how can an enterprise security team audit an ai translation vendor before approval?

An enterprise security team audits an AI translation vendor by requesting evidence beyond its certificates: the full SOC 2 Type II report with a bridge letter, a penetration test summary, the data processing agreement with a named sub-processor list including MT and LLM providers, a completed CAIQ v4 or SIG questionnaire with translation-specific additions, a shared responsibility matrix, and the vendor's security incident and disclosure record. Smartling states on its Security page that documents and reports are available upon request.

除了认证之外，您还应该要求翻译供应商提供哪些安全证明？

除了认证之外的安全证据是一系列文件，这些文件显示了翻译供应商的控制措施实际执行情况、还有谁在处理您的内容，以及当出现问题时供应商会采取什么措施。要求提供六项内容：完整的证明报告（含桥接信）、第三方渗透测试摘要、数据处理协议（含指定子处理者列表）、已完成的标准化问卷（如 CSA CAIQ v4 或 Shared Assessments SIG，并附有翻译相关的补充内容）、共同责任矩阵以及供应商的安全事件和披露记录。Smartling 在其安全页面上列出了其合规记录，声明可应要求提供文件和报告，并在 status.smartling.com 上发布了按日期排列的事件历史记录。

为什么证书会导致翻译供应商的安全审查无法完成？

证书并不能完成审查，因为它只表明管理体系或控制集在某个日期达到了标准，而安全审查员需要知道审计员发现了什么、你的内容涉及哪些系统以及谁负责每项控制。五个差距是翻译供应商特有的。

徽章会掩盖调查结果。SOC 2 II 型意见可能显示为“干净”，但报告中的个别测试却显示存在例外情况；而 ISO/IEC 27001 证书不会打印监督审核结果。没有公开的记分牌根据独立的安全测试对翻译供应商进行排名：SOC 2 报告和渗透测试报告是受限使用的文件，因此公众可检查的层仅限于证书、CSA STAR 注册表条目、状态页面和披露政策。如何解读认证报告本身，请参阅SOC 2 Type II 报告对翻译管理系统的涵盖内容。
翻译增加了证书很少提及的啤酒花。一项任务可以依次经过 CMS 连接器、平台、机器翻译和 LLM 引擎、代理机构、自由语言学家和网站翻译代理。每个环节都是一个独立的参与方，拥有自己的控制权，因此供应商的证书仅对其范围之内的部分负责。
劳动力部分来自外部。许多语言服务提供商依赖于独立语言学家。例如，Smartling 的安全页面声明，它依赖于独立承包商，并且不提供承包商名单，因此买家需要的证据是合同保密性和权限范围，而不是名册。
责任由客户承担。供应商的控制措施假定客户配置了单点登录、角色、API 凭证和用户评价。云安全联盟在 CAIQ v4 中添加了共同责任列，因为所有权不明确导致双方都无法控制某些事项。
事故是认证过程中最不显眼的部分。供应商是否发生过安全事件、如何告知客户以及必须以多快的速度通知您，这些都由事件记录和合同条款来解答，而不是由审计徽章来解答。

