合规术语，一句话说清楚。

由国家认可机构对认证机构能力的正式承认。“认可”针对认证机构，“认证”针对企业。核查证书时应同时核查认证机构是否获认可。

评估 AI 系统对个人、群体和社会可能产生的影响的过程，是 ISO/IEC 42001 的要求之一，也与欧盟《人工智能法》中的基本权利影响评估相关。

美国注册会计师协会，制定 SOC 系列鉴证的标准与准则。SOC 2 报告须由执业 CPA 事务所依其准则出具。

Artificial Intelligence Management System，ISO/IEC 42001 所定义的管理体系，覆盖 AI 风险评估、影响评估、数据与生命周期管理等。

ISO/IEC 27001:2022 附录 A 列出 93 项参考控制，分为组织、人员、物理和技术四类。企业通过适用性声明说明每项控制是否适用及理由。

Business Associate Agreement。受 HIPAA 约束的医疗机构与为其处理受保护健康信息的服务商之间必须签订的协议。

服务组织在上一份 SOC 报告期间结束后、新报告出具前，向客户出具的说明函，声明控制环境无重大变化。由企业管理层签署，不是审计意见。

Consensus Assessments Initiative Questionnaire，CSA 基于云控制矩阵（CCM）发布的标准化安全问卷，常被用于 STAR Level 1 自评。

加州《消费者隐私法》及其修订案《隐私权法》。满足收入或数据量门槛、在加州开展业务的营利企业须遵守，由加州隐私保护局（CPPA）和州总检察长执法。

制造商声明产品符合适用欧盟协调立法并可在欧洲经济区销售的标志。多数情况下由制造商自我声明，部分产品需要公告机构参与。

对管理体系进行审核并作出认证决定、颁发证书的第三方机构。可信的证书应来自获得认可机构（如 CNAS、UKAS、ANAB）认可的认证机构。

通过集成云、身份和代码平台自动收集证据、监控控制状态的工具，例如 Vanta、Drata 等。能减少手工取证，但不能替代控制设计、人员执行和独立审计。

决定个人数据处理目的和方式的主体，承担 GDPR 下的主要合规责任。

在 SOC 2 语境中，指具备资格、能够执行鉴证业务并出具 SOC 报告的独立会计师事务所。准备顾问不能同时担任同一项目的审计方。

云安全联盟的安全、信任与保证注册计划。Level 1 为自评，Level 2 为结合 ISO/IEC 27001 的第三方认证或结合 SOC 2 的鉴证。

Complementary User Entity Controls。SOC 报告中列明的、需要由客户自己执行才能使整体控制有效的措施，例如客户自行管理其账号权限。

欧盟第 2024/2847 号条例，对“带数字元素的产品”设定网络安全要求。漏洞与事件报告义务自 2026 年 9 月 11 日起适用，全面义务自 2027 年 12 月 11 日起适用。

美国司法部依第 14117 号行政令制定的规则（28 CFR Part 202），限制或禁止向包括中国在内的“受关注国家”相关主体提供美国人批量敏感个人数据，2025 年 4 月 8 日生效。

欧盟第 2022/2554 号条例，自 2025 年 1 月 17 日起适用于金融实体，并通过合同条款和关键第三方监管影响为其提供 ICT 服务的供应商。

Data Processing Agreement。控制者与处理者之间约定处理范围、安全措施、子处理者和协助义务的合同，是 GDPR 第 28 条的要求。

Data Protection Impact Assessment。处理可能对个人权利造成高风险时（如大规模处理敏感数据、系统性监控）必须事先开展的评估，见 GDPR 第 35 条。

Data Protection Officer。在特定情形下（如核心活动涉及大规模系统性监控或敏感数据）GDPR 要求指定的数据保护负责人。

欧盟第 2024/1689 号条例，按风险分级规制 AI 系统，并对通用目的 AI 模型提供者设定义务。2026 年的 AI Omnibus 将高风险系统义务推迟至 2027–2028 年。

适用 GDPR 但在欧盟没有机构的境外企业，原则上须依第 27 条书面指定一名在欧盟境内的代表。

审计师测试中发现控制未按描述运行的情况。例外会写入 SOC 2 报告，客户会阅读并据此追问；严重时可能导致保留意见。

欧盟第 2016/679 号条例，自 2018 年 5 月 25 日起适用。向欧盟境内个人提供商品或服务、或监控其行为的境外企业同样可能适用。

General-Purpose AI。欧盟《人工智能法》下的通用目的 AI 模型提供者义务自 2025 年 8 月 2 日起适用，包括技术文件、版权政策和训练数据摘要。

欧盟《人工智能法》附件 I（受监管产品中的安全组件）和附件 III（招聘、信贷、教育等用途）所列 AI 系统，须满足风险管理、数据治理、技术文件和人工监督等要求。

美国健康数据隐私与安全法律，适用于受保实体及其业务伙伴。没有官方的“HIPAA 认证”，通常以风险评估、BAA 和第三方评估来证明合规。

International Accreditation Forum。各国认可机构之间的多边互认组织，可通过 IAF CertSearch 查询部分认可证书。

组织按计划对自身管理体系开展的审核，是 ISO 管理体系标准的必备环节，须在认证审核前至少完成一轮。

Information Security Management System。以风险为基础、持续运行和改进的管理体系，包括范围、方针、风险评估与处置、控制、内部审核和管理评审等。

