SOC 2 合规加速器
您的代理，用于实现和维护 SOC 2 Type I 和 Type II 合规性——从准备评估到审计完成。
功能概述
指导组织完成完整的 SOC 2 生命周期：差距分析、控制实施、证据收集、审计准备和持续监控。涵盖所有 5 项信任服务标准，并提供实用的实施步骤。
使用方法
告诉您的代理您所处的阶段：
- “运行 SOC 2 准备评估” — 对所有信任服务标准进行 64 点差距分析
- “构建 SOC 2 控制矩阵” — 将控制措施映射到标准，明确责任人和证据要求
- “创建 SOC 2 证据收集计划” — 自动和手动证据收集时间表
- “准备 SOC 2 审计” — 审计师就绪的文档包清单
- “SOC 2 持续监控仪表板” — 认证后的持续合规跟踪
信任服务标准覆盖范围
CC — 通用标准（安全性）— 必需
- CC1：控制环境（高层基调、组织结构、问责制）
- CC2：沟通与信息（内部/外部、系统边界）
- CC3：风险评估（风险识别、欺诈风险、变更影响）
- CC4：监控活动（持续评估、缺陷报告）
- CC5：控制活动（政策、技术控制、部署）
- CC6：逻辑与物理访问（访问管理、身份验证、物理安全）
- CC7：系统运营（漏洞管理、事件响应、恢复）
- CC8：变更管理（变更授权、测试、批准）
- CC9：风险缓解（供应商管理、业务连续性）
可选标准
- 可用性 (A1)：正常运行时间 SLA、灾难恢复/业务连续性计划、容量规划
- 处理完整性 (PI1)：数据准确性、完整性、及时性
- 保密性 (C1)：分类、加密、保留、处置
- 隐私 (P1)：通知、同意、收集、使用、披露、访问
准备评估框架
第一阶段：范围界定（第 1 周）
系统描述清单：
□ 基础设施组件（云、本地、混合）
□ 软件栈（应用程序、数据库、中间件）
□ 人员（角色、职责、第三方）
□ 流程（运营、安全、变更管理）
□ 数据流（流入、处理、存储、流出）
□ 信任服务标准选择（安全性 + 哪些可选？）
□ 子服务组织（云提供商、SaaS 工具）
□ 子服务组织的分离法 vs 包含法
第二阶段：差距分析（第 2-3 周）
对每个控制领域评分 1-5：
- 1 — 未开始：无政策、无流程、无证据
- 2 — 临时性：存在非正式流程但未记录
- 3 — 已定义：已记录但执行不一致
- 4 — 已管理：已记录、已执行、有部分证据
- 5 — 已优化：自动化、受监控、可审计证据
优先级矩阵：
| 差距分数 | 行动 | 时间线 |
|---|---|---|
| 1-2 | 关键 — 立即实施 | 2-4 周 |
| 3 | 重要 — 正式化和记录 | 1-2 周 |
| 4 | 次要 — 填补证据缺口 | 3-5 天 |
| 5 | 维护 — 持续监控 | 持续进行 |
第三阶段：整改（第 3-10 周）
针对每个差距：
1. 分配控制负责人（按姓名，非角色）
2. 定义实施步骤
3. 设定证据收集方法（首选自动化）
4. 建立测试节奏
5. 记录例外处理流程
控制实施优先级
必备控制（第 1-4 周）
- 访问管理：单点登录、所有系统启用多因素认证、季度访问审查
- 加密：传输中使用 TLS 1.2+、静态数据使用 AES-256、密钥管理
- 日志记录：集中式日志记录、至少 90 天保留期、防篡改
- 事件响应：记录的计划、明确的角色、每年测试
- 变更管理：审批工作流、代码审查、部署门控
- 供应商管理：供应商清单、风险评估、关键供应商的 SOC 2 报告
- 员工安全：背景调查、安全意识培训、可接受使用政策
- 漏洞管理：定期扫描、补丁节奏（关键漏洞 <72 小时）、渗透测试
应有控制（第 4-8 周）
- 业务连续性：灾难恢复计划、定义 RTO/RPO、每半年测试
- 数据分类：4 层模型（公开、内部、机密、受限）
- 网络安全：网络分段、入侵检测/防御系统、Web 应用程序防火墙
- 终端保护：终端检测与响应、设备加密、移动设备管理
可选控制（第 8 周+）
- 安全指标仪表板：实时合规态势
- 自动化合规监控：持续控制测试
- 零信任架构：超越边界安全
证据收集指南
自动化证据（一次性设置，永久收集）
| 控制 | 证据来源 | 工具示例 |
|---|---|---|
| 访问审查 | IAM 导出 | Okta, Azure AD, AWS IAM |
| 加密 | 配置快照 | AWS Config, CloudTrail |
| 日志记录 | 日志聚合 | Datadog, Splunk, ELK |
| 漏洞扫描 | 扫描报告 | Qualys, Nessus, Snyk |
| 变更管理 | PR/部署历史 | GitHub, GitLab, Jira |
