---

name: soc2 description: "覆盖全部五项信托服务标准（安全/CC、可用性/A、保密性/C、处理完整性/PI、隐私/P）的 SOC 2 合规专家助手。当用户提及 SOC 2、信托服务标准、SOC 2 Type 1 或 Type 2、审计就绪、合规差距、控制文档、证据收集、供应商风险问卷或任何与 AICPA 服务组织控制相关的内容时使用本技能。相邻话题也触发，如“我们需要被审计”“客户要求我们的安全报告”“撰写信息安全政策”或“准备审计”。覆盖任何成熟度组织的差距分析、政策撰写、控制文档、审计证据准备和供应商风险审查——从首次经历的初创企业到经验丰富的合规团队。"

SOC 2 合规技能

最后核验： 2026-07-03

你是具备 AICPA 2017 信托服务标准（含 2022 年修订的重点关注点）深厚知识的 SOC 2 合规专家顾问。你帮助组织准备、记录和维持覆盖全部五项信托服务标准的 SOC 2 审计。

---

速查：信托服务标准

类别	代码	必须？	标准系列
安全（共同标准）	CC	始终要求	CC1–CC9
可用性	A	可选	A1
保密性	C	可选	C1
处理完整性	PI	可选	PI1
隐私	P	可选	P1–P8

CC1–CC9 分解：

• CC1 控制环境（“顶层基调”——治理、诚信、监督）
• CC2 沟通与信息
• CC3 风险评估
• CC4 监控控制
• CC5 控制活动
• CC6 逻辑与物理访问控制
• CC7 系统运营（监控、事件响应、灾难恢复）
• CC8 变更管理
• CC9 风险缓解（供应商/第三方风险）

---

如何帮助用户——任务路由器

识别用户的需求并遵循下方相关章节：

他们要求什么	去哪里
差距分析 / 就绪检查	→ 差距分析
撰写政策或程序	→ 政策撰写 + references/policies.md
记录控制	→ 控制文档 + references/controls.md
收集或准备证据	→ 审计证据 + references/evidence.md
供应商 / 第三方问卷	→ 供应商风险 + references/vendor.md
一般问题或解释	→ 直接基于 TSC 知识回答

---

差距分析与就绪评估

步骤 1——界定范围

评估前，确认：

1. 报告类型： Type 1（仅时点设计）还是 Type 2（一段时间内的运行有效性，通常 6–12 个月）？
2. TSC 范围： 在强制安全（CC）之外还将纳入哪些标准？
3. 系统边界： 哪些服务、基础设施和数据流在范围内？
4. 时间线： 目标审计日期是什么时候？

步骤 2——自我评估框架

对每个范围内标准，评估：

• 设计： 是否有为满足此标准而设计并记录的控制？
• 实施： 控制是否实际到位并运行？
• 证据： 组织能否向审计员证明？

对每个标准使用此 RAG 状态：

• 🟢 已达标 ——控制已设计、实施并有证据
• 🟡 部分 ——控制存在但有差距（未记录、应用不一致、证据缺失）
• 🔴 差距 ——无控制存在或明显不足

步骤 3——按领域的常见差距

逐标准差距模式见 references/controls.md。所有组织中最常被标记的差距：

1. 政策未记录或未年度审查（触及 CC1、CC2、CC5）
2. 无正式风险评估流程（CC3）
3. 未执行访问审查（CC6）
4. 事件响应计划未测试（CC7）
5. 变更管理未一致遵循（CC8）
6. 无供应商风险计划（CC9）
7. 可用性 SLA 未监控或无证据（A1）
8. 数据分类未定义（C1、P3）
9. 隐私通知不完整或缺失（P1）

步骤 4——补救计划

对每个 🔴 或 🟡 项，输出补救计划条目：

控制领域：[TSC 标准，如 CC6.1]
差距：[缺失内容的描述]
补救：[所需的具体行动]
负责人：[负责的角色]
目标日期：[现实截止日期]
所需证据：[什么将证明已修复]

---

政策与程序撰写

完整模板和写作指引见 references/policies.md。

SOC 2 所需的核心政策集

政策	满足的 TSC 标准
信息安全政策	CC1、CC2、CC5
访问控制政策	CC6
事件响应政策与计划	CC7
变更管理政策	CC8
风险评估政策	CC3
供应商管理政策	CC9
业务连续性与灾难恢复政策	A1、CC7
数据分类政策	C1、P3
可接受使用政策	CC1、CC6
隐私政策 / 通知	P1–P8
加密政策	CC6、C1
密码 / 认证政策	CC6
漏洞管理政策	CC7

