compliance-testing

合规性测试

<default_to_action> 验证法规合规性时：

1. 确定适用的法规（GDPR、HIPAA、PCI-DSS 等）
2. 将要求映射为可测试的控制措施
3. 测试数据权利（访问、删除、可移植性）
4. 验证加密和访问日志记录
5. 生成包含证据、可用于审计的报告

合规性快速检查清单：

• 数据主体权利可正常行使（访问、删除、导出）
• PII 在静态存储和传输过程中均已加密
• 对敏感数据的访问均有日志记录
• 同意信息均带时间戳进行跟踪
• 不存储支付卡数据（仅存储令牌化数据）

关键成功因素：

• 不合规 = 2,000 万欧元或收入的 4%（GDPR）
• 记录所有审计跟踪
• 持续测试，不要只在审计前测试 </default_to_action>

快速参考卡

适用场景

• 法律合规要求
• 安全审计前
• 处理 PII/PHI/PCI 数据
• 进入新市场（欧盟、加利福尼亚州、医疗保健领域）

主要法规

法规	适用范围	重点
GDPR	欧盟数据	隐私权、同意
CCPA	加利福尼亚州	消费者数据权利
HIPAA	医疗保健	PHI 保护
PCI-DSS	支付	卡数据安全
SOC2	SaaS	安全控制措施

处罚

法规	最高罚款
GDPR	2,000 万欧元或收入的 4%
HIPAA	每次违规 150 万美元
PCI-DSS	每月 10 万美元
CCPA	每次违规 7,500 美元

---

GDPR 合规性测试

// Test data subject rights
test('user can request their data', async () => {
  const response = await api.post('/data-export', { userId });

  expect(response.status).toBe(200);
  expect(response.data.downloadUrl).toBeDefined();

  const data = await downloadFile(response.data.downloadUrl);
  expect(data).toHaveProperty('profile');
  expect(data).toHaveProperty('orders');
});

test('user can delete their account', async () => {
  await api.delete(`/users/${userId}`);

  // All personal data deleted
  expect(await db.users.findOne({ id: userId })).toBeNull();
  expect(await db.orders.find({ userId })).toHaveLength(0);

  // Audit log retained (legal requirement)
  expect(await db.auditLogs.find({ userId })).toBeDefined();
});

test('consent is tracked', async () => {
  await api.post('/consent', {
    userId, type: 'marketing', granted: true,
    timestamp: new Date(), ipAddress: '192.168.1.1'
  });

  const consent = await db.consents.findOne({ userId, type: 'marketing' });
  expect(consent.timestamp).toBeDefined();
  expect(consent.ipAddress).toBeDefined();
});

---

HIPAA 合规性测试

// Test PHI security
test('PHI is encrypted at rest', async () => {
  const patient = await db.patients.create({
    ssn: '123-45-6789',
    medicalHistory: 'Diabetes'
  });

  const raw = await db.raw('SELECT * FROM patients WHERE id = ?', patient.id);
  expect(raw.ssn).not.toBe('123-45-6789'); // Should be encrypted
});

test('access to PHI is logged', async () => {
  await api.get('/patients/123', {
    headers: { 'User-Id': 'doctor456' }
  });

  const auditLog = await db.auditLogs.findOne({
    resourceType: 'patient',
    resourceId: '123',
    userId: 'doctor456'
  });

  expect(auditLog.action).toBe('read');
  expect(auditLog.timestamp).toBeDefined();
});

---

PCI-DSS 合规性测试

// Test payment card handling
test('credit card numbers not stored', async () => {
  await api.post('/payment', {
    cardNumber: '4242424242424242',
    expiry: '12/25', cvv: '123'
  });

  const payment = await db.payments.findOne({ /* ... */ });
  expect(payment.cardNumber).toBeUndefined();
  expect(payment.last4).toBe('4242'); // Only last 4
  expect(payment.tokenId).toBeDefined(); // Token from gateway
});

test('CVV never stored', async () => {
  const payments = await db.raw('SELECT * FROM payments');
  const hasCVV = payments.some(p =>
    JSON.stringify(p).toLowerCase().includes('cvv')
  );
  expect(hasCVV).toBe(false);
});

---

Agent 驱动的合规性

// Comprehensive compliance validation
await Task("Compliance Validation", {
  regulations: ['GDPR', 'PCI-DSS'],
  scope: 'full-application',
  generateAuditReport: true
}, "qe-security-scanner");

// Returns:
// {
//   gdpr: { compliant: true, controls: 12, passed: 12 },
//   pciDss: { compliant: false, controls: 8, passed: 7 },
//   violations: [{ control: 'card-storage', severity: 'critical' }],
//   auditReport: 'compliance-audit-2025-12-02.pdf'
// }

---

Agent 协作提示

记忆命名空间

aqe/compliance-testing/
├── regulations/*        - Regulation requirements
├── controls/*           - Control test results
├── audit-reports/*      - Generated audit reports
└── violations/*         - Compliance violations

集群协作

const complianceFleet = await FleetManager.coordinate({
  strategy: 'compliance-validation',
  agents: [
    'qe-security-scanner',   // Scan for vulnerabilities
    'qe-test-executor',      // Execute compliance tests
    'qe-quality-gate'        // Block non-compliant releases
  ],
  topology: 'sequential'
});

---

相关技能

• security-testing - 安全漏洞
• test-data-management - PII 处理
• accessibility-testing - 法律要求

---

请牢记

合规是强制要求，而非可选项。 罚款十分严厉：GDPR 最高可罚 2,000 万欧元或收入的 4%，HIPAA 每次违规最高可罚 150 万美元。但除了罚款之外，不合规还会损害声誉和用户信任。

记录所有审计跟踪。 每次访问敏感数据、每次同意以及每次删除都必须记录，并附上时间戳和用户 ID。

借助 Agent： Agent 会持续验证合规要求、及早发现违规行为，并生成可用于审计的报告。在开发阶段发现合规问题，而不是等到审计时才发现。

注意事项

• Agent 检查 GDPR 同意流程，却漏掉数据保留问题——务必确认删除或匿名化功能确实有效
• 标注为“100% 合规”的合规性报告值得怀疑——没有任何真实系统能做到完全合规，应逐项核实每一项声明
• Agent 可能只测试美国法规——应明确指定司法管辖区（欧盟、加利福尼亚州等），以确保要求正确
• 测试数据中包含 PII 本身就是违规行为——切勿使用生产环境中的 PII，应使用合成数据生成器
• 审计跟踪中的缺口往往到审计时才会显现——应确认每次数据访问都有日志记录，而不仅仅是写入操作