SOC 2

Vibe Prompt

「幫我建立 SOC 2 Type II 稽核的準備清單。」

SOC 2 五大信任原則

| 原則 | 說明 | |------|------| | 安全性 (Security) | 防止未授權存取 | | 可用性 (Availability) | 系統正常運行 | | 處理完整性 (Processing Integrity) | 資料處理正確 | | 機密性 (Confidentiality) | 保護機密資料 | | 隱私 (Privacy) | 符合隱私規定 |

準備清單

☐ 資安政策文件
☐ 風險評估報告
☐ 資訊資產清單
☐ 存取控制清單（誰可以存取什麼）
☐ 系統監控日誌
☐ 變更管理流程
☐ 事件回應計畫
☐ 業務持續性計畫
☐ 供應商管理清單
☐ 員工資安訓練記錄
☐ 滲透測試報告
☐ 漏洞掃描報告
☐ 加密標準文件
☐ 資料備份與復原測試記錄

控制矩陣範例

| 控制編號 | 控制描述 | 頻率 | 證據 | |---------|---------|------|------| | CC1.1 | 存取權限審查 | 季度 | 審查記錄截圖 | | CC2.1 | 弱點掃描 | 每月 | 掃描報告 | | CC3.1 | 事件監控 | 即時 | Alert 記錄 | | CC4.1 | 變更審查 | 每次部署 | PR 審查記錄 | | CC5.1 | 資料備份 | 每日 | 備份日誌 | | CC6.1 | 加密管理 | 年度 | 金鑰盤點 |

Vibe Prompt

「幫我產生 SOC 2 稽核的證據文件範本。」

# 存取權限審查記錄

日期: 2026-06-30
審查者: IT 管理員

## 審查結果
| 使用者 | 系統 | 權限 | 需要 | 動作 |
|--------|------|------|------|------|
| alice@ | Production DB | 管理員 | 是 | 保留 |
| bob@ | Production DB | 唯讀 | 否（已離職） | 移除 |
| charlie@ | Staging Server | SSH | 是 | 保留 |

## 結論
已移除 2 個不必要的權限，審查完成。

常見缺失

| 缺失 | 比例 | |------|------| | 未定期審查權限 | 68% | | 缺少變更管理流程 | 52% | | 未加密敏感資料 | 45% | | 未進行漏洞掃描 | 38% | | 沒有事件回應計畫 | 32% |