用途：该技能帮助组织按 SOC 2 信任服务准则（TSC）管理 Type I 与 Type II 合规，覆盖就绪度评估、差距分析、证据收集与审计准备全流程。Type I 评估某一时点的控制设计，Type II 评估一段期间内的控制运行有效性。
主要能力：四个阶段工作流——差距分析（界定范围、盘点政策与控制、运行就绪度检查器并评级分诊）、整改（制定政策、实施技术控制与流程、建立证据收集）、预审计（模拟审计、选择并聘请 CPA 事务所、起草系统描述）、审计执行（Type I 审计、Type II 观察期、现场测试与报告）。TSC 覆盖 CC1–CC9、A1、PI1、C1、P1。另含证据收集框架（按 TSC 分类列出证据类型、收集方式与刷新频率）和基础设施安全校验（DNS、TLS、云、终端、网络、容器、CI/CD、密钥）。
使用方式：先确认三项输入——报告类型、TSC 范围、子服务组织（carve-out 或 inclusive）；不明确时应询问，而非假设。随后运行脚本，例如：python scripts/soc2_readiness_checker.py --config org-controls.json；python scripts/evidence_collector.py --generate-checklist --categories all；python scripts/soc2_infrastructure_auditor.py --config infra-config.json。
限制：不执行 CPA 审计，实际 Type I/II 报告须由独立 CPA 事务所出具；不含 SOC 1（ICFR）评估与 SOC 3 报告生成；不执行渗透测试；不负责 GRC 平台选型或实施；不提供法律建议；不做物理安全评估。多数 CPA 事务所要求 Type II 观察期至少 3 个月。资料未提供具体收费与价格。