soc2-audit-prep
作者 alirezarezvanisoc2-audit-prep 是用於 SOC 2 Type II 合規審查的準備度 skill，可透過 /cs:soc2-audit-prep <scope> 執行六個觀察期間的關鍵逼問。可在實地查核前，用來壓力測試範圍、TSC 選擇、被跳過的控制循環、證據缺口、事件紀錄與稽核準備度。
此 skill 評分為 68/100，表示它可作為輕量級 SOC 2 Type II 準備度提示收錄於目錄中。目錄使用者能理解何時啟用它，以及它會進行哪類壓力測試；但應預期它是檢查清單式的 skill，而非包含範本、參考資料或自動化能力的完整稽核準備套件。
- 觸發方式清楚：frontmatter 與本文明確定義指令格式 `/cs:soc2-audit-prep <scope>`，並說明在 Type II 週期中適合執行的時機。
- 能有效輔助代理工作：此 skill 將 SOC 2 Type II 準備度整理為六個觀察期間的關鍵逼問，比一般合規提示更有結構。
- 內容貼近營運實務：摘錄涵蓋 TSC 範圍界定、觀察期間一致性、跳過的控制循環，以及常見的 Type II 準備度檢查點。
- 沒有支援檔案、參考資料、腳本、範本或安裝說明；使用者取得的是獨立的 SKILL.md，而不是可供稽核追蹤的準備套件。
- 該 repository 的訊號包含 experimental/test 指標，且實務產出物涵蓋度偏低；團隊應把它視為提示與檢查清單輔助，而不是完整的 SOC 2 準備流程。
soc2-audit-prep skill 概覽
soc2-audit-prep 的用途
soc2-audit-prep 是一個合規審查 skill，用六個聚焦在觀察期間的問題，協助你壓力測試 SOC 2 Type II 的準備程度。它設計為透過 /cs:soc2-audit-prep <scope> 呼叫，特別適合在蒐集佐證資料、稽核師現場查核，或變更稽核範圍前，用來進行結構化的挑戰式檢視。
不同於泛泛地要求「幫我準備 SOC 2」的提示，這個 skill 會把審查範圍收斂到 Type II 最常產生例外事項的問題：範圍不清、Trust Services Criteria 決策缺漏、控制週期被跳過、佐證薄弱，以及觀察期間內發生的變更。
最適合的使用者與合規時機
最適合使用這個 skill 的對象包括創辦人、資安負責人、GRC 營運人員、合規顧問，以及正在準備 SOC 2 Type II 稽核的工程主管。它尤其適合在觀察期間開始前、約第 6 個月檢查點、第 10 個月現場測試前、重大事件發生後，或新增 TSC 類別時使用，例如 Availability、Confidentiality、Processing Integrity 或 Privacy。
當你需要的是像稽核師一樣追問與挑戰，而不是協助撰寫政策文件時，就很適合把 soc2-audit-prep 用於 Compliance Review。
這個 skill 的差異化重點
它的核心差異在於「強迫釐清問題」的結構。這個 skill 並不是要從零產出一整套合規計畫；它會促使使用者揭露在 Type II 觀察期間真正重要的缺口。因此，它更適合用來驗證準備狀態，而不是撰寫通用控制項、供應商問卷或資安政策。
採用前的注意事項
此 repository 路徑是 compliance-os/skills/soc2-audit-prep，可用來源主要集中在 SKILL.md。它沒有內建 scripts、reference packs 或 helper resources，因此價值來自提示邏輯本身。團隊應自行準備控制矩陣、佐證清單、範圍聲明、稽核時程，以及稽核師提出的請求。
如何使用 soc2-audit-prep skill
soc2-audit-prep 安裝與原始碼檢視
從 GitHub skill repository 安裝此 skill：
npx skills add alirezarezvani/claude-skills --skill soc2-audit-prep
接著先閱讀來源檔案：
compliance-os/skills/soc2-audit-prep/SKILL.md
因為這個 skill 沒有搭配 rules/、resources/、references/ 或 scripts/ 資料夾，請不要期待它是自動化的 SOC 2 佐證掃描器。你應該把它視為一個結構化審查提示，並在你的 AI assistant 中搭配自己的稽核資料使用。
能實質提升輸出品質的輸入
較弱的呼叫方式是：
/cs:soc2-audit-prep our SaaS app
更好的呼叫方式，會提供模型足夠的稽核背景，讓它能有效挑戰你的準備狀況：
/cs:soc2-audit-prep B2B SaaS platform pursuing SOC 2 Type II, Security and Availability in scope, 12-month observation period starting Feb 1, quarterly access reviews, monthly vulnerability scans, AWS production environment, Stripe and customer support tools in scope, recent SSO rollout in month 4, auditor fieldwork expected in month 10
可行時，請包含以下細節：
- 系統邊界與排除在外的系統
- 納入範圍的 TSC 類別
- 觀察期間日期
- 控制頻率：monthly、quarterly、annual、continuous
- 佐證負責人與佐證存放位置
- 已知事件、遷移或工具變更
- 稽核師關注事項或客戶承諾
實務上的 soc2-audit-prep 使用流程
一開始先要求進行準備狀態追問，而不是產出漂亮的報告。先讓這個 skill 找出薄弱點，再要求它把發現轉成行動清單。
實務流程可以是：
- 使用你的稽核時程與 TSC 範圍執行
/cs:soc2-audit-prep <scope>。 - 用真實的控制項與佐證細節回答六個問題。
- 要求 assistant 將缺口分類為可能的例外事項、稽核師追問事項，或文件整理問題。
- 將輸出轉成負責人、到期日與佐證請求。
- 在修補完成後或現場查核前，再次執行此 skill。
這個流程會讓審查更貼近 Type II 稽核實際失敗的原因：不是因為有沒有政策，而是因為在整個觀察期間內，控制運作沒有保持一致。
取得更深入審查的提示模式
當你想要更精準的結果，可以使用這個模式：
Act as a SOC 2 Type II readiness reviewer using soc2-audit-prep. Challenge our scope, TSC category choices, control frequency, evidence completeness, skipped cycles, incidents, and changes during the observation period. Do not write generic policy text. Ask follow-up questions where evidence is missing, and produce a prioritized remediation list.
