SOC 2与ISO 27001及新加坡Cyber Essentials证明什么

一句话结论： SOC 2 与 ISO 27001 的区别不是两枚徽章的较量。ISO/IEC 27001 认证既定范围内的管理体系；SOC 2 报告是审计师的鉴证意见，买方必须自行阅读；NIST CSF 是框架，不是证书。请索取范围、期间，以及来自您自己租户的证据。

“你们有认证吗？”如今已是与 IT 服务商洽谈时最先被问到的问题之一。这个问题合情合理，得到的却往往只是一个字的回答。这个回答掩盖了买方真正需要了解的大部分信息：是哪一种认证、由谁颁发、覆盖业务的哪一部分、有效期多长、测试的又是什么。SOC 2 与 ISO 27001 的区别正是这种混乱通常开始的地方，所以本报告也从这里开始。

本报告依据定义各类方案的已发布文件和网页，说明主要方案究竟是什么。内容涵盖 ISO/IEC 27001、SOC 2、新加坡的 Cyber Essentials 与 Cyber Trust 标志，以及两个常被误认为证书的美国框架：NIST 网络安全框架和 CMMC。随后，报告结合方法学上的注意事项解读已发布的证书数量，并直言香港没有与新加坡国家级标志对应的制度。下文的每一项外部事实，都在 2026 年 10 月 30 日对照一个我们能够打开的来源重新核对过；凡是无法打开来源的地方，我们都明说，并且不作任何断言。

披露说明。Brocent 是一家经常被客户索要这些证书的 IT 服务商，因此我们在这个问题上处于供应方的位置。Brocent 的“关于我们”页面写明公司“ISO/IEC 27001 certified”并且“SOC 2 Type II compliant”；我们按原文引用该页面，本报告并未对这些说法进行审计，下文内容也不依赖这些说法。这里描述的检验方法，买方对我们的适用程度与对其他任何服务商并无二致。

核心发现

三种不同的东西使用同一个词。ISO/IEC 27001 是依据标准进行的认证，SOC 2 是注册会计师事务所出具的鉴证报告，而 NIST 网络安全框架 2.0 用 NIST 自己的话说，是“并不规定应如何实现成果”的指引。框架无法被“持有”，报告也不等于及格线。
证书证明的是管理体系，而不是某一项控制措施对您而言的强度。ISO 自己的“Certification”页面说明，ISO 本身并不实施认证；认证由独立的认证机构实施，ISO 的建议是核查该机构是否获得认可。认证机构审核的，是组织的信息安全管理体系是否满足标准要求，而且只限于组织自己界定的范围之内。
范围决定一切。ISO/IEC 27001:2022 要求组织自行确定管理体系的范围（第 4.3 条），并把选用了哪些控制措施及其理由记录在适用性声明中（第 6.1.3 条 d 项）。范围狭窄的证书是真实的，却可能与您购买的服务毫无关系，所以范围声明和适用性声明是最应索取的两份文件。
新加坡有分级的国家级方案，香港则没有。新加坡网络安全局（CSA）运营 Cyber Essentials 和 Cyber Trust，由 CSA 委任的认证机构评估，其中 Cyber Trust 以新加坡标准 SS 712:2025 发布。在我们的检索中，没有发现香港有组织层面的对应制度，只有一个于 2025 年 10 月启动的经审核服务商名录。
已发布的数量显示出大幅上升，但不能解读为清晰的趋势。ISO Survey 2024 信息图报告 2024 年有效的 ISO/IEC 27001 证书为 96,709 张，2023 年为 47,291 张；ISO 自己的调查页面说明，自 2025 年起该调查直接从 IAF CertSearch 汇编。数据收集方式变了，所以这一跳升并非纯粹的自然增长。
美国的框架并不是通用型证书。NIST CSF 2.0 是自愿性指引，而 CMMC 是美国国防部针对处理联邦合同信息或受控非密信息的企业所设的合同制度，其第三方评估阶段已于 2026 年 7 月暂停。
买方的任务是索取三样东西。索取证书、针对您自己租户的证据以及合同承诺，并把它们视为三项相互独立的保证。

