SOC 2 资产管理:创业公司向审计师展示什么
要向 SOC 2 审计师证明你在管理资产,就维护一份统一登记册,记录接触客户数据的设备、系统和供应商合同,每项都有负责人、状态和位置,并能说明一件物品如何进入、转手和退出。SOC 2 并没有名为“资产清单”的控制项。审计师会把你的登记册对应到访问、处置和供应商相关准则,所以他们真正测试的是登记册是否与现实一致。
- SOC 2 没有单列资产清单控制项,但多项准则依赖它,所以审计师会要。
- 登记册要回答三个问题:我们有什么,谁在用,退出时发生了什么。
- Type II 覆盖一段时间,所以需要历史记录,而不只是今天的快照。
- 创业公司可以从小处开始:笔记本、手机、关键系统和供应商合同,每项都有负责人。
- 每月把登记册与身份清单核对一次,这样审计师抽到的样本本身就是准确的。
SOC 2 真的要求资产清单吗?
SOC 2 是基于 AICPA 发布的 Trust Services Criteria 出具的鉴证报告。其中没有一条写着“必须维护资产清单”。但 Common Criteria 依赖它:逻辑访问准则(CC6.1)在关注点中列出了管理信息资产清单,实物资产处置准则(CC6.5)要求你知道自己在处置什么,供应商准则(CC9.2)则假定你清楚自己依赖哪些供应商。
审计师测试的是你自己的系统描述和制度。如果你写明设备会登记并复核,他们就会从登记册中抽样核实。一个简短而准确的承诺,胜过一个雄心勃勃却无法举证的承诺。
来源:AICPA 在以下页面发布 Trust Services Criteria 与 SOC 2 指南: aicpa-cima.com.
审计师会要求查看什么?
要求因审计师而异,但通常遵循下面的模式。把它当作起点,并向你的审计师确认。
| 领域(准则) | 常见要求 | 登记册需要体现 |
|---|---|---|
| 访问(CC6.1) | 公司设备清单及持有人 | 每台设备的负责人或使用人及状态 |
| 入职(CC6.2) | 抽取新员工及其设备 | 分配日期与入职日期并列 |
| 离职(CC6.3) | 抽取离职人员及访问已终止的证明 | 退出日期之后的归还日期与状态变更 |
| 处置(CC6.5) | 退役设备已擦除或销毁的证据 | 处置日期及擦除证书编号 |
| 供应商(CC9.2) | 关键供应商及其协议清单 | 合同负责人、起止日期、续约通知期 |
Type I 还是 Type II:登记册有何不同?
Type I 报告审查你的控制在某一日期设计是否合理。Type II 报告测试这些控制在一段时间内是否有效运行,通常是几个月。对登记册来说,这才是真正的区别。Type I 一张快照就够了。Type II 的审计师会从整个期间抽样,所以你要能展示当时登记册的内容,而不只是今天的。
实际做法是定期保留一份导出,并确保每次状态变更都带日期。如果一台笔记本在三月被重新分配,记录里仍应显示此前由谁持有。
创业公司最少需要什么登记册?
你不需要企业级 CMDB。覆盖接触客户数据的内容,并对每项记录相同的字段。
- 硬件:笔记本和手机,以及自有的服务器或网络设备,带序列号。
- 负责人:具名的人,而不是共享邮箱。
- 状态:库存、已部署、维修中、已退役。
- 位置:办公室、家中或仓库。
- 加密与管理:磁盘是否加密、设备是否已纳入设备管理,并在记录中注明引用。
- 供应商合同:每个存储或处理客户数据的供应商的负责人、到期日和通知期。
- 处置:日期及擦除证书的链接。
两次审计之间如何保持准确?
登记册往往从边缘开始失真:新员工从库存领了笔记本,离职者留下了手机,供应商悄悄续约。三个习惯基本能覆盖。每月把登记册与身份提供方的名单核对一次,逐项修正差异。把它与离职清单绑定,让归还当天就有记录。每季度复查处置记录,因为擦除证书是团队事后最常找不到的东西。
想了解审计师的整体期待,可参阅如何应对 IT 资产审计和高度相近的 ISO 27001 资产登记册。
InventorIA 适用在哪里?
InventorIA 把硬件登记册(分配、状态、保修、位置和生命周期状态)、带席位的软件许可,以及带起止日期和续约提醒的供应商合同登记册放在一处。人员与离职功能把每个人与其持有的资产和席位关联起来,数据可导出为 CSV 或 Excel,方便你交给审计师一份带日期的副本。审计日志属于 Enterprise 套餐。
它是记录工具,不会让你自动符合 SOC 2:擦除、加密和访问控制仍需由你执行并举证。想用示例数据试用,可打开在线演示,或创建免费工作区(最多 10 项资产)。
常见问题
SOC 2 强制要求资产清单吗?
准则中没有完全同名的控制项,但访问、处置和供应商准则都依赖于了解你的资产,所以审计师期待有一份。请在系统描述中如实写出你的做法。
个人设备(BYOD)需要登记吗?
如果它们能访问客户数据就需要,或者你的制度必须禁止,并且能说明如何落实。审计师在意的是规定与实际相符。
第一次审计用表格够吗?
够,只要完整、有负责人和日期,并按计划核对。工具主要是让历史记录和每月核对更容易保持。
登记册应该多久复核一次?
创业公司常见做法是每月与身份清单核对,每季度做一次更全面的复核。选一个你能坚持的节奏,并照做。
用 InventorIA 就能符合 SOC 2 吗?
不能。它保存审计师要求的记录。合规取决于你的制度、控制措施和审计师的意见。