用途：面向同时推进多个合规框架的组织，提供跨框架合规准备编排，减少重复工作、加速认证并共享证据。适用于并行追求 SOC 2 + ISO 27001 + NIST CSF、医疗行业 SOC 2 + HIPAA + ISO 27001、构建共享证据平台、将单个控制项映射到多框架、决定先认证哪个框架、生成多框架路线图等场景；单一框架审计准备应使用对应的框架专属技能。
主要能力：
- 跨框架控制项映射：访问控制、加密、事件响应、风险评估、日志、供应商管理等控制项可同时对应 SOC 2、ISO 27001、NIST CSF、NIS2、DORA、PCI-DSS、HIPAA、GDPR。例如访问控制对应 SOC 2 CC6.1、ISO 27001 A.8.5、NIST CSF PR.AA、NIS2 Art.21.2.j、DORA Art.9.4、PCI-DSS Req 7-8、HIPAA §164.312(d)、GDPR Art.32。完整映射见 references/control-mapping-soc2-iso27001-nist.md。
- 认证顺序建议：按客户需求、法规强制、认证周期、共享证据机会和成本综合排序。常见模式包括 SaaS 先 SOC 2 Type I 再 Type II 后 ISO 27001；美国医疗先 HIPAA；欧盟金融先 DORA/NIS2；医疗器械先行业标准等。
- 共享证据策略：建立统一控制目录，一个控制项映射多框架；统一证据收集来源（如 Drata/Vanta/Thoropass/Sprinto 或自建），按框架打标签；合并年度管理评审与内部审计。
- 多框架准备冲刺：首次并行 SOC 2 + ISO 27001 可采用 16 周冲刺（1-4 周控制目录与差距分析，5-8 周整改，9-12 周证据收集与走查，13-14 周 SOC 2 审计，15-16 周 ISO 27001 第一阶段）；年度监督可采用 12 周冲刺。
使用方式： 先确认目标框架、行业与地区、首次认证还是年度监督。若信息不明应询问，不要假设；用户说“直接起草”时可在路线图顶部列出假设后继续。 快速开始命令： python3 scripts/multi_framework_scorer.py --config controls.yaml python3 scripts/shared_evidence_finder.py --frameworks SOC2,ISO27001 python3 scripts/readiness_roadmap_generator.py --target-frameworks SOC2,ISO27001,GDPR 随后按 references/multi-framework-readiness-matrix.md 执行冲刺。
工具脚本：multi_framework_scorer.py 评估多框架准备度；shared_evidence_finder.py 识别共享控制项并映射证据；readiness_roadmap_generator.py 生成多框架准备路线图。
限制与常见失败：各框架分设团队、分开收集证据、每框架单独工具、无控制项负责人、映射未维护、审计周期重叠造成资源紧张。审计员是否接受跨框架共享证据需实际沟通确认。
相关技能包括 soc2-compliance-expert、information-security-manager-iso27001、nist-csf-specialist、gdpr-dsgvo-expert、fda-consultant-specialist、infrastructure-compliance-auditor 及 audit-prep 系列。具体收费、价格、平台与效果资料暂未提供。