Việc đánh giá cổng API AI SOC 2 nên bắt đầu trước khi người mua yêu cầu một gói bảo mật. Câu hỏi về mua sắm không phải là "bạn có huy hiệu không?" Mà là liệu cổng, các tuyến mô hình, nhật ký, khóa, hồ sơ thanh toán, quy trình hỗ trợ và các nhà cung cấp hạ nguồn có thể được đối chiếu với bằng chứng mà người đánh giá bảo mật thực sự có thể kiểm tra hay không.
Hướng dẫn này dành cho các nhóm mua sắm, bảo mật, nền tảng, tuân thủ và rủi ro nhà cung cấp đang đánh giá một cổng API AI trước khi đưa vào lưu lượng sản xuất. Đây không phải là lời khuyên pháp lý hay kiểm toán. Hãy sử dụng nó như một danh sách kiểm tra bằng chứng thực tế: yêu cầu những gì, xác minh những gì trong báo cáo SOC 2, kiểm tra những gì trong cổng và lưu giữ những gì trong hồ sơ phía người mua của bạn.
Flatkey có liên quan vì flatkey.ai định vị công khai sản phẩm là một cổng API duy nhất cho các nhóm AI sản xuất, với quyền truy cập mô hình, định tuyến, thanh toán, phân tích sử dụng, kiểm soát vận hành, một bảng điều khiển và một khóa duy nhất cho nhiều nhà cung cấp. Phần chân trang công khai của Flatkey cũng liên kết đến các trang tra cứu chứng chỉ cho VOC AI Inc. hiển thị một mục SOC 2 Type II và một mục ISO 27001:2022, và ảnh chụp nhanh API giá cả hiện tại được kiểm tra vào ngày 19 tháng 6 năm 2026 đã trả về 638 hàng mô hình từ 23 nhà cung cấp. Hãy xem đó là bằng chứng công khai đã ghi ngày, không phải là sự thay thế cho báo cáo SOC 2 riêng tư, thỏa thuận đã ký, DPA, cài đặt tài khoản hoặc xác thực nhật ký sản xuất.
Câu trả lời nhanh: Bằng chứng SOC 2 cho AI API Gateway nên chứng minh điều gì
Một bài đánh giá cổng API AI SOC 2 nên chứng minh ba điều: báo cáo kiểm soát của nhà cung cấp bao gồm dịch vụ liên quan, cổng có thể tạo ra bằng chứng hoạt động cho lưu lượng AI của bạn, và nhóm của bạn có các biện pháp kiểm soát đối với các trách nhiệm mà báo cáo của nhà cung cấp để lại cho khách hàng.
| Lĩnh vực đánh giá | Bằng chứng cần yêu cầu | Nội dung cần xác minh |
|---|---|---|
| Phạm vi báo cáo SOC 2 | Báo cáo SOC 2 Type II hiện tại, kỳ báo cáo, kiểm toán viên, mô tả hệ thống và thư bắc cầu nếu kỳ báo cáo đã cũ. | Cổng AI, định tuyến API, ghi nhật ký, hỗ trợ, thanh toán và cơ sở hạ tầng liên quan nằm trong ranh giới hệ thống. |
| Tiêu chí Dịch vụ Tin cậy | Các danh mục được báo cáo đề cập, thường là bảo mật cộng với bất kỳ tiêu chí nào về tính sẵn sàng, tính bảo mật, tính toàn vẹn xử lý hoặc quyền riêng tư. | Các danh mục được đề cập phải khớp với rủi ro của người mua. Đừng cho rằng quyền riêng tư hoặc tính sẵn sàng được bao gồm trừ khi báo cáo nêu rõ. |
| Kiểm soát bổ sung từ phía người dùng | CUECs và trách nhiệm của người mua được liệt kê trong báo cáo SOC 2. | Nhóm của bạn có thể đáp ứng các trách nhiệm về quản lý khóa, phê duyệt tuyến, phân loại dữ liệu, quyền truy cập của người dùng, lưu giữ và xử lý sự cố. |
| Tổ chức dịch vụ phụ | Mô tả tổ chức dịch vụ phụ theo phương pháp loại trừ (carve-out) hoặc bao gồm (inclusive), danh sách nhà cung cấp và các biện pháp kiểm soát giám sát. | Các nhà cung cấp mô hình hạ nguồn, dịch vụ đám mây, công cụ hỗ trợ, khả năng quan sát và nhà cung cấp thanh toán được xử lý nhất quán với mô hình báo cáo. |
