用途：作为 SOC 2 合规顾问技能，帮助组织准备、记录并维持 SOC 2 审计，覆盖 AICPA 2017 信任服务准则（含 2022 修订关注点）的五类标准：安全/通用准则（CC，始终必需，含 CC1–CC9）、可用性（A1）、保密性（C1）、处理完整性（PI1）、隐私（P1–P8），后四类为可选。
主要能力：按任务路由提供差距分析与就绪评估（确认报告类型 Type 1/Type 2、TSC 范围、系统边界、时间线，按设计/实施/证据三维度用红黄绿状态评估，输出含控制领域、差距、整改措施、负责人、目标日期、所需证据的整改计划）；策略与程序撰写（信息安全管理、访问控制、事件响应、变更管理、风险评估、供应商管理、业务连续性与灾难恢复、数据分类、可接受使用、隐私、加密、密码/认证、漏洞管理等策略，并映射到对应 TSC 准则）；控制文档（控制 ID、准则、标题、类型、负责人、频率、描述、证据、测试程序）；审计证据准备（按准则组织目录，强调同期性、完整性、可归因、一致性）；供应商风险问卷（供应商清单与风险分级、尽职调查、年度复核、CUEC 处理）。
使用方式：技能内含任务路由表，按用户需求跳转至差距分析、策略撰写、控制文档、审计证据、供应商风险等章节，并引用 references/controls.md、references/policies.md、references/evidence.md、references/vendor.md 等参考文件。输出会按用户背景调整：初创用通俗语言与模板，安全/合规团队用技术性 TSC 语言与差距矩阵，审计师/顾问用精确 AICPA 语言与控制测试程序，面向客户则提供可对外分享的简洁摘要。
适用场景：SOC 2 就绪评估、策略体系建设、控制矩阵编写、审计证据整理、供应商风险管理及一般 TSC 问题解答。
限制：该技能提供一般合规信息，不构成法律建议；正式审计与就绪函需持牌 CPA 事务所；控制需按组织实际情况定制，SOC 2 规定的是准则而非具体控制；使用前应核对官方来源并咨询合格法律顾问或认可评估机构。资料未提供具体安装命令、价格或平台信息。