安全审计与合规审查

安全审计包括内部自评估（将框架用作检查清单）和由独立第三方开展的外部审计。合规性审计用于验证是否遵循特定标准（PCI-DSS、ISO 27001、HIPAA）。渗透测试提供技术层面的保证。每种审计的用途各不相同。

请准确界定审计范围：哪些系统、流程和控制措施属于范围之内；评估期间；适用的控制框架；以及目标受众（内部管理层还是外部认证机构）。范围变更会影响成本、时间安排以及审计结果的适用性。

审计人员会收集三类证据：文档（政策、流程、配置指南）、观察结果（系统配置、流程演示）和测试结果（尝试控制措施、审查日志）。针对每项被评估的控制措施，证据都必须充分、可靠且相关。

安全政策定义意图，流程则规定如何实施这些政策。审计人员会验证：政策是否存在并已获批准，流程是否是最新版本且得到遵循，培训记录是否表明员工了解相关要求，以及例外处理流程是否记录了经批准的偏离情况。

技术控制措施需要通过直接检查进行验证：审查防火墙规则集，测试 MFA 绕过尝试，检查补丁级别，审计活动目录组成员资格，检查加密配置，并验证备份恢复是否有效。仅有控制措施文档是不够的——必须对其进行测试。

SOC 2 是由 CPA 事务所依据信任服务准则开展的审计。I 型评估某一时间点的控制措施设计。II 型评估 6 至 12 个月期间内的控制措施设计和运行有效性。软件即服务公司会编制 SOC 2 II 型报告，供客户开展尽职调查。

PCI-DSS 要求商户和服务提供商每年进行评估。合格安全评估师（QSA）会对全部 12 项要求开展现场评估。通过网络分段缩小范围，可以减少持卡人数据环境的规模和评估复杂度。

审计发现是需要整改的控制措施失效问题。观察结果是在当前不存在控制措施失效的情况下提出的改进机会。每项审计发现都包括：现状（实际情况）、准则（应有情况）、原因（为何发生）、影响（造成的影响）以及建议（如何修复）。

请为每项审计发现创建行动计划与里程碑（POA 及里程碑）：负责人、目标日期、临时补偿性控制措施和状态。请每月跟踪整改进度。审计人员会在后续评估或下一次年度审查中审查行动计划与里程碑的状态。

对于动态环境而言，年度审计是不够的。借助 AWS Config、Azure Policy 或商业 CSPM 工具进行持续合规性监控，可以提供实时的合规状态。将审计发现发送到 SIEM，以便在两次审计之间发现合规偏离时发出警报。

审计前的准备工作包括：开展内部就绪性评估，在审计管理平台中整理证据，向控制措施负责人介绍评估流程，在审计人员到达前解决已知差距，并指定一名联系人，以便高效协调证据请求。

SOC 2 I 型报告与 II 型报告有什么区别？

安全审计可以独立保证控制措施经过合理设计并且运行有效。证据收集、技术控制措施测试、整改跟踪，以及年度审计之间的持续合规性监控，共同构成稳健的合规计划，能够满足客户、监管机构和内部风险管理的要求。