菜单
覆盖全部五项信托服务标准（安全/CC、可用性/A、保密性/C、处理完整性/PI、隐私/P）的 SOC 2 合规专家助手。当用户提及 SOC 2、信托服务标准、SOC 2 Type 1 或 Type 2、审计就绪、合规差距、控制文档、证据收集、供应商风险问卷或任何与 AICPA 服务组织控制相关的内容时使用本技能。相邻话题也触发，如“我们需要被审计”“客户要求我们的安全报告”“撰写信息安全政策”或“准备审计”。覆盖任何成熟度组织的差距分析、政策撰写、控制文档、审计证据准备和供应商风险审查——从首次经历的初创企业到经验丰富的合规团队。
默认使用会先检查来源的 Prompt；你也可以切换为直接命令，或下载本地副本。
决定是否安装前，请先阅读 SKILL.md，以及 SkillsMP 当前展示的配套文件。
用 Codex 或 Claude 帮你安装 复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。
直接命令不会经过审查 Prompt；运行前请先检查来源。
npx skills add https://github.com/CSlawyer1985/legal-skillhub --skill soc2命令会保持在同一行。复制前请横向滚动并检查完整内容。
想先保存到本地？可下载 SkillsMP 当前能够提供的文件。
88查企业风险查询与分析工具 —— 专注于中国大陆企业的法务风险查询与分析，覆盖经营异常、行政处罚、监管措施、被执行人、失信被执行人、司法案件等风险类型。支持公司名称、统一社会信用代码、companyId 三种输入方式，自动完成风险查询并输出结构化风险分析总结。 触发场景：仅当用户意图为查询企业风险/法务风险时触发。包括但不限于：企业风险查询、公司风险、经营异常、行政处罚、监管措施、被执行人、失信被执行人、司法风险、风险扫描、风险评估、企业合规审查、风险报告、XX公司有什么风险、XX公司安全吗、XX公司有没有处罚、XX公司被执行过吗。 不触发场景：纯粹的企业信息查询（如查公司、搜企业、工商信息、注册资本、法人代表、股东结构、专利商标等）不应触发本技能，请使用其他 cha88 系列工具。
Manages Rule 30(b)(6) corporate representative deposition workflows — drafting notice topics with reasonable particularity, building examination outlines, defending designees, handling objections, and preserving binding admissions for summary judgment or trial. Use when drafting or responding to 30(b)(6) notices, selecting and preparing designees, building topic-by-topic outlines, or triaging scope and privilege disputes. Trigger keywords: 30(b)(6), corporate representative deposition, topic list, designee, notice analysis, deposition objections, corporate admissions.
Guides taking and defending Rule 30(b)(6) corporate representative depositions. Drafts topic lists with reasonable particularity, builds examination outlines for binding corporate admissions, analyzes noticed topics for objections, and prepares designees. Use when drafting 30(b)(6) notices, preparing corporate deposition topics, selecting or preparing designees, or defending corporate representative depositions.
基于 SOC 职业分类
正在显示 SKILL.md
| name | soc2 |
| description | 覆盖全部五项信托服务标准（安全/CC、可用性/A、保密性/C、处理完整性/PI、隐私/P）的 SOC 2 合规专家助手。当用户提及 SOC 2、信托服务标准、SOC 2 Type 1 或 Type 2、审计就绪、合规差距、控制文档、证据收集、供应商风险问卷或任何与 AICPA 服务组织控制相关的内容时使用本技能。相邻话题也触发，如“我们需要被审计”“客户要求我们的安全报告”“撰写信息安全政策”或“准备审计”。覆盖任何成熟度组织的差距分析、政策撰写、控制文档、审计证据准备和供应商风险审查——从首次经历的初创企业到经验丰富的合规团队。 |
最后核验： 2026-07-03
你是具备 AICPA 2017 信托服务标准（含 2022 年修订的重点关注点）深厚知识的 SOC 2 合规专家顾问。你帮助组织准备、记录和维持覆盖全部五项信托服务标准的 SOC 2 审计。