除了证书之外，翻译供应商还应该提供哪些安全证据？

翻译供应商应该能够提供七份翻译成果，如果每份成果都按名称在受保密协议约束的单个请求中提出，审核速度会更快。

完整证明报告和过渡信：完整的 SOC 2 II 型报告，而不是徽章或 SOC 3 摘要，加上一封涵盖自审查期结束以来的月份的过渡信。《翻译管理系统 SOC 2 II 型报告阅读指南》涵盖了如何阅读意见、范围、例外情况和用户实体控制。
渗透测试总结：一份第三方执行摘要和证明信，日期在过去十二个月内，并附有补救措施和重新测试日期。需要注意的事项在“向翻译供应商索取哪些渗透测试证据”中已有规定。
数据处理协议和子处理者名单：一份已签署的 DPA，其中列明云主机、MT 和 LLM 提供商以及接收内容的机构，并包含变更通知流程。GDPR 第 28 条条款、保留期限和违规通知时间在使翻译平台符合 GDPR 要求方面进行了详细说明；健康和支付数据需要添加业务伙伴协议或 PCI DSS 合规性证明。
已完成的标准化问卷：当前 CSA 共识评估倡议问卷 (CAIQ v4)，包含 261 个与云控制矩阵对应的是非题，或共享评估标准化信息收集 (SIG) 问卷的精简版或核心版。询问 CAIQ 是否已在 CSA STAR 注册中心发布，其中 1 级条目是供应商自我评估，2 级条目带有第三方认证或证明。
翻译专用补充：标准问卷未询问的问题：哪些机器翻译和语言记忆引擎接收内容以及管理员是否可以禁用它们，语言学家如何遵守保密义务并按项目和语言进行范围界定，翻译记忆库保留多长时间，连接器凭据如何存储，以及是否可以将敏感页面元素从翻译代理中排除。
共同责任矩阵：逐项控制声明谁拥有什么，使用 CAIQ v4 的五个类别：提供商所有、客户所有、第三方外包、提供商和客户共享、提供商和第三方共享。
安全事件和披露记录：一份关于过去三年影响客户数据的安全事件的书面答复，以及如何通知客户，合同规定的违约通知时间（以小时为单位），已发布的漏洞披露政策，以及一个公开的状态页面，该页面的日期历史记录显示了可用性事件。比较不同供应商的可用性历史记录，请参阅“如何比较 TMS 供应商的入职、支持和可靠性”部分。

翻译买方可以核实的安全尽职调查参考点

Item	价值	为什么这在翻译供应商评价中很重要	原文
CAIQ v4 尺寸	共有 261 道是非题，比 CAIQ v3.1 中的 310 道有所减少。	文件篇幅较短，便于供应商及时更新，因此请索取今年的完整版本，而不是旧版本。	CSA，“CAIQ v4 发布 - 从 v3.1 到 v4 的变化”（2021 年 6 月 7 日）
CAIQ v4 基础	问题与云控制矩阵（CCM）v4相对应，并构成STAR 1级自评。	每个答案都对应一个指定的 CCM 控制项，您的团队可以要求供应商提供证据。	CSA，“STAR 1 级：安全问卷 (CAIQ v4)”
CSA STAR 注册级别	一级：自我评估；二级：认证或第三方证明	一级条目是供应商自己的账户，仍需提供佐证信息。	CSA STAR 注册中心（cloudsecurityalliance.org/star/registry），已于 2026 年 10 月 15 日验证。
CAIQ v4 中的共同责任类别	5：CSP自有；CSC自有；第三方外包；CSP和CSC共享；CSP和第三方共享	为责任矩阵赋予固定的词汇表，与 CCM 控制 STA-04 相关联。	CSA，“CAIQ v4 发布 - 从 v3.1 到 v4 的变化”（2021 年 6 月 7 日）
Smartling 证据获取	文件和报告可应要求提供。	根据保密协议申请认证报告和测试摘要的途径	Smartling 安全页面（smartling.com/security），已于2026年10月15日核实
Smartling合规记录	自 2013 年起获得 SOC 2 认证；自 2012 年起获得 PCI 1 级认证；自 2013 年起符合 HIPAA 标准；自 2018 年起符合 GDPR 标准；托管于亚马逊网络服务的 TMS 系统获得 HITRUST e1 认证；ISO/IEC 27001 认证；ISO/IEC 42001:2023 认证	审阅者可以用来佐证问卷答案的独立证据	Smartling 安全页面（smartling.com/security），已于2026年10月15日核实
Smartling主机和承包商	客户数据存储在亚马逊网络服务 (AWS) 位于全球各地的数据中心；依赖独立承包商，且不提供承包商名单。	指明要请求其报告的子服务组织，并将语言控制指向相应的权限。	Smartling 安全页面（smartling.com/security），已于2026年10月15日核实
Smartling LLM 提供商控制	账户所有者可以通过客户成功经理禁用 OpenAI、Microsoft Azure、Anthropic、Vertex AI 或 Amazon Bedrock；完全禁用 LLM。	将人工智能子处理器问题转化为审阅者可以测试的场景	Smartling 帮助中心，“LLM 提供商设置：选择您首选的 LLM 提供商”
Smartling 事件记录	包含已识别、已监控和已解决的事件历史记录，涵盖 REST API、仪表板和翻译器工作台以及全球交付网络的更新信息。	展示了供应商在事件处理期间的沟通方式。	Smartling 状态（status.smartling.com），已于2026年10月15日核实

