合規從來不是件讓人興奮的事。但對 B2B 企業來說，拿到 SOC 2 或 ISO 27001 認證幾乎是生存剛需——大客戶會直接問你有沒有這些證書。過去幾年，Vanta 和 Drata 這類 SaaS 工具幫了不少忙，但它們有兩個問題：貴，而且你的資料全在別人伺服器上。
現在有個叫 comp 的開源專案試圖改變這個局面。它在 GitHub 上已經攢了 1600 多顆星，用 TypeScript 寫的，自稱是「AI 原生合規平臺」。我花了一個週末把它跑起來試了試——說實話，比想象中靠譜。
它到底做了什麼？
合規工作本質上就是三件事：證明你做了什麼，記錄下你做了什麼，以及確保你一直這麼做。comp 用 AI 來加速其中大部分流程。自動化證據收集 是它最亮眼的功能——通過連線你的 AWS、GCP、GitHub、Slack 等工具，它能持續抓取日誌、配置、許可權設定，然後自動匹配到對應的控制項。你不用再手動截圖或匯出 CSV 了。
另一個智慧點是 策略引擎。它內建了常見框架（SOC 2、ISO 27001、HIPAA 等）的控制要求，然後根據你已有的基礎設施狀態，自動生成缺口分析報告。哪些控制已經滿足，哪些需要人工介入，一目瞭然。AI 在這裡的角色有點像「合規顧問」，但不是那種每小時收 500 美元的顧問。
還是得動手，但少了很多
當然，沒什麼魔法能讓合規變成一鍵完成的事情。comp 畢竟是個開源平臺，你得自己部署——它提供了 Docker 映象和 Helm Chart，但如果你不懂 Kubernetes，可能會卡住。我建議至少有個 DevOps 同事幫忙。中間難度 不算誇張，但絕對不適合「克隆然後馬上用」的場景。
一旦跑起來，日常維護的工作量就小多了。AI 會持續監控你的環境狀態，一旦發現某個控制項失效（比如 S3 桶公開讀取被開啟了），它會立刻提醒。你可以直接在平臺上建立工單，指派給負責人。整個過程對審計員來說也很清晰——它自動生成的時間線審計日誌幾乎可以直接拿來用。
對誰最有價值？
- 中型 SaaS 公司：年收入在 500 萬到 5000 萬美金之間，需要 SOC 2 但不想每年付 1.5 萬美金給 Vanta。
- 關注資料主權的團隊：金融科技、醫療健康等受嚴格監管的行業，希望所有合規資料留在自己的基礎設施內。
- 開源擁護者：想根據自己的流程深度定製控制項和檢查邏輯的團隊。
comp 目前還缺一些企業級功能，比如多區域審計日誌聚合和高階使用者許可權體系。GitHub 上的 Issues 裡已經有人在催這些了。不過考慮到專案才起步，Roadmap 上也有這些計劃，社羣響應速度挺快。
一個務實的開始
如果你正在評估合規工具，我的建議是：先不要急著部署生產環境。用 Docker Compose 在本地跑一趟，把它的證據收集器和策略引擎過一遍。感受一下它跟你的技術棧匹配度。然後對比一下 Vanta/Drata 的報價——你會發現 comp 的「價格」只是你的伺服器電費。對很多團隊來說，這就夠了。
評論
暫無評論
成為第一個評論的人