soc2-audit-prep
por alirezarezvanisoc2-audit-prep é uma skill de revisão de compliance para SOC 2 Type II que executa seis perguntas de pressão sobre o período de observação via /cs:soc2-audit-prep <scope>. Use para testar criticamente o escopo, as escolhas de TSC, ciclos de controles ignorados, lacunas de evidência, incidentes e a prontidão para auditoria antes do trabalho de campo.
Esta skill recebe nota 68/100, o que a torna aceitável para listagem no diretório como um prompt leve de prontidão para SOC 2 Type II. Usuários do diretório conseguem entender quando acioná-la e que tipo de teste de pressão ela realiza, mas devem esperar uma skill em formato de checklist, não um pacote completo de preparação para auditoria com modelos, referências ou automação.
- Fácil de acionar: o frontmatter e o corpo definem um padrão de comando claro, `/cs:soc2-audit-prep <scope>`, e momentos específicos para executá-lo ao longo do ciclo Type II.
- Bom aproveitamento por agentes: a skill enquadra a prontidão para SOC 2 Type II em seis perguntas de pressão sobre o período de observação, com mais estrutura do que um prompt genérico de compliance.
- Conteúdo operacionalmente relevante: os trechos cobrem definição de escopo de TSC, consistência do período de observação, ciclos de controles ignorados e pontos comuns de verificação de prontidão para Type II.
- Não há arquivos de apoio, referências, scripts, modelos nem instruções de instalação; portanto, o usuário recebe um SKILL.md independente, não um kit de preparação auditável.
- Os sinais do repositório incluem um indicador experimental/de teste e baixa cobertura de artefatos práticos, então as equipes devem tratá-lo como um apoio de prompt/checklist, não como um fluxo completo de prontidão para SOC 2.
Visão geral da skill soc2-audit-prep
O que a soc2-audit-prep faz
soc2-audit-prep é uma skill de revisão de conformidade para testar, sob pressão, a prontidão para SOC 2 Type II por meio de seis perguntas focadas no período de observação. Ela foi desenhada para ser chamada como /cs:soc2-audit-prep <scope> e é mais útil quando você precisa de uma sessão estruturada de questionamento antes da coleta de evidências, do trabalho de campo do auditor ou de uma mudança de escopo.
Diferente de um prompt amplo do tipo “me ajude a me preparar para SOC 2”, esta skill concentra a revisão nos problemas que costumam gerar exceções em Type II: escopo pouco claro, decisões ausentes sobre Trust Services Criteria, ciclos de controle pulados, evidências fracas e mudanças durante a janela de observação.
Usuários e momentos de conformidade em que ela se encaixa melhor
Os usuários que mais se beneficiam são founders, líderes de segurança, operadores de GRC, consultores de compliance e gerentes de engenharia que estão se preparando para uma auditoria SOC 2 Type II. A skill se encaixa especialmente bem antes do início do período de observação, em um checkpoint por volta do mês 6, antes dos testes de campo no mês 10, após um incidente relevante ou ao adicionar uma nova categoria de TSC, como Availability, Confidentiality, Processing Integrity ou Privacy.
Use soc2-audit-prep para Compliance Review quando você quiser uma sabatina no estilo auditor, não um assistente para escrever políticas.
O que torna esta skill diferente
O principal diferencial é a estrutura de “perguntas que forçam clareza”. A skill não tenta gerar um programa completo de compliance do zero; ela pressiona o usuário a expor lacunas que importam durante o período de observação do Type II. Isso a torna melhor para validar prontidão do que para escrever controles genéricos, questionários de fornecedores ou políticas de segurança.
Pontos a considerar antes de adotar
O caminho do repositório é compliance-os/skills/soc2-audit-prep, e o código-fonte disponível está concentrado em SKILL.md. Não há scripts, pacotes de referência ou recursos auxiliares incluídos, então o valor vem da própria lógica do prompt. As equipes devem trazer sua própria matriz de controles, inventário de evidências, declaração de escopo, cronograma de auditoria e solicitações do auditor.
Como usar a skill soc2-audit-prep
Instalação da soc2-audit-prep e revisão do código-fonte
Instale a skill a partir do repositório de skills no GitHub:
npx skills add alirezarezvani/claude-skills --skill soc2-audit-prep
Depois, leia primeiro o arquivo-fonte:
compliance-os/skills/soc2-audit-prep/SKILL.md
Como esta skill não tem pastas complementares rules/, resources/, references/ ou scripts/, não espere um scanner automatizado de evidências SOC 2. Trate-a como um prompt estruturado de revisão, executado dentro do seu assistente de IA com seus próprios materiais de auditoria.
Entradas que melhoram de verdade o resultado
Uma chamada fraca seria:
/cs:soc2-audit-prep our SaaS app
Uma chamada mais forte dá ao modelo contexto de auditoria suficiente para questionar você de forma útil:
/cs:soc2-audit-prep B2B SaaS platform pursuing SOC 2 Type II, Security and Availability in scope, 12-month observation period starting Feb 1, quarterly access reviews, monthly vulnerability scans, AWS production environment, Stripe and customer support tools in scope, recent SSO rollout in month 4, auditor fieldwork expected in month 10
Inclua estes detalhes sempre que possível:
- Limites do sistema e sistemas excluídos
- Categorias de TSC no escopo
- Datas do período de observação
- Frequências dos controles: monthly, quarterly, annual, continuous
- Responsáveis pelas evidências e locais onde elas ficam armazenadas
- Incidentes, migrações ou mudanças de ferramentas já conhecidos
- Preocupações do auditor ou compromissos assumidos com clientes
Fluxo prático de uso da soc2-audit-prep
Comece pedindo uma sabatina de prontidão, não um relatório polido. Deixe a skill identificar primeiro os pontos fracos. Depois, peça para transformar os achados em uma lista de ações.
