# SOC 2 准备与鉴证协同服务

> 从读懂客户条款开始，确定报告类型和系统范围，让控制持续运行、证据按期形成，再交给独立 CPA 鉴证。报告由 CPA 出具，我们负责让你准备好。

来源页面: https://assurelane.ai/services/soc-2/
更新: 2026-10-10 · 来源核验: 2026-10-10

## 交付物

- 范围说明：签约实体、服务、系统边界与信任服务类别
- 差距评估报告与整改路线图
- 安全制度与流程文件（访问、变更、事件、供应商、风险等）
- 控制矩阵：控制描述、负责人、频率与证据
- 系统描述（System Description）草稿
- 证据目录与观察期内的证据收集计划
- 准备度评估结论
- 与独立 CPA 的审计计划、材料清单与问询响应

典型周期: Type 1 约 2–4 个月；Type 2 另需 3–12 个月观察期

## 需要你提供

- 客户条款或问卷原文、期望的报告类型与时间
- 一位能拍板的项目负责人，以及工程、运维、人事的对接人
- 云平台、身份管理、代码仓库、工单系统的只读访问或截图
- 在观察期内按控制要求真实执行并留下记录

## 不包含

- SOC 2 报告本身（由独立 CPA 出具，费用单列）
- 渗透测试、代码审计等第三方技术测试（可协助安排）
- 合规自动化平台订阅费（如选用）
- 对审计结论的任何保证

## 适合哪些情况

- 合同、供应商门户或安全问卷中明确要求 **SOC 2 Type 1 或 Type 2 报告**
- 北美企业客户的采购流程卡在“供应商安全评审”环节
- 你已经有 ISO/IEC 27001，但美国客户仍坚持要 SOC 2
- 你希望用一份第三方报告减少反复填写安全问卷

如果客户只说“需要安全认证”，先别急着启动项目。请对方明确要的是 SOC 2 报告、ISO 证书还是问卷答复，这一步往往能省下几个月。参见 [SOC 2 与 ISO/IEC 27001 如何选](https://assurelane.ai/insights/soc-2-or-iso-27001/)。

## 项目如何推进

| 阶段 | 主要工作 | 常见时长 |
| --- | --- | --- |
| 1. 范围界定 | 确认报告类型、签约实体、所售服务、系统边界、信任服务类别（安全为必选，可用性、保密性等按客户需要） | 1–2 周 |
| 2. 差距评估 | 按信任服务准则逐项盘点现状，识别制度、技术控制和证据缺口 | 2–3 周 |
| 3. 整改与建设 | 制度落地；访问管理、变更管理、日志监控、备份恢复、漏洞管理、供应商管理、人员安全等控制上线 | 1–3 个月 |
| 4. 准备度评估 | 以审计视角抽查控制和证据，修正遗留问题；确定 CPA 与审计窗口 | 1–2 周 |
| 5. 鉴证 | Type 1：CPA 对某一时点进行鉴证；Type 2：经过观察期后，CPA 抽样检验期间内的运行证据 | Type 2 观察期 3–12 个月，报告出具另需数周 |

**时间倒排是关键。** Type 2 的证据必须在观察期内真实形成，不能事后补写。如果客户的截止时间很紧，应尽早启动观察期，并与客户沟通阶段性材料（例如准备度评估说明或 Type 1 报告）是否可以接受。

## 信任服务类别怎么选

SOC 2 的**安全**类别（通用准则）是必选项。可用性、处理完整性、保密性、隐私四个类别按客户要求和业务性质选择。多选一个类别就意味着更多控制和证据。常见做法是首年只做安全，或加上客户最关心的可用性与保密性。

## 费用由哪些部分构成

一个 SOC 2 项目的总费用通常包括：

1. **准备咨询费**：差距评估、制度与控制建设、证据准备、准备度评估
2. **CPA 鉴证费**：由独立 CPA 事务所收取，与事务所规模、范围和报告类型相关
3. **可选工具费**：合规自动化平台、日志或终端管理工具
4. **可选第三方测试**：渗透测试等

比较报价时请确认各家是否把 CPA 费用包含在内、Type 1 与 Type 2 是否分别计价、观察期内的支持是否收费。我们的报价会把这些部分分开列示。

## 交付分工

SOC 2 报告只能由独立 CPA 出具。为保持独立性，**负责准备工作的顾问不能担任同一项目的审计方**。在 AssureLane 的项目中，专业准备由交付合作方承担，AssureLane 负责前期判断、方案协调与全程沟通，CPA 由你与其单独签约或在报价中单列。

## 常见问题

### 客户要 Type 2，能先给 Type 1 吗？

很多采购方在首年接受 Type 1 加上 Type 2 时间表作为过渡，但这取决于对方的供应商政策。建议先书面确认，再决定是先做 Type 1 还是直接进入 Type 2 观察期。

### 观察期最短可以多短？

实践中常见 3 个月起，6 或 12 个月更普遍，也更受大型客户认可。观察期长短需要与 CPA 和客户共同确认。

### 必须买 Vanta、Drata 这类自动化平台吗？

不是必须。自动化平台可以减少取证工作量，适合云原生、系统集成度高的团队；规模较小或系统简单的团队用表格和工单系统同样可以完成。我们会按你的情况给出建议，不捆绑销售。

### SOC 2 报告可以直接发给所有潜在客户吗？

SOC 2 是限制使用的报告，通常在签署保密协议后提供给客户及其审计师。需要公开展示时，可考虑另行出具 SOC 3 报告或建立信任中心。

## 参考来源

- [AICPA & CIMA — SOC 2 SOC for Service Organizations](https://www.aicpa-cima.com/topic/audit-assurance/audit-and-assurance-greater-than-soc-2)
- [AICPA & CIMA — 2017 Trust Services Criteria (Revised Points of Focus 2022)](https://www.aicpa-cima.com/resources/download/2017-trust-services-criteria-with-revised-points-of-focus-2022)

---
本页为一般性信息，不构成法律、审计或认证意见。AssureLane 不出具 SOC 2 报告或 ISO 证书。