4、五大信任服务原则详解（下）：保密性、隐私性、CCP映射

好，咱们接着聊。上回我们把可用性、处理完整性和安全性讲透了，今天来收个尾。保密性、隐私性，还有那个让很多人头疼的CCP映射。说实话，这三个概念在实战中特别容易混淆，尤其是隐私性和保密性，我见过不少团队把它们当成一回事来管，结果审计时被开了finding。

4.1 保密性（Confidentiality）——不只是“别让人看见”

保密性，说白了就是“谁该看，谁不该看”。但你别想得太简单。它不只是给文件加个密码那么简单。SOC2里的保密性，强调的是你承诺保护的那些数据——比如客户合同、商业计划、源代码——在整个生命周期里都不能被不该看到的人看到。

我个人习惯把保密性拆成三个层面来理解：

• 传输中的保密性：数据在网络上跑的时候，不能被截获。TLS 1.2以上是标配，别再用那些老掉牙的SSL了。
• 存储中的保密性：数据躺在磁盘上，也得是加密的。我建议用AES-256，别问为什么，问就是行业标准。
• 使用中的保密性：数据在内存里被处理时，也得防着点。这个比较高级，但如果你做的是金融或医疗类SaaS，就得考虑内存加密了。

我在项目中遇到过一家做HR SaaS的公司，他们把员工薪资数据存在S3里，桶的权限配得没问题，但日志里发现有个离职员工的AK/SK还在用。嗯，这就是典型的“存储保密性”没管好。密钥轮换和离职账号清理，这两件事必须自动化。

4.2 隐私性（Privacy）——比保密性多了一层“人情味”

隐私性和保密性有什么区别？我经常用一句话解释：保密性是“你不能看”，隐私性是“你看了也不能乱用”。

隐私性关注的是个人身份信息（PII）的收集、使用、存储、共享和销毁。它不只是技术问题，更是流程和合规问题。SOC2的隐私性原则，其实很大程度上借鉴了ISO 27701和GDPR的思路。

具体来说，隐私性要求你做到：

1. 告知与同意：用户得知道你在收集什么数据，并且明确同意。别搞那种默认勾选的小把戏，审计师一眼就能看出来。
2. 目的限制：你收集数据时说了是用来做A的，就别偷偷拿去干B。我曾经见过一个CRM厂商，把客户数据拿去做AI训练，结果被审计抓了个正着。
3. 数据最小化：只收集你真正需要的数据。别什么都往数据库里塞，那是给自己埋雷。
4. 保留与销毁：数据不能无限期保留。定个策略，比如用户注销后30天自动删除PII。

4.3 CCP（Common Criteria）映射——把原则落地到具体控制

好，到了最硬核的部分了。CCP映射，全称是Common Criteria for Controls Mapping。说白了，就是把你上面那些抽象的原则（保密性、隐私性），映射到具体的、可审计的控制措施上。

为什么需要这个？你想想看，审计师来检查你的保密性，你不能只说“我们很重视保密性”。你得拿出证据：加密策略文档、密钥管理流程、访问控制列表、数据分类标签……这些就是控制措施。CCP映射就是帮你把“原则”翻译成“控制”的那张对照表。

我习惯用一张表来做这个映射，结构大概是这样的：

信任服务原则	CCP控制类别	具体控制示例	证据类型
保密性	CC1 - 控制环境	数据分类策略、访问控制策略	策略文档、审批记录
保密性	CC6 - 逻辑与物理访问控制	加密标准、密钥管理、网络隔离	配置截图、密钥轮换日志
隐私性	CC1 - 控制环境	隐私政策、数据收集同意流程	隐私政策页面、用户同意记录
隐私性	CC6 - 逻辑与物理访问控制	PII数据脱敏、访问审计日志	脱敏规则配置、审计日志
隐私性	CC8 - 监控	PII异常访问告警、数据泄露检测	告警规则、事件响应记录

你看，每个原则都能拆解到具体的CCP控制类别里。SOC2的CCP一共有17个类别（CC1到CC17），但实际做映射时，你不需要全部覆盖。只选那些跟你业务相关的就行。

4.4 实战中的常见误区

最后，我分享几个实战中常见的坑，你们可以对照着自查一下：

• 误区一：把保密性和隐私性混为一谈。保密性管的是“机密数据”，隐私性管的是“个人数据”。两者有重叠，但审计时是分开检查的。我建议你分别建两个控制矩阵。
• 误区二：CCP映射做得太粗。有些人只写“我们做了加密”，但没写“用什么算法、密钥存在哪、多久轮换一次”。审计师要的是细节，不是口号。
• 误区三：忽略“使用中的保密性”。很多公司只关注传输和存储加密，但数据在内存里被处理时，如果被其他进程dump出来，照样是泄露。尤其是容器化环境，这个问题更突出。

好了，这一章的内容就到这里。保密性、隐私性、CCP映射，这三个东西是SOC2认证里最容易出问题的环节。你只要把映射表做扎实了，审计师基本挑不出大毛病。下一章我们聊聊如何把这些控制措施落地到DevOps流程里，那才是真正的实战环节。