VIP18

本课程属于：029-GRC安全合规与审计治理 网络通信与数字安全工程 · 共 18 门相关课程，组合学习更完整。

查看所属VIP全部课程 →

← 返回所属目录咨询 / 购买

从零掌握 SOC2 控制标准框架

📚 共计 30 章节

什么是SOC2 · 起源与发展 · 与ISO27001/HIPAA区别

基础框架对比

信任服务准则 (TSC)

安全性·可用性·处理完整性·保密性·隐私性

核心五大准则

SOC2 报告类型

Type I / Type II · 适用场景 · 审计周期

SOC2 审计范围

边界确定 · 系统描述 · 基础设施/软件/人员/数据/流程

通用标准 CC1.0-3.0

控制环境 · 沟通与信息 · 风险评估

通用标准 CC4.0-6.0

监控活动 · 控制活动 · 逻辑与物理访问控制

通用标准 CC7.0-9.0

系统运维 · 变更管理 · 风险管理

补充标准 A 系列

A1.0 概述 · A1.1 备份恢复 · A1.2 加密密钥

补充标准 C 系列

C1.0 保密性 · C1.1 数据分类标记 · C1.2 脱敏销毁

补充标准 P 系列

P1.0 隐私框架 · P1.1 收集使用 · P1.2 数据主体权利

补充标准 PI 系列

PI1.0 处理完整性 · PI1.1 输入验证 · PI1.2 错误重试

完整性PI系列

控制环境 (CC1.0)

管理层承诺 · 组织结构 · 职责分离 · 人力资源政策

风险评估 (CC3.0)

风险识别 · 分析 · 应对 · 供应商风险管理

逻辑与物理访问控制 (CC6.0)

身份认证 · 授权 · MFA · 物理安全

系统运维 (CC7.0)

事件监控 · 日志管理 · 漏洞扫描 · IDS/IPS

变更管理 (CC8.0)

变更请求 · 测试审批 · 紧急变更 · 配置管理数据库

风险管理 (CC9.0)

业务影响分析 · 灾备计划 · 业务连续性 · 保险外包

数据备份与恢复 (A1.1)

全量/增量/差异 · 介质管理 · 恢复演练

加密与密钥管理 (A1.2)

算法选择 · 密钥生命周期 · HSM/KMS

数据分类与标记 (C1.1)

分级标准 · 标签机制 · 自动分类 · 访问策略

数据脱敏与销毁 (C1.2)

静态/动态脱敏 · 安全删除 NIST 800-88

个人数据收集与使用 (P1.1)

同意管理 · 隐私政策 · 最小化 · 跨境传输

数据主体权利 (P1.2)

访问权 · 删除权 · 更正权 · 可携带权 · 投诉

数据输入验证 (PI1.1)

校验规则 · API参数 · 文件上传 · SQL注入防护

错误处理与重试机制 (PI1.2)

异常捕获 · 事务回滚 · 消息队列重试 · 幂等性

SOC2 证据收集

日志/配置/访谈/截图 · 自动化证据工具

SOC2 控制测试

设计/运行有效性 · 抽样方法 · 测试文档

测试有效性

SOC2 整改与补救

发现项分类 · 整改计划 · 跟踪验证 · 持续监控

SOC2 审计准备

时间线 · 团队组建 · 预审自查 · 模拟访谈

SOC2 持续合规

自动化平台 · 策略即代码 · 内部审计 · 合规文化