国际通行的信息安全管理体系（ISMS）要求标准，现行版本为 2022 版。企业可由经认可的认证机构审核后获得认证证书，有效期 3 年，期间每年监督审核。

隐私信息管理体系（PIMS）标准。2025 版于 2025 年 10 月发布，已成为可独立认证的标准，不再只是 ISO/IEC 27001 的扩展。

2023 年 12 月发布的人工智能管理体系（AIMS）标准，规定组织负责任地开发、提供或使用 AI 系统的管理要求，可获得第三方认证。

最高管理层定期评审管理体系适宜性与有效性的会议及记录，是 ISO 审核必查项。

欧盟第 2022/2555 号指令，扩大了关键和重要实体的网络安全义务范围，包括风险管理措施、事件报告和管理层责任，由各成员国转化为本国法律。

ISO 审核中发现的不满足标准要求的情况，分为严重和轻微。严重不符合项未关闭前通常不能获得认证。

由欧盟成员国指定、可在符合性评估中执行第三方任务的机构。是否需要公告机构取决于产品类别与所用评估程序。

SOC 2 Type 2 报告覆盖的期间。审计师在此期间内抽样检验控制运行证据，因此证据必须在期间内真实形成，不能事后补写。

由 PCI SSC 制定、卡组织强制执行的支付卡数据安全标准，现行版本 v4.0.1。根据交易量和角色，以 QSA 现场评估或自评问卷（SAQ）证明合规。

由安全测试人员模拟攻击以发现可利用漏洞的测试。SOC 2 与 ISO/IEC 27001 并不总是明文强制，但客户和审计师通常期望每年至少一次。

Protected Health Information，HIPAA 保护的、可识别个人身份的健康信息。

中国《个人信息保护法》，2021 年 11 月 1 日施行。向境外提供个人信息须满足安全评估、标准合同、个人信息保护认证等路径之一（或符合豁免）。

代表控制者处理个人数据的主体，例如为企业客户托管数据的 SaaS 服务商。必须与控制者签订符合 GDPR 第 28 条的数据处理协议。

Qualified Security Assessor，经 PCI SSC 认证、可对企业执行 PCI DSS 评估并出具合规报告（ROC）的评估机构。

欧盟委员会授权条例 (EU) 2022/30，自 2025 年 8 月 1 日起要求联网无线设备满足网络安全、个人数据保护和防欺诈的基本要求，协调标准为 EN 18031 系列。

Records of Processing Activities，GDPR 第 30 条要求的处理活动清单，记录目的、数据类别、接收方、跨境传输和保存期限等。

Software Bill of Materials，列明软件所含组件及其版本和来源的清单。欧盟 CRA 要求制造商编制并保存 SBOM。

欧盟委员会 2021 年发布的标准合同条款，是向未获充分性认定的国家（包括中国）传输个人数据的常用机制，通常需配合传输影响评估。

Shared Assessments 发布的标准化第三方风险问卷，有 SIG Core 和 SIG Lite 等版本，是常见的大型企业供应商安全问卷。

针对与用户单位财务报告相关的内部控制的鉴证报告，常见于薪酬、支付、财务处理类服务。与 SOC 2 关注点不同。

由独立 CPA 依据 AICPA 信任服务准则（TSC），对服务组织与安全、可用性、处理完整性、保密性和隐私相关的控制进行鉴证后出具的报告。它是限制使用的鉴证报告，不是证书。

评价某一特定时点上，系统描述是否公允、控制设计是否适当并已实施。不检验控制在一段期间内的运行效果。

在 Type 1 的基础上，还检验控制在一段报告期间（常见 3–12 个月）内是否有效运行。多数企业客户最终要求的是 Type 2。

基于与 SOC 2 相同的准则、面向公众发布的简要报告，不含控制测试细节，可放在官网上使用。

ISO 初次认证审核的两个阶段：第一阶段审查文件与准备状况，第二阶段在现场或远程评价体系实际运行的有效性。

ISO/IEC 27001 的必备文件，逐项说明附录 A 控制是否适用、实施状态及纳入或排除的理由，是认证审核的核心依据。

为服务组织提供相关服务的第三方，例如 AWS、阿里云等云服务商。SOC 2 报告通常以“剥离法”将其排除，并依赖其自身的 SOC 报告。

ISO 认证周期内每年一次的审核，确认管理体系持续运行。第三年进行再认证审核。

Transfer Impact Assessment。使用 SCCs 向第三国传输数据前，评估接收国法律与实践是否影响条款有效性，并确定补充措施。

德国汽车行业的信息安全评估与结果交换机制，由 ENX 协会运营，基于 VDA ISA 问卷，结果以“标签”形式共享给车企。

企业对外展示安全与合规信息的页面，通常提供报告申请（签署保密协议后）、证书、子处理者清单和安全说明，可减少重复问卷。

AICPA 制定的评价准则，包含安全（必选的通用准则 CC1–CC9）以及可用性、处理完整性、保密性、隐私四个可选类别。

采购方在引入供应商前后对其安全与合规状况进行的评估，常见形式包括安全问卷、要求提供 SOC 2 报告或 ISO 证书、合同安全条款和现场审核。