SOC 2 est l'attestation de l'AICPA selon laquelle les contrôles d'une organisation de services satisfont aux Trust Services Criteria — sécurité, disponibilité, intégrité du traitement, confidentialité et vie privée. Lorsque des agents mènent des actions réelles sur les données clients, ils étendent votre périmètre de contrôle. Cortex rend ce périmètre applicable : identités à portée limitée, gestion des changements, contrôles d'accès à refus par défaut et une piste d'audit à altération détectable que l'auditeur peut tester.
Aligné sur les Trust Services Criteria de l'AICPA · CC + A + PI + C + P
Un rapport SOC 2 est une attestation d'un cabinet de CPA indépendant selon laquelle vos contrôles sont correctement conçus (Type I) et opèrent efficacement sur une période (Type II). Il s'organise autour des Trust Services Criteria : les Common Criteria (sécurité, CC1-CC9), plus la disponibilité, l'intégrité du traitement, la confidentialité et la vie privée selon les cas. SOC 2 n'est pas une liste de contrôle que l'on valide une fois — c'est un programme de contrôle continu qu'un auditeur échantillonne. Les agents qui lisent et écrivent des données clients se situent pleinement à l'intérieur de ce programme. Cortex apporte les contrôles d'accès, de gestion des changements, de surveillance et de journalisation pour la couche agent et — c'est unique — rend le journal d'audit lui-même à altération détectable, de sorte que l'intégrité de vos preuves est démontrable.
s'applique à ▸ États-Unis · organisations de services · Trust Services Criteria
Les Common Criteria reposent sur le contrôle d'accès, la gestion des changements, la surveillance et la journalisation d'audit. Cortex applique chacun d'eux au niveau de la couche agent et scelle les preuves obtenues, pour qu'un échantillon de Type II trouve des contrôles en fonctionnement.
Toute obligation se réduit à une porte d'exécution à fermeture sécurisée dont le verdict est consigné dans un registre inviolable que vous pouvez remettre à un examinateur. C'est le tableau qu'un Compliance Pack exporte pour ce cadre.
| Obligation | Contrôle Cortex appliqué | Preuve dans le registre |
|---|---|---|
| CC6 — contrôles d'accès logiques et physiques | Agent IAM + RBAC | 403 sur lecture restreinte |
| CC7 — surveillance du système et détection d'incidents | Trust Ledger + Control Tower | verifyChain ▸ ok:true |
| CC8 — gestion des changements | Simulation de politique + tests golden | réussis/total avant mise en production |
| Disponibilité — résilience et reprise | Plafonds de coûts + coupe-circuit + SLA | 402 en dépassement de budget |
| Intégrité du traitement — complet, exact, autorisé | Cycle de vie Action Fabric | exécuté · compensé |
| Enregistrements complets et à altération détectable | Reçus signés, chaîne scellée | hashOk:false signale les modifications |
Un auditeur SOC 2 Type II échantillonne les preuves sur toute la période pour vérifier que les contrôles ont fonctionné. Un Compliance Pack fait correspondre les Trust Services Criteria à leurs contrôles Cortex et exporte les enregistrements d'exécution scellés — et parce que le registre est chaîné par hachage, l'intégrité des preuves elles-mêmes est démontrable.
Ce ne sont pas des promesses de présentation — ce sont les codes et les reçus littéraux que le runtime renvoie lorsque vous le mettez à l'épreuve des contrôles de ce cadre.
Choisissez SOC 2. Cortex aligne chaque obligation sur la porte d'exécution qui l'applique — sans archéologie de tableurs.
Chaque exécution d'agent franchit les mêmes portes à fermeture sécurisée. Un contrôle refusé renvoie un code réel (402 / 403 / 409) — jamais un passage silencieux.
Exportez un Compliance Pack : le tableau de correspondance et les enregistrements scellés du registre montrant que chaque contrôle s'est déclenché, vérifiables hors ligne.
SOC 2 est une attestation délivrée par un cabinet de CPA indépendant au sujet d'une organisation et d'une période données. Cortex est aligné sur les Trust Services Criteria et fournit les contrôles et les preuves à altération détectable pour la couche agent ; le rapport est délivré à votre organisation, pas à Cortex.
Chaque obligation ci-dessus est appliquée par une capacité réelle du runtime. Explorez celles qui font le travail pour ce cadre.
Des agents traités comme des identités gouvernées, avec listes d'autorisation et expiration, assurent les contrôles d'accès logique CC6.
La journalisation à altération détectable rend la preuve de surveillance CC7 démontrable, et pas seulement présente.
La simulation avant mise en production et les tests golden constituent le contrôle de gestion des changements CC8.
Les mêmes contrôles appliqués et le même export de preuves en un clic couvrent les autres cadres cités par vos auditeurs.
Aligné sur ISO/IEC 42001 — les obligations, les portes d'exécution qui les appliquent et la preuve que chacune laisse dans le registre.
Aligné sur HIPAA — les obligations, les portes d'exécution qui les appliquent et la preuve que chacune laisse dans le registre.
Aligné sur NIST AI RMF — les obligations, les portes d'exécution qui les appliquent et la preuve que chacune laisse dans le registre.
Le hub conformité complet — tous les cadres auxquels Cortex se rattache, avec le modèle contrôle-vers-preuve partagé.
Le registre scellé, les reçus signés et le graphe de traçabilité correspondent aux obligations de chaque régime auquel vous rendez compte — aligné sur, sans jamais revendiquer une certification que vous n'avez pas.
Découvrez comment Cortex met SOC 2 en correspondance avec des contrôles appliqués et exporte à la demande des preuves de niveau audit.