| Hoạt động của cổng AI | Nhật ký mẫu, các trường sở hữu khóa, lịch sử thay đổi tuyến, kho tuyến của nhà cung cấp mô hình và quy trình xuất sự cố. | Cổng có thể cho thấy ai đã gửi lưu lượng, mô hình/nhà cung cấp nào đã nhận, điều gì đã thay đổi và bằng chứng nào được lưu giữ. |
| Dữ liệu và quyền riêng tư | Chính sách quyền riêng tư, đường dẫn DPA, địa điểm xử lý dữ liệu, chính sách lưu giữ, chính sách ghi nhật ký tải trọng và các điều khoản sử dụng dữ liệu của nhà cung cấp. | Các câu lệnh, kết quả đầu ra, siêu dữ liệu, tài liệu hỗ trợ và hồ sơ thanh toán có các quy tắc xử lý rõ ràng. |
| Bằng chứng phía người mua | Hồ sơ triển khai của riêng bạn, các trường hợp sử dụng đã được phê duyệt, phân loại khóa, chính sách tuyến, chế độ ghi nhật ký và nhịp độ đánh giá. | Bằng chứng của nhà cung cấp được gắn với cách nhóm của bạn sẽ thực sự sử dụng cổng. |
Bắt đầu với phạm vi SOC 2, không phải huy hiệu
Một huy hiệu công khai có thể hữu ích cho việc sàng lọc ban đầu, nhưng bộ phận mua sắm vẫn nên yêu cầu báo cáo SOC 2 thực tế theo quy trình tin cậy của nhà cung cấp. AICPA mô tả báo cáo SOC 2 là một cuộc kiểm tra các biện pháp kiểm soát tại một tổ chức dịch vụ liên quan đến bảo mật, tính sẵn sàng, tính toàn vẹn xử lý, tính bảo mật hoặc quyền riêng tư. Điều đó có nghĩa là câu hỏi mua sắm hữu ích là về phạm vi: hệ thống, dịch vụ, khoảng thời gian, tiêu chí, biện pháp kiểm soát, ngoại lệ và các khẳng định của ban quản lý nào được bao gồm?
Đối với một cổng API AI SOC 2, việc đánh giá phạm vi nên trả lời:
| Trường phạm vi | Câu hỏi của người mua | Tại sao điều này quan trọng đối với lưu lượng truy cập AI API |
|---|---|---|
| Pháp nhân | Pháp nhân nào được nêu tên trong báo cáo và hợp đồng? | Tra cứu chứng chỉ công khai của Flatkey đề cập đến VOC AI Inc.; hồ sơ mua sắm của bạn phải khớp với pháp nhân ký hợp đồng và chủ sở hữu dịch vụ. |
| Ranh giới hệ thống | Báo cáo có bao gồm cổng AI, định tuyến API, bảng điều khiển, khóa, thanh toán, hồ sơ sử dụng và quy trình hỗ trợ không? | Một báo cáo cho một nền tảng dữ liệu hoặc phân tích rộng hơn có thể không chứng minh được quy trình làm việc cổng cụ thể mà bạn dự định sử dụng. |
| Kỳ báo cáo | Báo cáo Loại II đã kiểm tra trong khoảng thời gian nào và có cần thư bắc cầu không? | Bộ phận mua sắm thường muốn có bằng chứng hoạt động hiện tại, không chỉ là một tuyên bố tại một thời điểm trong quá khứ. |
| Các loại hình tin cậy | Những Tiêu chí Dịch vụ Tin cậy nào được bao gồm? | Việc tuân thủ về bảo mật không tự động có nghĩa là tuân thủ về tính sẵn sàng, tính bảo mật, tính toàn vẹn của quá trình xử lý hoặc quyền riêng tư. |
| Các ngoại lệ | Có biện pháp kiểm soát nào được đánh giá, ngoại trừ hoặc khắc phục không? | Các ngoại lệ có thể ảnh hưởng đến việc quản lý khóa, ghi nhật ký, kiểm soát thay đổi, ứng phó sự cố hoặc giám sát nhà cung cấp. |
| Các tổ chức dịch vụ phụ | Những dịch vụ đám mây, nhà cung cấp, hỗ trợ, quan sát và thanh toán nào được tách ra hoặc bao gồm? | Rủi ro của cổng AI thường phụ thuộc vào các nhà cung cấp mô hình và cơ sở hạ tầng ở hạ nguồn. |
Quy tắc thực tế rất đơn giản: nếu người mua không thể liên kết báo cáo SOC 2 với dịch vụ cổng và đường dẫn lưu lượng truy cập chính xác, thì báo cáo đó là bằng chứng sàng lọc, không phải là bằng chứng mua sắm cuối cùng.
