# Performing Soc 2 Type Ii Audit Preparation

> SOC 2 Type II 审计准备涉及在规定审计期（通常 6-12 个月）内，设计、实施并证明与 AICPA 信任服务标准（TSC）一致的控制措施的运营有效性。

- Skill: `killvxk/performing-soc-2-type-ii-audit-preparation-2` (Agent Skill, multi-file: 3 files)
- Install (CLI): `npx skillmds@latest add killvxk/performing-soc-2-type-ii-audit-preparation-2`
- Raw SKILL.md: https://api.skillmd.com/api/skills/killvxk/performing-soc-2-type-ii-audit-preparation-2/raw
- Safety review: pending
- Works with: Claude Code, Claude.ai, OpenAI Codex
- Category: Security
- License: Apache-2.0
- Author: killvxk (https://skillmd.com/u/killvxk)
- Updated: 2026-09-17
- Page: https://skillmd.com/skills/killvxk/performing-soc-2-type-ii-audit-preparation-2

---

# 执行 SOC 2 Type II 审计准备

## 概述
SOC 2 Type II 审计准备涉及在规定审计期（通常 6-12 个月）内，设计、实施并证明与 AICPA（美国注册会计师协会）信任服务标准（TSC，Trust Services Criteria）一致的控制措施的运营有效性。与 Type I 仅评估某一时间点的控制设计不同，Type II 评估控制措施在整个审查期间是否持续有效运营。

## 前置条件
- 了解 AICPA 信任服务标准（2017 年，2022 年更新）
- 掌握内部控制框架（COSO 2013）
- 熟悉组织 IT 基础架构和数据流
- 访问 GRC（治理、风险与合规）工具

## 核心概念

### 信任服务标准（TSC）
五个类别，其中安全（公共标准）为必选项：

| 标准 | 描述 | 是否必选 |
|------|------|----------|
| **安全（CC）** | 防护未经授权的访问 | 必选 |
| **可用性（A）** | 系统可用于运营和使用 | 可选 |
| **处理完整性（PI）** | 系统处理完整、有效、准确、及时、已授权 | 可选 |
| **机密性（C）** | 被指定为机密的信息受到保护 | 可选 |
| **隐私（P）** | 个人信息的收集、使用、保留、披露符合声明 | 可选 |

### 公共标准（CC 系列）
安全性基于 COSO 原则组织为 9 个系列：

| 系列 | 关注领域 | COSO 原则 |
|------|----------|-----------|
| CC1 | 控制环境 | 诚信和道德价值观 |
| CC2 | 沟通与信息 | 控制所需的高质量信息 |
| CC3 | 风险评估 | 识别和评估风险 |
| CC4 | 监控活动 | 监控和评估控制 |
| CC5 | 控制活动 | 选择和发展控制 |
| CC6 | 逻辑和物理访问 | 将访问限制于授权用户 |
| CC7 | 系统操作 | 检测和响应系统异常 |
| CC8 | 变更管理 | 经授权、测试和批准的变更 |
| CC9 | 风险缓解 | 通过业务流程缓解风险 |

### Type I 与 Type II 对比

| 方面 | Type I | Type II |
|------|--------|---------|
| 范围 | 某时间点的控制设计 | 某期间内的控制有效性 |
| 审计期 | 单一日期 | 6-12 个月（通常 12 个月） |
| 证据 | 设计文档 | 整个审计期内的运营证据 |
| 保证级别 | 较低 | 较高 |
| 市场价值 | 初始基线 | 行业标准期望 |

## 实施步骤

### 阶段 1：范围界定与就绪评估（第 1-4 周）
1. 确定要纳入的 TSC 类别（安全为必选，其余依客户需求）
2. 定义系统边界和描述组件：
   - 基础架构（服务器、网络、云服务）
   - 软件（应用程序、操作系统）
   - 人员（角色、职责）
   - 流程（自动化和手动）
   - 数据（数据流、分类）
3. 选择审计事务所（具有 SOC 经验的 CPA 事务所）
4. 定义审计窗口（开始和结束日期）
5. 针对所选标准进行就绪评估

### 阶段 2：控制设计与实施（第 5-16 周）
1. 将组织控制映射到 TSC 标准
2. 为每个适用标准设计控制措施：
   - **CC6.1**：逻辑访问安全（SSO、MFA、RBAC）
   - **CC6.2**：系统凭据管理
   - **CC6.3**：终止时撤销访问
   - **CC7.1**：入侵检测和监控
   - **CC7.2**：安全事件响应
   - **CC8.1**：变更管理流程
3. 实施技术控制：
   - 身份提供商（Okta、Azure AD）
   - 终端检测和响应（EDR）
   - SIEM 日志聚合
   - 漏洞扫描
   - 静态和传输加密
4. 实施管理控制：
   - 安全策略和程序
   - 背景调查流程
   - 安全意识培训
   - 供应商管理计划
5. 记录所有控制措施，包括：
   - 控制目标
   - 控制活动描述
   - 频率（持续、每日、每周、每季度、每年）
   - 控制负责人
   - 证据类型（截图、报告、工单、日志）

### 阶段 3：证据收集期（审计窗口）
1. 在整个审计期间持续运营控制措施
2. 收集并整理证据：
   - 访问审查完成记录（每季度）
   - 变更管理工单和批准记录
   - 事件响应日志
   - 漏洞扫描报告
   - 渗透测试结果
   - 培训完成记录
   - 备份验证日志
   - 系统可用性报告
3. 维护证据库，使用清晰的命名规范
4. 跟踪控制失败和例外情况
5. 对审计期间发现的控制差距实施修复

### 阶段 4：审计前准备（审计前数周）
1. 执行内部控制测试（走查）
2. 准备系统描述文件
3. 按 TSC 标准整理证据
4. 向控制负责人介绍审计流程
5. 准备管理层声明函
6. 识别并修复最后的差距

### 阶段 5：审计执行
1. 审计师进行询问、观察、检查和重新执行
2. 提供所需证据和访问权限
3. 回答审计师的问题和信息请求
4. 处理测试期间发现的任何例外情况
5. 审查报告草稿以确认事实准确性

### 阶段 6：报告与修复
1. 接收 SOC 2 Type II 报告
2. 处理任何保留意见或控制例外
3. 向客户分发报告（通常在 NDA 下）
4. 规划已识别例外的修复方案
5. 开始准备下一审计周期

## 关键制品
- 系统描述文件
- 控制矩阵（TSC 映射）
- 风险评估文档
- 证据库
- 管理层声明函
- SOC 2 Type II 报告（第 I-V 节）
- 例外修复计划

## 常见陷阱
- 证据收集开始太晚——需要覆盖完整审计期
- 控制运营不一致（例如遗漏季度访问审查）
- 系统描述不够详细
- 未纳入子服务组织（IaaS 提供商）
- 未记录互补用户实体控制（CUECs）
- 手动控制缺乏执行的文档化证据

## 参考资料
- AICPA 信任服务标准 2017（2022 年更新）：https://www.aicpa-cima.com/topic/audit-assurance/audit-and-assurance-greater-than-soc-2
- AICPA SOC 2 报告指南
- COSO 内部控制框架 2013
- Secureframe SOC 2 信任服务标准指南：https://secureframe.com/hub/soc-2/trust-services-criteria