范围
准备工作涵盖哪些内容
SOC 2 针对服务型组织的控制措施，对照 AICPA 信任服务标准（TSC）出具报告：安全性（强制性的通用标准），以及您可自行选择的可用性、处理完整性、保密性与隐私。我们帮您界定合适的标准范围，再弥合当前现状与一套可供审计的控制集之间的差距。
通常范围
- 界定系统描述以及哪些信任服务标准适用
- 对照安全性通用标准（CC1-CC9）开展控制措施差距评估
- 可选类别：可用性、处理完整性、保密性、隐私
- 审计方所期望的策略、规程以及证据/控制叙述
- 以渗透测试作为通用标准的技术证据
- Type I（某一时点的设计）与 Type II（一段期间内的运行有效性）
我们如何工作
先做好准备，再接受审计
我们帮您做准备，但不是您的审计方。这两种角色被有意分开，因为 CPA 事务所必须保持独立。我们负责差距评估与整改，您做好充分准备后接受审计，由 CPA 执行审计并出具 SOC 2 报告。我们可以推荐审计事务所，但绝不会自行出具鉴证报告。
- 1
范围界定
我们就系统边界、纳入范围的信任服务标准以及 Type I 还是 Type II 达成一致，并签署 NDA。
- 2
差距评估
我们对照通用标准及任何所选类别衡量您当前的控制措施，并按优先级排列各项差距。
- 3
整改
我们帮您搭建缺失的控制措施、策略与证据，并实施报告所依赖的渗透测试。
- 4
审计支持
我们帮您为审计做好准备，并在独立 CPA 事务所开展现场工作期间为您提供支持。
- 5
Type II 观察
对于 Type II，控制措施须在一段期间内持续运行（通常为 3 至 12 个月）。我们帮您维持其运行并留存证据。
方法论与标准
立足于 AICPA 信任服务标准
AICPA TSCSOC 2 Type I / IICommon CriteriaOWASP WSTGCVSS 3.1独立 CPA 审计
准备工作对照 AICPA 信任服务标准：安全性（强制性通用标准），以及可自行选择的可用性、处理完整性、保密性与隐私。SOC 2 审计必须由独立的持牌 CPA 事务所执行。我们提供准备、差距评估、整改以及配套的渗透测试，但我们不是 CPA 事务所，也不出具 SOC 2 报告或鉴证。Type II 还要求控制措施在一段观察期内持续运行。