SOC 2 / HIPAA kanıt paketi

Kanıt uç noktası, bir çalışma alanının canlı durumunun anlık görüntüsünü alır: uyumluluk modu ve saklama süresi, rol başına üyeler, özel roller, IP izin listesi durumu, SSO / SCIM bağlantıları, API anahtarı sayısı ve son 30 / 90 günlük denetim günlüğü hacmi. Denetçiniz “X tarihindeki durumu göster” dediğinde istediği çıktıdır ve birçok tedarikçi güvenlik anketinin kaynak doğruluk yanıtıdır.

Durum. Elido’nun kendi SOC 2 programı hazırlık aşamasındadır: henüz bir SOC 2 raporu yoktur ve Elido ISO 27001 sertifikalı değildir. Bu uç nokta sizin çalışma alanınızın yapılandırmasını (kendi kontrolleriniz için gereken kanıtı) dışa aktarır; Elido’nun bir tasdiki değildir ve bir çalışma alanını SOC 2 veya HIPAA uyumlu yapmaz. soc2 ve hipaa çalışma alanı modları denetim saklama süresini ve ilgili varsayılanları ayarlar. Denetim günlüğü ve tıklama IP adresleri tam olarak saklanır; bu, veri koruma değerlendirmeniz için önemlidir. Veri bölgesi henüz çalışma alanı başına sabitlenemez.

Uç nokta salt okunurdur ve compliance.view iznine bağlıdır; böylece bir “compliance officer” özel rolü, başka hiçbir çalışma alanı değişikliği yetkisi olmadan kanıt üretebilir.

Neler elde edersiniz

İki yüzey: aynı anlık görüntü, farklı biçim:

JSON, araçlar (Vanta / Drata / dahili kanıt izleyiciniz) için yapılandırılmış anlık görüntüdür. ZIP ise bir insan denetçiye verdiğinizdir: içinde aynı JSON, ayrıca son 90 günün denetim olayları CSV olarak, mevcut üyelik CSV olarak, IP izin listesi CSV olarak ve her dosyayı kapsadığı SOC 2 kontrolüyle eşleştiren bir README.md bulunur.

JSON anlık görüntüsü

curl 'https://api.elido.app/v1/workspaces/1/compliance/evidence' \
  -H "Authorization: Bearer $ELIDO_TOKEN"

{
  "workspace_id": 1,
  "collected_at": "2026-05-01T12:00:00Z",
  "controls_matrix_url": "https://docs.elido.app/compliance/SOC2",
  "posture": {
    "mode": "soc2",
    "audit_retention_days": 2190,
    "default_audit_retention_days": 730,
    "ip_allowlist_enabled": true,
    "ip_rules_count": 4
  },
  "access": {
    "members_total": 18,
    "members_by_role": { "owner": 1, "admin": 3, "editor": 9, "viewer": 5 },
    "custom_roles_count": 2,
    "pending_invitations": 0,
    "api_keys_active": 6,
    "api_keys_last_created": "2026-04-12T08:30:00Z"
  },
  "auditing": {
    "events_last_30_days": 4812,
    "events_last_90_days": 14201,
    "oldest_retained": "2024-04-30T00:00:00Z",
    "newest_event": "2026-05-01T11:58:43Z"
  },
  "integrations": {
    "sso_bound": true,
    "scim_bound": true,
    "scim_enabled": true,
    "baa_signed_count": 1
  }
}

ZIP paketi

curl -OJ 'https://api.elido.app/v1/workspaces/1/compliance/evidence.zip' \
  -H "Authorization: Bearer $ELIDO_TOKEN"

Paket düzeni:

elido-evidence-1-20260501.zip
├── evidence.json          (the snapshot above)
├── audit-events-90d.csv   (trailing 90d audit log)
├── members.csv            (current workspace membership)
├── ip-rules.csv           (current IP allowlist)
└── README.md              (file → SOC 2 control mapping)

audit-events-90d.csv, kanıt paketleri belirli bir andaki durum olarak incelendiği için 90 günle sert biçimde sınırlandırılmıştır; daha uzun izler, her olayı neredeyse gerçek zamanlı olarak kendi SIEM’inize akıtan SIEM webhook firehose’dan (webhook kılavuzu) gelmelidir.

SOC 2 kontrolleriyle eşleme

Paketin README.md dosyası, her dosyayı denetçinizin sorabileceği AICPA Trust Services Criteria ile eşler. Özet:

Paketteki README.md kontrol eşlemesidir. Anlık görüntüdeki controls_matrix_url alanı, planlanmış ve henüz yayınlanmamış bir kontrol matrisi sayfasına işaret eder.

Kendi barındırma notu

Uç nokta services/api-core içindedir ve API’nin geri kalanıyla aynı Postgres havuzunda çalışır; ek bir hareketli parça yoktur. Son 90 günlük denetim günlüğü akışı çalışma alanınızın audit_retention_days değeriyle sınırlıdır; 2190 gün saklamalı bir HIPAA çalışma alanı, gerekirse 6 yıllık bir geçmiş üretebilir (paketi pencere boyunca birden çok kez dışa aktarın).

SDK

import { ElidoApi } from "@elido/sdk";
 
const api = new ElidoApi({ baseUrl, token });
 
const snap = await api.compliance.evidence(workspaceId);
console.log(snap.access.members_by_role);
 
// For the ZIP, hand the URL to a download mechanism - fetch + stream
// to disk, or `<a href download>` in a browser.
window.location.href = api.compliance.evidenceBundleUrl(workspaceId);

import "github.com/elidoapp/elido/packages/sdk-go/elido"
 
c, _ := elido.New(elido.Options{BaseURL: baseURL, Token: token})
snap, _ := c.Compliance.Evidence(ctx, workspaceID)
fmt.Println(snap.Posture.Mode)
 
// ZIP URL - caller streams the body with its own auth header.
zipURL := c.Compliance.EvidenceBundleURL(workspaceID)

import elido
 
client = elido.Client(base_url=base_url, token=token)
snap = client.compliance.evidence(workspace_id)
print(snap["access"]["members_by_role"])
 
zip_url = client.compliance.evidence_bundle_url(workspace_id)

Uç nokta başvurusu