SOC 2 与 ISO 27001 的区别：三种不同的东西，为何共用同一个词

混乱始于用词。人们说“通过 ISO 认证”“符合 SOC 2”和“对标 NIST”，仿佛它们是同一类声明。其实不是。

认证由独立机构依据某项标准颁发。 ISO/IEC 27001 就是一例。ISO 的“Certification”页面明确写道，ISO 本身不为组织提供认证：认证由外部认证机构实施，ISO 给买方的建议是通过本国认可机构或国际认可论坛（IAF）的 IAF CertSearch 数据库，核查该机构是否获得认可。
鉴证是一份报告。 SOC 2 审验由注册会计师事务所依据美国注册会计师协会（AICPA）的鉴证准则实施。事务所对照 AICPA 信任服务标准（Trust Services Criteria），审验管理层对某个系统及其控制措施的描述，产出是一份载有审计师意见的报告。买方应当阅读这份报告。
框架是指引。 NIST 网络安全框架 2.0 于 2024 年 2 月 26 日以 NIST CSWP 29 的编号发布，为任何规模、行业或成熟度的组织描述网络安全成果。它“并不规定应如何实现成果”，文件本身也没有建立任何认证机制。

实际的后果是，“我们遵循 NIST”和“我们通过了 ISO 认证”回答的是不同的问题。前者说明一家组织如何梳理自己的思路，后者说明第三方已依据公布的标准对其管理体系作过审核。两者都不等于您的数据是安全的。

ISO/IEC 27001 测试什么，范围声明又悄悄排除了什么

ISO/IEC 27001 规定了信息安全管理体系（ISMS）的要求。组织界定 ISMS 的范围，评估其信息安全风险，决定采用哪些控制措施，把这一决定记录在适用性声明中，并运行该体系，然后由认证机构对其进行审核。从标准本身的结构和管理认证活动的机构出发，可以直接得出四点，没有一点需要借助具名评论者。

获得认证的是管理体系。 这是一项管理体系标准：认证机构审核的是组织的 ISMS 是否满足标准要求，也就是风险评估、风险处置与评审的纪律。它不是对您租户的技术测试，标准也没有要求认证机构进行这样的测试。获得认证的公司拥有一套运转中的风险流程，但未必已把风险降到您可以接受的水平。

范围由组织自己选择。 ISO/IEC 27001:2022 第 4.3 条“确定信息安全管理体系的范围”，要求组织自行划定 ISMS 的边界。范围声明可以涵盖整家公司、一个数据中心、一条产品线或一间办公室。证书上会写明这个范围，请先读它。

适用性声明说明哪些控制措施在起作用。 第 6.1.3 条 d 项要求组织编制适用性声明，列出其认定必要的控制措施，并说明纳入与排除的理由。这份文件告诉您，您关心的那项控制措施是否根本就在获认证的体系之内。请连同证书一起索取；没有适用性声明的范围声明只是半幅图景。

证书不是法律合规声明。 ISO/IEC 27001 是国际标准，不可能包含任何一国的法律要求。它有助于组织履行数据保护或行业规则下的义务，但不会自动使组织符合这些规则。

有两个基本事实有助于买方解读证书。其一，从 ISO/IEC 27001:2013 向 2022 版的过渡由 IAF 的强制性文件 IAF MD 26 规定，已于 2025 年 10 月 31 日结束；多家认证机构说明，2013 版证书已在该日期撤销或失效。仍然引用 2013 版的证书已经过期。其二，经认可的证书可以核查。IAF CertSearch 是 IAF 的全球经认可管理体系认证数据库，由 IAF 多边互认协议下获认可的认证机构上传数据，其存在的目的正是让买方确认证书真实且有效。