Um fluxo prático:
- Execute
/cs:soc2-audit-prep <scope>com seu cronograma de auditoria e o escopo de TSC. - Responda às seis perguntas com detalhes reais de controles e evidências.
- Peça ao assistente para classificar as lacunas como provável exceção, follow-up do auditor ou limpeza de documentação.
- Transforme o resultado em responsáveis, prazos e solicitações de evidência.
- Rode a skill novamente após a remediação ou antes do trabalho de campo.
Essa sequência mantém a revisão próxima de como auditorias Type II falham na prática: não porque uma política existe, mas porque a operação não foi consistente ao longo do período de observação.
Padrão de prompt para uma revisão mais forte
Use este padrão quando quiser resultados mais precisos:
Act as a SOC 2 Type II readiness reviewer using soc2-audit-prep. Challenge our scope, TSC category choices, control frequency, evidence completeness, skipped cycles, incidents, and changes during the observation period. Do not write generic policy text. Ask follow-up questions where evidence is missing, and produce a prioritized remediation list.
Esse enquadramento evita que o assistente derive para uma explicação genérica sobre SOC 2 e o mantém focado na defensabilidade da auditoria.
FAQ da skill soc2-audit-prep
A soc2-audit-prep cria um programa SOC 2 completo?
Não. soc2-audit-prep é uma skill de prontidão e revisão de conformidade, não uma biblioteca completa de controles, um pacote de políticas, uma ferramenta de automação de evidências ou um substituto do auditor. Ela funciona melhor para desafiar um plano SOC 2 existente ou um ciclo Type II já em andamento.
Como ela é melhor do que um prompt comum de SOC 2?
Um prompt comum pode gerar um checklist amplo. A skill soc2-audit-prep é mais focada e mais útil para prontidão Type II porque coloca no centro o período de observação, o escopo, as categorias de TSC e os ciclos de controle pulados. Essa estrutura ajuda a revelar exceções de auditoria mais cedo.
Iniciantes podem usar esta skill?
Sim, mas iniciantes devem trazer o contexto básico de SOC 2: qual sistema será auditado, quais Trust Services Criteria estão no escopo, quando o período de observação começa e termina e quais controles rodam mensalmente ou trimestralmente. Sem esse contexto, o resultado tende a ficar em alto nível.
Quando eu não devo usar esta skill?
Não use esta skill como sua única fonte para interpretar critérios da AICPA, obter aconselhamento jurídico, chegar a conclusões finais de auditoria ou certificar evidências. Também evite usá-la cedo demais se você ainda não definiu os limites do sistema, porque a ambiguidade de escopo vai dominar a revisão.
Como melhorar a skill soc2-audit-prep
Melhore a soc2-audit-prep com artefatos reais de auditoria
A forma mais rápida de melhorar os resultados da soc2-audit-prep é fornecer artefatos, não intenções. Cole ou resuma sua matriz de controles, descrição do sistema, escopo de TSC, rastreador de evidências, log de incidentes, calendário de revisões de acesso, agenda de varreduras de vulnerabilidade e histórico das principais mudanças.
Entradas melhores:
- “Quarterly access review for Q2 was completed 19 days late”
- “We changed ticketing systems in month 5 and lost historical approval links”
- “Availability is in scope because contracts promise 99.9% uptime”
Esses detalhes permitem que a skill identifique riscos de Type II em vez de repetir conceitos básicos de SOC 2.
Fique atento aos modos comuns de falha
O modo de falha mais comum é tratar a preparação como completude documental, e não como efetividade operacional. Em Type II, uma política que existia no primeiro dia não resolve um controle trimestral pulado, evidência ausente ou mudança em produção sem documentação.
Outros modos de falha que devem ser trazidos explicitamente à superfície:
- Novos produtos ou regiões adicionados no meio do período
- Contratados ou ferramentas de suporte omitidos do escopo
- Incidentes sem postmortems ou registros de comunicação com clientes
- Controles com responsáveis pouco claros
- Evidências armazenadas em sistemas que os auditores não conseguem acessar ou verificar
Itere das perguntas para a remediação
Depois da primeira execução, peça um plano de remediação em linguagem de auditoria:
Convert the soc2-audit-prep findings into a remediation table with issue, audit risk, likely evidence needed, owner, deadline, and whether it affects the current observation period.
Em seguida, faça uma segunda rodada:
Re-check only the high-risk items and tell me which are likely exceptions versus items that can be remediated before fieldwork.
Isso transforma a skill de um checklist pontual em um ciclo de prontidão para auditoria.
Adapte a skill ao seu ambiente
Se sua equipe depende bastante de SOC 2, considere adicionar suas próprias notas locais ao lado da skill: IDs de controle, preferências do auditor, convenções de nomenclatura de evidências, sistemas no escopo e screenshots ou exports padrão. A skill soc2-audit-prep upstream é intencionalmente compacta, então o contexto local é o que torna a revisão específica, defensável e útil antes que o auditor faça as mesmas perguntas.