soc2-audit-prep
作者 alirezarezvanisoc2-audit-prep 是一个用于 SOC 2 Type II 合规审查的 skill，可通过 /cs:soc2-audit-prep <scope> 运行六个围绕观察期的强制检查问题。可在现场审计前，用它对范围、TSC 选择、被跳过的控制周期、证据缺口、事件以及审计就绪状态进行压力测试。
该 skill 得分为 68/100，说明它可以作为轻量级 SOC 2 Type II 就绪提示词收录到目录中。目录用户能够理解何时调用它，以及它会执行哪类压力测试；但应预期它更像检查清单式 skill，而不是包含模板、参考资料或自动化能力的完整审计准备包。
- 触发方式很明确：frontmatter 和正文都定义了清晰的命令模式 `/cs:soc2-audit-prep <scope>`，并说明了在 Type II 周期中适合运行的具体时点。
- 对 agent 的利用较聚焦：该 skill 将 SOC 2 Type II 就绪评估组织为六个观察期强制问题，比通用合规提示词更有结构。
- 内容贴近运营场景：摘录覆盖 TSC 范围界定、观察期一致性、被跳过的控制周期，以及常见的 Type II 就绪检查点。
- 没有配套文件、参考资料、脚本、模板或安装说明，因此用户得到的是一个独立的 SKILL.md，而不是可审计的准备工具包。
- 该 repository 的信号包含实验/测试性质提示，且可直接落地的工件覆盖较少；团队应将其视为提示词/检查清单辅助，而不是完整的 SOC 2 就绪工作流。
soc2-audit-prep skill 概览
soc2-audit-prep 能做什么
soc2-audit-prep 是一个面向合规审查的技能，用 6 个聚焦观察期的问题来压力测试 SOC 2 Type II 就绪度。它的设计调用方式是 /cs:soc2-audit-prep <scope>，最适合在开始收集证据、审计师进场测试，或审计范围发生变化之前，用来做一次结构化的挑战式复盘。
和泛泛地询问“帮我准备 SOC 2”不同，这个 skill 会把审查收窄到最容易导致 Type II 例外的问题：范围不清、Trust Services Criteria 决策缺失、控制执行周期被跳过、证据薄弱，以及观察窗口内发生变更。
最适合的用户和合规节点
最适合使用它的人包括创始人、安全负责人、GRC 运营人员、合规顾问，以及正在准备 SOC 2 Type II 审计的工程管理者。它尤其适合在观察期开始前、6 个月检查点、10 个月现场测试前、重大事件之后，或新增 Availability、Confidentiality、Processing Integrity、Privacy 等 TSC 类别时使用。
当你想要的是类似审计师追问的 Compliance Review，而不是帮你写政策文档的助手时，就可以使用 soc2-audit-prep。
这个 skill 的差异点
它最核心的差异在于“强制追问”的结构。这个 skill 并不试图从零生成一整套合规体系；它会推动用户暴露在 Type II 观察期内真正重要的缺口。因此，它更适合做就绪度验证，而不是生成通用控制项、供应商问卷或安全政策。
采用前需要考虑什么
仓库路径是 compliance-os/skills/soc2-audit-prep，可用源码主要集中在 SKILL.md。它没有内置脚本、参考包或辅助资源，因此价值主要来自 prompt 逻辑本身。团队需要自备控制矩阵、证据清单、范围说明、审计时间线和审计师请求。
如何使用 soc2-audit-prep skill
soc2-audit-prep 安装与源码查看
从 GitHub skill repository 安装该 skill：
npx skills add alirezarezvani/claude-skills --skill soc2-audit-prep
然后先阅读源文件：
compliance-os/skills/soc2-audit-prep/SKILL.md
由于这个 skill 没有配套的 rules/、resources/、references/ 或 scripts/ 目录，不要期待它是一个自动化 SOC 2 证据扫描器。应把它当作一个结构化审查 prompt，在你的 AI assistant 中结合自己的审计材料来运行。
哪些输入会显著提升输出质量
较弱的调用方式是：
/cs:soc2-audit-prep our SaaS app
更好的调用方式是提供足够的审计上下文，让模型能真正提出有价值的挑战：
/cs:soc2-audit-prep B2B SaaS platform pursuing SOC 2 Type II, Security and Availability in scope, 12-month observation period starting Feb 1, quarterly access reviews, monthly vulnerability scans, AWS production environment, Stripe and customer support tools in scope, recent SSO rollout in month 4, auditor fieldwork expected in month 10
尽量包含以下信息：
- 系统边界和排除在外的系统
- 纳入范围的 TSC 类别
- 观察期日期
- 控制频率：monthly、quarterly、annual、continuous
- 证据负责人和证据存放位置
- 已知事件、迁移或工具变更
- 审计师关注点或客户承诺
实用的 soc2-audit-prep 使用流程
一开始先要求它做就绪度追问，而不是生成一份 polished report。先让这个 skill 找出薄弱点，再要求它把发现转成行动清单。
一个实用流程如下：
- 带上你的审计时间线和 TSC 范围运行
/cs:soc2-audit-prep <scope>。 - 用真实的控制和证据细节回答 6 个问题。
- 要求 assistant 将缺口分类为 likely exception、auditor follow-up 或 documentation cleanup。
- 把输出转化为负责人、截止日期和证据请求。
- 在整改后或现场测试前再次运行该 skill。
这个流程能让审查贴近 Type II 审计真正失败的方式：问题往往不是有没有政策，而是整个观察期内的执行是否一致。
用于更强审查效果的 prompt 模式
如果想获得更尖锐的结果，可以使用这个模式：
Act as a SOC 2 Type II readiness reviewer using soc2-audit-prep. Challenge our scope, TSC category choices, control frequency, evidence completeness, skipped cycles, incidents, and changes during the observation period. Do not write generic policy text. Ask follow-up questions where evidence is missing, and produce a prioritized remediation list.
