如何获取 SOC 2 报告

按 Paul Gillet · 更新于 2026-10-17

如果客户问“你们是否符合 SOC 2？”，他们真正要的是 SOC 2 报告：由独立注册会计师事务所就您的控制措施出具的意见，依据的是 AICPA 的鉴证准则。不存在所谓的 SOC 2 证书，也没有合格分数线。报告描述您的系统、控制措施以及审计师的测试情况，客户的安全团队会阅读该报告，以判断是否信任您处理其数据。

报告涵盖的内容

SOC 2 依据 AICPA 的信任服务标准（2017 年发布，关注点于 2022 年修订）测试您的控制措施，共有五个类别：

• 安全性（通用标准，CC1–CC9）：始终包含在内。涵盖治理、风险评估、监控、逻辑与物理访问、运营、变更管理和供应商风险。
• 可用性（A1）：容量、备份与恢复。若客户依赖您的正常运行时间，则应纳入。
• 机密性（C1）：识别和处置机密信息。对于持有客户数据的 B2B 产品较为常见。
• 处理完整性（PI1）：处理的完整、准确和及时。与支付、薪资和数据处理服务相关。
• 隐私性（P1–P8）：个人信息的告知、同意、保留和披露。很少有安全框架涵盖此项；GDPR（通用数据保护条例）与之最为接近。

大多数首份报告仅包含安全性，或包含安全性加可用性和机密性。应在客户提出要求时再增加类别，而不是默认纳入：每增加一个类别，就需要运行更多控制措施，并收集更多证据。

Type I 还是 Type II？

• Type I 报告表明，您的控制措施在某一个日期设计得当并已到位。出具速度较快，当交易不能等待时，可作为第一步使用。
• Type II 报告表明，您的控制措施在一段时期内设计得当并且有效运行，通常为 3 至 12 个月。大多数客户的供应商风险团队实际需要的正是这种报告，因为它能证明控制措施在实践中确实有效。

常见路径是：准备就绪后先出具 Type I，然后出具覆盖 3 至 6 个月的首份 Type II，再之后每年出具覆盖 12 个月的 Type II 报告。

步骤

1. 界定范围内的系统：客户购买的产品或服务，以及支撑它的基础设施、人员、流程和数据。范围应仅限于客户所依赖的部分；范围收窄，运行成本更低，也更易解释。
2. 选择标准：安全性，加上客户要求的任何其他类别。
3. 依据标准开展准备度评估。如果您已遵循其他框架，可使用差距分析，然后与 CPA 事务所或顾问确认。
4. 弥补差距并形成书面文件：政策、风险评估、访问审查、变更管理、供应商审查、事件响应、入职与离职流程、备份。审计师会将您的实际做法与您所声明的做法进行对照测试，因此文件必须与实际情况相符。
5. 选择 CPA 事务所。只有持牌的 CPA 事务所才能出具 SOC 2 报告。应比较其服务同类企业的经验、审计师的技术深度，以及证据的收集方式。
6. 可选的 Type I：审计师在某一时间点检查控制措施的设计与实施情况。
7. 运行 Type II 的观察期：执行每一项控制措施，并在过程中留存证据。
8. 现场工作与报告：审计师从观察期内抽取证据样本，与您讨论任何例外情况，并通常在观察期结束后数周内出具报告。
9. 持续维护：SOC 2 报告反映的是过去的情况，因此客户期望每年都有新报告，且各期之间不能出现空档。

典型时间线

对于安全卫生状况良好的小型软件公司，准备与整改通常需要一至三个月，之后可立即出具 Type I，首份 Type II 则在此后三至六个月出具。范围更大、类别更多或流程尚不成熟，都会延长每个阶段。对于供应商所承诺的“数周内获得 SOC 2”，应理解为仅指 Type I。

审计师索取的证据

Type II 测试主要依靠抽样。请预计会收到以下类似的请求，these取自观察期：

• 新入职和离职人员的记录，证明访问权限经批准后授予、并按时撤销；
• 关键系统的定期用户访问审查；
• 变更工单，显示在投入生产前已完成审查、测试和批准；
• 漏洞扫描和渗透测试结果，以及整改情况；
• 风险评估及管理层对其的审查；
• 关键供应商的尽职调查记录；
• 事件工单，以及事件响应测试的证据；
• 备份与恢复测试，以及监控告警及后续跟进记录；
• 安全意识培训记录和已签署的政策。

容易被忽视的问题

• 分包服务机构：云服务商的控制措施并非由您负责。大多数报告采用排除法（carve-out）：您列明该服务商，依赖其自身的 SOC 2 报告，并证明您会对其进行审查。
• 互补用户实体控制措施：报告列出了客户必须自行执行的控制措施，例如管理其自身的用户。这些要求应切实可行。
• 例外情况：Type II 报告可以包含例外情况（未通过的样本），但仍然有用。应在管理层回应中清晰说明，而不是加以隐瞒。
• 范围蔓延：范围内的每个系统，在观察期的每一天都必须满足每一项控制措施。

本站如何提供帮助

ControlMapping 将每一条 SOC 2 标准映射到其所涵盖的其他框架，方便您了解现有工作有哪些可以延用。标准原文为 AICPA 的版权内容，因此我们仅展示自行撰写的一句话摘要；所有 SOC 2 链接均属于 ControlMapping 的编辑说明（编辑判断），并附有理由：AICPA 自身的映射并未公开授权。请将其用于规划，而非作为审计证据。

已有其他框架？

您可能已遵循的每个 SOC 2 框架，有多少项要求与之对应。打开差距报告可查看逐条要求列表。

对照映射 已发布的对照表（NIST、ENISA、CIS、PCI SSC）建立了关联 · 编辑说明 在不存在对照表时的 ControlMapping 判断；会显示理由 · 弱相关 仅与一项 CSF 2.0 成果共享：值得核查，但不构成映射 · 本站数据中无映射 我们的数据中未映射任何内容；通常为新工作，但请查看覆盖范围说明. 计数来源与 差距分析 相同的数据；映射仅表示相关要求，并不证明一项要求满足另一项。

常见问题

SOC 2 是认证吗？

不是。SOC 2 报告是一种鉴证报告：由 CPA 事务所就您的控制措施出具的意见。虽然“通过 SOC 2 认证”的说法很常见，但实际上并不存在任何人“获得 SOC 2 认证”。

我需要 SOC 2 Type I 还是 Type II？

大多数客户要求 Type II，因为它检验的是控制措施在一段时期内是否有效运行。若客户愿意在 Type II 观察期进行期间先接受 Type I，那么 Type I 是合理的第一步。

法律是否要求 SOC 2？

不要求。它是市场预期，主要来自美国客户的供应商风险审查流程。合同可以使其成为您的强制义务。

本内容不构成法律或合规建议。在依赖本内容之前，请核对官方原文，并咨询您的审计师、评估机构或监管机构。