关于 soc2-readiness
这项技能为组织提供 SOC 2 准备流程，适用于从控制措施梳理到审计准备的团队。内容涵盖范围界定、差距评估、整改、证据整理和审计安排，并给出预期交付物。
主要功能
- 01区分 Type I 与 Type II 范围
- 02按信任服务准则评估差距
- 03规划整改优先级与时间线
- 04整理控制措施证据包
- 05准备审计流程与交付物
适用场景
- 01首次建立 SOC 2 控制措施清单
- 02评估现有实践与准则的差距
- 03为审计整理证据及系统说明
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/soc2-readiness确认已加载。
详细介绍
SOC 2 就绪准备
推动组织从“没有记录任何控制措施”迈向可接受审计。
1. 范围界定
- 确定报告类型：Type I（特定时点）与 Type II（特定时间段——尽早开始观察期）
- 定义系统描述：纳入范围的服务、基础设施、边界（子处理方、云服务提供商）
- 选择信任服务准则：安全性（必需）＋可用性、保密性、处理完整性、隐私（视情况而定）
2. 差距评估
将当前实践映射到相应准则：
| 领域 | 常见准则 | 常见差距 |
|---|---|---|
| 访问控制 | CC6.1–CC6.3 | 未启用 MFA、没有基于角色的访问控制、账户共享 |
| 变更管理 | CC8.1 | 部署未经同行评审、环境之间没有隔离 |
| 风险评估 | CC3.1–CC3.4 | 未开展年度风险评估或供应商审查 |
| 监控 | CC7.1–CC7.3 | 未审查日志、未对异常情况设置告警 |
| 事件响应 | CC7.4–CC7.5 | 没有 IR 计划或桌面演练证据 |
| BC/DR | A1.2–A1.3 | 备份未经测试、未记录 RTO/RPO |
| 供应商管理 | CC9.2 | 未对分处理方开展尽职调查 |
| 入职/离职管理 | CC6.1 | 未及时移除访问权限，或没有留存相关证据 |
3. 补救措施
- 优先处理会阻碍审计的问题，其次按风险排序
- 同步落实策略、实践和证据：没有执行证据的策略无法通过审计
- 典型时间线：Type I 需 2–4 个月；Type II 需 2–12 个月的运行证据
4. 证据包
每项控制均需提供：策略文件、实施材料（屏幕截图、配置）以及覆盖审查期间的、注明日期的运行证据（访问审查、变更工单、培训日志、IR 演练）
5. 审计安排
- 选择审计机构；确认范围表述与系统描述一致
- 就绪评估（可选但很有用）→ 现场工作 → 审查报告草案
- 如实跟踪审计发现/例外；记录管理层的回应
输出
包含负责人和日期的差距登记表、映射至准则的控制矩阵、证据存储库结构，以及可供审计人员使用的系统描述。
评论
支持 Markdown