SOC 2 概述

《系统与组织控制 2》（Systems and Organization Controls 2，SOC 2）是由美国注册会计师协会（AICPA）创建的框架与审计流程，用于评估组织安全管理敏感数据的能力。通过由注册会计师事务所（CPA）执行的 SOC 2 审计，组织可以证明其已建立有效控制以保护客户数据与系统，从而降低客户与合作伙伴面临的风险。

信任服务准则（TSC）的五个类别

信任服务准则（Trust Services Criteria，TSC）是 AICPA 定义的、用于评估服务组织 SOC 报告控制措施的一组控制目标与准则，界定了服务组织为保护客户数据并提供可靠服务应当做到的事项。TSC 分为五个准则类别：

• 安全性（Security）：防范未授权访问（逻辑层面与物理层面）、未授权披露，以及可能损害系统可用性、完整性、机密性或隐私性的破坏行为。该准则为所有 SOC 2 委托业务所必需。

• 可用性（Availability）：确保系统按承诺或约定可供运行与使用，涵盖容量、性能、冗余与灾难恢复。

• 处理完整性（Processing Integrity）：确保系统处理是完整、有效、准确、及时且经授权的，适用于处理过程或输出结果的正确性至关重要的场景。

• 机密性（Confidentiality）：保护被指定为机密的信息，涵盖加密、访问控制、保留与销毁策略、安全传输。

• 隐私（Privacy）：依据实体的隐私声明与相关法律，处理个人信息的收集、使用、保留、披露与销毁，与通用隐私原则（GAPP）保持一致。

每项准则进一步细分为审计师进行测试的关注点（points of focus）与控制活动（control activities）。组织可根据所提供的服务与客户期望，选择适用哪些可选准则（可用性、处理完整性、机密性、隐私）；安全性准则始终适用。

适用对象

在美国缺乏强有力隐私法规的背景下，SOC 2 已成为评估服务提供商保护客户数据能力的常用自愿性框架。SOC 2 的关键要点在于：受审方是服务提供商，而非客户。"需要"SOC 2 审计的实体，是那些代表他人运营系统并处理客户数据的组织。

SaaS 与 IaaS 云服务商、数据处理与存储组织、AI 平台、数据与分析服务、托管服务提供商（MSP）、金融科技、医疗科技等企业，需要证明其 SOC 2 认证状态，才能处理来自其他组织（即数据所有者）的客户数据。

SOC 2 为何对企业重要

SOC 2 让企业确信服务提供商已建立成熟的安全与风险管理实践，以保护敏感数据。在企业采购流程中，SOC 2 往往是强制要求，提供了一种无需开展定制化审计即可标准化评估供应商安全性的方式。

SOC 2 同时有助于与 ISO 27001、NIST、GDPR 等更广泛的法规与安全框架对齐，帮助企业更高效地管理合规义务。最重要的是，当企业向第三方共享敏感或受监管数据时，SOC 2 能够建立信任——包括用于 AI 训练、微调或推理的数据，这类场景的数据暴露与滥用风险尤为突出。

SOC 2 的罚则

SOC 2 本身对不合规行为没有直接处罚或罚款。但其间接后果可能相当显著：大型企业客户在供应商处理其敏感数据时，通常会要求供应商提供 SOC 2 报告。SOC 2 报告能够有力地表明组织在安全、可用性、处理完整性、机密性与隐私方面具备强有力的内部控制措施。

我们如何协助满足 SOC 2 隐私合规要求

我们提供的网络安全解决方案帮助组织实施并证明 SOC 2 信任服务准则中隐私（Privacy）准则所要求的技术与组织控制措施，尤其适用于在云、混合与 AI 环境中处理敏感、个人或受监管数据的场景。

数据保护与最小化

Thales 数据安全产品支持对静态、使用中与传输中的个人数据进行加密、令牌化与掩码。这些控制措施支撑了 SOC 2 隐私准则中关于数据最小化、机密性以及个人信息受限使用的要求——即便系统被攻破或授权用户越权访问，也能降低暴露风险。Thales 同时支持法律要求的个人信息销毁相关要求。

