软件交付中的合规性至关重要，但往往繁琐且依赖人工流程。GitLab 的自定义合规框架提供了解决方案。与其记录合规性，不如一次性定义控制措施，由平台持续验证 adherence。本文详述如何利用模板、持续监控、基于策略的强制执行以及现有标准模板，快速建立 SOC 2 框架，并预览未来针对 AI 的专用合规模板。合规遵从对于满足监管和合同义务（如 SOC 2 和 ISO 27001）至关重要，可防止交易受阻、罚款及信任流失。自定义框架通过为具有特定合规需求的项目创建标签来解决这一问题。在 Ultimate 版本中，这些框架包含要求及自动化控制措施，评估诸如 SAST 运行或分支保护等条件。此举将合规性从偶发的审计快照转变为全年持续的监控。模板简化了框架的创建，为 SOC 2 等标准提供预定义配置。您可以在合规中心从内置模板创建框架，或导入 JSON 文件。应用 SOC 2 模板后，GitLab 控制措施将映射至信任服务标准（Trust Services Criteria），检查漏洞扫描、职责分离及分支保护等项目。合规状态报告（Ultimate）提供持续的遵从可见性。该报告展示不合规项目、失败的控制措施及修复建议，每 12 小时自动更新。这确保合规性漂移可在数小时内被检测，而非每年一次。管理员或安全经理/所有者可查看并导出此报告。除报告外，合规遵从还通过策略进行强制执行。扫描执行、流水线执行及合并请求批准策略可限定于特定合规框架。这将自动为该框架下的所有项目应用护栏，在变更合并前阻止不合规的更改。GitLab 提供不断增长的预定义模板库，涵盖 CIS CSC、CSA CCM、FedRAMP、ISO 27001 和 PCI DSS 等标准。这些模板为可导入的 JSON 文件，可根据组织的具体需求进行配置。未来计划包括针对新兴 AI 治理义务（如欧盟《人工智能法案》）的 AI 专用合规模板。