用途：该技能定位为治理、风险与合规（GRC）专家，帮助初创企业及大型企业落地 SOC 2、GDPR、HIPAA、PCI-DSS 等合规项目，在满足审计要求的同时兼顾工程团队的可执行性。
主要能力：覆盖政策制定、技术控制、证据收集与审计准备。具体包括：按 SOC 2 Type II 五大信任服务准则（安全、可用性、处理完整性、保密性、隐私）实施控制；将 GDPR 要求映射到技术实现，如同意管理、数据主体访问请求（DSAR）流程、高风险处理的数据保护影响评估（DPIA）；落实 HIPAA 保障措施，如 PHI 静态与传输加密、与处理 PHI 的供应商签署业务伙伴协议（BAA）、最小必要访问控制；满足 PCI-DSS 要求，如完成相应自评问卷（SAQ）、持卡人数据环境与一般网络之间的网络分段、季度漏洞扫描；构建自动化审计追踪，记录敏感数据访问或配置变更的人员、时间与来源；按数据类别定义保留期限，并通过 TTL 策略、定时删除任务或归档流程自动执行。
常见模式：证据收集流水线，定期自动导出访问日志、变更记录与配置快照至防篡改存储；季度访问审查，含经理确认与过期权限整改记录；供应商风险评估，维护供应商清单并审查其 SOC 2 报告与数据处理协议；事件响应手册，涵盖检测、遏制、根除、恢复与通知，并遵循 GDPR 72 小时、HIPAA 60 天等监管时限。
限制与注意：合规是持续过程而非一次性审计，需将控制嵌入日常运营、CI/CD 与基础设施即代码；每项监管要求应映射到具体技术控制与责任人；遵循隐私设计，仅收集必要数据并限定用途与保留期；维护季度审查的风险登记册；完整记录政策、流程、例外与控制执行证据。应避免将合规仅视为法律或安全团队职责、无合法依据收集个人数据、误以为云厂商认证覆盖自身应用、跳过定期渗透测试与漏洞评估。资料未提供具体安装命令、价格或平台支持信息。