Ánh xạ Tiêu chí SOC 2 với các Biện pháp kiểm soát của AI Gateway
Tiêu chí Dịch vụ Tin cậy của AICPA bao gồm bảo mật, tính sẵn sàng, tính toàn vẹn của quá trình xử lý, tính bảo mật và quyền riêng tư. Một gói bằng chứng SOC 2 AI API gateway nên chuyển đổi những danh mục rộng đó thành các kiểm tra cổng cụ thể.
| Chủ đề kiểm soát | Bằng chứng cần xác minh | Mối quan tâm liên quan đến SOC 2 |
|---|---|---|
| Quyền sở hữu khóa API | Các khóa được gắn với chủ sở hữu, môi trường, ứng dụng và quy trình làm việc; việc tạo và thu hồi khóa có thể được kiểm toán. | Truy cập logic, trách nhiệm giải trình, kiểm soát thay đổi và ngăn chặn sự cố. |
| Phê duyệt tuyến đường và mô hình | Các nhà cung cấp được phê duyệt, họ điểm cuối, hàng mô hình, quy tắc dự phòng và hồ sơ thay đổi đều có thể xem xét được. | Quản lý thay đổi, giám sát nhà cung cấp, tính toàn vẹn của quá trình xử lý và tính bảo mật. |
| Nhật ký kiểm toán | Nhật ký hiển thị dấu thời gian, khóa hoặc dự án, tuyến đường, nhà cung cấp, mô hình, họ điểm cuối, trạng thái, loại lỗi, đơn vị sử dụng và các thay đổi quản trị. | Giám sát, ứng phó sự cố, xem xét quyền truy cập và bằng chứng hoạt động. |
| Xử lý tải trọng (payload) | Chế độ ghi nhật ký lời nhắc/đầu ra, biên tập, hạn chế truy cập, thời gian lưu giữ và đường dẫn xóa được ghi lại. | Tính bảo mật, quyền riêng tư và giảm thiểu dữ liệu. |
| Sử dụng và thanh toán | Hồ sơ sử dụng và hồ sơ thanh toán được tách biệt khỏi tải trọng thô và được gắn với chủ sở hữu, mô hình, tuyến đường và trung tâm chi phí. | Tính toàn vẹn của quá trình xử lý, trách nhiệm giải trình và hỗ trợ xem xét tài chính. |
| Xem xét sự cố | Các sự kiện bảo mật, lỗi của nhà cung cấp, việc sử dụng đáng ngờ, khóa bị rò rỉ, vòng lặp dự phòng và các sự kiện vượt quá giới hạn đều có sổ tay hướng dẫn và đường dẫn xuất dữ liệu. | Giám sát, ứng phó và khắc phục bảo mật. |
| Thay đổi nhà cung cấp và nhà cung cấp dịch vụ | Việc thêm, xóa nhà cung cấp, thay đổi khu vực và thay đổi chính sách sử dụng dữ liệu sẽ kích hoạt việc xem xét lại. | Giám sát tổ chức dịch vụ phụ và đánh giá rủi ro. |
Đây là điểm khác biệt giữa cổng AI và cổng API thông thường. Tuyến đường không chỉ là quyết định về máy chủ/đường dẫn. Nó có thể xác định nhà cung cấp mô hình nào nhìn thấy lời nhắc, chính sách dữ liệu nào được áp dụng, quy tắc lưu giữ nào được áp dụng, đường dẫn dự phòng nào được phép và đơn vị sử dụng nào được tính phí.
