準備好稽核：ISO 27001、SOC 2、Cyber Essentials

大多數團隊把合規稽核當作一年出現一次的消防演習。事實不必如此，而且這些框架本身也沒有供應商所渲染的那麼神祕。以下是準備 ISO 27001、SOC 2 或 Cyber Essentials 時真正重要的事項。

確認你實際被要求的框架是哪一個

這三個常被混在一起，但它們解決的是不同的問題。ISO 27001 是管理系統標準——它認證你有一個運作中的資訊安全管理系統（ISMS），內含風險評估、政策和持續改進。SOC 2 是一份證實報告，通常是第二類型，涵蓋一段時間（常見 6-12 個月），針對信任服務準則：安全、可用性、處理完整性、機密性、隱私。Cyber Essentials 是英國政府支持的計畫，專注五個基本技術控制：防火牆、安全設定、存取控制、惡意軟體防護和補修程式管理。

如果客戶說「我們需要你符合 SOC 2」，問清楚他們需要哪個類型和實際關心哪些準則。大多數 B2B SaaS 交易只要求安全和可用性，不需要完整五項準則。

在稽核人員提問前建立證據追蹤

稽核人員不會聽你說就信——他們要的是成果物。對於 ISO 27001，這意味著一份適用性聲明，對應附錄 A 中所有 93 個控制（2022 版本）到你已實施或排除的項目，附上理由說明。對於 SOC 2，這意味著截圖、日誌和工單，證明控制在整個稽核期間一致運作，而不只是某人記得設定的那一天。

將證據蒐集設為一個持續的過程，而非臨時衝刺：

# 例：每月透過 AWS CLI 提取 IAM 存取審查證據
aws iam generate-credential-report
aws iam get-credential-report --output text --query 'Content' | base64 -d > access-report-$(date +%Y%m).csv

將這些帶著時間戳記存放在一個專用證據儲存庫（Google Drive 資料夾、Vanta、Drata——無論你用什麼）中，按控制 ID 組織，而非按月份。稽核人員會在期間內取樣；你需要證明控制在三月和十月時有效，而不只是你記得的時候。

每次都會讓人卡住的控制

存取審查是最常見的發現。如果你無法展示對生產系統存取人員的季度審查，並有人員實際移除過期帳號的證據，無論哪個框架都要預期會有發現。將此作為一個定期行事曆工作，而非隨意的請求。

供應商風險管理是第二大缺口。ISO 27001 條款 A.5.19-A.5.23 和 SOC 2 的供應商管理準則都期望你評估次處理者——雲端提供商、支付處理器、任何接觸客戶資料的東西。每個關鍵供應商一份單頁供應商風險問卷，年度審查一次，可以涵蓋大部分內容。

只存在於文件中且從未測試過的事件回應計畫也是常見發現。在稽核期間結束前至少進行一次桌上演練，保留會議記錄。稽核人員明確詢問計畫被執行的證據，而非只是被撰寫。

對於 Cyber Essentials，技術範圍問題比人們預期的更重要。你需要準確說明你的邊界——每個裝置、雲端服務和 BYOD 政策涵蓋的範圍——因為範圍陳述不實是即使技術控制良好也被判失敗的理由。補修程式管理被逐字檢查：關鍵和高嚴重程度的補修程式必須在發布後 14 天內應用到面向網際網路的服務。

執行現實的內部時程

對於 SOC 2 第二類型，在稽核期間開始之前預算 3-6 個月的證據蒐集，因為第二類型要求證明控制在觀察期間運作，而不只是在某個時間點。ISO 27001 認證典型上從差距評估到憑證需 6-12 個月，包括認證機構進行的第一階段文件審查和第二階段現場（或遠端）評估。Cyber Essentials 速度更快——如果基礎已經到位，自評問卷在幾週內可完成，Cyber Essentials Plus 則加入外部技術驗證。

別讓稽核成為你唯一檢查自己工作的時候

在真正稽核前 60-90 天針對實際控制清單進行內部整備評估。處理該內部審查中的發現方式要和處理稽核人員發現相同——補救、記錄修復並保留書面記錄。該內部審查通常是團隊在外部人員帶著附加到客戶合約續約的報告發現之前，先自己發現存取審查缺口和過期供應商合約的地方。

如果你想深入了解這些框架背後的技術控制——存取控制設計、日誌、事件回應——查看 Korra Studio 上的 Blue Team 和認證課程。