一、治理与组织（CC1–CC2）
- 是否有书面的信息安全方针，并经管理层批准？
- 是否指定了安全负责人，并明确各部门的安全职责？
- 员工入职时是否签署保密协议和行为准则？
- 是否有组织架构图和关键岗位说明？
- 是否定期向管理层汇报安全状况？
二、风险管理（CC3）
- 是否每年至少开展一次风险评估，并有记录？
- 风险评估是否覆盖欺诈风险和外部变化？
- 是否有风险处置计划和负责人？
三、访问控制（CC6）
- 所有系统是否使用唯一账号，禁止共享账号？
- 生产环境、云控制台和代码仓库是否强制 MFA？
- 是否有统一身份管理或 SSO？
- 新员工开通权限是否有审批记录？
- 员工离职当天是否能撤销全部权限，并有记录？
- 是否至少每季度审查一次关键系统的访问权限？
- 研发人员访问生产数据是否需要审批并有日志？
四、变更管理（CC8）
- 代码合并是否需要他人审查？
- 生产发布是否有审批或自动化流水线记录？
- 基础设施变更是否通过代码或工单管理？
- 紧急变更是否有事后补审流程？
五、系统运维与监控（CC7）
- 是否集中收集关键系统的日志并保留足够时间？
- 是否有告警机制并有人响应？
- 是否定期进行漏洞扫描，并按严重程度限期修复？
- 是否每年至少一次渗透测试？
- 终端设备是否有磁盘加密、防恶意软件和补丁管理？
- 数据在传输和存储时是否加密？
六、可用性与连续性（A1，如适用）
- 是否定期备份并测试恢复？
- 是否有业务连续性和灾难恢复计划，并演练过？
- 是否监控系统容量和可用性？
七、供应商管理（CC9）
- 是否有关键供应商清单（云、监控、客服、邮件等）？
- 引入供应商前是否评估其安全状况？
- 是否每年收集关键供应商的 SOC 2 报告或证书？
- 合同中是否有安全与保密条款？
八、人员与事件响应
- 员工是否每年完成安全意识培训？
- 是否对关键岗位开展背景调查（在当地法律允许范围内）？
- 是否有书面的事件响应流程？
- 是否定义了事件分级和通报对象？
- 过去一年是否演练过事件响应？
- 发生事件后是否有复盘记录？
九、范围与时间
- 是否清楚哪些产品、系统和团队进入报告范围？
- 是否已经与客户确认报告类型和截止时间？
怎么使用这份清单
把 40 个问题的答案和不确定点带到第一次沟通中，可以显著缩短范围界定的时间。有差距并不影响启动 SOC 2，它决定的是准备期长短和先做哪几件事。