什么是 SOC 2？Type 1 与 Type 2 详解

如果有人问过您“能把你们的 SOC 2 发给我们吗？”，而您不确定这是什么意思，那么本指南就是答案。什么是 SOC 2？它是一份由持牌注册会计师事务所出具的独立鉴证报告，描述服务机构为保护客户数据而实施的控制措施，并确认这些控制措施是否真正有效。它不是法律，不是可以装裱挂在墙上的证书，也不是任何软件供应商能够替您出具的东西。本页面是为合规经理、CISO 和创始人而写的，他们向其他企业销售软件或服务，需要在投入预算和时间之前了解 SOC 2 涉及哪些工作。

SOC 2 究竟是什么

SOC 2 是 System and Organization Controls 2（系统与组织控制 2）的缩写。它是由美国注册会计师协会（AICPA）定义的一个报告框架。SOC 2 审计项目属于鉴证业务：由独立审计师依据一套既定的标准对您的组织进行审查，测试您的证据，并出具正式意见。其结果是一份详细的报告。如何让这些证据站得住脚，请参阅我们关于如何收集审计证据的指南。客户及其采购或安全团队会阅读这份报告，以决定是否放心把数据交给您。

审计师用来衡量您的标准是 AICPA 信任服务标准。共有五项：安全性、可用性、处理完整性、保密性和隐私性。安全性是必选项，通常被称为通用标准，因为它构成了每一份 SOC 2 报告共有的骨架。其他四项是可选的，只有在与您向客户做出的承诺相关时才需要纳入。承诺正常运行时间的 SaaS 公司通常会加入可用性；薪资处理服务商可能会加入处理完整性和保密性；健康或消费者数据平台往往会加入隐私性。不要为了显得全面而添加标准。您纳入的每一项标准，都意味着在整个期间内还要多运行一套控制措施并为其提供证据，尤其是隐私性，它是一项重大承诺，会牵涉到数据保留、同意和处置。当合同或公开承诺有此要求时再添加某项标准，否则就不要纳入；如果买家确实提出要求，可以在下一次续期时再添加。

有一点值得尽早强调，因为这是最常见的误解：SOC 2 是一份由注册会计师事务所签署的鉴证报告。它没有中央登记处，没有证书编号，也没有本身具有任何意义的认可标志。当有人说他们“已通过 SOC 2 认证”时，他们实际拥有的是一份附有审计师意见的 SOC 2 报告。无论是解读供应商的声明，还是撰写您自己的声明，这一区别都很重要。

谁需要 SOC 2，谁不需要

SOC 2 由买家驱动，而不是由监管机构驱动。没有任何政府强制要求它。要求它的是您的客户，通常作为签订或续签合同的条件。仅这一个事实，就应当决定您如何看待范围、时机和成本。您之所以要做 SOC 2，是因为一笔交易取决于它，或者因为您能预见到很快就会有交易取决于它。所以首先要问的问题是：是哪个客户在要求，他们能接受什么替代方案。有些买家会接受 ISO 27001 证书，或者一份填写完毕的安全问卷加上与您的 CTO 的一次通话。弄清楚这一点只需一封邮件，而得到的答案有时比一次审计便宜得多。

通常需要 SOC 2 的组织

• 面向美国市场、存储、处理或传输客户数据的 SaaS 和 B2B 软件供应商。
• 云和基础设施服务提供商、数据平台以及 API 公司，其客户会在采购过程中询问安全态势。
• 托管服务提供商、金融科技和健康科技供应商，以及任何代表客户处理敏感信息的公司。
• 正在向高端市场拓展的初创公司，其第一个企业客户或受监管客户会把 SOC 2 报告作为安全审查中的硬性门槛。

通常不需要 SOC 2 的组织

• 没有 B2B 客户提出要求的公司，在这种情况下，这笔成本既换不来收入，也解答不了任何实际问题。
• 客户认可其他框架的企业。欧洲买家可能更青睐 ISO 27001；美国的医疗保健买家可能更关心美国《健康保险流通与责任法案》（HIPAA）；支付企业则会关注 PCI DSS。
• 处于非常早期阶段的团队，尚无投入生产的产品，也还没有需要保护的客户数据。

