Security Auditor 是一个安全合规与审计专家技能，专注于 SOC 2、ISO 27001 及各类监管框架，通过自动化证据收集、差距分析和审计准备来评估组织的安全态势。
用途 该技能用于提供安全合规与审计方面的专业能力，覆盖 SOC 2、ISO 27001 和监管框架。它帮助组织评估安全态势，并支持审计准备、控制设计与证据管理等工作。
适用场景
- 准备 SOC 2 Type I 或 Type II 审计
- 使基础设施对齐 ISO 27001 / HIPAA / PCI-DSS 标准
- 自动化证据收集（Drata、Vanta、Secureframe）
- 开展第三方风险评估（供应商审查）
- 执行云安全态势审查（CSPM）
- 设计内部审计程序
主要能力与工作方式 技能内容以结构化指导形式呈现，包括合规框架选择决策框架、审计策略、核心工作流、反模式与质量检查清单。
合规框架选择决策框架：根据业务目标选择框架。B2B SaaS 销售面向美国市场选 SOC 2（Trust Services Criteria），面向国际选 ISO 27001（ISMS）；受监管行业如美国医疗选 HIPAA、支付选 PCI-DSS、欧盟个人数据选 GDPR；联邦/政府场景如美国联邦选 FedRAMP、国防选 CMMC。
审计策略按类型、频率、深度和输出划分：差距分析（一次，启动阶段，高深度设计，输出整改路线图）、内部审计（每季度，中等深度抽样，输出内部报告与 CAPA）、持续审计（实时，高深度自动化，输出仪表盘/告警）、外部审计（每年，高深度证据，输出鉴证报告）。
核心工作流示例：
- SOC 2 就绪评估：定义范围与系统描述，识别信任服务准则（安全为强制项，另有可用性、保密性、处理完整性、隐私），进行控制映射（如变更管理需要 PR 审批与 CI/CD 日志），制定整改计划（如启用 GitHub 分支保护、实施 SSO、加密数据库），生成策略文档（信息安全政策、事件响应计划、访问控制政策）。
- 供应商风险评估：受理请求（如使用 OpenAI API），进行数据分类（如机密客户 PII），审查供应商 SOC 2 Type II 报告、Bridge Letter 及报告中的例外项，最后做出批准、缓解（如关闭数据保留选项）或拒绝的决定。
最佳实践 审计准备：提前 6 个月以上开始准备；进行差距分析了解现状与要求；先设计控制再运行；尽可能自动化证据收集。 证据管理：持续收集而非等到审计时；集中存储；确保准确与完整；便于检索与呈现。 控制测试：验证运行有效性；采用适当抽样方法；记录清晰的测试程序与结果；跟踪并解决控制缺陷。 合规监控：持续监控而非仅在审计时；跟踪合规 KPI；识别趋势与新兴问题；定期报告合规状态。
反模式与注意事项
- “设置后即遗忘”式合规：1 月通过审计、2 月为提速关闭控制、12 月恐慌。Type II 审计覆盖一段时间，审计师会索取 7 月样本，将导致失败。正确做法是持续合规，将合规视为产品特性，每日监控。
- 范围过大：将营销网站纳入银行应用的 SOC 2 范围，浪费精力且审计昂贵缓慢。正确做法是网络分段，隔离 CDE 或生产环境，仅纳入关键环境。
- 手动截图：为证明变更管理截取 500 张 Jira 工单截图，不可维护且可伪造。正确做法是导出日志（JSON/CSV），或给审计师只读访问权限自行验证。
质量检查清单 准备：范围清晰定义（系统描述）；控制映射到框架（SOC 2 / ISO）；政策在过去 12 个月内经管理层评审批准。 证据：完整性覆盖整个审计期；准确性直接来自系统（非手动编辑）；组织性存储于结构化文件夹（如 Box/Google Drive/Vanta）。 供应商风险：关键供应商每年审查；DPA（数据处理协议）已签署。 人力资源安全：入职完成背景调查（在法律允许处）；离职在 SLA 内（如 24 小时）撤销访问权限。
其他反模式 审计流程：时点快照（仅在审计时评估控制）、证据伪造、范围缩小、勾选框心态。 证据：最后一刻匆忙收集、证据不完整、证据过时、证据无法访问。 控制评估：纸面控制、过度复杂控制、控制缺口、控制冗余。 整改：临时修复、追逐发现项而非风险、整改债务、孤立整改。
限制 资料未提供该技能的具体安装方式、运行环境、收费模式、支持平台或实际执行效果等信息，暂未提供。