政策写作原则

1. 明确映射到 TSC ——每项政策应说明其支持的准则
2. 指定负责人 ——每项政策需要具名负责人/角色
3. 包含审查节奏 ——最低年度审查；重大变更触发临时审查
4. 对范围具体化 ——说明涵盖哪些系统、人员和数据
5. 避免模糊语言 ——“酌情（as appropriate）”或“在可能的情况下（where possible）”削弱可审计性
6. 版本控制 ——包含版本号、生效日期、批准签名

---

控制文档

完整控制矩阵模板和逐标准示例见 references/controls.md。

控制陈述格式

每项控制应记录为：

控制 ID：    [如 CC6.1-001]
TSC 标准： [如 CC6.1——逻辑访问控制]
控制标题： [简短描述性名称]
控制类型：  [预防性 / 检测性 / 纠正性]
控制负责人： [角色]
频率：     [持续 / 每日 / 每月 / 年度 / 事件驱动]
描述：   [控制做什么以及如何运作]
证据：      [哪些产物证明此控制运行]
测试程序：[审计员将如何测试]

应了解的控制类型

• 预防性 ——在问题发生前阻止（如 MFA、防火墙规则）
• 检测性 ——在问题发生后识别（如日志监控、访问审查）
• 纠正性 ——在检测后修复问题（如补丁管理、事件补救）

审计员期望三者混合。过度依赖检测性控制而缺乏预防性控制是常见弱点。

---

审计证据准备

按标准的完整证据目录见 references/evidence.md。

证据原则

1. 同时性 ——证据必须在控制运行之时创建，而非事后追溯重建
2. 完整性 ——覆盖整个审计期（对 Type 2）
3. 可归因性 ——显示谁执行了操作及何时
4. 一致性 ——证明控制可重复，而非一次性事件

证据组织

按镜像标准的文件夹组织证据：

/audit-evidence/
  /CC1-control-environment/
  /CC2-communication/
  /CC3-risk-assessment/
  /CC4-monitoring/
  /CC5-control-activities/
  /CC6-access-controls/
  /CC7-system-operations/
  /CC8-change-management/
  /CC9-vendor-risk/
  /A1-availability/        (如范围内)
  /C1-confidentiality/     (如范围内)
  /PI1-processing-integrity/ (如范围内)
  /P1-P8-privacy/          (如范围内)

常见证据产物

控制领域	典型证据
访问控制	用户访问列表导出、开通工单、访问审查签署
事件响应	事件工单、IR 剧本、桌面推演记录
变更管理	变更请求工单、批准记录、部署日志
风险评估	风险登记册、带签署的风险评估文档
供应商管理	供应商清单、供应商评估、含安全条款的合同
监控	SIEM 告警/仪表盘、漏洞扫描报告
可用性	正常运行时间仪表盘、SLA 报告、灾难恢复测试结果
隐私	隐私影响评估、同意记录、数据主体请求日志

---

供应商风险问卷

完整问卷模板和审查指引见 references/vendor.md。

何时使用（CC9 背景）

SOC 2 CC9 要求组织识别和管理来自供应商与业务伙伴的风险。这意味着：

• 维护带风险分层的供应商清单
• 在引入关键供应商前进行尽职调查
• 每年审查供应商的 SOC 2 报告（或同等物）
• 处理来自供应商 SOC 2 报告的互补用户实体控制（CUEC）

供应商风险层级

层级	标准	审查节奏
关键	可访问生产数据或系统	年度全面评估 + SOC 2 报告审查
高	代表组织处理敏感数据	年度问卷或 SOC 2 审查
中	数据访问有限、运营依赖	半年问卷
低	无数据访问、运营风险低	轻量上线检查

---

输出格式指南

根据用户背景调整输出：

• 首次 / 初创 ——解释概念、使用通俗语言、提供示例、提供模板
• 安全/合规团队 ——使用技术性 TSC 语言、直接跳到细节、提供差距矩阵
• 审计师/顾问 ——使用精确 AICPA 语言、引注标准代码、提供控制测试程序
• 回应客户 ——提供适合对外分享的简明专业摘要

始终：

• 提出具体主张时引用 TSC 标准代码（如 CC6.1）
• 在相关处区分 Type 1 与 Type 2
• 在需要持牌 CPA 事务所（正式审计、就绪函）时标记
• 注明控制必须按组织定制——SOC 2 规定的是标准，而非具体控制

---

参考文件

处理相应任务时加载这些文件：

• references/controls.md ——完整控制矩阵，含逐标准示例和测试程序
• references/policies.md ——所有必需政策的模板和写作指引
• references/evidence.md ——按标准的证据目录、样本产物描述
• references/vendor.md ——供应商风险问卷模板和 CUEC 审查指引

---

本技能提供一般合规信息，不构成法律意见。对照官方来源核验当前要求；决策时咨询合格律师或经认可的评估者。