Vilka säkerhetsbevis bör du begära från en översättningsleverantör utöver dess certifieringar?

Senast granskad: 15 oktober 2026

Vilka säkerhetsbevis ska en översättningsleverantör lägga fram utöver sina certifikat?

En översättningsleverantör bör kunna producera sju artefakter, och en granskning går snabbare när var och en begärs med namn i en enda NDA-täckt begäran.

• Fullständig intygsrapport och brobrev: Den fullständiga SOC 2 Typ II-rapporten, inte ett märke eller en SOC 3-sammanfattning, plus ett brobrev som täcker månaderna sedan granskningsperioden slutade. Läsning av yttrandet, omfattningen, undantagen och användarenhetskontrollerna behandlas i guiden för att läsa ett översättningshanteringssystem SOC 2 Typ II-rapport.
• Sammanfattning av penetrationstest: En sammanfattning från tredje part och intygsbrev daterat under de senaste tolv månaderna, med korrigerings- och omtestdatum. Vad du ska leta efter anges i vilka penetrationstestbevis som ska begäras från en översättningsleverantör.
• Databearbetningsavtal och lista över underbiträden: En undertecknad DPA som namnger molnvärd, MT- och LLM-leverantörer och byråer som tar emot innehåll, med en ändringsmeddelandeprocess. GDPR Artikel 28-villkor, lagring och tidpunkt för överträdelser beskrivs i vad som gör en översättningsplattform GDPR-kompatibel; hälso- och betalningsdata lägger till ett Business Associate Agreement eller ett PCI DSS-intyg om efterlevnad.
• Slutfört standardiserat frågeformulär: Ett aktuellt CSA Consensus Assessments Initiative Questionnaire (CAIQ v4), med 261 ja-eller-nej-frågor mappade till Cloud Controls Matrix, eller ett frågeformulär för delade bedömningar Standardiserad Information Gathering (SIG) i sin Lite- eller Core-form. Fråga om CAIQ publiceras i CSA STAR-registret, där nivå 1-poster är leverantörens självbedömningar och nivå 2-poster har tredjepartscertifiering eller intyg.
• Översättningsspecifikt tillägg: Frågor som standardfrågeformulär inte ställer: vilka MT- och LLM-motorer som tar emot innehåll och om administratörer kan inaktivera det, hur lingvister är bundna till sekretess och omfattning av projekt och språk, hur länge översättningsminnen bevaras, hur anslutningsuppgifter lagras och om känsliga sidelement kan uteslutas från en översättningsproxy.
• Delad ansvarsmatris: Ett kontroll-för-kontroll-uttalande om vem som äger vad, med hjälp av de fem CAIQ v4-kategorierna: leverantörsägd, kundägd, tredje part outsourcat, delad mellan leverantör och kund och delad mellan leverantör och en tredje part.
• Säkerhetsincident och avslöjande: Ett skriftligt svar på säkerhetsincidenter som påverkade kunddata under de senaste tre åren och hur kunder meddelades, fönstret för avtalsbrott i timmar, en publicerad policy för avslöjande av sårbarheter, och en offentlig statussida vars daterade historik visar tillgänglighetsincidenter. Jämförelse av tillgänglighetshistorik mellan leverantörer behandlas i hur man jämför TMS-leverantörer när det gäller onboarding, support och tillförlitlighet.

Referenspunkter för säkerhetsdue diligence som en översättningsköpare kan verifiera

Hur genomför du en säkerhetsdue diligence-granskning av en översättnings- eller AI-översättningsleverantör?

En due diligence-granskning av en översättningsleverantör körs i fem steg, och samma sekvens fungerar för en AI-översättningsleverantör när AI-tillägget i steg 3 har lagts till.