SOC 2 也与其他框架并存，而不是取代它们。许多组织同时维护 SOC 2 和 ISO 27001，因为两者的底层控制措施高度重叠，而这两份报告回答的是不同受众的问题。如果某个特定客户或地区促使您选择某一个框架，那就从它开始，并把同一套证据复用于其他框架。

SOC 2 对您有哪些要求

由于 SOC 2 基于标准而非固定的检查清单，因此并不存在一份对每家公司都完全相同的强制性控制措施清单。相反，信任服务标准描述的是您的控制措施必须达成的结果，由您设计适合自身系统、规模和风险的控制措施。随后，审计师会判断这些控制措施的设计是否恰当，并在 Type 2 中判断它们在一段时间内是否有效运行。

在实践中，安全性通用标准涵盖了一组大家熟悉的治理和技术领域。您需要证明对以下大多数方面实施了切实有效的控制：

• 治理与风险。成文的策略、明确的角色和职责、风险评估流程以及管理层监督。
• 访问控制。唯一的用户账户、最小权限访问、多因素认证，以及定期的访问权限审查和证明其已执行的证据。
• 变更管理。从代码变更到生产环境的受控路径，并且能够针对真实变更展示审核、测试和批准记录。
• 运营与监控。日志记录、告警、漏洞管理，以及检测和响应异常的能力。
• 事件响应。处理安全事件的成文流程，包括检测、升级和修复。
• 供应商与第三方管理。对接触您的系统或数据的子处理方和供应商开展尽职调查。
• 人力资源安全。在适当情况下进行背景调查、入职和离职管理，以及安全意识培训。

SOC 2 的决定性特征，也是团队最容易低估的部分，是证据。仅有一份写明每季度审查一次访问权限的策略是不够的。在 Type 2 审计中，您必须拿出该期间内每个季度的实际审查记录，显示谁在什么时候审查了什么。SOC 2 实际上是在检验您的控制措施是否持续运行并留下可靠的记录。真正的成本就落在这里，我们的美国以外地区的 SOC 2 成本指南列出了其余的预算。编写策略只需几周的集中投入。而要让每位经理每个季度都按时完成访问权限审查，并留下经得起抽样检查的记录，则需要花上几个月去催人，这也是内部 SOC 2 负责人身心俱疲的原因。凡是控制措施允许的地方，都要实现证据采集的自动化；对于无法自动化的每一项控制措施，都要指定具体负责人并附上日期。

Type 1 与 Type 2：区别何在，您需要哪一种

SOC 2 审计项目中最重要的一个选择是 Type 1 还是 Type 2，而两者的区别比听起来更简单。Type 1 报告评估的是您的控制措施在某一个时间点上的设计。审计师要问的是：今天是否已经落实了正确的控制措施，它们的设计是否恰当、足以满足标准？它是一张快照。

Type 2 报告评估的是同样这些控制措施在一段期间内（通常为三到十二个月）的运行有效性。审计师要问一个更难的问题：在整个审查期间内，这些控制措施是否确实持续有效地运行？为了回答这个问题，审计师会从整个期间中抽取证据样本。Type 2 是一段视频。

Type 2 是大多数客户最终想要的，因为它能证明您的安全是一种持久的运行现实，而不是只维持一天的安排。请诚实地看待 Type 1 能为您换来什么。它能让一笔交易不再卡住，也能证明设计是自洽的，而老练的买家会把它解读为对未来的一种承诺。如果提出要求的客户是一家受监管的大型企业，那么无论如何他们都会要求 Type 2，所以为了达到这一步而为两次审计项目付费，是一项值得在做出承诺之前认真权衡的真实成本。一种常见且合理的路径是先做 Type 1 以证明设计可靠，然后进入观察期并出具 Type 2。有些组织在控制措施稳定后会完全跳过 Type 1，直接做 Type 2。正确的选择取决于客户需要多快拿到证明：Type 1 可以更早出具，而 Type 2 则要求您先在整个期间内运行控制措施。请记住，SOC 2 报告有明确的覆盖期间，因此大多数公司每年续期一次，以便为客户提供持续的覆盖。