访问控制与目的限制

Thales 身份与访问管理解决方案强制执行强认证、基于角色的访问与最小权限策略。这与 SOC 2 的预期一致：个人数据仅由授权人员、且仅出于明确且正当的目的访问——这是隐私保护的核心原则。

密钥所有权与密码学控制

借助客户自管密钥（customer-managed keys）、HSM 与自带密钥（BYOK/HYOK）模型，Thales 允许组织保留对用于保护个人数据的加密密钥的控制权。这支撑了 SOC 2 隐私准则中与数据保管、第三方风险和透明度相关的要求——在云与 AI 场景中尤为重要，因为数据原本可能暴露给服务提供商或模型运营方。

监控、可审计性与事件响应

Thales 数据安全态势管理（DSPM）解决方案提供集中化的日志记录、监控与策略执行能力，帮助组织证明其对个人信息使用情况实施了持续监督。Thales 应用安全解决方案监控威胁、发现漏洞并阻断可能导致敏感数据泄露的攻击。这些能力支撑 SOC 2 对审计轨迹、未授权访问检测以及隐私事件及时响应的要求。

AI 与高级分析中的隐私

AI 应用与智能体正在各组织内部署并访问敏感数据，而往往缺乏充分的安全防护——这引入了新的风险。Thales AI 网络安全解决方案通过在数据进入 AI 系统之前识别敏感数据，并以加密、访问控制与运行时保护加以防护，从而落实隐私控制措施，降低数据泄露、二次使用或模型暴露的风险。这直接支撑了 SOC 2 在新兴 AI 用例中对隐私的预期要求——而传统控制在这些场景中往往力有不逮。

三大能力域与准则映射总览

Thales 的解决方案简化合规工作并实现安全自动化，减轻安全与合规团队的负担。围绕 SOC 2 的应用安全、数据安全、身份与访问管理三项核心要求，Thales 在多个类别上提供覆盖。

三大能力域共同构成 SOC 2 应对方案的应用层、数据层与身份层。

• 应用安全（Application Security）：在云端、本地数据中心或混合模式下，以规模化能力保护应用与 API。市场领先的产品套件涵盖 Web 应用防火墙（WAF）——用于抵御分布式拒绝服务（DDoS）与恶意 Bot 攻击、API 安全，以及安全的内容分发网络（CDN）。

• 数据安全（Data Security）：在混合 IT 环境中发现并分类敏感数据，并通过加密、令牌化与密钥管理，自动实现对静态、传输中及使用中数据的全生命周期保护。Thales 方案还能够识别、评估并排序潜在风险，为准确的风险评估提供支撑；同时识别异常行为、监控活动以发现潜在威胁并验证合规性，帮助组织确定资源投入的优先次序。

• 身份与访问管理（Identity & Access Management）：为客户、员工与合作伙伴提供无缝、安全、可信的应用与数字服务访问。方案基于角色与上下文，通过细粒度访问策略与多因素认证限制内部与外部用户的访问权限，确保正确用户在正确时间获得正确资源的访问授权。

SOC 2 控制项与能力域覆盖矩阵

方案能力与 SOC 2 要求映射明细

CC6.1 逻辑访问安全 / CC1.1 识别与维护机密信息 / P4.2 保护个人信息

CC6.1 / CC6.2 / CC6.3 / P4.2 访问控制与凭据生命周期管理

CC6.1 用户识别与认证

CC6.4 物理访问控制

CC6.5 / CC1.2 / P4.3 数据销毁

CC6.6 / CC7.1–CC7.4 外部威胁防护与检测响应

CC6.7 数据传输保护

CC6.8 恶意软件防护

CC9.2 供应商风险管理

P2.0 隐私准则——选择与同意

产品组合：可见性与控制

Thales 提供由互补的应用安全、数据安全、身份与访问管理产品构成的广泛组合，形成全面的解决方案，帮助应对 SOC 2 的各项要求。该组合交付以数据为中心的安全能力，保护数据本身及其所有访问路径，并通过相关平台降低在云中管理应用、数据与身份的复杂度与风险。

