打开网易新闻 查看精彩图片
第一次SOC 2审计失败时，我以为自己看错了邮件。我们明明做了访问控制、加密了静态数据——所有博客都在写的那些。结果栽跟头的地方，根本没人写过。
打开网易新闻 查看精彩图片
审计员问了一个问题："你能证明这些日志完整且未被篡改吗？"我们有几百万条日志存在ELK里，但答案是：不能。AICPA的CC7.2标准里有个关键词是"监控"，不是"记录"。我们有日志，但没有监控、没有告警、没有完整性校验。换句话说，我们只是把日志当仓库，不是当哨兵。
打开网易新闻 查看精彩图片
离职流程是第二个坑。我们以为禁用Okta账号就完事了，审计员却要了一份清单：每个系统的访问权限、撤销时间、操作人、截图证据。Okta只覆盖60%的系统，剩下40%散落在各处。更狠的是时间差——员工离职两周后才撤销权限？直接记一笔违规。
第三个是变更管理。我们说是代码审查，审计员问："生产环境谁有权限直接部署？"沉默。后来我们花了两个月做哈希链式日志、自动化离职检查、强制双人审批。第二次审计才过。
那位审计员最后补了一句：「我见过太多团队把合规当 checkbox，但SOC 2 要的是证据链，不是良心账。」
热门跟贴