SOC 2 就绪，不拖慢交付

SEYA Group 帮助交付团队为 SOC 2 审查做好准备：我们把您的控制与您和审计师选定的信任服务准则进行对照，找出差距，并帮助从已经在交付代码的系统中收集证据。SEYA 不执行 SOC 2 审查，也不出具报告。报告由审计师出具。这项工作由我们的温哥华办公室主导，范围的设定确保在收集证据的同时流水线照常发布。

适用对象

下一份企业合同要求提供 SOC 2 报告、而控制措施还停留在电子表格里的 CTO 和安全负责人。已经有云账户和流水线、需要有人能指出系统中的控制在哪里，而不是重写政策文件夹的团队。已经选定审计师、或者需要在选定之前先拿到差距清单的公司。

您将获得

• 差距评估。范围内的准则（通常从安全性开始；可用性、保密性及其他准则只有在您和审计师纳入时才包括）、您已经在做的，以及缺失的部分。准则采用 AICPA 信任服务准则。SEYA 不是注册会计师事务所，不签署审计意见。
• 控制映射。每个差距对应到一项您能够执行的控制：身份审查、流水线中的变更管理、日志、供应商访问和事件记录。如果某项控制已经是 DevSecOps 检查，我们就把该检查用作证据来源，而不是另加一套并行流程。
• 证据收集。一份工件清单：它们来自哪里、由谁导出。所谓自动化，指的是一条查询或一条流水线记录，不是您必须从 SEYA 购买的新工具。当手工记录才是诚实的来源时，手工证据就保持手工。
• 审计师交接。差距清单、控制映射和证据索引，整理成审计师可以抽样的形式。我们会参加交接会议，但不会以您的审计师身份发言。

项目如何开展

• 确认准则。由您（以及已有的审计师）指定类别和审查期间。我们不会把范围扩大到幻灯片上的每一个框架。
• 梳理系统。账户、流水线、身份，以及您已经发布的政策。此处发现的云配置差距，如果修复属于工程工作而非文档工作，可以延续为 态势评审。
• 关闭范围内的差距。差距是缺少政策时，补政策文本；差距是缺少控制时，做流水线或账户变更。交付不会因为重写每一项标准而停下。
• 把索引交给审计师。关系由您掌握。SEYA 在证据上的署名，是协助整理的一方，不是审查方。

您需要具备的条件

一位能够选定准则的高管、对将产生证据的系统的访问权限，以及关于是否已聘请审计师的决定。如果目标是一张由 SEYA 盖章的证书，那本服务不合适：我们不会提供那个章。

在 Clearly 的 AWS 项目中，平台在设计时考虑了 PCI DSS、SOC 2 和 ISO 27001 的要求，包括密钥管理。这一表述指的是设计意图，并不表示 Clearly 或 SEYA 持有这些认证。

常见问题

SEYA 能出具我们的 SOC 2 报告吗？

不能。SOC 2 报告是由持牌注册会计师事务所进行的审查。SEYA 准备差距清单、控制映射和证据索引。您的审计师对它们进行审查并出具意见。

就绪工作会让我们的发布停下来吗？

把证据绑定到流水线的意义就在于，每次发布本身已经是一条记录。我们添加您的准则所需的检查和导出，不会用一个按月进行的证据项目取代您的交付流程。

你们保证我们能通过吗？

不保证。意见属于审计师，并取决于控制在其审查期间内如何运行。在您确定该期间之前，我们会告诉您我们仍然看到哪些差距。没有关闭的差距会被写下来，而不是被藏起来。

如果客户已经向您索要 SOC 2 报告，而您需要先拿到差距清单再回复，请预约云安全评估。