AI SaaS 보안 / 평가방법
범위와 증거를 검사 가능하게 만드십시오.
이 방법은 우리의 AI SaaS 보안 감사. 업무 범위는 적용 가능한 테스트, 액세스, 증거 및 결과물을 식별합니다. 이 페이지는 제품 평가가 아닌 프로세스에 대한 설명입니다.
1. 테스트하기 전에 경계를 합의하십시오
제품 버전, 환경, 대상 도메인 및 API, 모델 구성, 허용된 계정 및 타사 시스템을 기록합니다. 서면 승인을 받고 테스트 기간, 중지 조건, 데이터 처리 및 에스컬레이션 연락처에 동의합니다.
합성 또는 승인된 데이터와 제한된 테스트를 사용하십시오. 해당되는 경우 타사 인프라에는 자체 승인이 필요합니다. 코드 검토, 구성 검토, 애플리케이션 테스트 및 AI 평가는 합의된 대로만 포함됩니다. 액세스할 수 없는 구성 요소는 명시적인 제한 사항으로 남아 있습니다.
2. 진술과 관찰을 분리하십시오
- 테스트됨: 기록된 입력, 환경, 구성 및 관찰 결과가 결과를 뒷받침합니다.
- 검토됨: 코드, 설정 또는 문서는 사용 가능한 액세스 내에서 더 좁은 결론을 지원합니다.
- 선언됨: 공급자 또는 제품 소유자가 Rubrex가 독립적으로 검사할 수 없는 관행을 언급합니다.
- 평가되지 않음: 검사가 제외되었거나 사용할 수 없거나 결론이 나지 않았습니다. 합격으로 보고되어서는 안 됩니다.
교육용 청구의 경우 증거가 다루는 데이터, 공급자, 계정 구성, 조건 및 기간을 식별합니다. 설정 검토를 통해 외부 공급자의 모든 내부 작업을 설정할 수는 없습니다.
3. 우선순위를 정하고, 수정하고, 다시 테스트하세요
입증된 영향, 영향을 받은 사용자 또는 데이터, 전제 조건 및 평가된 환경을 사용하여 결과의 우선 순위를 지정합니다. 원본 증거를 보관하고 수정사항, 재테스트 조건, 결과 및 남은 불확실성을 기록합니다. 허용된 위험은 허용된 위험으로 계속 표시됩니다.
합의된 참고 사례 및 채점 기준을 사용하여 별도로 품질을 평가합니다. 소규모 테스트 세트를 보편적인 정확성 주장으로 변환하는 대신 샘플 적용 범위와 알려진 한계를 보고하십시오.
예시 보고서 개요 / 완료된 감사가 아님
평가 보고서에 포함된 내용
이 개요는 의도된 구조를 보여줍니다. 여기에는 고객 결과, 평가된 제품 또는 합격 배지가 포함되어 있지 않습니다.
- 요약: 지원되는 결정, 중요한 발견 및 다음 조치.
- 범위: 제품 버전, 환경, 날짜, 승인된 대상, 기준 및 제외 사항.
- 데이터 흐름 맵: 고객 입력 → 애플리케이션 → 검색 또는 도구 → 모델 제공자 → 출력, 로그, 분석, 저장, 보존 및 삭제 경로가 식별됩니다.
- 기록 찾기: 식별자, 영향을 받는 구성 요소, 증거 유형, 예상되는 동작과 관찰된 동작, 영향, 심각도 근거 및 교정.
- 평가 결과: 사례, 등급 지정 방법, 품질 결과 및 적용 범위 제한.
- 재테스트 기록: 업데이트 버전, 반복 점검, 결과, 해결되지 않은 문제.
- 동의한 경우 공개 요약: 민감한 구현 세부 사항이 제거된 지원 진술입니다.
고객에게 노출될 수 있는 재생산 세부정보, 비밀 및 정보는 공개 배지 페이지가 아닌 제한된 기술 보고서에 속합니다.
Rubrex 평가 배지 요구 사항
제안된 배지 문구는 "Rubrex가 평가한 보안 및 데이터 관행"입니다. 단순히 평가를 구매했다는 이유만으로 배지가 발급되는 것은 아닙니다. 발행하려면 완전한 검토와 공개된 확인 기록이 필요합니다.
- 제품 소유자의 권한과 평가된 제품/도메인을 확인해야 합니다.
- 필수 점검 및 통과 기준은 결과가 알려지기 전에 합의되어야 합니다. 패스를 얻기 위해 필수 검사를 자동으로 제거할 수는 없습니다.
- 해결되지 않은 중요 또는 높은 보안 결과로 인해 활성 배지가 차단됩니다. 기타 조사 결과 및 제외 사항은 안전한 수준에서 공개되어야 합니다.
- 각 공공 데이터 관행 주장에는 뒷받침하는 증거와 명확하게 명시된 경계가 있어야 합니다. 지원되지 않는 주장은 생략됩니다.
- 자격이 확인되기 전에 필요한 경우 교정을 다시 테스트해야 합니다. AI나 스캐너 출력만으로는 증거가 충분하지 않습니다.
- 평가된 제품에 대한 모든 Rubrex 엔지니어링 작업은 공개되어야 합니다. 평가는 우리가 수행한 작업으로부터의 독립성을 의미할 수 없습니다.
배지는 현재 기록에 연결되어야 합니다.
확인 레코드는 제품 및 도메인, 평가 ID, 범위, 평가 버전, 날짜, 증거 요약, 제한 사항, 만료 및 상태를 식별해야 합니다. 배지를 보는 사람은 누구나 rubrex.ai에서 해당 기록을 확인할 수 있어야 합니다.
유효성은 명시된 범위 및 만료로 제한됩니다. 공급자, 데이터 흐름, 승인, 모델 도구 또는 기타 평가된 통제 사항을 변경하려면 영향을 받는 주장을 검토해야 합니다. 만료, 일시 중단 또는 취소된 평가는 활성 상태로 표시될 수 없습니다. 갱신에는 변경된 날짜만이 아닌 새로운 증거가 필요합니다.
배지는 SOC 2, ISO 인증, 법적 준수, 취약점 제로 또는 제품이 고객 데이터를 처리하지 않는다는 사실을 입증하지 않습니다. 평가는 테스트된 시스템에 대한 제한된 증거이지 모든 향후 요청에 대한 약속이 아닙니다.
청구된 Rubrex 평가를 확인해야 하는 경우 제품 URL과 평가 ID를 다음 주소로 보내주세요. evals@rubrex.ai. 공개 연락 양식을 통해 개인 보고서나 자격 증명을 보내지 마십시오.
범위를 정의하는 데 사용되는 참조
이러한 소스는 평가 설계에 대한 정보를 제공합니다. 이들은 Rubrex 또는 평가된 제품을 인증하지 않습니다. 보고서에는 실제로 확인된 버전과 적용 가능한 요구 사항이 나열되어야 합니다.
- OWASP 애플리케이션 보안 검증 표준 5.0.0: 애플리케이션 보안 요구사항에 대한 참조입니다.
- LLM 및 GenAI 애플리케이션을 위한 OWASP 상위 10개: 모델 적용 위험 범위에 대한 참조입니다.
- 에이전트 애플리케이션용 OWASP 상위 10개: 에이전트 동작, 도구 및 권한 경계에 대한 참조입니다.