应用安全解决方案

Web 应用防火墙（WAF）

现代 Web 应用对各行业的大多数组织而言都至关重要，保护这些应用是业务连续性与韧性的关键。Imperva Web 应用防火墙为 Web 应用提供开箱即用的安全能力，检测并阻断网络威胁，确保业务顺畅运行并带来安心。该 WAF 方案防护开放全球应用安全项目（OWASP）Top 10 安全威胁，例如跨站脚本、非法资源访问与远程文件包含，实时阻断攻击。Imperva 威胁研究团队持续更新规则并每日自动下发，确保方案始终防护客户免受最新威胁。

分布式拒绝服务（DDoS）防护

DDoS 攻击是试图使网站、计算机或在线服务瘫痪的网络犯罪。Imperva DDoS 防护为网站、网络、DNS 服务器与单个 IP 提供全面的 DDoS 防护。相关方案已成功缓解历史上规模最大的多起攻击，即时生效且不引入延迟，也不影响合法用户。其高容量全球网络具备超过 6 Tbps 的清洗容量，每秒可处理超过 650 亿个攻击数据包。这一由 44 个以上存在点（PoP）构成的全球网络，每个点均配备由专有 Behemoth 定制技术驱动的 DDoS 清洗中心、云化 WAF、高级 Bot 缓解服务等，以软件定义网状架构实现最优性能。

Bot 防护

互联网上的自动化威胁量持续上升，恶意 Bot 占全部互联网流量的三成以上。Imperva 高级 Bot 防护保护关键业务网站、移动应用与 API，使其免受自动化威胁与在线欺诈影响，同时不影响业务关键流量正常流转。该方案防御网页抓取、账号接管、抢购倒卖、交易欺诈、礼品卡欺诈、拒绝服务、竞争性数据挖掘、未经授权的漏洞扫描、垃圾信息、点击欺诈，以及 Web 与移动 API 滥用。

API 安全

无论是在全新的云原生微服务与无服务器架构中开发应用、自动化业务到业务流程，还是为移动应用提供后端，API 都是现代企业的关键要素。通过自动发现与持续监控 API 端点，Imperva API 安全为安全团队带来全面的 API 可视性——无需开发团队通过 OpenAPI 发布 API，也无需在 CI/CD 流程中增加资源密集型的工作流。此外，每当 API 更新，安全团队都能及时掌握变更、识别新出现的风险并纳入相应调整，从而实现更快、更安全的软件发布周期。Imperva API 安全让安全团队在不拖慢开发速度的前提下跟上创新节奏。

数据安全解决方案

数据发现与分类

与 SOC 2 框架对齐的关键第一步，是弄清什么构成敏感数据、数据存储在何处与以何种方式存储，以及谁可以访问它们。CipherTrust 数据发现与分类可在组织数据资产的所有数据存储中——从结构化到半结构化再到非结构化，覆盖本地、混合、云与多云环境——完成数据发现与分类。这种可视性使组织能够构建稳固的数据隐私与安全基础。

数据库活动监控

持续监控可捕获并分析云端或本地的全部数据存储活动，覆盖应用账户与特权用户账户，提供详细审计轨迹，说明谁访问了哪些数据、何时访问以及对数据做了什么。数据库活动监控（DAM）方案统一了跨不同本地平台的审计，为关系型数据库、NoSQL 数据库、大型机、大数据平台与数据仓库提供监督。同时支持托管在 Microsoft Azure 与 Amazon Web Services（AWS）上的数据库，包括 Azure SQL 与 Amazon 关系型数据库服务（RDS）等 PaaS offerings。详细的数据活动被自动捕获，使审计请求的响应更为轻松。

文件活动监控

非结构化数据涵盖从 Office 文档到聊天记录、生成式 AI 输出与医学影像的一切，如今已占企业信息资产的约 80%。然而安全工具仍针对结构化数据库优化，导致邮件与文件共享等资产处于监控盲区。文件活动监控（FAM）方案通过增强对非结构化数据的可视性与控制力弥合这一缺口，使组织能够监控文件活动、检测滥用，并在整个数据资产范围内确保监管合规。Thales FAM 的实时访问跟踪、自动化分类与 AI 驱动的洞察，可通过直观仪表板与无缝部署实现合规、发现内部人员风险，并深入洞察敏感文件活动。

