# SOC 2 准备清单：启动前逐项自查的 40 个问题

> 回答“是”的越多，准备周期越短。回答“否”或“不确定”的地方，就是差距评估要重点看的位置。这份清单不替代审计准则，但能帮你在第一次沟通前看清起点。

来源页面: https://assurelane.ai/insights/soc-2-readiness-checklist/
更新: 2026-10-10 · 来源核验: 2026-10-10

## 一、治理与组织（CC1–CC2）

1. 是否有书面的信息安全方针，并经管理层批准？
2. 是否指定了安全负责人，并明确各部门的安全职责？
3. 员工入职时是否签署保密协议和行为准则？
4. 是否有组织架构图和关键岗位说明？
5. 是否定期向管理层汇报安全状况？

## 二、风险管理（CC3）

6. 是否每年至少开展一次风险评估，并有记录？
7. 风险评估是否覆盖欺诈风险和外部变化？
8. 是否有风险处置计划和负责人？

## 三、访问控制（CC6）

9. 所有系统是否使用唯一账号，禁止共享账号？
10. 生产环境、云控制台和代码仓库是否强制 MFA？
11. 是否有统一身份管理或 SSO？
12. 新员工开通权限是否有审批记录？
13. 员工离职当天是否能撤销全部权限，并有记录？
14. 是否至少每季度审查一次关键系统的访问权限？
15. 研发人员访问生产数据是否需要审批并有日志？

## 四、变更管理（CC8）

16. 代码合并是否需要他人审查？
17. 生产发布是否有审批或自动化流水线记录？
18. 基础设施变更是否通过代码或工单管理？
19. 紧急变更是否有事后补审流程？

## 五、系统运维与监控（CC7）

20. 是否集中收集关键系统的日志并保留足够时间？
21. 是否有告警机制并有人响应？
22. 是否定期进行漏洞扫描，并按严重程度限期修复？
23. 是否每年至少一次渗透测试？
24. 终端设备是否有磁盘加密、防恶意软件和补丁管理？
25. 数据在传输和存储时是否加密？

## 六、可用性与连续性（A1，如适用）

26. 是否定期备份并测试恢复？
27. 是否有业务连续性和灾难恢复计划，并演练过？
28. 是否监控系统容量和可用性？

## 七、供应商管理（CC9）

29. 是否有关键供应商清单（云、监控、客服、邮件等）？
30. 引入供应商前是否评估其安全状况？
31. 是否每年收集关键供应商的 SOC 2 报告或证书？
32. 合同中是否有安全与保密条款？

## 八、人员与事件响应

33. 员工是否每年完成安全意识培训？
34. 是否对关键岗位开展背景调查（在当地法律允许范围内）？
35. 是否有书面的事件响应流程？
36. 是否定义了事件分级和通报对象？
37. 过去一年是否演练过事件响应？
38. 发生事件后是否有复盘记录？

## 九、范围与时间

39. 是否清楚哪些产品、系统和团队进入报告范围？
40. 是否已经与客户确认报告类型和截止时间？

## 怎么使用这份清单

把 40 个问题的答案和不确定点带到第一次沟通中，可以显著缩短范围界定的时间。有差距并不影响启动 SOC 2，它决定的是准备期长短和先做哪几件事。

## 参考来源

- [AICPA & CIMA — 2017 Trust Services Criteria (Revised Points of Focus 2022)](https://www.aicpa-cima.com/resources/download/2017-trust-services-criteria-with-revised-points-of-focus-2022)

---
本页为一般性信息，不构成法律、审计或认证意见。AssureLane 不出具 SOC 2 报告或 ISO 证书。