Bằng chứng của Flatkey cần xác minh trước khi mua sắm
Flatkey có bằng chứng công khai hữu ích cho việc xem xét ban đầu về SOC 2 AI API gateway. Trang web công khai cho biết Flatkey hợp nhất quyền truy cập mô hình, định tuyến, thanh toán, phân tích sử dụng và các biện pháp kiểm soát hoạt động cho các nhóm phát hành sản phẩm AI. Chân trang liên kết đến một tra cứu Cert Assure SOC 2 Loại II cho VOC AI Inc., chứng chỉ `USA-SOC2-220513`, với thời gian được liệt kê từ ngày 15 tháng 7 năm 2025 đến ngày 14 tháng 7 năm 2026 và trạng thái hoạt động tại thời điểm kiểm tra. Cùng một chân trang liên kết đến một tra cứu ISO 27001:2022 cho VOC AI Inc., chứng chỉ `USA-I-270513`, với thời gian được liệt kê từ ngày 1 tháng 5 năm 2024 đến ngày 30 tháng 4 năm 2027 và trạng thái hoạt động tại thời điểm kiểm tra.
Sử dụng các trang công khai đó làm điểm khởi đầu cho hồ sơ, sau đó xác minh trực tiếp các chi tiết này với Flatkey trước khi mua sắm:
| Kiểm tra Flatkey | Nội dung cần ghi lại | Biện pháp bảo vệ |
|---|---|---|
| Yêu cầu báo cáo SOC 2 | Báo cáo hiện tại, kiểm toán viên, kỳ báo cáo, phạm vi, các tiêu chí được bao gồm, các ngoại lệ, các tổ chức dịch vụ phụ và thư bắc cầu nếu cần. | Không chỉ dựa vào huy hiệu công khai hoặc tra cứu chứng chỉ. |
| Đối chiếu chéo ISO 27001:2022 | Thực thể chứng chỉ, phạm vi hoạt động, ngày tháng và bất kỳ tuyên bố về khả năng áp dụng hoặc tổng quan bảo mật nào có sẵn trong quá trình xem xét độ tin cậy. | Chứng nhận ISO hỗ trợ việc xem xét ISMS, nhưng không thay thế báo cáo SOC 2 hoặc xác thực tuyến AI. |
| Hỗ trợ danh mục và điểm cuối | Hàng mô hình hiện tại, nhà cung cấp, họ điểm cuối, trạng thái sẵn có và đơn vị giá từ bảng giá Flatkey. | Số lượng mô hình, số lượng nhà cung cấp và tính khả dụng có thể thay đổi; hãy xác minh vào ngày bạn phê duyệt tuyến. |
| Bằng chứng trên bảng điều khiển | Chủ sở hữu khóa, tuyến, mô hình, nhà cung cấp, trạng thái, đơn vị sử dụng, hồ sơ thanh toán và bất kỳ đường dẫn xuất nào trong bảng điều khiển Flatkey hiện tại. | Đừng cho rằng các nhãn trên bảng điều khiển giống hệt như trong các tài liệu tiếp thị công khai. |
| Nhật ký và lưu trữ | Các trường siêu dữ liệu, hành vi ghi nhật ký tải trọng, thời gian lưu trữ, quyền của người xem, xử lý dữ liệu hỗ trợ và quy trình xóa/xuất. | Chính sách quyền riêng tư công khai của Flatkey đề cập đến siêu dữ liệu yêu cầu, hồ sơ lỗi, hồ sơ sử dụng, nhật ký cần thiết và tài liệu hỗ trợ, nhưng người mua cần các điều khoản cụ thể cho tài khoản. |
| Chính sách tuyến của nhà cung cấp | Các nhà cung cấp được phê duyệt, các ràng buộc dự phòng, điều khoản sử dụng dữ liệu của nhà cung cấp và ai có thể thay đổi tuyến. | Dự phòng về độ tin cậy có thể trở thành một thay đổi rủi ro nhà cung cấp nếu nhà cung cấp hạ nguồn thay đổi. |
Cách kiểm tra Gateway trước khi được phê duyệt về bảo mật
Đừng chờ đến khi có lưu lượng truy cập thực tế của khách hàng mới phát hiện ra bằng chứng SOC 2 AI API gateway của bạn có đầy đủ hay không. Hãy chạy một bài kiểm tra khói có kiểm soát cho mỗi tuyến và lưu lại gói xem xét.
- Tạo các định danh tuyến không bí mật: sử dụng các khóa hoặc dự án riêng biệt cho lưu lượng truy cập dàn dựng, sản xuất, hàng loạt, đối mặt với khách hàng và đánh giá.
- Chọn một tuyến mô hình rủi ro thấp: ghi lại nhà cung cấp, hàng mô hình, họ điểm cuối, đơn vị giá và loại dữ liệu dự kiến.
