安全不是我們附加上去的功能，而是我們從事這份工作的必要條件。TrueWatch 深入客戶的正式環境，觀察維持現代系統運作所需的日誌、指標、追蹤資料，以及現在的 AI 代理活動。這是一種信任的位置，我們也以此對待它。
我們很高興宣布，TrueWatch 已完成 SOC 2 Type II 審查，延續我們先前取得的 SOC 2 Type I 認證。此次審查由全球領先的專業服務機構之一 EY（安永）執行，觀察期間為 2025 年 7 月至 2026 年 6 月。TrueWatch 的 SOC 2 Type II 稽核依據安全性、可用性、機密性與隱私權信任服務準則，評估我們的內部控管。
為什麼 Type II 比 Type I 更重要
Type I 確認我們的控管在單一時間點上設計完善——如同一張快照。Type II 則像一部影片：由獨立稽核人員測試這些相同的控管，是否在數月的實際正式環境運作中，持續且有效地發揮作用。這就像是把藍圖給某人看，與讓對方親眼見證這棟建築歷經每個季節依然屹立不搖之間的差別。
通過 Type II 代表 TrueWatch 的安全實務並非一次性設置——而是我們每天在受監督下的實際運作方式。
TrueWatch 的控管涵蓋範圍
此認證反映了已內建於 TrueWatch 營運方式中的實務作法，包括：
- 多重要素驗證，以及基於角色、最小權限原則的存取控管
- 傳輸中資料的加密
- 直接嵌入開發與部署流程的安全機制（DevSecOps）
- 定期滲透測試與漏洞掃描
- 經過文件化並實測的事件應變流程
- 對基礎設施可用性與效能的持續監控
這對您代表什麼
無論您正在評估 TrueWatch，或已在正式環境中運行 Toby AI Agents 與 Toby TruePilot，SOC 2 Type II 都能提供您具體可用的依據：
- 加快安全審查速度。 最新的 Type II 報告能直接回答供應商安全問卷中的大部分內容，讓您的團隊減少追蹤文件所花費的時間。
- 獨立證明，而非口頭承諾。 您無需僅憑我們的說法來了解我們如何處理存取控制、變更管理或事件應變——第三方已根據數月的證據進行了驗證。
- 對可觀測層的信心。 TrueWatch 能看見您的日誌、指標、追蹤資料與代理活動。Type II 正是我們對下一個顯而易見問題的回應：誰在監督 TrueWatch 如何處理這一切。
接下來的計畫
SOC 2 報告反映的是某個時間點的狀態，並每年更新一次，因此這並非終點，而是一個檢查點。隨著 TrueWatch 與 Toby AI Agents 平台持續成長，我們將持續測試、強化並重新驗證我們的控管機制。
常見問題
問：SOC 2 Type I 與 Type II 有什麼差別？
答：Type I 評估您的安全控管是否在某一時間點上設計完善。Type II 則評估這些控管是否在較長的觀察期間內（通常為數個月）持續且確實地發揮作用。Type II 是兩者中較為嚴謹的一種。
問：TrueWatch 的稽核涵蓋哪些信任服務準則？
答：TrueWatch 的 SOC 2 Type II 稽核依據安全性、可用性、機密性與隱私權信任服務準則，評估我們的內部控管。
問：我要如何索取 TrueWatch 的 SOC 2 Type II 報告？
答：現有客戶與簽署保密協議（NDA）的潛在買家，可透過聯繫 TrueWatch 客戶經理或客戶成功經理，或透過我們的信任中心提交申請，索取 TrueWatch 該審查期間（2025 年 7 月 1 日至 2026 年 6 月 30 日）的 SOC 2 Type II 報告副本。為保護敏感的基礎設施控管細節，取得完整報告需要有效的 NDA。
問：這是否涵蓋 Toby AI Agents 與 Toby TruePilot？
答：SOC 2 Type II 報告評估的是 TrueWatch 整體組織層級的安全控管、雲端基礎設施運作、存取管理，以及安全開發生命週期（SDLC）。雖然 Toby AI Agents 與 Toby TruePilot 並未作為獨立產品單獨接受稽核，但它們完全是在 TrueWatch 經稽核的內部安全與雲端環境中開發、部署及託管。因此，它們完全受到 TrueWatch SOC 2 Type II 安全控管的規範並從中受益。