海外客户发来安全问卷，先别急着逐题作答

先确定“被评估的服务”

客户可能只采购某一项 SaaS 服务，但问卷写着“贵公司”。回答前要确认签约实体、产品范围、部署架构与涉及的数据类型。多个产品的控制水平可能不同；若把一个平台的实践套用到整个集团，答案容易失真。

第一类是可以直接由现有文件证明的事实，例如访问管理政策、备份频率和事件流程。第二类需要具体技术负责人核对，例如某个生产环境的加密设置或日志留存。第三类是尚未形成完整控制或证据的差距，需要说明现状与计划，不能勾选“是”后再补文档。

建立版本化的答案库，记录每个答案对应的产品、适用日期、批准人和证据位置。客户问卷之间可以复用事实，但应逐份检查定义、范围与保密要求。不要把内部架构图、客户数据或其他敏感材料直接发给未经核验的收件人。

问卷本身不等于客户必然要求第三方报告或证书。查看采购条款是否单独列出 SOC 2、ISO/IEC 27001 或其他独立证明。如果只是希望了解控制实践，先完成准确的问卷回复；若明确要报告或认证，再分别判断范围、准备周期和独立机构安排。

本页为一般性信息，不构成法律、审计或认证意见。具体适用性、项目范围与专业责任须结合企业实际情况确认。