- Gửi một yêu cầu kiểm tra vô hại: tránh dữ liệu khách hàng thực, dữ liệu cá nhân, bí mật hoặc nội dung bị quản lý.
- Xem lại bản ghi nhật ký: xác nhận dấu thời gian, khóa/dự án, chủ sở hữu, tuyến, nhà cung cấp, mô hình, trạng thái, đơn vị sử dụng, loại lỗi và khả năng hiển thị chi phí.
- Xem lại bằng chứng quản trị: xác nhận ai đã tạo khóa, ai đã phê duyệt tuyến, ai có thể thay đổi dự phòng và các thay đổi được ghi lại ở đâu.
- Kiểm tra đường dẫn từ chối: thử một mô hình không được phép, loại dữ liệu bị chặn, khóa hết hạn hoặc giới hạn hạn ngạch và lưu lại kết quả.
- Ghi lại việc lưu trữ: xác định nơi lưu trữ siêu dữ liệu, tải trọng (nếu có), phiếu hỗ trợ, hồ sơ thanh toán và nhật ký bảo mật.
- Đính kèm tài liệu mua sắm: báo cáo SOC 2, thư bắc cầu, bằng chứng ISO, chính sách quyền riêng tư, điều khoản, đường dẫn DPA, đánh giá nhà cung cấp và ghi chú triển khai của bạn.
- Lặp lại khi có thay đổi: chạy lại gói khi nhà cung cấp, mô hình, họ điểm cuối, dự phòng, loại dữ liệu, chế độ ghi nhật ký hoặc các điều khoản hợp đồng thay đổi.
- Tách biệt bằng chứng công khai và riêng tư: các trang công khai giúp sàng lọc; báo cáo riêng tư và xác thực cụ thể cho tài khoản sẽ hoàn tất quá trình mua sắm.
SOC 2 chỉ là một lớp trong việc xem xét AI Gateway
Việc xem xét SOC 2 AI API gateway nên được thực hiện song song với các kiểm tra ISO 27001, GDPR, bảo mật ứng dụng và rủi ro nhà cung cấp. Các khuôn khổ này có liên quan đến nhau, nhưng chúng trả lời các câu hỏi khác nhau.
| Khuôn khổ hoặc Nguồn | Nội dung giúp xác minh | Nội dung không tự chứng minh được |
|---|---|---|
| SOC 2 | Kiểm tra độc lập các biện pháp kiểm soát đối với hệ thống được mô tả và các Tiêu chí Dịch vụ Tin cậy được bao gồm trong kỳ báo cáo. | Nó không chứng minh rằng mọi tính năng của Flatkey, cài đặt tài khoản khách hàng, tuyến mô hình hạ nguồn hoặc quy trình làm việc của người mua đều được bao gồm. |
| ISO/IEC 27001:2022 | Phạm vi hệ thống quản lý an toàn thông tin, quản lý rủi ro và trạng thái chứng nhận. | Nó không thay thế báo cáo SOC 2 hoặc chứng minh một lược đồ nhật ký yêu cầu AI cụ thể. |
| GDPR | Xem xét bên xử lý, bảo mật xử lý, giảm thiểu dữ liệu, lưu trữ, các biện pháp bảo vệ chuyển giao và phân vai cho dữ liệu cá nhân. | Nó không được đáp ứng chỉ vì một gateway đã được xem xét theo SOC 2. |
| Hướng dẫn ghi nhật ký của OWASP | Thiết kế nhật ký thực tế, thuộc tính sự kiện, dữ liệu cần loại trừ, bảo vệ nhật ký và các vấn đề giám sát. | Nó không xác định chính sách lưu trữ của nhà cung cấp hoặc chứng minh việc xử lý lời nhắc/đầu ra của bạn là chấp nhận được. |
| Kiểm soát của người mua | Phân loại khóa, quyền truy cập của người dùng, phê duyệt tuyến, phân loại dữ liệu, dự phòng mô hình, lưu trữ và xem xét sự cố của bạn. | Chúng không thay thế các biện pháp kiểm soát của nhà cung cấp; chúng giúp bằng chứng của nhà cung cấp có thể sử dụng được trong môi trường của bạn. |
Sử dụng danh sách kiểm tra cổng API AI doanh nghiệp liền kề của Flatkey cho ngăn xếp mua sắm rộng hơn và nhật ký kiểm toán cho việc sử dụng API AI cho các trường bằng chứng mà các đội ngũ bảo mật thường yêu cầu.
