适合哪些情况
- 合同、供应商门户或安全问卷中明确要求 SOC 2 Type 1 或 Type 2 报告
- 北美企业客户的采购流程卡在“供应商安全评审”环节
- 你已经有 ISO/IEC 27001，但美国客户仍坚持要 SOC 2
- 你希望用一份第三方报告减少反复填写安全问卷
如果客户只说“需要安全认证”，先别急着启动项目。请对方明确要的是 SOC 2 报告、ISO 证书还是问卷答复，这一步往往能省下几个月。参见 SOC 2 与 ISO/IEC 27001 如何选。
项目如何推进
| 阶段 | 主要工作 | 常见时长 |
|---|---|---|
| 1. 范围界定 | 确认报告类型、签约实体、所售服务、系统边界、信任服务类别（安全为必选，可用性、保密性等按客户需要） | 1–2 周 |
| 2. 差距评估 | 按信任服务准则逐项盘点现状，识别制度、技术控制和证据缺口 | 2–3 周 |
| 3. 整改与建设 | 制度落地；访问管理、变更管理、日志监控、备份恢复、漏洞管理、供应商管理、人员安全等控制上线 | 1–3 个月 |
| 4. 准备度评估 | 以审计视角抽查控制和证据，修正遗留问题；确定 CPA 与审计窗口 | 1–2 周 |
| 5. 鉴证 | Type 1：CPA 对某一时点进行鉴证；Type 2：经过观察期后，CPA 抽样检验期间内的运行证据 | Type 2 观察期 3–12 个月，报告出具另需数周 |
时间倒排是关键。 Type 2 的证据必须在观察期内真实形成，不能事后补写。如果客户的截止时间很紧，应尽早启动观察期，并与客户沟通阶段性材料（例如准备度评估说明或 Type 1 报告）是否可以接受。
信任服务类别怎么选
SOC 2 的安全类别（通用准则）是必选项。可用性、处理完整性、保密性、隐私四个类别按客户要求和业务性质选择。多选一个类别就意味着更多控制和证据。常见做法是首年只做安全，或加上客户最关心的可用性与保密性。
费用由哪些部分构成
一个 SOC 2 项目的总费用通常包括：
- 准备咨询费：差距评估、制度与控制建设、证据准备、准备度评估
- CPA 鉴证费：由独立 CPA 事务所收取，与事务所规模、范围和报告类型相关
- 可选工具费：合规自动化平台、日志或终端管理工具
- 可选第三方测试：渗透测试等
比较报价时请确认各家是否把 CPA 费用包含在内、Type 1 与 Type 2 是否分别计价、观察期内的支持是否收费。我们的报价会把这些部分分开列示。
交付分工
SOC 2 报告只能由独立 CPA 出具。为保持独立性，负责准备工作的顾问不能担任同一项目的审计方。在 AssureLane 的项目中，专业准备由交付合作方承担，AssureLane 负责前期判断、方案协调与全程沟通，CPA 由你与其单独签约或在报价中单列。