SOC 2 合规性和 Supabase

Supabase 符合系统与组织控制第 2 类 (SOC 2) 类型 2 的标准，并且每年都会进行评估，以确保持续遵守 SOC 2 安全框架。SOC 2 评估 Supabase 在安全性、可用性、处理完整性、密钥性和隐私方面对控制措施的遵循和实现情况。这些控制措施规定了在平台上管理和存储客户数据的要求。作为服务提供商，Supabase 上的这些控制措施适用于两个客户数据环境。

🌐 Supabase is Systems and Organization Controls 2 (SOC 2) Type 2 compliant and is assessed annually to ensure continued adherence to the SOC 2 security framework. SOC 2 assesses Supabase’s adherence to, and implementation of, controls governing the security, availability, processing integrity, confidentiality, and privacy on the Supabase platform. These controls define requirements for the management and storage of customer data on the platform. These controls applied to Supabase, as a service provider, serve two customer data environments.

第一个环境是客户与 Supabase 的关系，这指的是 Supabase 拥有的关于平台客户的数据。所有的账单、联系方式、使用情况和合同信息都按照 SOC 2 的要求进行管理和存储。

🌐 The first environment is the customer relationship with Supabase, this refers to the data Supabase has on a customer of the platform. All billing, contact, usage and contract information is managed and stored according to SOC 2 requirements.

第二种环境是 Supabase 提供给客户的后端服务（即产品）。Supabase 实现了 SOC 2 框架的控制措施，以确保平台的安全性，这个平台承载了后端服务（产品），包括 Postgres 数据库、存储、认证、实时功能、边缘函数和数据 API 功能。Supabase 可以保证托管客户数据的环境（存储在产品中）符合 SOC 2 要求。而且这个环境（产品）中的数据管理和存储都受到严格控制，并保持安全。

🌐 The second environment is the backend as a service (the product) that Supabase provides to customers. Supabase implements the controls from the SOC 2 framework to ensure the security of the platform, which hosts the backend as a service (the product), including the Postgres Database, Storage, Authentication, Realtime, Edge Functions and Data API features. Supabase can assert that the environment hosting customer data, stored within the product, adheres to SOC 2 requirements. And the management and storage of data within this environment (the product) is strictly controlled and kept secure.

Supabase 的 SOC 2 合规性不适用于 Supabase 产品之外或 Supabase 无法控制的环境。这被称为安全或合规边界，是 Supabase 与他们的客户共同承担责任模型的一部分。

🌐 Supabase’s SOC 2 compliance does not transfer to environments outside of the Supabase product or Supabase’s control. This is known as the security or compliance boundary and forms part of the Shared Responsibility Model that Supabase and their customers enter into.

满足合规要求 #

🌐 Meeting compliance requirements

SOC 2 合规是 Supabase 和我们的客户在数据安全方面的一个关键环节。完全符合 SOC 2 规范是双方共同的责任，下面是双方责任的分解：

🌐 SOC 2 compliance is a critical aspect of data security for Supabase and our customers. Being fully SOC 2 compliant is a shared responsibility and here’s a breakdown of the responsibilities for both parties:

Supabase 的职责 #

🌐 Supabase responsibilities

1. 安全措施：Supabase 实现了强有力的安全控制来保护客户数据。这些措施包括防止数据泄露，以及确保平台管理和存储信息的密钥性和完整性。Supabase 有义务关注安全风险，并必须通过定期审计证明我们的安全措施符合行业标准。
2. 合规审计：Supabase 每年都会进行 SOC 2 审计，以验证我们的数据管理实践是否符合信任服务准则 (TSC)，包括安全性、可用性、处理完整性、保密性和隐私。这些审计由独立的第三方进行。
3. 事件响应：Supabase 有一套事件响应计划，用来高效处理数据泄露问题。这个计划说明了组织如何发现问题、应对事件以及管理系统漏洞。
4. 报告：在审计成功后，Supabase 会收到一份 SOC 2 报告，详细说明我们的合规情况。这份报告作为 SOC 2 类型 2 报告提供给客户，让客户和利益相关者可以确认 Supabase 已经实现了足够且必要的保护措施来保护敏感信息。

