问 AI 助教考点精讲
- SOC（Service Organization Controls，服务组织控制）报告由独立审计师对服务提供商的内部控制出具。SOC 1 面向客户的审计师，报告与财务报告相关的内部控制（依据 SSAE 18），服务财务合规场景；SOC 2 面向管理层与监管方，报告服务组织在五大信任服务准则（Trust Services Criteria）上的控制——安全（Security）、可用性（Availability）、处理完整性（Processing Integrity）、机密性（Confidentiality）、隐私（Privacy），是云服务与外包安全评估的主流；SOC 3 是 SOC 2 的精简公开版，可对外发布用于营销，不含详细控制描述。Type I 报告评估「某一时点」控制设计的适当性（设计得对不对）；Type II 报告评估「一段时期（通常 6-12 个月）」内控制的运行有效性（实际执行得怎么样），比 Type I 更有说服力。
记忆技巧
记「1 财务、2 安全、3 公开」——SOC 1 给审计师看账、SOC 2 给管理层看安全、SOC 3 拿去公开宣传。
Type 记「I 看设计（一次拍照）、II 看运行（一段录像）」。
记 SOC 2 五大信任服务准则：安全、可用性、处理完整性、机密性、隐私。
Type 记「I 看设计（一次拍照）、II 看运行（一段录像）」。
记 SOC 2 五大信任服务准则：安全、可用性、处理完整性、机密性、隐私。
常见误区
- 把 SOC 1 当成安全报告——SOC 1 关注财务内控，安全评估看 SOC 2。
- 混淆 Type I 与 Type II——Type I 是「设计适当性」（时点），Type II 是「运行有效性」（时期）。
- 误以为 SOC 3 包含详细控制——SOC 3 是精简公开版，不含 SOC 2 的详细控制描述。
真题思路
- 【示例】 【示例】常考「某场景（财务合规/云安全评估/对外宣传）应要哪份报告」或「Type I 与 Type II 的区别」。参考 Practice Tests 第 6 章（Domain 6）。
常见问题
Q：评估云服务商的安全控制该要哪份报告？
A：SOC 2 Type II，最完整地证明一段时期的控制运行有效性。
Q：SOC 2 的五大信任服务准则是什么？
A：安全、可用性、处理完整性、机密性、隐私。
Q：SOC 1 是安全报告吗？
A：不是，SOC 1 关注财务内控，安全评估看 SOC 2。
Q：Type I 和 Type II 怎么区分？
A：Type I 是「设计适当性」（时点），Type II 是「运行有效性」（时期）。
Q：SOC 3 包含详细控制吗？
A：不，SOC 3 是精简公开版，不含 SOC 2 的详细控制描述。
相关知识
教材出处：Domain 6 · 安全评估与测试 SOC 报告：SOC 1/2/3 与 Type I/