AI 自動化的合規難題
每個企業 AI 部署都會撞上同一堵牆：安全與合規審查。你的團隊已經建立了出色的自動化工作流程，但在它接觸生產資料之前，法務需要知道哪些框架適用，資安需要驗證加密和存取控制，合規團隊需要證據證明政策存在且被執行。
大多數 AI 自動化平台在這方面採取迴避態度。他們在行銷頁面上打個「SOC 2」的勾就算完成了。當稽核人員到來時，你必須自己建立證據——從零開始撰寫政策、手動對應控制措施，並祈禱沒有遺漏。
JieGou 採取不同的方式。合規是一等公民功能，不是事後添加。
17 個領域、412 項政策
JieGou 內建完整的政策庫，涵蓋稽核人員會詢問的每個合規領域。這些不是空白範本——而是預填、版本控制且對應相關合規框架的文件。
17 個合規領域
| # | 領域 | 涵蓋內容 |
|---|---|---|
| 1 | 資訊安全 | 組織安全計畫、目標和管理承諾 |
| 2 | 存取控制 | 身份驗證、授權、特權管理和存取審查 |
| 3 | 變更管理 | 變更請求流程、影響評估、審批工作流程和回滾程序 |
| 4 | 事件回應 | 偵測、升級、遏制、修復和事後檢討 |
| 5 | 風險評估 | 風險識別、可能性/影響評分、處置計畫和殘餘風險追蹤 |
| 6 | 供應商管理 | 第三方風險評估、盡職調查、合約要求和持續監控 |
| 7 | 資料分類 | 分類等級、標記、處理要求和解密標準 |
| 8 | 保留與處置 | 資料保留時程、法律保留程序和安全處置方法 |
| 9 | 可接受使用 | 系統的允許使用、禁止活動和執行後果 |
| 10 | 業務持續性與災難復原 | 復原目標（RPO/RTO）、故障轉移程序和持續性測試 |
| 11 | 資產管理 | 軟硬體清冊、所有權、生命週期追蹤和退役 |
| 12 | 加密 | 加密標準、金鑰管理、憑證輪換和 BYOK 政策 |
| 13 | 日誌與監控 | 日誌收集、保留、警報閾值和 SIEM 整合 |
| 14 | 實體安全 | 設施存取、環境控制和訪客管理 |
| 15 | 員工安全 | 背景調查、安全意識訓練和離職程序 |
| 16 | 隱私 | 個人資料處理、同意管理、DSAR 程序和跨境傳輸 |
| 17 | 遠端工作 | 遠端存取要求、裝置管理和安全通訊標準 |
每個領域包含多項政策——共計 412 項。每項政策包括：
- 預填內容 — 準備好供審查和自訂，不是空白範本
- 框架對應 — 每項政策滿足哪些 HIPAA、SOX、GDPR、FedRAMP 和 PCI-DSS 控制
- 版本歷史 — 每次變更都有時間戳和作者記錄
- 審查時程 — 可設定的定期政策審查提醒
基於 Terraform 的評估評分
政策只有在你知道是否被遵循時才有用。JieGou 基於 Terraform 的評估引擎會自動為你的合規態勢評分。
運作方式
- 政策規則被定義為 Terraform 風格的評估標準
- 引擎掃描你的 JieGou 配置 — 工作流程、整合、存取控制、加密設定、稽核日誌配置
- 每條規則產生通過/失敗/部分結果
- 結果彙總為每個領域的合規分數和整體態勢分數
評估項目
評估引擎檢查具體、可觀察的配置：
- 存取控制：角色是否已分配？權限是否限定在部門範圍？是否啟用 MFA？
- 加密：API 金鑰是否以 AES-256-GCM 加密？是否配置 BYOK？是否強制 TLS？
- 稽核日誌：是否啟用日誌記錄？是否設定保留政策？是否擷取所有操作類型？
- 資料保護：是否配置 PII 政策？是否啟用遮蔽規則？
- 供應商管理：MCP 伺服器憑證是否加密？是否啟用健康檢查？
- 變更管理：工作流程審批閘道是否配置？版本控制是否啟用？
合規儀表板
你的合規分數一目了然：
- 整體分數（例如 94/100）附趨勢圖
- 按領域細分 — 即時查看哪些領域需要關注
- 未通過的規則 — 深入查看具體未通過的評估標準
- 修復指引 — 每條未通過的規則都包含修復說明
- 匯出 — CSV/JSON/PDF 報告供稽核證據使用
五大合規框架
JieGou 將政策和評估對應到五個企業合規框架：
| 框架 | 焦點 | 典型行業 |
|---|---|---|
| HIPAA | 受保護健康資訊 | 醫療保健、健康科技 |
| SOX | 財務報告控制 | 上市公司、金融服務 |
| GDPR | 個人資料保護 | 任何擁有歐盟資料主體的公司 |
| FedRAMP | 聯邦雲端安全 | 政府承包商、聯邦機構 |
| PCI-DSS | 支付卡資料 | 電子商務、支付處理 |
每個框架都有自己的控制對應。查看政策時，你可以看到它滿足哪些框架。查看框架時，你可以看到所有貢獻的政策及其當前評估狀態。
這對 AI 自動化特別重要的原因
AI 自動化引入了傳統政策框架無法完全解決的獨特合規挑戰：
- LLM 資料暴露：哪些資料發送到哪個 LLM 供應商？提示詞是否被記錄？能否被稽核？
- 多供應商治理：如果一個工作流程使用 Claude，另一個使用 GPT，如何確保一致的資料處理？
- BYOK（自帶金鑰）：企業客戶需要使用自己的 API 金鑰——靜態加密，永不在日誌中暴露
- 審批閘道：某些 AI 輸出在對外發送前需要人工審查（例如客戶通訊、財務報告）
- 知識庫存取：誰可以將哪些文件附加到哪些工作流程？知識庫內容是否已分類？
JieGou 的政策庫解決了所有這些問題。412 項政策包含 AI 特定章節，涵蓋 LLM 資料處理、提示詞記錄、模型選擇治理和自動化輸出審查。
開始使用合規功能
合規功能在企業方案中提供。以下是啟用步驟：
- 啟用合規模組 — 在帳戶設定 → 合規中開啟
- 審查政策庫 — 所有 412 項政策已預填，可供自訂
- 執行首次評估 — Terraform 引擎為你的當前配置評分
- 處理差距 — 根據修復指引處理任何未通過的規則
- 排程審查 — 設定定期政策審查和重新評估
- 匯出證據 — 為合規團隊產生稽核就緒報告
目標是將「我們想要部署 AI 自動化」到「我們通過了合規審查」的時間從數月縮短到數天。有了 412 項已撰寫的政策、17 個已覆蓋的領域和自動化評估評分，繁重的工作已經為你完成。