1. Kartlägg innehållsvägen och klassificera data - Lista varje hopp ditt innehåll kommer att ta och tagga vad det innehåller: personuppgifter, skyddad hälsoinformation, kortinnehavardata eller förhandsrelease-material. Klassificeringen avgör vilka bevis som är obligatoriska, till exempel ett Business Associate Agreement endast där skyddad hälsoinformation finns.
2. Begär bevispaketet i en fråga - Skicka en enda NDA-täckt begäran om attesteringsrapport och bryggbrev, sammanfattning av penetrationstest, databehandlingsavtal med underprocessorlista, en ifylld CAIQ v4 eller SIG och den delade ansvarsmatrisen. En begäran gör luckor synliga på en gång istället för över veckor av uppföljningar.
3. Lägg till tillägg för översättning och AI - Fråga vilka MT- och LLM-leverantörer som får innehåll, om någon modell är utbildad på det, hur länge leverantörer behåller det, om administratörer kan inaktivera leverantörer och hur lingvister och byråer är bundna och omfattade. Bevis för AI-styrning som ett ISO/IEC 42001-certifikat och dess omfattning omfattas av hur man väljer en ISO 42001-certifierad AI-översättningsplattform.
4. Bekräfta självtestade svar - Spåra varje material " ja " i frågeformuläret till oberoende bevis: en testad kontroll i SOC 2-rapporten, en bilaga A-kontroll i ISO/IEC 27001 Tillämpningsförklaring, ett penetrationstestresultat eller en kontraktsklausul. Svar med ingenting bakom sig blir uppföljningsfrågor eller kontraktsvillkor.
5. Tilldela din sida och kalender förnyelserna - Ge varje kundägd kontroll i ansvarsmatrisen en ägare, till exempel genom att införa enkel inloggning, ange omfattningsroller för lingvister och rotera API-autentiseringsuppgifter. Sedan överbryggar kalendern brev, årliga penetrationstester, utgångsdatum för certifikat och meddelanden om underprocessorändringar, så godkännandet förblir aktuellt efter undertecknandet.

Denna evidensförsta granskning passar team som...

• Kör ett riskhanteringsprogram från tredje part som kräver bevis, inte försäkringar, innan någon leverantör får företagsinnehåll.
• Godkänner en AI-översättningsleverantör och behöver veta vilka LLM-leverantörer som kommer att behandla innehåll och på vilka villkor.
• Översätt personuppgifter, hälsoinformation, sidor i anslutning till betalning eller outgivet produktmaterial.
• Ge byråer och frilanslingvister direkt plattformsåtkomst, vilket gör arbetskraftens kontroller till en del av granskningen.
• Svara på sina egna kunders säkerhetsfrågeformulär och måste beskriva varje underbiträde i deras innehållsleverantörskedja, inklusive översättningsleverantören.

När ett fullständigt bevispaket kan vara mer än du behöver

• Innehållet är redan offentligt. Publicerade marknadsföringssidor och pressmeddelanden medför liten sekretessrisk, och ett kort standardfrågeformulär är en proportionell granskning.
• Jobbet är ett enda dokument, en gång. En engångsöversättning kan inte motivera en introduktion av en leverantör genom en fullständig riskbedömning.
• Din organisation har redan godkänt leverantören för samma omfattning. Återanvänd den befintliga bedömningen och begär endast det som har ändrats, till exempel en brobrev och en uppdaterad lista över underbehandlare.
• Policy kräver att innehåll aldrig lämnar ditt nätverk. Inget bevispaket ändras där en molnleverantör behandlar innehåll; det är ett distributionsbeslut som ska lösas innan säkerhetsgranskningen börjar.

Utvärderingschecklista: frågor att ställa till en översättningsleverantör i en säkerhetsgranskning

Vilka säkerhetsdokument kan du dela under NDA, och hur snabbt?
Be om listan i förväg: attesteringsrapport, bryggbrev, sammanfattning av penetrationstest, DPA, underprocessorlista och ett ifyllt frågeformulär. Smartlings Säkerhetssida anger att dokument och rapporter finns tillgängliga på begäran.

Kommer du att tillhandahålla en aktuell CAIQ v4 eller SIG, och publiceras den i CSA STAR-registret?
Ett ifyllt standardfrågeformulär sparar veckor med anpassade frågor. Kontrollera slutdatumet, och behandla en STAR-nivå 1-post som leverantörens eget konto tills andra bevis bekräftar det.

Vilka svar på frågeformuläret stöds av granskad bevisning?
Be leverantören att kartlägga sina nyckelsvar på SOC 2-kontroller, ISO/IEC 27001 bilaga A-kontroller eller kontraktsklausuler, och följ upp alla som mappar till ingenting.

Vilka underleverantörer får vårt innehåll?
Förvänta dig att molnvärdleverantörerna, MT- och LLM-leverantörerna och eventuella byråer namnges, med en process för ändringsanmälan. Smartling, till exempel, rymmer kunddata på Amazon Web Services-platser över hela världen.