| 正常运行时间 | 监控仪表板 | Datadog, PagerDuty |
手动证据（计划性收集）
| 控制 | 证据类型 | 频率 |
|---|---|---|
| 背景调查 | HR 记录 | 每次招聘 |
| 安全培训 | 完成证书 | 每年 |
| 风险评估 | 评估文档 | 每年 |
| 渗透测试 | 报告 | 每年 |
| 灾难恢复测试 | 测试结果 | 每半年 |
| 董事会/管理层审查 | 会议纪要 | 每季度 |
| 供应商审查 | 评估记录 | 每年 |
| 政策审查 | 版本历史 | 每年 |
审计时间线
Type I（时点审计）— 总计 8-12 周
第 1-2 周： 审计师选择 + 约定书
第 2-4 周： 系统描述草案
第 4-6 周： 控制文档 + 证据准备
第 6-8 周： 现场工作（审计师测试）
第 8-10 周： 草案报告审查
第 10-12 周： 最终报告发布
Type II（期间审计）— 3-12 个月观察期 + 4-6 周现场工作
第 1 个月： 观察期开始（最少 3 个月，建议 6-12）
持续进行： 证据收集、控制运行
第 3-12 个月： 观察期结束
+第 1-2 周： 现场工作安排
+第 2-4 周： 现场工作（测试观察期）
+第 4-6 周： 草案报告 + 最终报告
成本框架
| 公司规模 | Type I | Type II | 年度维护 |
|---|---|---|---|
| 初创公司 (<50人) | $20K-$50K | $30K-$80K | $15K-$40K |
| 中型市场 (50-500人) | $40K-$100K | $60K-$150K | $30K-$80K |
| 企业 (500+人) | $80K-$200K | $120K-$300K | $60K-$150K |
包含：审计师费用、工具、人员时间、整改成本。
需预算的隐藏成本：
- 合规自动化平台：$10K-$50K/年
- 额外安全工具：$5K-$30K/年
- 人员时间（内部）：200-800 小时
- 政策/流程编写（如外包）：$5K-$20K
常见审计发现（避免这些）
- 终止后 24 小时内未撤销访问权限 — #1 发现
- 缺失或不完整的风险评估 — 年度要求
- 无管理层审查证据 — 需要会议纪要
- 不完整的供应商管理 — 缺失关键供应商的 SOC 2 报告
- 不一致的变更管理 — 紧急变更无追溯性批准
- 安全培训缺口 — 新员工未在 30 天内接受培训
- 日志记录缺口 — 并非所有范围内系统都发送到集中日志
AI 代理 SOC 2 注意事项（2026）
在 SOC 2 环境中部署 AI 代理时：
- 数据边界：代理不得访问其定义范围之外的数据
- 审计跟踪：所有代理操作必须被记录并可追溯
- 访问控制：代理服务账户需要与人类账户相同的严格性
- 模型治理：记录哪些模型处理客户数据
- 提示注入防御：CC7（系统运营）控制的一部分
- 输出验证：代理输出的处理完整性控制
行业特定要求
| 行业 | 额外标准 | 关键控制 |
|---|---|---|
| 金融科技 | 通常包含所有 5 项 TSC | SOX 映射、全方位加密、如涉及支付则需 PCI |
| 医疗保健 | 隐私、保密性 | HIPAA 交叉对照、业务伙伴协议、受保护健康信息处理 |
| SaaS | 可用性、保密性 | 多租户隔离、SLA 合规 |
| 法律 | 保密性、隐私 | 特权保护、案件隔离 |
| 建筑 | 安全性、可用性 | 现场数据保护、离线能力 |
| 电子商务 | 通常包含所有 5 项 TSC | PCI DSS 对齐、交易完整性 |
让公司付出 6 个月以上时间的 7 个 SOC 2 错误
- 从 Type II 开始 — 先做 Type I，证明控制有效，再进行观察
- 范围界定过宽 — 仅包含接触客户数据的系统
- 选择错误的审计师 — 选择了解您行业的审计师
- 手动收集证据 — 从第一天就自动化，否则会淹没在电子表格中
- 将其视为项目而非计划 — SOC 2 是持续性的
- 忽视子服务组织 — 您的云提供商的 SOC 2 很重要
- 没有执行发起人 — 没有预算权限的合规 = 失败
获取完整实施包
此技能为您提供框架。如需包含监管交叉对照、成本模型和供应商选择指南的行业特定合规手册：
🔗 AfrexAI 上下文包 — 每个行业垂直领域 $47
可用包：金融科技、医疗保健、法律、建筑、电子商务、SaaS、房地产、招聘、制造业、专业服务
🔗 AI 收入流失计算器 — 找出合规缺口导致资金流失的地方
🔗 代理设置向导 — 在几分钟内部署合规监控代理
捆绑定价：
- 选择 3 个包：$97
- 所有 10 个包：$197
- 完整捆绑包：$247