用途
afrexai-compliance-audit 用于内部合规审计，目标是让组织在不雇佣顾问的情况下对照主要治理与安全框架完成自查，识别合规差距、风险与整改优先级。
支持的框架
技能可针对以下框架生成结构化合规审计：
- SOC 2（Type I 与 II）—— Trust Services Criteria
- ISO 27001 —— 信息安全管理
- GDPR —— 数据保护（欧盟/英国）
- HIPAA —— 医疗健康数据（美国）
- PCI DSS —— 支付卡安全
- SOX —— 财务控制（美国上市公司）
- CCPA/CPRA —— 加州消费者隐私
使用方式
告知智能体需要审计的框架，并提供组织背景信息，包括：
- 行业与规模
- 当前安全控制
- 处理的数据类型
- 已有认证
- 已知缺口或关注点
示例提示：
- “Run a SOC 2 readiness audit for our 40-person SaaS company”
- “Check our GDPR compliance — we process EU customer data and use AWS”
- “Generate an ISO 27001 gap analysis for our fintech startup”
- “Audit our HIPAA controls — we're a healthtech handling PHI”
输出格式
智能体生成以下内容：
- 执行摘要
- 总体就绪度评分（0-100%）
- 关键缺口数量
- 预计整改时间线
- 逐项控制评估 针对每个控制域给出：
- 状态：Compliant / Partial / Non-Compliant / Not Assessed
- 所需证据：审计人员会索要什么
- 当前缺口：缺少什么
- 整改步骤：弥补缺口的具体行动
- 优先级：Critical / High / Medium / Low
- 工作量：小时/天估算
- 整改路线图
- 第一阶段（0-30 天）：关键修复
- 第二阶段（30-90 天）：高优先级事项
- 第三阶段（90-180 天）：全面合规
- 证据清单
- 审计所需的文档清单
- 需要创建的政策模板
- 需要验证的技术配置
智能体行为要求
当用户请求合规审计时：
- 询问需要评估的框架
- 收集组织背景（行业、规模、技术栈、数据类型）
- 按上述输出格式生成完整审计报告
- 对每个控制领域保持具体，不给泛泛建议；引用实际控制编号（如 SOC 2 CC6.1、ISO 27001 A.8.2）
- 按业务风险而非字母顺序排列发现
- 尽可能包含成本估算（如 “penetration test: $5,000-$15,000”）
- 标出需要第三方工具或服务的控制项
- 直接表达，无填充内容；每项发现都附带明确的 “do this” 行动
适用场景与限制
适用于需要对照上述框架进行内部准备度评估、差距分析或整改规划的组织。资料未提供价格、收费、具体平台依赖或效果保证；相关事实暂未提供。