、Redis 用于快取）。LLM 提供者（Anthropic、OpenAI、Google AI）被分类为高 — 它们暂时处理客户提示，但 BYOK 支援和不训练政策缓解了风险。
登记包含供应商特定的缓解措施，而非通用陈述。对于 Stripe：「PCI DSS Level 1 认证 — 卡片资料永不触及 JieGou 伺服器。」对于 Redis：「仅快取模式（停用持久化）— 无 PV。」这些是稽核员寻找的细节。
事件应变手册
SOC 2 CC7.3 和 CC7.4 要求记录事件应变程序。手册包含 4 个阶段中的 6 个程序：
阶段 1：侦测与分级（所有严重性）— 确认警报、分类严重性 P1-P4、建立事件频道、保存初始证据。
阶段 2：围堵 — 三个依严重性的程序：
- 资料外泄（P1）— 识别受影响的帐户、停用受损使用者、轮替 API 金钥、清空 session 快取、保存稽核日志、根据 GDPR 在 72 小时内通知客户
- 未经授权存取（P1）— 撤销 session、停用帐户、检查 IP 封锁、执行存取审查、调查横向移动
- 服务中断（P2）— 检查断路器、故障转移至替代 LLM 提供者、验证 Redis fail-open、发布客户状态更新
阶段 3：根除与恢复（P1-P3）— 根本原因分析、修复部署、生产验证、服务恢复。
阶段 4：事后检讨（P1-P2）— 48 小时内进行无责备审查、编译事件时间轴、追踪纠正行动。
每个程序步骤都包含负责方（值班工程师、安全主管、基础设施工程师）、SLA（分钟）、使用的特定工具（不是通用类别 — 实际的模组名称和指令），以及当情况恶化时的升级触发条件。
严重性定义具有明确的回应时间 SLA：P1 关键为 15 分钟、P2 高为 1 小时、P3 中为 4 小时、P4 低为 24 小时。
稽核日志摘要
稽核日志摘要将过去 30 天的活动汇总成两个视图：
操作分解 — 每个操作类型的计数。在此期间发生了多少 recipe 执行、workflow 执行、角色变更、API 金钥操作、配置更新和其他可稽核事件。这告诉稽核员平台上发生了什么，以及活动模式是否看起来正常。
最活跃执行者 — 按事件计数排序的 10 位最活跃使用者。稽核员使用此来验证高活动帐户是否对应于预期使用者（自动化服务帐户、进阶使用者），而非异常行为。
为提升效能，摘要上限为 1,000 个事件。对于活动量更高的帐户，原始稽核日志始终可透过治理模组取得。
如何建构
证据报告透过使用 Promise.all 同时平行抓取所有九个区块来产生。六个区块来自即时查询（存取审查、安全指标、合规配置、资料驻留、保留政策、稽核日志摘要）。三个是静态目录（加密清单、供应商登记、事件应变手册）。
**失败开放设计。**每个动态区块都包裹在 .catch() 处理器中。如果安全指标服务暂时无法使用，报告仍会回传其他八个区块并以安全预设值填充失败的区块。报告始终会回传——它不会因为一个子系统缓慢而完全失败。
**Redis 快取。**完整报告会快取 5 分钟。在稽核期间，多位团队成员可能会重复拉取相同报告。快取可防止冗余的 Firestore 查询并保持回应时间一致。
**区块层级存取。**您不一定总需要完整报告。附加 ?section=access-review 来仅取得存取审查，或 ?section=encryption-inventory 来仅取得加密目录。六个区块可单独定址：access-review、security-metrics、encryption-inventory、vendor-register、incident-response、audit-log-summary。
权限模型
此端点需要 audit:read 权限，对应到 Auditor 角色（等级 15）或以上。这意味着：
- Auditor、Dept Lead、Admin、Owner — 可以拉取报告
- Member、Viewer — 无法存取
这符合最小权限原则。您的合规团队可以产生证据而无需管理员存取权限。您的工程团队成员可以执行 workflow 和编辑 recipe，但除非其角色需要，否则无法查看安全状态报告。
可用性
SOC 2 证据收集适用于 Enterprise 方案。包括完整证据报告 API、个别区块存取、存取审查、加密清单、供应商登记、事件应变手册和稽核日志摘要。深入了解企业功能或开始试用。