如何真正拿到 SOC 2：一套实用的推进计划

1. 确定原因和时间。确认是哪个客户或哪笔交易在推动这项要求，以及他们是需要尽快拿到 Type 1，还是需要完整的 Type 2。据此确定您的时间表。
2. 确定范围。选择适用的信任服务标准。从必选的安全性开始，只有在可用性、处理完整性、保密性或隐私性反映了真实的客户承诺时才添加它们。界定哪些系统和服务在范围之内。
3. 开展就绪度评估。将您当前的控制措施与标准进行映射，找出差距。在这一步，您会了解自己距离审计就绪实际上还有多远。
4. 弥补差距。编写缺失的策略，启用缺失的技术控制措施，修复存在问题的流程。尽可能让每一项控制措施都能自动产生证据。
5. 运行控制措施并收集证据。对于 Type 2，要在整个观察期内运行控制措施，同时采集各项记录：访问权限审查、变更批准、事件工单、培训日志、监控告警。
6. 选择一家独立的注册会计师事务所。只有持牌注册会计师事务所才能执行 SOC 2 审查并出具报告。请尽早选定审计师，让他们的期望来指导您的证据准备。对于同一项标准，不同事务所接受何种证据的差异比您想象的要大，所以请在搭建证据流程之前选定事务所，并直接问清楚合格的样本是什么样子。为了迎合另一种口味而重建一个季度的记录，是整个过程中最可以避免的延误。
7. 完成审计。审计师会测试您的设计，对于 Type 2 还会在整个期间内抽取证据样本，然后出具附有其意见的报告。从您签署的管理层声明到四种可能的审计意见，每个阶段都在我们关于 SOC 2 审计会经历什么的指南中有详细介绍。
8. 维护和续期。保持控制措施持续运行，不断更新证据，并规划下一份报告，以免覆盖中断。

如果您想了解控制措施、证据收集和审计准备如何在一个平台中整合起来，请阅读 Venvera 如何处理 SOC 2；如需更全面的市场视角，请参阅我们的 SOC 2 合规软件对比综述。

常见问题

SOC 2 是一种认证吗？

不是。SOC 2 是由持牌注册会计师事务所出具的鉴证报告。它没有证书编号，也没有中央登记处。当供应商说自己“已通过 SOC 2 认证”时，他们持有的是一份包含独立审计师意见的 SOC 2 报告。

Type 1 和 Type 2 有什么区别？

Type 1 报告评估您的控制措施在某一个时间点上的设计是否恰当。Type 2 报告则利用从整个期间中抽取的证据样本，评估这些控制措施在一段期间内（通常为三到十二个月）是否有效运行。Type 2 是大多数客户最终想要的报告。

信任服务标准共有几项？哪些是必选的？

共有五项：安全性、可用性、处理完整性、保密性和隐私性。安全性即通用标准，在每一份 SOC 2 中都是必选的。其他四项是可选的，您只需纳入与您向客户所做承诺相符的那些。

法律是否要求我们必须符合 SOC 2？

没有任何法律要求 SOC 2。它由买家驱动：客户会在采购过程中或作为合同条件提出要求。您做 SOC 2 是因为收入取决于它，而不是因为监管机构强制要求。如果您的客户认可 ISO 27001、美国《健康保险流通与责任法案》（HIPAA）或其他框架，那么这些框架可能更适合您。

Venvera 或任何软件能为我们出具 SOC 2 报告吗？

不能。只有独立的持牌注册会计师事务所才能执行审查并出具报告。合规软件可以帮助您建立控制措施、收集证据并为审计做准备，但审计意见本身必须来自审计师。对于任何暗示并非如此的工具，请保持警惕。

拿到 SOC 2 需要多长时间？

一旦您的控制措施设计完成并落实到位，Type 1 就可以相对较快地出具。Type 2 需要更长时间，因为您必须先在整个观察期内（通常为三到十二个月）运行控制措施，审计师才能对其进行测试。在任何一种报告开始之前，就绪度准备和差距整改还会额外占用时间。

一手资料来源

• AICPA 信任服务标准：SOC 2 据以衡量的安全性、可用性、处理完整性、保密性和隐私性方面的权威标准。信任服务标准。
• AICPA SOC 2 概述：AICPA 官方对 SOC 2 报告、其用途及使用方式的说明。面向服务机构的 SOC 2。

范围说明。本指南概括介绍了 SOC 2 的一般运作方式。适用于您组织的确切标准、范围和控制措施期望，应对照现行的 AICPA 信任服务标准，并与您选定的注册会计师事务所共同确认。

作者：Alexander Sverdlov，Venvera CEO 兼创始人。发布于 2026 年 7 月 20 日，最近审阅于 2026 年 7 月 20 日。