SOC 2
由美国注册会计师协会（AICPA）制定的安全合规框架，用于评估云服务提供商在安全性、可用性、处理完整性、保密性和隐私性五个维度的控制能力，是企业采购SaaS和云平台的重要合规准入标准
核心事实
时间轴 (近 90 天)
SOC 2 报告与 Agent 边界评估报告是互补关系，而非竞争关系。
企业采购团队已在供应商安全问卷和主服务协议中提出 AI Agent 安全问题，具体涉及工具授权、凭证管理、审计日志以及 AI 组件独立安全测试证据等要求。
最小权限原则由Saltzer和Schroeder于1975年在《The Protection of Information in Computer Systems》中系统提出，至今仍是SOC 2、ISO 27001等合规框架的核心要求
SOC 2 / ISO 27001 审计费用本身可能在数万到数十万美元量级，且随客户规模和合规要求升级而增加。
SOC 2 和 ISO 27001 审计方会重点检查访问权限是否遵循最小权限原则、离职账号是否及时回收、特权账号是否有额外控制、身份变更是否有可追溯的日志。
审计日志用于记录操作历史，常用于安全审查、故障排查和 SOC 2、ISO 27001 等合规认证。
将默认值设为最保守、把便利功能交给用户主动开启，能满足合规审计要求（如 SOC 2、ISO 27001 对变更管理和资产清单的要求）。
Leaver流程是身份治理中的关键控制点：员工离职后，其在各下游系统中的账号必须及时停用或回收，否则会形成孤儿账号，成为合规审计（如SOX、ISO 27001、SOC 2）中的高风险项。
SOC 2、ISO 27001 等合规框架要求最小权限原则和可追溯的访问控制，共享密钥无法通过此类审查
评估 AI 供应商时应关注其 SOC 2 合规状态、漏洞响应 SLA 以及是否具备定期第三方安全审计机制
还有 31 条时间轴事件
全部知识事实 (20)
SOC 2是由美国注册会计师协会（AICPA）制定的服务型企业安全审计标准，评估安全性、可用性、处理完整性、保密性和隐私性五个维度
65%待验证金融、医疗、政府等受监管行业通常需要遵循SOC 2、HIPAA、PCI DSS等安全合规框架
90%待验证该API的审计能力旨在帮助企业满足SOC 2、GDPR、HIPAA等合规框架的要求
90%待验证企业用户使用API中转站时应评估其是否具备SOC 2、ISO 27001等安全合规认证
85%待验证ChatGPT Enterprise已通过SOC 2等企业安全认证
75%待验证安全默认原则此后被 OWASP、NIST 等主流安全框架广泛采纳
60%待验证SOC 2合规标准将审计追踪列为安全性和处理完整性两大信任服务标准中的关键控制项
60%待验证对于金融、医疗、国防等受监管行业，将代码发送到第三方AI服务可能违反SOC 2、HIPAA、GDPR等合规框架的数据驻留要求
60%待验证SOC 2 报告与 Agent 边界评估报告是互补关系，而非竞争关系。
50%待验证企业采购团队已在供应商安全问卷和主服务协议中提出 AI Agent 安全问题，具体涉及工具授权、凭证管理、审计日志以及 AI 组件独立安全测试证据等要求。
50%待验证最小权限原则由Saltzer和Schroeder于1975年在《The Protection of Information in Computer Systems》中系统提出，至今仍是SOC 2、ISO 27001等合规框架的核心要求
50%待验证SOC 2 和 ISO 27001 审计方会重点检查访问权限是否遵循最小权限原则、离职账号是否及时回收、特权账号是否有额外控制、身份变更是否有可追溯的日志。
50%待验证SOC 2 / ISO 27001 审计费用本身可能在数万到数十万美元量级，且随客户规模和合规要求升级而增加。
50%待验证审计日志用于记录操作历史，常用于安全审查、故障排查和 SOC 2、ISO 27001 等合规认证。
50%待验证将默认值设为最保守、把便利功能交给用户主动开启，能满足合规审计要求（如 SOC 2、ISO 27001 对变更管理和资产清单的要求）。
50%待验证Leaver流程是身份治理中的关键控制点：员工离职后，其在各下游系统中的账号必须及时停用或回收，否则会形成孤儿账号，成为合规审计（如SOX、ISO 27001、SOC 2）中的高风险项。
50%待验证SOC 2、ISO 27001 等合规框架要求最小权限原则和可追溯的访问控制，共享密钥无法通过此类审查
50%待验证评估 AI 供应商时应关注其 SOC 2 合规状态、漏洞响应 SLA 以及是否具备定期第三方安全审计机制
50%待验证合规框架（如 SOC 2、PCI DSS、ISO 27001）对审计日志通常明确要求完整性与不可否认性
50%待验证SOC 2、ISO 27001等合规框架明确要求日志中不得出现明文凭证
50%