数据风险情报

要做出有效的数据风险决策，必须拥有准确反映自身安全容忍度与组织目标的风险评分。数据风险情报方案使组织能够按严重性与可能性准确锁定最关键的数据风险，从而有效排定风险缓解的优先次序。该方案通过高级分析，从覆盖用户权限、数据源漏洞、加密状态与可疑活动的广泛风险指标集合中提炼专门洞察，给出具体风险评分与清晰明确的行动建议。

威胁检测

威胁检测是预防、识别与响应网络攻击的最重要能力之一。威胁检测方案监控所有数据库的数据访问与活动，提供定位风险性数据访问活动所需的可视性，覆盖包括特权用户在内的全部用户。组织在生成报告以有效沟通风险与在途活动的同时，可发掘隐藏的风险与漏洞。该方案提供实时告警、对策略违规行为的用户访问阻断，并以高成本效益的方式保留多年数据以供审计。将深厚的领域安全专长与机器学习（ML）相结合，使组织能够识别违反安全策略、实践与同类群体规范的可疑用户与计算机系统行为。专门构建的检测算法可即时识别活跃攻击利用，并立即发送事件告警。

加密：静态数据保护

加密在保护数据全生命周期（静态、传输中、使用中）的机密性、完整性与可用性方面发挥重要作用。根据自身的安全要求与基础设施，可采用不同方法保护文件、卷与数据库中的静态数据。CipherTrust 数据安全平台提供多种能力以保护文件、卷与数据库中的静态数据。透明加密工作在文件系统层，交付静态数据加密，并具备集中式密钥管理、细粒度访问控制与数据访问日志，以满足数据保护的最佳实践要求。为保护静态数据免受零日攻击与权限提升攻击的影响，勒索软件防护使用实时行为监控，在恶意软件得以扎根之前告警或阻断恶意活动。数据库层保护支持原生 TDE 场景的密钥管理，或对数据库实施字段级／列级加密。在应用层，可部署面向 C 与 Java 的库，或在网络层使用网关方案，在不修改应用代码的前提下施加加密。

加密：传输中数据保护

保护传输中数据对于防范窃听、监视以及敏感数据的显性与隐性截获至关重要。Thales 高速加密提供经认证、与网络无关的传输中数据加密（第 2、3、4 层），确保数据在站点之间或从本地到云端再返回的过程中保持安全，帮助客户更好地保护在存储库之间流动的数据、视频、语音与元数据。该网络加密方案已在最苛刻、性能密集的环境中证明可实现最高可用性。其延迟接近于零，可在全双工模式下以全线路速率运行，同时提供灵活且与厂商无关的互操作性——这意味着它与网络中所有主流网络厂商兼容。

令牌化（Tokenization）

对数据进行令牌化或掩码，可降低遵守内部安全策略、行业框架以及 SOC 2、欧盟《通用数据保护条例》（GDPR）、《支付卡行业数据安全标准》（PCI-DSS）等监管要求所需的成本与工作量。CipherTrust 令牌化允许在数据库中对敏感信息实施假名化，使团队能够在分析聚合数据时不暴露敏感数据。它以两种便捷方案提供应用层令牌化服务，赋予客户完全灵活性：免保管令牌化（Vaultless Tokenization）配合动态数据掩码，以及托管令牌化（Vaulted Tokenization）。两种方案均可对敏感资产实施保护与匿名化，无论其位于数据中心、大数据环境还是云端。

密钥与 Secrets 管理

集中式密钥管理将本地与云端加密密钥整合在一起，从而可以在多个文件服务器、数据库、应用、虚拟机与云平台上施加一致的安全策略。CipherTrust 密钥管理让企业对密钥拥有更强的掌控力，简化密钥生命周期管理任务，并通过一致地执行密钥策略、细粒度访问控制，以及对全部密钥管理与加密操作实施稳健审计与报告来增强数据安全。

容器化、云转型、DevOps 与自动化等现代开发趋势，使用于认证的 Secrets（凭据、证书、密钥）使用量激增——若未妥善管理，极易成为网络攻击的脆弱点。CipherTrust Secrets 管理保护并自动化对 DevOps 工具与云工作负载中关键 Secrets 的访问，涵盖 Secrets、凭据、证书、API 密钥与令牌，帮助安全与治理团队通过简化安全流程降低风险。