SOC 2 报告是什么

SOC 2 是供应商营销中最常被错误描述的一项，因此有必要准确说明我们能够确认什么、不能确认什么。2026 年 10 月 30 日，我们无法从本环境打开 AICPA 自己的 SOC 2 页面，所以下文的说明来自注册会计师事务所和审计机构对 AICPA 材料的转述，请把它当作实用说明，而不是引文。

SOC 2 审验涵盖与五个信任服务类别中一个或多个相关的控制措施：安全性、可用性、处理完整性、保密性和隐私。安全性是每份 SOC 2 报告都包含的类别，其余四项按服务的性质选取。基准是 AICPA 2017 年的信任服务标准，其关注要点于 2022 年修订。报告由管理层认定、系统描述和服务审计师的报告三部分构成。Type 1 报告说明控制措施在某一时点的设计是否恰当；Type 2 报告则增加了对控制措施在一段期间内是否有效运行的测试，期间长短不一。

从这一结构可以得出对买方的四点影响。

系统范围由管理层界定。 报告描述的是服务商自己选择纳入范围的系统，因此首要问题是：您所购买的服务是否就是那个系统。
只涵盖范围内的类别。 报告会说明涉及五个类别中的哪几个，因此请核对您关心的那个类别（例如保密性）是否在其中。
报告载有审计师的意见，并可能注明例外事项。 例外事项不等于报告不合格。它们往往正是买方最需要阅读的内容。
它不是徽章。 印有“SOC 2”的标识只是指向一份文件。真正的保证在文件之中，必须结合您自己的风险来阅读。

新加坡的分级国家方案：Cyber Essentials 与 Cyber Trust

先作一点澄清。“Cyber Essentials”也是英国国家网络安全中心（NCSC）一项计划的名称，那是另一个计划，控制措施不同，认证途径也不同。本节只讨论新加坡的标志。关于英国计划在 Microsoft 365 租户中的落地，请参阅我们的逐项设置指南：Microsoft 365 中的 Cyber Essentials 控制措施。

在这三个市场中，新加坡是唯一设有国家级、分级的组织层面方案的市场，由新加坡网络安全局（CSA）发布。我们于 2026 年 10 月 30 日重新阅读了 CSA 的认证网页和现行的 Cyber Essentials 标志文件。

CSA 的 Cyber Trust 认证网页说明，该标志在新加坡标准化计划下以新加坡标准 SS 712 发布，现行版本为 SS 712:2025。Cyber Essentials 有其自己的 CSA 文件，即 2025 年版的“Cyber Essentials mark”；CSA 于 2025 年 4 月 15 日宣布推出该版本，同时把两个标志扩展至云安全、人工智能和运营技术。对于这两个标志，认证均由 CSA 委任的认证机构实施；CSA 的网页说明不允许自我认证，组织可以联系任何一家获委任的机构。

用 CSA 的话说，Cyber Essentials 面向“刚踏上网络安全之路”的组织，包括中小企业；标志文件说明，它是为 IT 和网络安全专业知识与资源有限的组织设计的，运用帕累托（即 80/20）原则，针对常见攻击优先落实基本措施。组织先完成自我评估，再由获委任认证机构的独立评估员进行审阅与核实；CSA 的网页写明认证有效期为两年。

Cyber Trust 的层级更高。CSA 的网页把它描述为有效期三年、每年审核一次的认证，面向已经落实良好网络卫生措施的组织。CSA 一份关于提高关键信息基础设施标准的新闻稿还说明，持牌网络安全服务提供者须在 2026 年底前取得 Cyber Trust（Level 3），这使该标志成为可以直接向新加坡安全服务商提出的问题。

CSA 委任的认证机构在其材料中提到，获认证的组织会被列入 CSA 的已认证组织名录（Directory of Certified Organisations）。我们于 2026 年 10 月 30 日无法打开该名录本身，因此本报告不提供任何数量，也不推算采用率；请向服务商索取证书，并向颁发机构或 CSA 核实。

