用途：当创始人准备 SOC 2 认证、被客户或潜在客户要求提供 SOC 2 报告、需要向董事会或预算讨论量化安全风险、希望按业务价值排序合规路线图，或需评估整体安全态势时启用。触发词包括 SOC 2、合规审计、信任服务标准、安全预算、CISO 等。
主要能力：量化业务案例，用 ALE（年度损失期望 = 单次损失期望 × 年发生概率）把安全投入翻译成董事会语言；确定范围内的信任服务标准（安全为必选，可用性、处理完整性、机密性、隐私为可选）；盘点现有政策、控制与工具；做差距分析并输出合规矩阵；按业务价值排序路线图（SOC 2 Type I 约 3-6 个月，Type II 约 12 个月，再视客户需求考虑 ISO 27001 或 HIPAA）；生成适配公司规模的政策（早期公司 2-5 页实用政策）；制定控制实施计划与证据收集指引；在正式审计前做模拟就绪评审。
输出结构：安全与合规评估报告，含风险量化、差距分析矩阵、合规路线图、政策文档、实施时间线、证据收集清单和安全指标仪表盘。
使用方式：需提供产品类型、技术栈、云基础设施、团队规模、现有安全实践、业务模式、客户类型，以及范围内的 TSC、文档现状、现有安全工具、Type I 或 Type II 目标、时间线、预算、是否已选审计师、前三大潜在客户的合规要求。
适用场景：企业客户签约前的合规准备、安全态势自评、董事会安全预算沟通、合规路线规划。
限制：该技能仅提供规划用途的 SOC 2 准备指导，不构成法律、审计或专业合规建议；SOC 2 报告只能由持牌会计师事务所出具，安排审计前应聘请合格审计师确认就绪状态。资料未提供具体收费、价格或平台信息。