FileGRC：基於Git和檔案的SOC 2合規工具

FileGRC 是一個創新的開源工具，旨在將 SOC 2 合規程式的管理簡化並整合到開發工作流程中。與傳統的使用獨立資料庫或雲服務的方法不同，FileGRC 將整個合規程式轉化為 Git 倉庫中的檔案集合。這意味著政策、控制措施、證據、日程安排等所有內容都以 JSON 或 Markdown 格式儲存，並由 Git 提供完整的版本控制和審計跟蹤。

該工具專為創始人領導的工程團隊設計，旨在解決 SOC 2 合規工作中常見的碎片化問題。通常，合規相關的文件、日程、票據、截圖和審計請求分散在多個工具中，導致難以追蹤進度、政策變更或證據完整性。FileGRC 透過將所有內容集中在一個倉庫中，使得團隊成員和 AI 代理可以透過 Web 應用、文本編輯器或命令列介面使用同一套資料。

FileGRC 的核心工作流程由六個連續步驟組成：定義範圍、審批政策、實施控制、測試外部證據、運營程式、完成審計。每一步都有詳細的指導、記錄連結和進度跟蹤。例如，在“定義範圍”步驟中，使用者需要確認人員、監督團隊、適用標準、承諾、供應商和系統。在“實施控制”步驟中，使用者需要調整預設的控制措施，為每個控制新增負責人、實際過程、範圍、頻率、證據來源和實施日期。

該工具還包含一個“工作佇列”功能，用於管理定期任務、政策事件任務和分配的行動項。當發生員工入職、離職、供應商變更、安全事件等政策事件時，FileGRC 會自動將相關任務新增到佇列中，並指定負責人和截止日期。每個佇列項都顯示其到期視窗或截止日期，完成任務時需提供日期證明。

對於準備審計，FileGRC 提供了程式就緒性和審計就緒性檢查。程式就緒性用於評估管理層是否可以開始候選 Type 2 證據期，而審計就緒性則在聘請註冊會計師事務所後檢查程式基礎、參與範圍、管理文件、證據等。證據包構建器可以生成包含原始檔、附件、歷史版本和 SHA-256 校驗和的分編索引的交付包。

FileGRC 還設計為與 AI 代理協作。透過命令列工具，代理可以執行諸如風險評估、程式路徑查詢、建立記錄、完成義務等操作，而無需圖形介面。這為自動化合規任務提供了可能性。

需要注意的是，FileGRC 自帶的初始內容是提案，而非合規宣告。每個團隊必須在批准前審查每項政策和控制措施是否符合自身實際運營情況。該工具不替換員工身份、原始碼管理、部署、基礎設施、監控等其他系統，而是將它們作為權威系統進行目錄化管理，記錄如何從這些系統匯出證據。

在安全方面，編輯伺服器預設繫結到迴環地址且無認證，因此不應暴露於不可信網路。使用者可以執行 npm run build 構建只讀站點。此外，不應將可能需擦除的機密或個人資料放入 Git。

FileGRC 採用 MIT 許可證釋出，其原始碼可在 GitHub 上獲取。