這樣的框架可以避免 assistant 漂移到一般性的 SOC 2 教學，並讓它聚焦在稽核可辯護性上。
soc2-audit-prep skill 常見問題
soc2-audit-prep 是完整的 SOC 2 計畫建置工具嗎？
不是。soc2-audit-prep 是準備狀態與合規審查 skill，不是完整控制庫、政策套件、佐證自動化工具，也不能取代稽核師。它最適合用來挑戰既有的 SOC 2 計畫，或正在進行中的 Type II 週期。
它比一般 SOC 2 提示好在哪裡？
一般提示可能會產出很寬泛的檢查清單。soc2-audit-prep skill 的範圍更窄，對 Type II 準備狀態更有幫助，因為它把重點放在觀察期間、範圍、TSC 類別，以及被跳過的控制週期。這樣的結構有助於更早揭露可能的稽核例外事項。
初學者可以使用這個 skill 嗎？
可以，但初學者應先準備基本 SOC 2 背景：被稽核的是哪個系統、哪些 Trust Services Criteria 納入範圍、觀察期間何時開始與結束，以及哪些控制項是每月或每季執行。缺少這些背景時，輸出會停留在較高層次。
什麼時候不該使用這個 skill？
不要把它當成解讀 AICPA criteria、法律建議、最終稽核結論或佐證認證的唯一來源。如果你尚未定義系統邊界，也不建議太早使用，因為範圍模糊會主導整個審查結果。
如何改進 soc2-audit-prep skill
用真實稽核文件強化 soc2-audit-prep
提升 soc2-audit-prep 結果最快的方法，是提供具體文件，而不是願景描述。貼上或摘要你的控制矩陣、系統描述、TSC 範圍、佐證追蹤表、事件紀錄、存取權審查行事曆、弱點掃描時程，以及重大變更歷史。
更好的輸入範例：
- “Quarterly access review for Q2 was completed 19 days late”
- “We changed ticketing systems in month 5 and lost historical approval links”
- “Availability is in scope because contracts promise 99.9% uptime”
這些細節能讓 skill 辨識 Type II 風險，而不是只是重述 SOC 2 基礎概念。
留意常見失敗模式
最常見的失敗模式，是把準備工作誤認為文件完整性，而不是控制的運作有效性。對 Type II 來說，第一天就存在的政策，無法補救被跳過的季度控制、缺漏的佐證，或未記錄的 production 變更。
其他應明確揭露的失敗模式包括：
- 期間中新增產品或地區
- Contractors 或支援工具被排除在範圍外
- 事件缺少 postmortems 或客戶溝通紀錄
- 控制項負責人不清楚
- 佐證存放在稽核師無法存取或驗證的系統中
從問題迭代到修補計畫
第一次執行後，用稽核語言要求產出修補計畫：
Convert the soc2-audit-prep findings into a remediation table with issue, audit risk, likely evidence needed, owner, deadline, and whether it affects the current observation period.
接著進行第二輪檢查：
Re-check only the high-risk items and tell me which are likely exceptions versus items that can be remediated before fieldwork.
這會把 skill 從一次性的檢查清單，轉變成稽核準備狀態的迭代循環。
依你的環境擴充這個 skill
如果你的團隊高度依賴 SOC 2，可以考慮在此 skill 旁加入自己的本機備註：control IDs、稽核師偏好、佐證命名慣例、納入範圍的系統，以及標準 screenshots 或 exports。上游的 soc2-audit-prep skill 刻意保持精簡，因此在地情境才是讓審查變得具體、可辯護，並且在稽核師提出相同問題前真正有用的關鍵。