如何使用 Raccoon AI 評估合規
辨識適用法規
根據產業、地點和資料處理方式判斷哪些法規適用於您的事業。
了解義務
GDPR、HIPAA、SOC 2、PCI DSS——不同事業面對不同要求。了解適用什麼是第一步。
NovaPay（B2B 支付 API，A 輪）的合規需求。處理信用卡和 ACH，儲存商家資料，美國擴展到加拿大/英國。目前沒有認證，企業客戶要求 SOC 2 和 PCI DSS。 按以下排序框架：法律義務 vs 市場期望、難度、銷售影響。
評估目前狀態
評估目前的合規狀態。找出做得好的和有缺口的地方。
誠實評估
合規稽核不是樂觀的時候。在法規機構或稽核員之前找出真正的缺口。
評估 NovaPay 對 PCI DSS v4.0。目前狀態：卡片資料直送 Stripe（從不接觸完整 PAN）、儲存後 4 碼、AWS 加密、VPN 存取正式環境、沒有正式政策、開發者權限廣泛、沒有日誌審閱、沒做滲透測試。適用哪個 SAQ？最大的缺口？
建立詳細檢核表
產出涵蓋所有適用法規要求的檢核表。
不遺漏任何項目
完整的檢核表確保每個要求都被處理。追蹤進度並維持文件記錄。
建立 NovaPay 的完整 PCI DSS 合規檢核表。按優先順序和實施難易度排列。每項包含建議的負責人和預估期限。
制定政策和程序
建立必要的文件：安全政策、營運程序、風險評估。
文件就是證據
沒有文件，合規就不存在——即使做法是好的。記錄一切。
建立 NovaPay 的資安政策：(1) 主要安全政策、(2) 事件回應政策、(3) 存取和認證政策、(4) 安全開發政策、(5) 營運持續計畫。A 輪新創適當的程度——不用企業級但要紮實。
實施和監控
執行找出的改變並設定持續監控。
合規是持續的
不是有結束日期的專案。設定監控、警報和定期審閱。
建立 90 天的 PCI DSS SAQ-A 實施計畫。按雙週衝刺排列。第一衝刺：政策和存取。第二：日誌和監控。第三：滲透測試和修復。第四：自我評估和提交。
準備稽核
為法規審查和稽核整理文件和證據。
稽核準備就緒
保持證據整理好且更新。準備好的話，突擊稽核也不該是意外。
準備 PCI DSS 自我評估的證據包：按要求整理文件、建立證據索引、合規狀態的執行摘要和含修復計畫的例外清單。
可以幫助哪些法規？
GDPR、CCPA、HIPAA、SOC 2、PCI DSS、ISO 27001 等主要框架。指定產業和地點以獲得相關指引。
可以建立合規檢核表嗎？
可以。產出涵蓋特定法規所有要求的詳細檢核表。追蹤進度並保存合規工作的文件記錄。
怎麼評估合規風險？
Raccoon AI 對照法規要求評估您的做法，找出缺口並按嚴重度和可能性分類風險。提供優先排序的改善建議。
可以分析合約的合規問題嗎？
可以。審閱供應商合約、DPA 和協議的合規面向。找出缺少的條款、有問題的條件和法規風險暴露。
可以幫做合規文件嗎？
可以。建立政策、程序、風險評估和合規報告。文件結構適合法規審查。
產業特定合規呢？
指定產業以獲得客製化指引。醫療、金融、教育等各產業有特定要求，Raccoon AI 都能處理。