客户的责任 #

🌐 Customer responsibilities

1. 合规要求：了解你自己的合规要求。虽然 SOC 2 合规不是法律要求，但许多企业客户要求他们的供应商提供 SOC 2 报告。这是因为它能保证供应商已经实现了强有力的控制措施来保护客户数据。
2. 尽职调查：客户在选择 Supabase 作为服务提供商时必须进行尽职调查。这包括查看 SOC 2 Type 2 报告，以确保 Supabase 达到预期的安全标准。客户还应该了解自己与 Supabase 之间的责任划分，以避免重复工作。
3. 监控与审查：客户应定期监控和审查 Supabase 的合规状态。
4. 控制合规：如果客户需要符合 SOC 2 要求，他们自己应该实现必要的控制措施并进行 SOC 2 审计。
5. 审计日志：Supabase 默认对新项目关闭 Postgres 连接日志。如果你的 SOC 2 流程需要连接审计证据，请启用连接日志，并定义如何保存和查看这些日志。

共同的责任 #

🌐 Shared responsibilities

1. 数据安全：客户和 Supabase 都有确保数据安全的责任。虽然作为服务提供方的 Supabase 会实现安全控制，但客户必须确保他们使用 Supabase 平台时不会破坏这些控制。
2. 控制合规性：Supabase 通过我们的 SOC 2 认证声明已满足所有必要的安全控制要求。希望自己也符合 SOC 2 的客户需要进行自己的 SOC 2 审计，以验证客户方是否满足安全控制要求。

总的来说，SOC 2 合规性涉及 Supabase 与我们的客户之间的共同责任，以确保数据的安全性和完整性。作为提供商，Supabase 必须实现并维护强有力的安全措施；客户则需要尽职调查并监控 Supabase 的合规状态，同时还要实现自己的合规控制来保护敏感信息。

🌐 In summary, SOC 2 compliance involves a shared responsibility between Supabase and our customers to ensure the security and integrity of data. Supabase, as a provider, must implement and maintain robust security measures, customers must perform due diligence and monitor Supabase's compliance status, while also implement their own compliance controls to protect their sensitive information.

常见问题 #

🌐 Frequently asked questions

Supabase 的 SOC 2 多久审计一次？

Supabase 已获得 SOC 2 类型 2 认证，这意味着 Supabase 的控制措施每年都会进行全面审计。审计师的报告会在审计完成后尽快发布。Supabase 会向 企业和团队计划 客户提供 SOC 2 类型 2 报告。审计报告涵盖的是一个滚动的 12 个月时间段，也就是所谓的审计期，从 3 月 1 日到次年的 2 月 28 日。

🌐 Supabase has obtained SOC 2 Type 2 certification, which means Supabase's controls are fully audited annually. The auditor's reports on these examinations are issued as soon as they are ready after the audit. Supabase makes the SOC 2 Type 2 report available to Enterprise and Team Plan customers. The audit report covers a rolling 12-month window, known as the audit period, and runs from 1 March to 28 February of the next calendar year.

如何获取 Supabase 的 SOC 2 Type 2 报告？

要获取 SOC 2 类型 2 报告，你必须是 Supabase 的企业版或团队版客户。该报告可以从组织仪表板的 法律文件 部分下载。

🌐 To access the SOC 2 Type 2 report, you must be a Enterprise or Team Plan Supabase customer. The report is downloadable from the Legal Documents section in the organization dashboard.

Supabase 符合 SOC 2 标准为什么重要？

SOC 2 用来证明已经建立了控制措施，以确保数据的正确管理和存储。SOC 2 提供了一个衡量服务提供商安全性的框架，并每年对提供商进行重新评估。这让人放心，确保存储在 Supabase 平台上的数据得到妥善的安全保护和管理。

🌐 SOC 2 is used to assert that controls are in place to ensure the proper management and storage of data. SOC 2 provides a framework for measuring how secure a service provider is and re-evaluates the provider on an annual basis. This provides the confidence and assurance that data stored within the Supabase platform is correctly secured and managed.

