SOC 2
由美国注册会计师协会（AICPA）制定的安全合规框架，用于评估云服务提供商在安全性、可用性、处理完整性、保密性和隐私性五个维度的控制能力，是企业采购SaaS和云平台的重要合规准入标准
核心事实
时间轴 (近 90 天)
在多LLM供应商场景下，每家供应商的SOC 2报告覆盖范围不同，客户需要逐一核对子处理商列表、数据加密方式和事件响应流程。
密钥轮换是 SOC 2、PCI DSS 等合规框架的常见要求。
企业级收件箱产品需要权限管理、合规审计、数据安全等能力，并满足SOC 2、GDPR等合规要求。
降低托管平台信任风险的手段包括最小化授权范围（仅授予特定仓库而非全部仓库的访问权）、定期轮换凭证、关注平台的安全认证（如SOC 2、ISO 27001）。
SOC 2报告分为Type I（某一时点的控制设计）和Type II（一段时间内的控制运行有效性），本质上是对审计窗口内控制状态的抽样评估，不构成对供应商实时安全态势的持续保证。
将SOC 2视为供应链安全的充分条件，是合规认证在供应链场景下失效的根源。
SOC 2 由 AICPA 制定，其 CC7 系列控制项要求组织记录并监控对系统资源的访问，包括身份验证事件与权限变更，且日志需具备完整性保护与留存策略。
SOC 2 和 ISO 27001 都不强制规定具体日志留存时长，但要求组织基于自身风险评估定义周期，审计中通常会被追问 90 天至 1 年的历史可查性。
企业级软件需满足数据合规（如GDPR、SOC 2）和审计要求，这些隐性成本构成AI竞品短期内难以跨越的门槛。
SOC 2和ISO 27001在访问控制方面都要求：访问权限基于最小权限原则授予、定期审查、保留可追溯的审批证据。
还有 40 条时间轴事件
全部知识事实 (20)
中小企业在选择AI工具时应评估供应商的数据处理条款、退出机制及是否存在私有化部署选项
65%已验证评估数据供应商时务必核实商业授权条款，并在大规模采购前索取样本数据做小规模验证，检查标注一致性和场景覆盖度
65%已验证SOC 2是由美国注册会计师协会（AICPA）制定的服务型企业安全审计标准，评估安全性、可用性、处理完整性、保密性和隐私性五个维度
65%待验证金融、医疗、政府等受监管行业通常需要遵循SOC 2、HIPAA、PCI DSS等安全合规框架
90%待验证该API的审计能力旨在帮助企业满足SOC 2、GDPR、HIPAA等合规框架的要求
90%待验证企业用户使用API中转站时应评估其是否具备SOC 2、ISO 27001等安全合规认证
85%待验证ChatGPT Enterprise已通过SOC 2等企业安全认证
75%待验证审计日志用于满足SOC 2、ISO 27001、GDPR等合规框架的审计要求，Salesforce、Okta、Datadog等平台将其作为企业版标准功能
70%待验证安全默认原则此后被 OWASP、NIST 等主流安全框架广泛采纳
60%待验证SOC 2合规标准将审计追踪列为安全性和处理完整性两大信任服务标准中的关键控制项
60%待验证对于金融、医疗、国防等受监管行业，将代码发送到第三方AI服务可能违反SOC 2、HIPAA、GDPR等合规框架的数据驻留要求
60%待验证在多LLM供应商场景下，每家供应商的SOC 2报告覆盖范围不同，客户需要逐一核对子处理商列表、数据加密方式和事件响应流程。
50%待验证密钥轮换是 SOC 2、PCI DSS 等合规框架的常见要求。
50%待验证企业级收件箱产品需要权限管理、合规审计、数据安全等能力，并满足SOC 2、GDPR等合规要求。
50%待验证降低托管平台信任风险的手段包括最小化授权范围（仅授予特定仓库而非全部仓库的访问权）、定期轮换凭证、关注平台的安全认证（如SOC 2、ISO 27001）。
50%待验证将SOC 2视为供应链安全的充分条件，是合规认证在供应链场景下失效的根源。
50%待验证SOC 2报告分为Type I（某一时点的控制设计）和Type II（一段时间内的控制运行有效性），本质上是对审计窗口内控制状态的抽样评估，不构成对供应商实时安全态势的持续保证。
50%待验证SOC 2 由 AICPA 制定，其 CC7 系列控制项要求组织记录并监控对系统资源的访问，包括身份验证事件与权限变更，且日志需具备完整性保护与留存策略。
50%待验证SOC 2 和 ISO 27001 都不强制规定具体日志留存时长，但要求组织基于自身风险评估定义周期，审计中通常会被追问 90 天至 1 年的历史可查性。
50%待验证企业级软件需满足数据合规（如GDPR、SOC 2）和审计要求，这些隐性成本构成AI竞品短期内难以跨越的门槛。
50%