Mẫu Gói Bằng chứng Mua sắm
Kết quả hữu ích nhất từ việc đánh giá cổng API AI SOC 2 là một gói nhỏ gọn mà các đội ngũ kỹ thuật bán hàng, bảo mật, pháp lý và nền tảng đều có thể đọc được.
| Phần Gói | Các Trường Cần Bao Gồm | Người Phụ Trách |
|---|---|---|
| Danh tính nhà cung cấp | Pháp nhân, đơn vị ký hợp đồng, liên hệ hỗ trợ, đường dẫn cổng thông tin tin cậy, liên kết tra cứu chứng chỉ và trạng thái hiện tại. | Mua sắm |
| Tệp SOC 2 | Loại báo cáo, kỳ báo cáo, kiểm toán viên, ranh giới hệ thống, Tiêu chí Dịch vụ Tin cậy, các ngoại lệ, các tổ chức dịch vụ phụ, CUEC và thư bắc cầu. | Bảo mật |
| Tệp định tuyến cổng | Các nhà cung cấp được phê duyệt, mô hình, họ điểm cuối, quy tắc dự phòng, lớp dữ liệu, chủ sở hữu định tuyến và người phê duyệt thay đổi. | Kỹ thuật nền tảng |
| Tệp nhật ký và bằng chứng | Các trường siêu dữ liệu yêu cầu, nhật ký quản trị, chính sách tải trọng, lớp lưu giữ, phương thức xuất và danh sách truy cập của người xem. | Vận hành bảo mật |
| Tệp bảo vệ dữ liệu | Đường dẫn DPA, chính sách quyền riêng tư, điều khoản, đánh giá việc sử dụng dữ liệu của nhà cung cấp, địa điểm xử lý, danh sách nhà xử lý phụ và ghi chú vai trò GDPR. | Pháp lý và quyền riêng tư |
| Kiểm soát phía người mua | Phân loại khóa, nhịp độ xem xét truy cập, quy trình thay đổi định tuyến, chính sách hạn ngạch, sổ tay xử lý sự cố và các yếu tố kích hoạt xem xét lại. | Nền tảng và quản trị |
| Phê duyệt ra mắt | Người phê duyệt cuối cùng, các trường hợp sử dụng được phê duyệt, các lớp dữ liệu bị chặn, ngày ra mắt, ngày xem xét và các rủi ro còn lại. | Bảo mật và sản phẩm |
Các Dấu hiệu Cảnh báo Trong Quá trình Đánh giá
Tạm dừng việc mua sắm nếu bằng chứng cổng API AI SOC 2 để lại những lỗ hổng chưa được giải quyết sau:
- Câu trả lời chỉ có huy hiệu: nhà cung cấp chỉ vào một huy hiệu nhưng không thể cung cấp báo cáo SOC 2 hiện tại theo NDA hoặc quyền truy cập tin cậy.
- Không khớp phạm vi: báo cáo bao gồm một sản phẩm, pháp nhân, ranh giới cơ sở hạ tầng hoặc khoảng thời gian khác với cổng đang được mua sắm.
- Không có kế hoạch CUEC: báo cáo liệt kê các trách nhiệm của khách hàng, nhưng người mua chưa phân công chúng trong nội bộ.
- Các tổ chức dịch vụ phụ không minh bạch: các nhà cung cấp mô hình hạ nguồn, công cụ hỗ trợ, công cụ ghi nhật ký hoặc nhà cung cấp đám mây không được xử lý rõ ràng.
- Không có bằng chứng thay đổi định tuyến: đội ngũ không thể chỉ ra ai đã thêm nhà cung cấp, thay đổi mô hình hoặc bật chế độ dự phòng.
- Sự mơ hồ trong việc ghi nhật ký tải trọng: các lời nhắc và đầu ra có thể được lưu trữ, nhưng việc lưu giữ, truy cập và xóa không rõ ràng.
- Bằng chứng chỉ có trên bảng điều khiển: có ảnh chụp màn hình, nhưng không có tệp bằng chứng có thể xuất hoặc xem xét được để đánh giá bảo mật.
- Không có yếu tố kích hoạt xem xét lại: các mô hình, khu vực, họ điểm cuối mới và các thay đổi chính sách của nhà cung cấp có thể xảy ra mà không cần sự xem xét của bộ phận mua sắm/bảo mật.
