Equipes

SOC 2 e agentes de codificação com IA

O que auditores perguntam sobre agentes de codificação que acessam segredos e produção, e quais evidências do Team podem embasar suas respostas. Ele não torna ninguém em conformidade.

Ver .md

Quando uma equipe permite que agentes de codificação executem comandos, chamem APIs e manipulem credenciais, os auditores começam a fazer perguntas sobre eles. Este guia lista as perguntas mais comuns e as evidências que o Team pode fornecer. O Team não torna você em conformidade com a SOC 2 e não é uma certificação. Seus controles, seu auditor e seu relatório decidem isso; a zn oferece registros que podem embasar esses controles.

O que os auditores perguntam

Quem pode alterar as regras que os agentes seguem? Evidência: a lista de papéis em Membros (proprietários, administradores, membros, auditores), o histórico de políticas em Políticas (cada versão, quem publicou e quando) e, para alterações propostas por um agente, o registro de aprovação com a pessoa que aprovou. Relevante para acesso lógico e gestão de mudanças (por exemplo, CC6.1, CC6.2, CC8.1 nos Trust Services Criteria de 2017).

Um agente pode usar uma credencial de produção e para onde ele pode enviá-la? Evidência: a política publicada (quais segredos cada agente pode usar, os hosts e comandos permitidos, as regras deny) e a trilha de auditoria de cada decisão, incluindo as bloqueadas. Relevante para restrição de acesso a dados sensíveis (por exemplo, CC6.1, CC6.6).

Como você perceberia um uso indevido? Evidência: a trilha de auditoria com as tentativas bloqueadas (deny, withhold), a exportação dela em OpenTelemetry para o seu SIEM e a visão de instalações (última política vista, último envio, máquinas silenciosas). Relevante para monitoramento (por exemplo, CC7.2).

Os registros estão completos e não foram alterados? Evidência: cada máquina encadeia seus registros com um HMAC (seq, prev, mac), de modo que lacunas, reordenações e edições ficam visíveis; cada exportação é determinística e listada com seu SHA-256, autor, data e filtros.

Quais dados a ferramenta envia para um terceiro? Evidência: O que sai da sua máquina. A trilha contém metadados (nomes de segredos, agentes, ferramentas, hosts, decisões), nunca valores de segredos, prompts ou saídas de ferramentas.

Uma rotina que funciona

  1. Publique a política antes de implantar os agentes e registre por que cada regra existe (o campo reason aparece na trilha).
  2. Dê ao seu auditor o papel Auditor: ele pode ler a política e ler e exportar a trilha, sem um assento e sem instalar nada.
  3. Exporte todo mês (CSV ou JSON para o auditor, OpenTelemetry para o seu SIEM) e armazene cada arquivo com seu hash. A zn mantém registros de auditoria por 180 dias e uma revisão Tipo II normalmente cobre 12 meses; suas exportações mensais cobrem o restante.
  4. Revise mensalmente a visão de instalações: máquinas que deixaram de se conectar fazem parte da história sobre a qual o auditor vai perguntar.

O que o Team não cobre

  • Não é um MDM: alguém com direitos de administrador na própria máquina pode deixar a organização. O painel mostra isso; ele não impede.
  • Registra o que o zn-gate decide, não tudo o que um agente faz.
  • SSO, SCIM, envio para um SIEM e retenção superior a 180 dias não fazem parte do Team v0. Entre em contato se sua auditoria precisar deles.