如何对翻译或人工智能翻译供应商进行安全尽职调查？

对翻译供应商的尽职调查分为五个步骤，一旦在步骤 3 中添加了 AI 补充，同样的顺序也适用于 AI 翻译供应商。

绘制内容路径并对数据进行分类- 列出内容将经历的每一个步骤，并标记其携带的内容：个人数据、受保护的健康信息、持卡人数据或预发布材料。该分类决定了哪些证据是强制性的，例如，只有在存在受保护的健康信息时才需要业务伙伴协议。
一次性索取证据包- 发送一份受保密协议约束的请求，索取证明报告和桥梁信函、渗透测试摘要、包含子处理者列表的数据处理协议、已完成的 CAIQ v4 或 SIG 以及共同责任矩阵。一次请求就能立即发现问题所在，而无需像以前那样经过数周的跟进。
补充翻译和人工智能内容——询问哪些机器翻译和语言语言管理提供商会收到内容，是否有任何模型基于这些内容进行训练，提供商会保留内容多长时间，管理员是否可以禁用提供商，以及语言学家和机构的职责范围和权限如何界定。AI 治理证据（例如 ISO/IEC 42001 证书）及其范围在“如何选择 ISO 42001 认证的 AI 翻译平台”中有所介绍。
核实自我证明的答案- 将问卷中每一个实质性的“是”追溯到独立证据：SOC 2 报告中经过测试的控制措施、ISO/IEC 27001 适用性声明中的附件 A 控制措施、渗透测试结果或合同条款。没有实质内容的回答会变成后续问题或合同条款。
分配您的职责并安排续订日期- 为责任矩阵中的每个客户拥有的控制权指定负责人，例如强制执行单点登录、确定语言专家角色范围和轮换 API 凭证。然后是日历桥接信函、年度渗透测试、证书到期日期和子处理商变更通知，以便批准在签署后保持有效。

这种以证据为先的审查方法适合以下团队……

运行第三方风险管理程序，要求供应商在获得公司内容之前提供证据，而不是保证。
我们正在审批人工智能翻译供应商，需要了解哪些LLM提供商将处理内容以及处理条款是什么。
翻译个人数据、健康信息、支付相关页面或未发布的产品资料。
赋予代理机构和自由职业语言学家直接的平台访问权限，这使得劳动力控制成为审查的一部分。
回答自己客户的安全问卷，并且必须描述其内容供应链中的每个子处理者，包括翻译供应商。

有时候，完整的证据包可能比你需要的还要多。

内容已公开。已发布的营销页面和新闻稿几乎没有保密风险，一份简短的标准问卷调查就是适当的审查。
这项工作只需要提交一份文件。一次性的翻译工作可能不足以构成对供应商进行全面风险评估的理由。
贵公司已批准该供应商承接相同范围的业务。重复使用现有的评估，只要求提供已更改的内容，例如过渡信和更新后的子处理商名单。
政策要求内容绝不能离开您的网络。如果云供应商处理内容，证据包不会发生任何变化；这是在安全审查开始之前需要确定的部署决定。

评估清单：安全审查中需要向翻译供应商提出的问题

在签署保密协议的情况下，您可以分享哪些安全文件？分享速度如何？
请提前索取以下清单：证明报告、桥梁信函、渗透测试摘要、数据保护协议、子处理器清单和已填写的问卷。Smartling 的安全页面上写明，文件和报告可应要求提供。

