SOC 2 审计备战

SOC 2 Type II 审计的隐形地雷

SOC 2 Type II 审计的观察期通常长达数月，期间控制措施极易出现执行变形、周期遗漏等问题。更常见的是，团队习惯在审计前几周突击补充证据，这种“后置收集”在审计师眼中是典型的控制失效信号，极易引发异常发现（Findings）。

六问法：在观察期内建立控制防线

该技能通过 /cs:soc2-audit-prep 命令，在观察期的关键节点（如第 1-2 个月、第 6 个月、第 10 个月）抛出六个强制问题，帮助团队提前排雷：

• 界定范围与 TSC 标准：确认 Security 等必选控制类别，以及根据客户诉求选择的 Availability 等可选项。
• 追踪控制周期完整性：检查季度、月度或持续型控制（如漏洞扫描、访问审查）是否存在漏跑或断档。
• 审查中期变更证据：对观察期内新增、修改或移除的控制措施，要求提供完整的变更管理记录与影响评估。
• 校验异常日志与重要性：要求异常必须实时记录而非事后补录，并评估单个异常是否影响整体控制有效性。
• 前置样本证据收集：强制要求提供观察期第一个月的样本证据，以证明持续的运行纪律，杜绝月底突击。
• 跨框架证据复用：利用框架映射工具对齐 ISO 27001，复用约 75% 重叠的控制证据，避免重复劳动。

适用边界与操作建议

• 避免中期变更：尽量不要在观察期内新增或修改控制措施，将此类变更推迟到下一周期以降低审计风险。
• 保持日志实时性：异常日志必须在发生时记录，事后补录会被视为内部控制缺陷。
• 多框架协同：若需同时应对 ISO 27001 或 GDPR，应配合相应的审计准备技能使用，以统一审计日历和证据库。