这种设定可以避免 assistant 漂移到泛泛的 SOC 2 科普内容，让它保持聚焦于审计可防御性。
soc2-audit-prep skill 常见问题
soc2-audit-prep 是完整的 SOC 2 项目构建器吗？
不是。soc2-audit-prep 是一个就绪度和合规审查 skill，不是完整控制库、政策套件、证据自动化工具，也不能替代审计师。它最适合用来挑战已有的 SOC 2 计划，或正在进行中的 Type II 周期。
它相比普通 SOC 2 prompt 好在哪里？
普通 prompt 可能会生成一份很宽泛的 checklist。soc2-audit-prep skill 范围更窄，但对 Type II 就绪度更有用，因为它围绕观察期、范围、TSC 类别和被跳过的控制周期展开。这样的结构有助于更早暴露审计例外。
初学者可以使用这个 skill 吗？
可以，但初学者最好带上基本的 SOC 2 背景：被审计的系统是什么、哪些 Trust Services Criteria 纳入范围、观察期何时开始和结束、哪些控制按月或按季度执行。缺少这些上下文时，输出会停留在较高层面。
什么时候不应该使用这个 skill？
不要把它作为解释 AICPA 标准、获取法律建议、形成最终审计结论或认证证据的唯一来源。如果还没有定义系统边界，也不建议过早使用，因为范围不清会主导整个审查。
如何改进 soc2-audit-prep skill
用真实审计材料改进 soc2-audit-prep
提升 soc2-audit-prep 结果最快的方法，是提供真实材料，而不是目标口号。可以粘贴或概述你的控制矩阵、系统描述、TSC 范围、证据跟踪表、事件日志、访问审查日历、漏洞扫描计划和重大变更历史。
更好的输入示例：
- “Quarterly access review for Q2 was completed 19 days late”
- “We changed ticketing systems in month 5 and lost historical approval links”
- “Availability is in scope because contracts promise 99.9% uptime”
这些细节能让这个 skill 识别 Type II 风险，而不是重复 SOC 2 基础知识。
留意常见失败模式
最常见的失败模式，是把准备工作理解为文档是否齐全，而不是控制是否有效运行。对于 Type II 来说，第一天就存在的政策，无法弥补被跳过的季度控制、缺失的证据或未记录的生产变更。
还应明确暴露以下失败模式：
- 观察期中途新增产品或地区
- 承包商或支持工具被遗漏在范围之外
- 事件没有 postmortem 或客户沟通记录
- 控制项负责人不清晰
- 证据存放在审计师无法访问或验证的系统中
从问题迭代到整改
第一次运行后，用审计语言要求生成整改计划：
Convert the soc2-audit-prep findings into a remediation table with issue, audit risk, likely evidence needed, owner, deadline, and whether it affects the current observation period.
然后进行第二轮检查：
Re-check only the high-risk items and tell me which are likely exceptions versus items that can be remediated before fieldwork.
这样可以把这个 skill 从一次性的 checklist 变成审计就绪度闭环。
针对你的环境扩展这个 skill
如果你的团队高度依赖 SOC 2，可以考虑在这个 skill 旁边增加自己的本地备注：控制 ID、审计师偏好、证据命名规范、范围内系统，以及标准截图或导出文件。上游的 soc2-audit-prep skill 有意保持精简，因此本地上下文才是让审查在审计师提出同样问题之前变得具体、可防御且有用的关键。