客户会在什么时候问
| 销售阶段 | 常见要求 |
|---|---|
| 初次接触 / POC | 安全概述、架构说明、数据存储位置 |
| 供应商评审 | 安全问卷（SIG、CAIQ 或自定义）、SOC 2 报告或 ISO 27001 证书、渗透测试摘要 |
| 合同谈判 | DPA、安全附件、事件通报时限、审计权、数据驻留、保险 |
| 续约 | 最新的 SOC 2 报告（覆盖最近 12 个月）、证书有效性、问卷更新 |
SaaS 与企业软件合规的推荐顺序
- 先打基础：身份与访问管理（SSO、MFA）、日志、备份、变更管理、漏洞管理、供应商管理。这些是所有框架的共同底座。
- 按客户选第一个框架：北美客户为主选 SOC 2；欧洲和亚太为主选 ISO/IEC 27001；两者都有时，一套控制分两次审核。
- 隐私同步做：面向欧洲客户必须准备 GDPR 下的 DPA、子处理者清单和传输机制。
- 扩展：客户问云安全时加 CSA STAR；隐私尽调多时加 ISO/IEC 27701。
SaaS 特有的难点
- 多租户隔离：如何证明客户数据相互隔离
- 生产访问：研发人员能否直接访问生产数据，是否有审批和日志
- 子处理者：使用的云、监控、客服、邮件服务都需要列入清单并评估
- 数据驻留：欧洲客户可能要求数据存储在欧盟
- 中国研发团队访问海外数据：需要结合 美国数据安全计划 与 GDPR 传输规则评估