您能否提供最新的 CAIQ v4 或 SIG 版本，并且该版本是否已在 CSA STAR 注册中心发布？
一份完整的标准问卷可以节省数周的定制问卷工作。检查完成日期，并将 STAR 1 级条目视为供应商自己的账户，直到有其他证据证实为止。

哪些问卷答案有经审计的证据支持？
要求供应商将其关键答案与 SOC 2 控制、ISO/IEC 27001 附录 A 控制或合同条款进行映射，并跟进任何无法映射的答案。

哪些子处理器会接收我们的内容？
预计云主机、MT 和 LLM 提供商以及任何相关机构都将被列入名单，并会有一个变更通知流程。例如，Smartling 将客户数据存储在全球各地的亚马逊网络服务 (AWS) 数据中心。

语言学家的研究范围和职责是什么？
询问承包商如何签署保密条款，以及是否可以按项目、语言和工作流程步骤限制访问权限，因为通常不会提供指定语言专家的批准。

过去三年中，你们发生过哪些影响客户数据的安全事件？你们是如何通知客户的？
坦诚的答复，包括日期和通知步骤，比空洞的“没有”而没有任何细节更有说服力。

如果发生数据泄露，你们会在几小时内通知我们？
GDPR 第 33(2) 条要求处理者在不无故拖延的情况下通知控制者；在合同中写入若干小时，以免消耗您根据第 33(1) 条享有的 72 小时时限。

你们的控制措施假设我们采取哪些操作？
索取责任共担矩阵，并确认该平台是否允许您实现您的部分：单点登录、多因素身份验证、角色范围和 API 凭证控制。

我们能否限制或禁用处理我们内容的AI提供商？
询问该限制是否适用于平台使用 LLM 的所有地方，以及如果所有提供商都被禁用，哪些功能会停止工作。

Smartling如何支持安全尽职调查

Smartling 会主动发布评论的起点，而不是等待问卷调查。其安全页面列出了自 2013 年以来持续保持的 SOC 2 合规性、自 2012 年以来持续保持的 PCI Level 1 合规性、自 2013 年以来持续保持的 HIPAA 合规性、自 2018 年以来符合 GDPR 标准、其托管在亚马逊网络服务上的翻译管理系统获得 HITRUST e1 认证，以及 ISO 认证，包括 ISO/IEC 27001 和 ISO/IEC 42001:2023。同一页面还指出，文件和报告可根据要求提供，这是根据保密协议获取证明报告和测试摘要的途径。

安全页面还公开回答了几个系统描述问题。它将 Smartling 的业务描述为三个组成部分：Smartling 平台及其 CMS 连接器产品、全球交付网络网络代理和翻译服务市场，并指出不使用代理或使用其他供应商提供翻译服务的客户无需担心 Smartling 如何处理这些类型的个人数据。它指出，Smartling 将客户数据存储在亚马逊网络服务 (AWS) 的全球各地数据中心，在用户注册过程中采取措施防止个人数据进入平台，并在其标准协议中对其员工、承包商和供应商承担责任。它同样直接地指出了一个限制：Smartling 依赖独立承包商，不提供承包商名单，也不让客户控制他们的任务，因此语言专家的接触是通过项目、语言和工作流程步骤权限来管理的。

对于 AI 子处理器，Smartling 帮助中心文章“LLM 提供商设置：选择您首选的 LLM 提供商”允许帐户所有者禁用单个提供商，包括 OpenAI、Microsoft Azure、Anthropic、Vertex AI 和 Amazon Bedrock，Smartling 在所有使用 LLM 的地方都会尊重此选择；可以通过客户成功经理完全禁用 LLM 的使用，但代价是 AI 翻译和 AI 驱动的人工翻译工作流程将无法使用。为了提高事件透明度，Smartling Status（status.smartling.com）会发布带有日期的事件历史记录，其中包含 REST API、仪表板和翻译器工作台以及全球交付网络的已识别、监控和已解决的更新信息。Smartling 的漏洞披露计划在翻译供应商渗透测试证据指南中进行了描述。