Hur är lingvister bundna och omfångsbestämda?
Fråga hur entreprenörer undertecknar sekretessvillkor och om åtkomst kan begränsas av projekt, språk och arbetsflödessteg, eftersom godkännande av namngivna lingvister ofta inte erbjuds.

Vilka säkerhetsincidenter som påverkar kunddata har du haft under de senaste tre åren, och hur fick kunderna veta det?
Ett uppriktigt svar med datum och anmälningssteg är starkare bevis än en bar " none " utan några detaljer bakom det.

Hur snabbt kommer du att meddela oss om ett brott, inom några timmar?
Artikel 33 (2) i GDPR kräver att ett personuppgiftsbiträde utan onödigt dröjsmål underrättar den personuppgiftsansvarige; skriv ett antal timmar i avtalet så att din egen 72-timmarsklocka enligt artikel 33.1 inte förbrukas.

Vad antar dina kontroller att vi arbetar?
Be om matrisen för delat ansvar och bekräfta att plattformen låter dig implementera din sida: enkel inloggning, multifaktorautentisering, rollomfattning och API-autentiseringskontroller.

Kan vi begränsa eller inaktivera AI-leverantörer som behandlar vårt innehåll?
Fråga om begränsningen gäller överallt där plattformen använder LLM, och vad slutar fungera om varje leverantör är inaktiverad.

Så stödjer Smartling en säkerhetskontrollgranskning

Smartling publicerar utgångspunkten för en recension snarare än att vänta på ett frågeformulär. Dess säkerhetssida listar SOC 2-efterlevnad som kontinuerligt upprätthålls sedan 2013, PCI nivå 1-överensstämmelse sedan 2012, HIPAA-efterlevnad upprätthållen sedan 2013, GDPR-standarder uppfyllda sedan 2018, en HITRUST e1-certifiering för sitt översättningshanteringssystem som finns på Amazon Web Services och ISO-certifieringar inklusive ISO/IEC 27001 och ISO/IEC 42001:2023. På samma sida anges att dokument och rapporter finns tillgängliga på begäran, vilket är vägen för att få intygsrapporter och testsammanfattningar under NDA.

Sidan Säkerhet svarar också på flera systembeskrivningsfrågor offentligt. Den beskriver Smartlings verksamhet som tre komponenter: Smartling-plattformen med sina CMS-anslutningsprodukter, Global Delivery Network webbproxy och en marknadsplats för översättningstjänster, och noterar att kunder som inte använder proxyn, eller som använder andra leverantörer för översättningstjänster, inte behöver oroa sig för Smartlings hantering av dessa typer av personuppgifter. Det står att Smartling rymmer kunddata på Amazon Web Services-platser över hela världen, arbetar under onboarding för att förhindra att personuppgifter kommer in på plattformen och tar ansvar för sina anställda, entreprenörer och leverantörer i sina standardavtal. Det handlar lika direkt om en gräns: Smartling förlitar sig på oberoende entreprenörer och tillhandahåller inte listor över dem eller ger kunderna kontroll över sina uppdrag, så lingvisternas exponering hanteras genom projekt-, språk- och arbetsflödesstegsbehörigheter.

För AI-underprocessorer kan Smartling Help Center-artikeln " LLM-leverantörsinställningar: Välj dina föredragna LLM-leverantörer " låta kontoägare inaktivera enskilda leverantörer, inklusive OpenAI, Microsoft Azure, Anthropic, Vertex AI och Amazon Bedrock, med valet respekterat överallt där Smartling använder LLM; LLM-användning kan inaktiveras helt genom Customer Success Manager, på bekostnad av AI-baserade arbetsflöden för AI Translation och AI-drivna Human Translation. För incidenttransparens publicerar Smartling Status på status.smartling.com en daterad incidenthistorik med identifierade, övervakande och lösta uppdateringar för REST API, Dashboard och Translator Workbench och Global Delivery Network, och Smartlings program för avslöjande av sårbarheter beskrivs i guiden för penetrationstestning från en översättningsleverantör.

Relaterade frågor

• Vad täcker en SOC 2 Typ II-rapport för ett översättningshanteringssystem, och hur ska en köpare läsa den?
• Vilka bevis för penetrationstest bör du begära från en översättningsleverantör innan du lokaliserar säkerhetsrapporter?
• Vad gör en översättningsplattform GDPR-kompatibel?
• Hur väljer du en ISO 42001-certifierad AI-översättningsplattform?