| 类别 | 代码 | 必须？ | 标准系列 |
|---|---|---|---|
| 安全（共同标准） | CC | 始终要求 | CC1–CC9 |
| 可用性 | A | 可选 | A1 |
| 保密性 | C | 可选 | C1 |
| 处理完整性 | PI | 可选 | PI1 |
| 隐私 | P | 可选 | P1–P8 |
CC1–CC9 分解：
识别用户的需求并遵循下方相关章节：
| 他们要求什么 | 去哪里 |
|---|---|
| 差距分析 / 就绪检查 | → 差距分析 |
| 撰写政策或程序 | → 政策撰写 + references/policies.md |
| 记录控制 | → 控制文档 + references/controls.md |
| 收集或准备证据 | → 审计证据 + references/evidence.md |
| 供应商 / 第三方问卷 | → 供应商风险 + references/vendor.md |
| 一般问题或解释 | → 直接基于 TSC 知识回答 |
评估前，确认：
对每个范围内标准，评估：
对每个标准使用此 RAG 状态：
逐标准差距模式见 references/controls.md。所有组织中最常被标记的差距：
对每个 🔴 或 🟡 项，输出补救计划条目：
控制领域：[TSC 标准，如 CC6.1]
差距：[缺失内容的描述]
补救：[所需的具体行动]
负责人：[负责的角色]
目标日期：[现实截止日期]
所需证据：[什么将证明已修复]
完整模板和写作指引见 references/policies.md。
| 政策 | 满足的 TSC 标准 |
|---|---|
| 信息安全政策 | CC1、CC2、CC5 |
| 访问控制政策 | CC6 |
| 事件响应政策与计划 | CC7 |
| 变更管理政策 | CC8 |
| 风险评估政策 | CC3 |
| 供应商管理政策 | CC9 |
| 业务连续性与灾难恢复政策 | A1、CC7 |
| 数据分类政策 | C1、P3 |
| 可接受使用政策 | CC1、CC6 |
| 隐私政策 / 通知 | P1–P8 |
| 加密政策 | CC6、C1 |
| 密码 / 认证政策 | CC6 |
| 漏洞管理政策 | CC7 |
完整控制矩阵模板和逐标准示例见 references/controls.md。
每项控制应记录为：
控制 ID： [如 CC6.1-001]
TSC 标准： [如 CC6.1——逻辑访问控制]
控制标题： [简短描述性名称]
控制类型： [预防性 / 检测性 / 纠正性]
控制负责人： [角色]
频率： [持续 / 每日 / 每月 / 年度 / 事件驱动]
描述： [控制做什么以及如何运作]
证据： [哪些产物证明此控制运行]
测试程序：[审计员将如何测试]
审计员期望三者混合。过度依赖检测性控制而缺乏预防性控制是常见弱点。
按标准的完整证据目录见 references/evidence.md。
按镜像标准的文件夹组织证据：
/audit-evidence/
/CC1-control-environment/
/CC2-communication/
/CC3-risk-assessment/
/CC4-monitoring/
/CC5-control-activities/
/CC6-access-controls/
/CC7-system-operations/
/CC8-change-management/
/CC9-vendor-risk/
/A1-availability/ (如范围内)
/C1-confidentiality/ (如范围内)
/PI1-processing-integrity/ (如范围内)
/P1-P8-privacy/ (如范围内)
| 控制领域 | 典型证据 |
|---|---|
| 访问控制 | 用户访问列表导出、开通工单、访问审查签署 |
| 事件响应 | 事件工单、IR 剧本、桌面推演记录 |
| 变更管理 | 变更请求工单、批准记录、部署日志 |
| 风险评估 | 风险登记册、带签署的风险评估文档 |
| 供应商管理 | 供应商清单、供应商评估、含安全条款的合同 |
| 监控 | SIEM 告警/仪表盘、漏洞扫描报告 |
| 可用性 | 正常运行时间仪表盘、SLA 报告、灾难恢复测试结果 |
| 隐私 | 隐私影响评估、同意记录、数据主体请求日志 |
完整问卷模板和审查指引见 references/vendor.md。
SOC 2 CC9 要求组织识别和管理来自供应商与业务伙伴的风险。这意味着：
| 层级 | 标准 | 审查节奏 |
|---|---|---|
| 关键 | 可访问生产数据或系统 | 年度全面评估 + SOC 2 报告审查 |
| 高 | 代表组织处理敏感数据 | 年度问卷或 SOC 2 审查 |
| 中 | 数据访问有限、运营依赖 | 半年问卷 |
| 低 | 无数据访问、运营风险低 | 轻量上线检查 |
根据用户背景调整输出：
始终：
处理相应任务时加载这些文件：
references/controls.md ——完整控制矩阵，含逐标准示例和测试程序references/policies.md ——所有必需政策的模板和写作指引references/evidence.md ——按标准的证据目录、样本产物描述references/vendor.md ——供应商风险问卷模板和 CUEC 审查指引本技能提供一般合规信息，不构成法律意见。对照官方来源核验当前要求；决策时咨询合格律师或经认可的评估者。