# 出海 SaaS 与企业软件的合规路线图

> 对出海 SaaS 来说，合规首先是销售问题：没有 SOC 2 报告或 ISO 证书，大客户的采购流程往往进不去。关键是按目标客户和成交节奏排好先后顺序。

来源页面: https://assurelane.ai/industries/saas/
更新: 2026-10-10 · 来源核验: 2026-10-10

## 客户会在什么时候问

| 销售阶段 | 常见要求 |
| --- | --- |
| 初次接触 / POC | 安全概述、架构说明、数据存储位置 |
| 供应商评审 | 安全问卷（SIG、CAIQ 或自定义）、SOC 2 报告或 ISO 27001 证书、渗透测试摘要 |
| 合同谈判 | DPA、安全附件、事件通报时限、审计权、数据驻留、保险 |
| 续约 | 最新的 SOC 2 报告（覆盖最近 12 个月）、证书有效性、问卷更新 |

## SaaS 与企业软件合规的推荐顺序

1. **先打基础**：身份与访问管理（SSO、MFA）、日志、备份、变更管理、漏洞管理、供应商管理。这些是所有框架的共同底座。
2. **按客户选第一个框架**：北美客户为主选 [SOC 2](https://assurelane.ai/frameworks/soc-2/)；欧洲和亚太为主选 [ISO/IEC 27001](https://assurelane.ai/frameworks/iso-27001/)；两者都有时，一套控制分两次审核。
3. **隐私同步做**：面向欧洲客户必须准备 [GDPR](https://assurelane.ai/frameworks/gdpr/) 下的 DPA、子处理者清单和传输机制。
4. **扩展**：客户问云安全时加 [CSA STAR](https://assurelane.ai/frameworks/csa-star/)；隐私尽调多时加 [ISO/IEC 27701](https://assurelane.ai/frameworks/iso-27701/)。

## SaaS 特有的难点

- **多租户隔离**：如何证明客户数据相互隔离
- **生产访问**：研发人员能否直接访问生产数据，是否有审批和日志
- **子处理者**：使用的云、监控、客服、邮件服务都需要列入清单并评估
- **数据驻留**：欧洲客户可能要求数据存储在欧盟
- **中国研发团队访问海外数据**：需要结合 [美国数据安全计划](https://assurelane.ai/frameworks/us-data-security-program/) 与 GDPR 传输规则评估

## 常见问题

### 种子轮、A 轮的 SaaS 有必要做 SOC 2 吗？

取决于客户。如果目标客户是中大型企业，尤其是北美客户，SOC 2 往往是进入采购流程的门槛，越早规划越好；如果主要做中小企业自助订阅，可以先建立基础控制和安全概述，等大客户出现再启动。

## 参考来源

- [AICPA & CIMA — SOC 2](https://www.aicpa-cima.com/topic/audit-assurance/audit-and-assurance-greater-than-soc-2)
- [ISO — ISO/IEC 27001](https://www.iso.org/standard/27001)

---
本页为一般性信息，不构成法律、审计或认证意见。AssureLane 不出具 SOC 2 报告或 ISO 证书。