硬件安全模块（HSM）

硬件安全模块（HSM）是保护加密密钥生命周期的专用加密处理器。它充当信任锚，通过在加固的防篡改设备内安全地管理、处理与存储加密密钥，保护全球最注重安全的组织的加密基础设施。Thales Luna 硬件安全模块保护加密密钥，提供 FIPS 140-3 Level 3 加固的防篡改环境，用于安全加密处理、密钥生成与保护、加密等场景。它们既可本地部署，也可作为云端服务提供，并覆盖混合环境。

Luna HSM 可生成并保护根密钥与证书颁发机构（CA）密钥，支持各类用例下的 PKI。它们对应用代码进行签名，确保软件保持安全、未经篡改且来源可信；并为 IoT 应用及其他部署场景下的专有电子设备创建数字证书，用于凭据签发与身份认证。

身份与访问管理解决方案

客户身份与访问管理（CIAM）

客户身份与访问管理（CIAM）管理组织外部身份的访问，例如客户、零工、供应商或合作伙伴的身份。Thales OneWelcome 身份平台在所有客户接触点提供一致的身份体验，使组织能够在安全与可用性之间取得平衡，为大规模客户提供无摩擦的体验——无论其所在位置、所使用的设备或应用。CIAM 平台可处理最复杂的本地、国家与国际数据隐私及保护法规，从而使组织在复杂的受监管市场中蓬勃发展。

员工身份与访问管理（WIAM）

相当不成比例的数据泄露事件，起因于对数据与敏感资源的未授权访问、凭据失陷以及权限滥用。Thales SafeNet Trusted Access 是一款云端访问管理方案，通过整合单点登录（SSO）、多因素认证（MFA）与基于场景的访问策略，让管理云服务与企业应用的访问变得简单。SafeNet Trusted Access 在组织应用资产范围内提供访问事件的单一视图，确保正确用户以正确信任级别访问正确应用。它允许组织借助 MFA（包括抗钓鱼认证）与细粒度访问策略，在虚拟（或逻辑）层面限制对机密资源的访问。

最广泛的认证解决方案

多因素认证是 SOC 2 以及大多数其他法规与标准的强制要求。Thales OneWelcome 认证器涵盖面向员工用户与外部用户的广泛硬件与软件认证方式与形态，其中包括 CBA 与 FIDO 等抗钓鱼认证能力，以及名为 MobilePASS+ 的用户友好型智能手机认证器应用。客户或合作伙伴等外部用户同样存在细微的认证需求。借助 OneWelcome 身份平台，组织可同时启用低保障与高保障认证机制，包括 SCA（强客户认证）或使用 FIDO Passkey。

结论

SOC 2 标准为处理大量敏感数据的组织大幅提高了隐私保护与数据保护的标准要求。凭借数十年来帮助企业与公共部门主体遵循合规要求的经验，Thales 提供广泛的产品与服务组合，使组织能够强化隐私保护、满足各项安全要求、精简报告义务，并应对 SOC 2 更为严苛的审计。

此外，Thales 与 Imperva 的组合产品有助于简化 SOC 2 之外多个重叠监管体系（如 GDPR 与 DORA）以及 ISO 27001、PCI、NIST 网络安全框架 2.0 等标准下的合规工作。该产品组合交付无与伦比的集中化可视性与控制力，涵盖数据、应用与访问控制安全，从而自动化安全与合规流程，减轻安全与合规团队的负担。

揽阁信息是Thales的重要合作伙伴，如需了解更多信息，请联系揽阁信息。

揽阁信息 · 值得您信赖的信息安全顾问！

相关文章：

• 遵守香港《关键基础设施保护条例》 - 合规性满足
• 遵守香港金管局《云应用实务指南》 - 合规性指南
• 遵守柬埔寨TCRMG - 合规性满足
• 遵守日本金融服务管理局（FISC）的金融服务倡议（FSI）指南 - 合规性满足
• 应对马来西亚国家银行的云和数据技术风险管理（RMiT） - 合规性满足
• 菲律宾 2012 年数据隐私法 - 合规性满足