Enterprise · Комплаєнс та докази

Робота з комплаєнсом, макінатизована.

Фреймворки ставлять запитання; шар, який вирішує, що бачать ваші агенти, повинен відповідати на них примусовими контролями та перевіреними доказами. LeanCTX зіставляє EU AI Act, ISO/IEC 42001 та SOC 2 з механізмами, які він насправді забезпечує — і чітко вказує на все, чого не може.

Почати роботу View Security

Чесність понад усе: LeanCTX — це інструментальна підтримка для роботи з комплаєнсом, а не юридична консультація. «Узгоджений» — це технічне твердження про примусові контролі, а не сертифікація. Кожне зіставлення має цей відмову від відповідальності, і кожен виявлений обов'язок є документованою прогалиною.

Зіставлення

Три фреймворки, по одній чесній матриці.

Машинозчитувані матриці зіставлень, прив'язані до точних редакцій фреймворків із напіврічним циклом перегляду. Кожен постачається з пакетом політик фреймворку, що реалізує примусовий зріз — успадкуйте його, розширте або проаудитуйте власний пакет проти нього.

Regulation (EU) 2024/1689

EU AI Act

11 із 14 зіставлених контролів технічно забезпечено

Перспектива деплоєра на контекстний потік: Art. 12 логування (захищене від маніпуляцій, завжди активне), Art. 26(6) зберігання логів протягом шести місяців, Art. 10(5) редагування ідентифікаторів, Art. 14(4) нагляд та втручання за допомогою жорстких лімітів бюджету, Art. 15(5) контроль доступу. Управління навчальними даними та організаційні обов'язки є документованими прогалинами — не прихованими.

pack: eu-ai-act-deployer

ISO/IEC 42001:2023, Annex A

ISO/IEC 42001

Примусово забезпечені зрізи Annex A, задокументовано прогалини

A.6.2.6 логування операцій, A.9.2 процес відповідального використання — пакет політик є машино-забезпеченим визначенням процесу — A.9.4 забезпечення цільового використання з записаними порушеннями, A.7.4 контроль даних перед використанням. Самі AIMS є організаційними за визначенням; зіставлення це говорить.

pack: iso42001-aligned

AICPA TSC 2017 (2022 points of focus)

SOC 2

Зріз контекст-пайлайну TSC, включно з доказами

CC6.1 логічний доступ (за замовчуванням відхиленою функцією ворота), CC6.6 захист меж (відмова виходу + PathJail), CC7.2 моніторинг аномалій (типові безпекові події), C1.1 конфіденційність (редагування облікових даних та ідентифікаторів). Критерії рівня сутності залишаються з вашою організацією — зіставлення малює межу.

pack: soc2-context

Джерело правди: матриці зіставлень у репозиторії — TOML, доступні для перегляду та відмінностей. Кожен твердження про повне покриття називає тест CI, який доводить забезпечення; тест дрейфу призводить до збою збірки, коли твердження та тести розходяться.

Звіти про покриття

Дискусія щодо аудиту, як команда.

Одна команда відображає те, що насправді потрібно бачити оцінювачам: вердиктами за кожним контролем щодо вашого реального, розв'язаного пакету політик — а не щодо брошури.

$ lean-ctx policy coverage --framework eu-ai-act

AIA-12.1      Art. 12(1)    ENGINE        hash-chained audit trail, always-on
AIA-26.6      Art. 26(6)    ENFORCED      audit_retention_days = 365 (≥ 180 d)
AIA-10.5      Art. 10(5)    ENFORCED      4/4 regulated-identifier classes redacted
AIA-14.4e     Art. 14(4)(e) ENFORCED      max_context_tokens = 12000 bounds every assembly
AIA-10.2      Art. 10(2)    GAP           training-data governance is outside the pipeline

11 of 14 controls technically enforced (5 pack-verified, 6 engine guarantees) · 3 documented gaps

ENFORCED перевіряється в режимі реального часу на основі вашого розв'язаного пакету — слабкий пакет понижується до NOT-ENFORCED з кодом виходу 1, тому звіт можна інтегрувати у CI. ENGINE гарантує цитування тесту, який це доводить. Рядки GAP вказують на те, що залишається організаційним обов'язком. Для вашого GRC-інструменту використовуйте --json.

Evidence you can verify. Without trusting us.

Підписаний звіт CISO

Одна підписана звітність, за весь період.

Згрупуйте діапазон дат в один виконавчий артефакт: відповідність OWASP-Top-10-for-Agents, покриття фреймворком, що саме було заблоковано та відредаговано при виконанні, а також стан утримання — підписаний Ed25519 і перевірюваний офлайн.

$ lean-ctx compliance report --from 2026-05-01 --to 2026-06-01 --framework eu-ai-act --format pdf

period         2026-05-01 → 2026-06-01   ·   audit chain: VALID
owasp-agents   9 / 10 aligned · 1 documented gap
eu-ai-act      11 / 14 controls enforced · 3 documented gaps
enforcement    142 tool calls blocked (ToolDenied) · 87 secrets redacted
retention      audit_retention_days = 365

Signed compliance report written to ~/.local/share/lean-ctx/compliance/report-v1_2026-06.json
Verify offline (no LeanCTX needed):  lean-ctx compliance verify report-v1_2026-06.json

Чесний за конструкцією: період бездіяльності звітує про нуль блокувань, а зламана ланка повідомляється, ніколи не прихована. Підписаний JSON завжди записується; --format pdf додає PDF 1.7, незалежний від залежностей, для ради директорів. Будь-хто може перевірити його за допомогою lean-ctx compliance verify <report.json> — не потрібен аудитний слід, не потрібна установка LeanCTX.

Пакети доказів

Аудитори перевіряють — без довіри нам.

lean-ctx експортує аудитні докази у детермінований, підписаний Ed25519 ZIP: сегмент аудиту, захищений від маніпуляцій за період, розв'язаний пакет політик, чинний на моменті, та звіти про покриття. Ті самі вхідні дані, бінарно ідентичний пакет — згенеруйте та порівняйте.

Контрагент, leanctx-verify, є автономним інструментом без движкового коду та чотирьох залежностей — незалежна друга реалізація відкритого контракту evidence-bundle-v1. Він працює офлайн, на машині аудитора, менш ніж за хвилину:

Архів + манифест

пакет добре сформований, версія підтримується

Інвентаризація файлів

кожен файл відповідає своєму SHA-256, нічого не додано і не видалено

Повторний відтворення ланцюга

аудитний ланцюг хешів перераховується від якоря до голови

Підпис манифесту

Ed25519 дійсний — щодо ключа, що не є частиною потоку, якщо ви його маєте

Сигнатури вхідних даних

кожна рядок журналу індивідуально підписаний та верифікований

Перевірено мутаціями: один перевернутий байт, одна пропущена строка, один неправильний ключ — НЕВАЛІДНО. посібник аудитора пояснює простою мовою, що доводить доказами і чого не може (події захищені з моменту їх запису — а не раніше; чесна модель загроз є частиною формату). Джерело верифікатора: packages/leanctx-verify.

Що питають команди з комплаєнсу. ask.

Надайте докази для вашої наступної аудиторської розмови.audit conversation.

Запустіть звіт про покриття щодо власних пакетів вже сьогодні — локально, безкоштовно. Або поговоримо про пілотний проект із командою комплаєнсу.

Записатися на пілот Бенчмарк управління (CGB) →