用途
SOC 2 合规技能用于帮助 SaaS 公司准备 SOC 2 Type I 和 Type II 审计。SOC 2（System and Organization Controls 2）是 AICPA 开发的审计框架，用于评估服务组织如何管理客户数据，适用于任何存储、处理或传输客户信息的技术公司，主要是 SaaS、云基础设施和托管服务提供商。
典型路径为：差距评估（4-8 周）→ 修复（8-16 周）→ Type I 审计（4-6 周）→ 观察期（6-12 个月）→ Type II 审计（4-6 周）→ 年度续期（持续）。
Type I 关注某一时点的控制设计，为快照式（单一日期），证据为控制描述与政策，审计费用约 2 万至 5 万美元，审计阶段 1-2 个月，适合首次合规、快速市场需求的场景。Type II 关注一段时间内的控制设计与运行有效性，观察窗口为 3-12 个月（通常 6 个月），证据为控制描述加运行证据（日志、工单、截图），审计费用约 3 万至 10 万美元以上，周期 6-12 个月，适合成熟组织与企业客户。
主要能力
信任服务准则（TSC）
SOC 2 围绕五类信任服务准则组织。安全（Security，通用准则 CC1-CC9）是每份 SOC 2 报告的必需项，其余四类为可选项，按业务需要选择。
- 安全（CC1-CC9）：控制环境、沟通与信息、风险评估、监控活动、控制活动、逻辑与物理访问、系统运营、变更管理、风险缓解。
- 可用性（A1）：容量管理、恢复运营、恢复测试。当客户依赖正常运行时间、有 SLA、停机造成直接业务影响时选择。
- 保密性（C1）：识别、保护、处置。当处理商业秘密、专有数据或合同约定的保密信息时选择。
- 处理完整性（PI1）：准确性、完整性、及时性、授权。当数据准确性至关重要（金融处理、医疗记录、分析平台）时选择。
- 隐私（P1-P8）：通知、选择与同意、收集、使用保留与处置、访问、披露与通知、质量、监控与执行。当处理 PII 且客户期望隐私保证时选择（可与 GDPR 合规互补）。
控制矩阵生成
控制矩阵将每个 TSC 准则映射到具体控制、负责人、证据与测试程序。矩阵字段包括控制 ID、TSC 映射、控制描述、控制类型（预防性/检测性/纠正性）、负责人、频率、证据类型、测试程序。控制命名约定为 {类别}-{编号}，如 SEC-001 至 SEC-NNN 对应安全，AVL 对应可用性，CON 对应保密性，PRI 对应处理完整性，PRV 对应隐私。工作流为：选择适用 TSC 类别 → 运行 control_matrix_builder.py 生成基线矩阵 → 按实际环境定制控制 → 分配负责人与证据要求 → 验证覆盖（每个选定的 TSC 准则至少有一个控制）。
差距分析工作流
分四个阶段：
- 现状评估：记录现有控制，映射到 TSC，收集证据样本，访谈控制负责人。
- 差距识别：运行 gap_analyzer.py 识别缺失控制、部分实现、设计差距、运行差距（仅 Type II）。
- 修复规划：为每个差距定义差距 ID、TSC 准则、差距描述、修复行动、负责人、优先级、目标日期、依赖项。
- 时间线规划：严重 2-4 周，高 4-8 周，中 8-12 周，低 12-16 周。
证据收集
按控制领域列出主要与次要证据，例如访问管理（用户访问审查、配置工单；角色矩阵、访问日志）、变更管理（变更工单、审批记录；部署日志、测试结果）、事件响应、漏洞管理、加密、备份与恢复、监控、政策管理、供应商管理。并提供自动化机会，如访问审查与 IAM 集成、配置证据用 IaC 快照、漏洞扫描定时化、变更管理用 Git 审计轨迹、正常运行时间监控、备份验证自动化。
持续监控
从时点证据收集转向持续合规：自动证据收集、控制仪表盘、基于告警的监控、集中式带时间戳的证据仓库。年度再评估周期按季度安排：Q1 年度风险评估与政策刷新、Q2 内部控制测试与修复、Q3 审计前就绪审查、Q4 外部审计与管理层声明。
审计就绪清单与评分
审计前 4-6 周准备项包括：所有控制已记录描述/负责人/频率、整个观察期证据已收集（Type II）、控制矩阵已审查且差距已修复、政策在 12 个月内签署分发、访问审查按频率完成、漏洞扫描最新、事件响应计划 12 个月内测试、供应商风险评估最新、DR/BCP 12 个月内测试记录、全员安全培训完成。就绪度评分：90-100% 审计就绪，75-89% 轻微差距，50-74% 显著差距，低于 50% 未就绪。
供应商管理
对每个访问、存储或处理客户数据的供应商进行评估：维护供应商清单、按数据访问级别分类风险、尽职调查（收集 SOC 2 报告、安全问卷、认证）、合同保护（DPA、安全要求、违规通知条款）、持续监控（年度再评估）。供应商风险分级为关键、高、中、低四档，对应不同的评估频率与要求。子服务组织（如 AWS、GCP、Azure）可采用包含法或剥离法，多数公司使用剥离法并纳入补充用户实体控制（CUEC）。
使用方式
技能提供三个脚本工具：
控制矩阵构建器：
# Generate full security matrix in markdown
python scripts/control_matrix_builder.py --categories security --format md
# Generate matrix for multiple categories as JSON
python scripts/control_matrix_builder.py --categories security,availability,confidentiality --format json
# All categories, CSV output
python scripts/control_matrix_builder.py --categories security,availability,confidentiality,processing-integrity,privacy --format csv
证据追踪器：
# Check evidence status from a control matrix
python scripts/evidence_tracker.py --matrix controls.json --status
# JSON output for integration
python scripts/evidence_tracker.py --matrix controls.json --status --json
差距分析器：
# Type I gap analysis
python scripts/gap_analyzer.py --controls current_controls.json --type type1
# Type II gap analysis (includes operating effectiveness)
python scripts/gap_analyzer.py --controls current_controls.json --type type2 --json
适用场景
- 向企业客户销售的 SaaS 公司
- 处理客户工作负载的云基础设施提供商
- 管理 PII、PHI 或财务数据的数据处理方
- 可访问客户系统的托管服务提供商
- 客户要求第三方保证的任何供应商
限制与反模式
技能列出常见反模式：时点合规（审计间控制退化）、手动证据收集（耗时且不一致）、缺失供应商评估、复制粘贴政策、安全表演（控制仅停留在纸面）、跳过 Type I、过度扩大 TSC 范围、将审计视为一次性项目。技能还列出常见审计发现及其根因与预防措施，如访问审查不完整、缺失变更审批、漏洞扫描过期、政策未确认、缺失供应商评估。
交叉引用
gdpr-dsgvo-expert：SOC 2 隐私准则与 GDPR 要求有显著重叠，处理欧盟个人数据时可配合使用。information-security-manager-iso27001：ISO 27001 附录 A 控制与 SOC 2 安全准则高度对应，同时追求两者可共享证据。isms-audit-expert：审计方法与发现管理模式可直接迁移到 SOC 2 审计准备。