Câu hỏi thường gặp
Bằng chứng SOC 2 cho cổng API AI là gì?
Bằng chứng cổng API AI SOC 2 là tập hợp các tài liệu, nhật ký, hồ sơ định tuyến, ánh xạ kiểm soát và ghi chú phía người mua cho thấy cách các biện pháp kiểm soát của cổng AI hỗ trợ việc xem xét mua sắm. Nó bao gồm báo cáo SOC 2 của nhà cung cấp, xem xét phạm vi, xử lý tổ chức dịch vụ phụ, nhật ký kiểm toán, quyền sở hữu khóa, phê duyệt định tuyến, chính sách lưu giữ và trách nhiệm của khách hàng.
Huy hiệu SOC 2 có đủ để phê duyệt một cổng API AI không?
Không. Huy hiệu có thể giúp sàng lọc ban đầu, nhưng bộ phận mua sắm nên xác minh báo cáo SOC 2 hiện tại, hệ thống được bao phủ, kỳ báo cáo, tiêu chí, các ngoại lệ, các tổ chức dịch vụ phụ và các biện pháp kiểm soát bổ sung của đơn vị người dùng. Báo cáo riêng tư và bài kiểm tra định tuyến của người mua quan trọng hơn chỉ riêng huy hiệu.
SOC 2 có nên bao gồm mọi nhà cung cấp mô hình đằng sau một cổng không?
Không nhất thiết. Báo cáo SOC 2 mô tả hệ thống của tổ chức dịch vụ và cách các tổ chức dịch vụ phụ được xử lý, thường thông qua các phương pháp loại trừ hoặc bao gồm. Người mua nên xác minh cách các nhà cung cấp mô hình, dịch vụ đám mây, công cụ hỗ trợ và dịch vụ quan sát được thể hiện, sau đó xem xét các điều khoản về dữ liệu và bảo mật của riêng từng nhà cung cấp.
SOC 2 và GDPR kết nối với nhau như thế nào đối với một cổng API AI?
SOC 2 có thể hỗ trợ bằng chứng kiểm soát bảo mật, trong khi việc xem xét GDPR tập trung vào vai trò xử lý, cơ sở pháp lý, giảm thiểu dữ liệu, điều khoản của bên xử lý, chuyển giao, lưu giữ và quyền của chủ thể dữ liệu. Một cổng API AI SOC 2 có thể tập trung các bằng chứng hữu ích, nhưng nó không tự động giải quyết các nghĩa vụ của GDPR.
Tôi nên xác minh những gì ở Flatkey trước khi mua?
Xác minh báo cáo SOC 2 hiện tại của Flatkey, chi tiết chứng chỉ ISO 27001, pháp nhân, các điều khoản đã ký, đường dẫn DPA, định tuyến mô hình/nhà cung cấp, họ điểm cuối, các trường bằng chứng trên bảng điều khiển, lưu giữ nhật ký, xử lý tải trọng, xử lý dữ liệu hỗ trợ và hành vi dự phòng. Đồng thời xác nhận hàng mô hình hiện tại và đơn vị giá vào ngày bạn phê duyệt sử dụng trong môi trường sản xuất.
Bước Mua sắm Cuối cùng
Trước khi bạn phê duyệt một cổng API AI tuân thủ SOC 2, hãy xây dựng gói bằng chứng theo cách mà kiểm toán viên hoặc người mua doanh nghiệp sẽ kiểm tra nó: thực thể, phạm vi báo cáo, tiêu chí, giai đoạn, các ngoại lệ, các tổ chức dịch vụ phụ, nhật ký, kiểm soát truy cập, thay đổi định tuyến, xử lý dữ liệu và trách nhiệm của khách hàng. Flatkey có thể tập trung hóa quyền truy cập mô hình, định tuyến, khả năng hiển thị việc sử dụng và các biện pháp kiểm soát vận hành, nhưng hồ sơ mua sắm của bạn vẫn nên xác minh báo cáo hiện tại và tuyến chính xác mà bạn sẽ chạy.
Nhận key khi bạn đã sẵn sàng tập trung hóa quyền truy cập mô hình, định tuyến, khả năng hiển thị việc sử dụng và bằng chứng để người mua xem xét đằng sau một cổng API AI duy nhất.