如果 Supabase 的 SOC 2 不能转移给客户，那 Supabase 拥有 SOC 2 又有什么关系呢？

尽管 Supabase 的 SOC 2 合规性并不会转移到产品之外，但它确实能够保证产品内的所有数据都得到正确管理和存储。Supabase 可以确保只有授权人员才能访问数据，并且已经建立了防止、检测和应对数据入侵的安全控制。这也成为客户自身遵守 SOC 2 框架的一部分，并减轻了客户在数据管理和存储方面的部分负担。在许多组织中，安全和风险部门要求所有供应商或子处理方都必须符合 SOC 2 标准。

🌐 Even though Supabase’s SOC 2 compliance does not transfer outside of the product, it does provide the assurance that all data within the product is correctly managed and stored. Supabase can assert that only authorized persons have access to the data, and security controls are in place to prevent, detect and respond to data intrusions. This forms part of a customer’s own adherence to the SOC 2 framework and relieves part of the burden of data management and storage on the customer. In many organizations' security and risk departments require all vendors or sub-processors to be SOC 2 compliant.

安全或合规边界是什么？

这定义了在共享责任模型中 Supabase 与客户在数据安全方面的责任边界。存储在 Supabase 产品内、位于安全边界内的客户数据，由 Supabase 管理和保护。Supabase 确保在这个环境中安全处理和存储数据，包括防止未经授权访问、监控数据访问、警报、数据备份和冗余等控制措施。位于边界外的客户数据，即进入和离开 Supabase 产品的数据，由客户负责。客户应管理并可能在 Supabase 之外存储这些数据，任何安全和合规控制也由客户负责。

🌐 This defines the boundary or border between Supabase and customer responsibility for data security within the Shared Responsibility Model. Customer data stored within the Supabase product, on the Supabase side of the security boundary, is managed and secured by Supabase. Supabase ensures the safe handling and storage of data within this environment. This includes controls for preventing unauthorized access, monitoring data access, alerting, data backups and redundancy. Data on the customer side of the boundary, the data that enters and leaves the Supabase product, is the responsibility of the customer. Management and possible storage of such data outside of Supabase should be performed by the customer, and any security and compliance controls are the responsibility of the customer.

我们有严格的数据驻留要求。Supabase 的 SOC 2 是否涵盖数据驻留？

虽然 SOC 2 本身并不强制要求特定的数据驻留，但组织可能仍需遵守其他具有此类要求的法规框架，比如 GDPR。确保项目部署在正确的区域是客户的责任，因为每个 Supabase 项目都会部署到客户在创建时指定的区域。所有数据都会保留在所选区域。 只读副本 可以为多区域可用性创建，但确保只读副本选择的区域符合任何额外法规框架要求的地理区域仍然是客户的责任。

🌐 While SOC 2 itself does not mandate specific data residency requirements, organizations may still need to comply with other regulatory frameworks, such as GDPR, that do have such requirements. Ensuring projects are deployed in the correct region is a customer responsibility as each Supabase project is deployed into the region the customer specifies at creation time. All data will remain within the chosen region. Read replicas can be created for multi-region availability, it remains the customer's responsibility to ensure regions chosen for read replicas are within the geographic area required by any additional regulatory frameworks.

SOC 2是否涵盖与健康相关的数据（HIPAA）？

SOC 2 并不是针对特定行业的，它提供了一个数据安全和隐私的框架。不过，在大多数情况下，这对于处理受保护的医疗信息（PHI）来说还不够，因为这类信息需要额外的隐私和法律控制。 在美国处理 PHI 或为美国客户提供服务时，HIPAA 是必须遵守的。

🌐 SOC 2 is non-industry specific and provides a framework for the security and privacy of data. This is however not sufficient in most cases when dealing with Protected Healthcare Information (PHI), which requires additional privacy and legal controls. When dealing with PHI in the United States or for United States customers, HIPAA is mandatory.

资源 #

🌐 Resources

1. 系统与组织控制：SOC 服务套件
2. 共享责任模型
3. Postgres 连接日志