关于这对新加坡的买方意味着什么，需要说明一点。这两个标志都是依据已公布标准的组织层面保证，背后有独立评估和获委任的认证机构。这使它们可以被核查，而单纯的口头声明则无从核查。但这并不使它们等同于 ISO/IEC 27001 或 SOC 2 报告。它们测试的是另一套刻意保持适度的控制措施，针对的是规模较小的组织。

就同一市场的监管一面而言，我们关于外包 IT 的 MAS 技术风险管理要求的清单，是为另一种目的而设的另一种工具。认证并不等于监管合规。

美国：框架、合同制度，以及 CMMC 涵盖与不涵盖的范围

美国没有单一的国家级组织层面认证标志。它拥有的是框架、行业制度和由合同驱动的要求，其中有两项经常被误认为证书。

NIST 网络安全框架 2.0 是一个框架。它的六项职能为治理、识别、保护、检测、响应和恢复，在最高层面上组织各项成果。NIST 面向任何规模、行业或成熟度的组织发布该框架，并说明它“并不规定应如何实现成果”。一家服务商如果说自己“对标 NIST CSF”，那是在告诉您它如何搭建自己的计划。没有任何机构为这种对标出具认证。

CMMC（网络安全成熟度模型认证）是一个真正的认证制度，但适用范围狭窄。美国国防部设立该计划的最终规则载于《美国联邦法规》第 32 编第 170 部分，于 2024 年 10 月 15 日在《联邦公报》上公布，2024 年 12 月 16 日生效。它的目的是核实国防承包商已落实保护联邦合同信息和受控非密信息的安全要求。Level 1 和 Level 2 可以是自我评估；Level 2 也可以改由获认证的第三方评估机构（C3PAO）评估；Level 3 由政府评估。Level 2 建立在 NIST SP 800-171 的 110 项安全要求之上。

对国防承包领域之外的读者而言，有两点限制值得注意。CMMC 只会通过 IT 服务商所服务的国防承包商的合同、以及它为这些承包商处理的信息，才延伸到该服务商身上，所以您是否在范围之内，是一个关于合同条款的问题，而不是关于证书的问题。而且其状态仍在变动：国防部于 2026 年 7 月 13 日宣布暂停第 2 阶段（该阶段原本将从 2026 年 11 月 10 日起要求大多数 Level 2 承包商接受第三方评估），而自我评估要求以及 NIST SP 800-171 的基本义务仍然有效。关于这一状态，我们依据的是律师事务所 Davis Wright Tremaine 2026 年 7 月的摘要“Department of Defense Suspends CMMC Phase II”；我们无法打开国防部自己的公告，因此在依赖这一状态之前，请先查阅美国国防部当前的公告。

香港的空白：没有国家级标志时，买方依靠什么

香港是我们大部分读者关注的重点市场，因此我们直言不讳。在我们的检索中，没有发现香港有可与新加坡 Cyber Essentials 或 Cyber Trust 相比的组织层面网络安全认证标志。这只是对我们所见情况的陈述，并不证明香港没有，买方应当向相关主管机构核实。

我们找到的是一项服务商审核计划，而不是组织可以通过努力取得的证书。数字政策办公室与 HKCERT 于 2025 年 10 月 23 日启动了 Cybersecurity Service Providers Connect Programme（网络安全服务供应商对接计划），主要面向本地中小企业。HKCERT 当日的新闻稿说明，服务商接受专业资格、行业经验、服务范围和过往表现方面的审核，并列出四个服务类别：互联网安全方案、网络安全评估服务、管理型安全及事件响应服务，以及网络安全培训。HKCERT 的 2025 年年报称，截至撰写时已有二十多家服务商加入。它是一份服务商审核名单，而不是组织可据以获得认证的标准。

因此，在实践中，香港的买方会转而依靠上文所述的国际工具（ISO/IEC 27001 和 SOC 2），以及其所在行业监管机构的期望。就金融业而言，最后这一点正是我们那份关于香港企业为何把 MSP、MSSP 和 HKMA C-RAF 支持打包进同一份合同的报告所讨论的主题，我们在此不再重复。本节中的任何内容，都不是关于任何香港监管机构有何要求的说法。

