SOC 2 et agents de codage IA

Lorsqu'une équipe laisse des agents de codage exécuter des commandes, appeler des API et gérer des identifiants, les auditeurs commencent à poser des questions à leur sujet. Ce guide recense les questions habituelles et les éléments de preuve que Team peut fournir. Team ne vous rend pas conforme à SOC 2 et n'est pas une certification. Vos contrôles, votre auditeur et votre rapport tranchent ; zn vous fournit des enregistrements qui peuvent les étayer.

Ce que demandent les auditeurs

Qui peut modifier les règles que suivent les agents ? Preuve : la liste des rôles dans Membres (propriétaires, administrateurs, membres, auditeurs), l'historique des politiques dans Politiques (chaque version, qui l'a publiée et quand) et, pour les changements proposés depuis un agent, l'enregistrement de l'approbation avec la personne qui l'a approuvée. Pertinent pour le contrôle d'accès logique et la gestion des changements (par exemple CC6.1, CC6.2, CC8.1 des Trust Services Criteria de 2017).

Un agent peut-il utiliser un identifiant de production, et où peut-il l'envoyer ? Preuve : la politique publiée (quels secrets chaque agent peut utiliser, les hôtes et commandes autorisés, les règles deny) et la piste d'audit de chaque décision, y compris les décisions bloquées. Pertinent pour la restriction d'accès aux données sensibles (par exemple CC6.1, CC6.6).

Comment détecteriez-vous un usage abusif ? Preuve : la piste d'audit avec les tentatives bloquées (deny, withhold), son export OpenTelemetry vers votre SIEM, et la vue des installations (dernière politique vue, dernier envoi, machines silencieuses). Pertinent pour la surveillance (par exemple CC7.2).

Les journaux sont-ils complets et non altérés ? Preuve : chaque machine chaîne ses enregistrements avec un HMAC (seq, prev, mac), de sorte que les lacunes, les réordonnancements et les modifications sont visibles ; chaque export est déterministe et listé avec son SHA-256, son auteur, sa date et ses filtres.

Quelles données l'outil envoie-t-il à un tiers ? Preuve : Ce qui quitte votre machine. La piste contient des métadonnées (noms des secrets, agents, outils, hôtes, décisions), jamais les valeurs des secrets, les prompts ou les sorties d'outils.

Une routine qui fonctionne

1. Publiez la politique avant de déployer les agents, et consignez pourquoi chaque règle existe (le champ reason apparaît dans la piste).
2. Attribuez à votre auditeur le rôle Auditeur : il peut lire la politique, lire et exporter la piste, sans siège et sans rien installer.
3. Exportez chaque mois (CSV ou JSON pour l'auditeur, OpenTelemetry pour votre SIEM) et conservez chaque fichier avec son hash. zn conserve les enregistrements d'audit pendant 180 jours et une revue Type II couvre généralement 12 mois ; vos exports mensuels couvrent le reste.
4. Vérifiez chaque mois la vue des installations : les machines qui ont cessé de se signaler font partie de ce qu'un auditeur demandera.

Ce que Team ne couvre pas

• Ce n'est pas un MDM : une personne disposant des droits d'administrateur sur sa machine peut quitter l'organisation. Le tableau de bord le signale ; il ne l'empêche pas.
• Il enregistre ce que zn-gate décide, et non tout ce que fait un agent.
• SSO, SCIM, l'envoi vers un SIEM et une rétention supérieure à 180 jours ne font pas partie de Team v0. Contactez-nous si votre audit en a besoin.