Pachet de dovezi SOC 2 / HIPAA

Endpoint-ul de dovezi surprinde starea live a unui workspace - modul de conformitate + retenția, membri pe rol, roluri personalizate, starea allowlist-ului de IP-uri, legăturile SSO / SCIM, numărul de chei API și volumul jurnalului de audit în ultimele 30 / 90 de zile. Este artefactul pe care îl cere auditorul tău când spune “arată-mi cum era la data X” și răspunsul de referință la multe chestionare de securitate ale furnizorilor.

Stare. Programul SOC 2 propriu al Elido este în pregătire: încă nu există un raport SOC 2, iar Elido nu este certificat ISO 27001. Acest endpoint exportă configurația workspace-ului tău (dovezile de care ai nevoie pentru propriile controale); nu este o atestare din partea Elido și nu face un workspace conform SOC 2 sau HIPAA. Modurile de workspace soc2 și hipaa setează retenția auditului și valorile implicite aferente. Adresele IP din jurnalul de audit și de la click-uri sunt stocate integral, ceea ce contează pentru evaluarea ta privind protecția datelor. Regiunea datelor nu poate fi încă fixată pe workspace.

Endpoint-ul este doar-citire și cere permisiunea compliance.view, deci un rol personalizat “compliance officer” poate produce dovezi fără să dețină alte drepturi de modificare a workspace-ului.

Ce primești

Două suprafețe - același instantaneu, o formă diferită:

JSON-ul este instantaneul structurat pentru instrumente (Vanta / Drata / tracker-ul intern de dovezi). ZIP-ul este ce îi dai unui auditor uman - același JSON înăuntru, plus ultimele 90 de zile de evenimente de audit ca CSV, componența curentă a membrilor ca CSV, allowlist-ul de IP-uri ca CSV și un README.md care asociază fiecare fișier cu controlul SOC 2 pe care îl acoperă.

Instantaneu JSON

curl 'https://api.elido.app/v1/workspaces/1/compliance/evidence' \
  -H "Authorization: Bearer $ELIDO_TOKEN"

{
  "workspace_id": 1,
  "collected_at": "2026-05-01T12:00:00Z",
  "controls_matrix_url": "https://docs.elido.app/compliance/SOC2",
  "posture": {
    "mode": "soc2",
    "audit_retention_days": 2190,
    "default_audit_retention_days": 730,
    "ip_allowlist_enabled": true,
    "ip_rules_count": 4
  },
  "access": {
    "members_total": 18,
    "members_by_role": { "owner": 1, "admin": 3, "editor": 9, "viewer": 5 },
    "custom_roles_count": 2,
    "pending_invitations": 0,
    "api_keys_active": 6,
    "api_keys_last_created": "2026-04-12T08:30:00Z"
  },
  "auditing": {
    "events_last_30_days": 4812,
    "events_last_90_days": 14201,
    "oldest_retained": "2024-04-30T00:00:00Z",
    "newest_event": "2026-05-01T11:58:43Z"
  },
  "integrations": {
    "sso_bound": true,
    "scim_bound": true,
    "scim_enabled": true,
    "baa_signed_count": 1
  }
}

Pachet ZIP

curl -OJ 'https://api.elido.app/v1/workspaces/1/compliance/evidence.zip' \
  -H "Authorization: Bearer $ELIDO_TOKEN"

Structura pachetului:

elido-evidence-1-20260501.zip
├── evidence.json          (the snapshot above)
├── audit-events-90d.csv   (trailing 90d audit log)
├── members.csv            (current workspace membership)
├── ip-rules.csv           (current IP allowlist)
└── README.md              (file → SOC 2 control mapping)

audit-events-90d.csv este plafonat strict la 90 de zile, deoarece pachetele de dovezi sunt revizuite la un moment dat; istoricele mai lungi ar trebui să vină din firehose-ul de webhook-uri SIEM (ghidul de webhook-uri), care transmite fiecare eveniment aproape în timp real către propriul tău SIEM.

Asocierea cu controalele SOC 2

README.md din pachet asociază fiecare fișier cu AICPA Trust Services Criteria despre care poate întreba auditorul tău. Rezumat:

README.md din pachet este asocierea cu controalele. Câmpul controls_matrix_url din instantaneu trimite către o pagină cu matricea de controale care este planificată și încă nepublicată.

Notă pentru găzduirea proprie

Endpoint-ul face parte din services/api-core și rulează pe același pool Postgres ca restul API-ului - fără piese în plus. Fluxul jurnalului de audit din ultimele 90 de zile este limitat de audit_retention_days al workspace-ului tău; un workspace HIPAA cu retenție de 2190 de zile poate produce un istoric de 6 ani dacă ai vreodată nevoie (exportă pachetul de mai multe ori pe parcursul ferestrei).

SDK

import { ElidoApi } from "@elido/sdk";
 
const api = new ElidoApi({ baseUrl, token });
 
const snap = await api.compliance.evidence(workspaceId);
console.log(snap.access.members_by_role);
 
// For the ZIP, hand the URL to a download mechanism - fetch + stream
// to disk, or `<a href download>` in a browser.
window.location.href = api.compliance.evidenceBundleUrl(workspaceId);

import "github.com/elidoapp/elido/packages/sdk-go/elido"
 
c, _ := elido.New(elido.Options{BaseURL: baseURL, Token: token})
snap, _ := c.Compliance.Evidence(ctx, workspaceID)
fmt.Println(snap.Posture.Mode)
 
// ZIP URL - caller streams the body with its own auth header.
zipURL := c.Compliance.EvidenceBundleURL(workspaceID)

import elido
 
client = elido.Client(base_url=base_url, token=token)
snap = client.compliance.evidence(workspace_id)
print(snap["access"]["members_by_role"])
 
zip_url = client.compliance.evidence_bundle_url(workspace_id)

Referință endpoint-uri