鉴证门槛究竟提高了多少

证书数量是衡量鉴证门槛的唯一既已公布、又可计数的量化指标，需要谨慎对待。

ISO Survey 是 ISO 对管理体系认证的年度统计。注明数据来源为 IAF CertSearch 的 ISO Survey 2024 信息图报告，2024 年有效的 ISO/IEC 27001 证书为 96,709 张，覆盖 179,877 个场所，2023 年为 47,291 张。ISO 自己的调查页面说明，自 2025 年起，该调查直接从 IAF CertSearch 中匿名化、汇总后的数据汇编，各国层面的数字只能在该数据库内查阅。我们无法获取香港、新加坡或任何其他国家和地区的 ISO/IEC 27001 数量，因此不提供数字。

从 47,291 张升至 96,709 张，在已发布的数据中是真实存在的，但不应被表述为一个清晰的趋势。数据来源变了：该调查转到了 IAF CertSearch 这个由认证机构上传数据的数据库上，ISO 自己也指出，2024 年之前认证机构是自愿提交调查数据的。统计证书方式的改变，会在数据序列中造成一个看起来像增长的台阶。断点的另一个迹象是：一家认证机构对 2025 年版数据表的西班牙语转载显示，截至 2025 年 12 月 31 日有效的 ISO/IEC 27001 证书为 125,622 张，同时把 2023 年的数字改写为 48,671 张而非 47,291 张。这属于二手来源，我们引用它只是为了说明早年的数字正在被修订，而不是为了增加一个 2025 年的增长率。

所以，诚实的概括范围是狭窄的。已发布的数量表明，ISO/IEC 27001 如今已十分普遍，2024 年版显示全球有 96,709 张有效证书。这些数据并不支持诸如“采用量一年翻了一番”之类的说法，也不支持任何针对特定市场的增长率。

证书、证据与合同是三种不同的保证

证书回答一个问题：某个独立方是否认定，在既定范围内，某个管理体系在某一时点符合一项标准？此外还剩两个问题，买方需要三个问题都得到解答。

证书： 是哪一种方案、什么范围、哪个版本、哪家颁发机构、有效期到何时？对于 ISO/IEC 27001，请索取范围声明和适用性声明，并在 IAF CertSearch 中核查证书。对于 SOC 2，请索取完整报告而不是摘要，并留意其涵盖的期间和所测试的类别。
证据： 您所关心的那项控制措施，是否真正在针对您的租户、您的数据和您的用户运行？这是证书与买方自身风险交汇之处，也是常见的缺口。服务商可能持有一张有效的证书，但其范围不包括为您提供服务的平台，或者其被抽样的控制措施不包括您关心的那些。针对您自身环境的证据，来自报告、日志、测试结果和您自己的审查。对于 Microsoft 365 租户，一次固定价格的 Microsoft 365 安全审计（按人数计价，分为 US$450、US$990、US$1,800 和 US$2,900 四档，5–7 个工作日内出具报告）是取得这类证据的一种方式，其报告按“可用作证据”的形式设计；它本身不认证任何东西，保险公司或认证机构仍会自行作出决定。
合同： 服务商承诺做什么，如果没有做到会怎样？通知时限、审计权利，以及每年查看报告的权利，都应写入协议。证书并不是对您的承诺。

根据我们自己的经验（这是定性的，不是抽样结果）：在香港和新加坡为客户接入（onboarding）而被要求提供保证时，反复出现的缺口在于，所出示的证书与针对买方自身租户所举证的控制措施之间存在落差。证书通常是真实的，常常缺失的是其范围与所购买的具体服务之间的联系。这只是一项观察，不是统计数据，我们也不对其发生的频率作任何断言。

本报告探讨的是分类和数量，并有意不涉及“为何服务商本身就是进入买方环境的一条途径”这一问题。关于这一论点，以及应当在合同中写入什么，请参阅我们关于IT 服务商合同双方的第三方网络风险的报告。

