01
SOC2审计概述
SOC2的起源与发展 · SOC2与SOC1/SOC3的区别 · 审计核心价值
基础概念
02
信任服务准则（TSC）详解
安全性 · 可用性 · 处理完整性 · 保密性 · 隐私性
五大准则核心
03
安全性准则
防火墙与网络分段 · 入侵检测与防御 · 漏洞管理 · 安全事件响应
安全技术
04
可用性准则
高可用架构 · 灾备与业务连续性 · 性能监控 · SLA管理
高可用运维
05
处理完整性准则
数据输入验证 · 逻辑校验 · 错误处理与重试 · 输出验证
数据完整性
06
保密性准则
数据分类与标记 · RBAC/ABAC · 加密技术 · 数据脱敏
保密加密
07
隐私性准则
PII识别与映射 · 隐私政策 · 用户同意管理 · DSR响应
隐私合规
08
SOC2审计类型
Type I 设计有效性 · Type II 运营有效性 · 区别与选择
类型决策
09
Type I审计详解
范围界定 · 控制描述 · 设计有效性评估 · 报告周期
Type I设计
10
Type II审计详解
审计周期(6-12月) · 证据收集 · 运营有效性测试 · 抽样策略
Type II运营
11
审计范围界定
系统边界 · 基础设施范围(云/本地/混合) · 子服务商
范围边界
12
子服务商管理
供应商风险评估 · SOC报告审阅 · 合同控制条款 · 监控
供应商风险
13
控制目标与控制活动
定义控制目标 · 设计控制活动 · 映射TSC · 编号规范
控制框架
14
证据收集方法
自动化工具体系(SIEM/CMDB) · 人工证据 · 保留周期
证据自动化
15
测试方法
询问 · 观察 · 检查 · 重新执行
测试方法
16
抽样策略
统计/非统计抽样 · 样本量 · 周期覆盖 · 异常处理
抽样统计
17
桥接信函（Bridge Letter）
用途与时机 · 内容要素 · 对报告影响 · 常见问题
桥接信函
18
SOC2报告结构
审计师意见 · 管理层声明 · 系统描述 · 控制测试结果
报告结构
19
审计师意见类型
无保留 · 保留 · 否定 · 无法表示意见
意见审计
20
管理层声明（Management Assertion）
声明内容 · 签署要求 · 责任界定 · 常见误区
声明管理层
21
系统描述（System Description）
边界描述 · 基础设施 · 软件与数据流 · 人员流程
系统描述
22
控制描述与测试结果
控制编号 · 描述 · 测试程序 · 结果(通过/例外)
控制测试
23
例外（Exception）处理
设计/运营例外 · 根本原因 · 整改计划(CAPA) · 影响评估
例外CAPA
24
整改计划（CAPA）
整改措施 · 责任人时间表 · 跟踪验证 · 下周期体现
整改CAPA
25
SOC2与合规框架映射
ISO 27001 · NIST CSF · PCI DSS · GDPR
映射合规
26
SOC2审计准备
差距分析 · 控制实施 · 预审(Readiness) · 审计师选择
准备预审
27
审计师选择
四大vs精品所 · 行业经验 · 报价结构 · 沟通机制
选择审计师
28
持续监控与持续审计
自动化监控 · 实时告警 · 合规仪表盘 · 持续证据收集
持续监控
29
SOC2常见挑战与误区
过度文档化 · 控制覆盖不全 · 子服务商薄弱 · 证据不充分
挑战误区
30
SOC2未来趋势
AI与自动化审计 · 实时报告 · 供应链安全 · 隐私法规融合
趋势未来