按市场和买方规模，应当索取什么

以下是我们基于上述文件提出的建议，并非任何市场的监管要求。

新加坡的中小型买方。 询问服务商是否持有 Cyber Essentials 或 Cyber Trust，要求查看证书及其到期日，并向颁发机构或 CSA 核实。如果服务商持有 ISO/IEC 27001 或 SOC 2 报告，还应一并索取范围和报告。我们关于在新加坡选择网络安全服务商的指南涵盖了与此相关的遴选问题。
香港的中小型买方。 没有国家级标志可供查询，因此请索取附有范围声明和适用性声明的 ISO/IEC 27001，或注明期间的 SOC 2 Type 2 报告，并索取证明该范围涵盖您所购买服务的证据。如果您正在选择安全服务商，也可以参考 DPO 与 HKCERT 的服务商名录，但请记住，它是一份审核名单，不是认证。
美国的买方。 不要把“对标 NIST”当作对认证问题的回答。请索取 SOC 2 Type 2 报告，或附有范围的 ISO/IEC 27001 证书，并询问服务商自身的计划对应哪个框架。如果工作涉及国防合同，请具体询问合同要求的 CMMC 级别以及当前的评估状态。
任何市场中规模较大或受监管的买方。 把认证当作筛选条件，而不是答案。请索取报告或适用性声明、与您自身要求逐项对应的控制措施映射，以及上文所述的合同权利。我们的网络安全服务概览和管理型 IT 安全服务介绍了服务商的安全范围可以是什么样子；我们的 IT 评估与审计服务专为对照买方自身要求来检验某个范围而设，而固定价格的 Microsoft 365 安全审计则针对单个租户做同样的事。

对于服务商一侧的同一项工作，原则是对称的。了解自己的范围声明，使证书、报告和证据保持同步，并随时准备向买方说明该范围如何对应其所购买的服务。

本报告不作的断言

研究报告的价值取决于其局限是否清楚。以下是我们的局限。

它没有提供香港、新加坡或任何国家和地区的 ISO/IEC 27001 数量。各国数据位于我们无法打开的 IAF CertSearch 之内，因此只报告全球总数。
它没有把证书增长呈现为一个趋势。该调查的数据收集方式发生了变化，而 2025 年的数字来自一家认证机构对数据表的转载，并非 ISO 的页面。
SOC 2 的说明并非 AICPA 原文的引述。我们无法打开 AICPA 的页面，因此类别、标准和报告结构均按审计机构的描述转述。
它没有引用任何关于 ISO/IEC 27001 的具名评论者。关于该标准的每一点，都建立在标准自身的条款结构、ISO 的 Certification 页面、IAF MD 26 和 IAF CertSearch 之上。
新加坡部分不提供名录数量。我们于 2026 年 10 月 30 日无法打开 CSA 的已认证组织名录。
关于香港的说法是检索结果，不是不存在的证明，也不对监管机构作任何断言，我们并未阅读监管机构的网页。
CMMC 的状态依据的是一份具名的律师事务所摘要，应当查核原始通知。
Brocent 自身的认证按其“关于我们”页面原文引用，在此未经审计。关于买方行为的观察是定性的，不是抽样结果。

常见问题

SOC 2 和 ISO 27001 有什么区别？

ISO/IEC 27001 是认证：独立的获认可机构依据已公布的标准，在既定范围内审核组织的信息安全管理体系。SOC 2 报告是鉴证：注册会计师事务所依据 AICPA 信任服务标准审验系统描述及其控制措施，并出具其意见。买方从前者得到证书和范围声明，从后者得到一份需要阅读的报告。

ISO 27001 认证究竟证明了什么？

它表明，获认可的认证机构认定该组织的管理体系在其依据第 4.3 条自行界定的范围内满足了标准的要求，所选用的控制措施则依据第 6.1.3 条 d 项记录在适用性声明中。这是对管理体系的审核，不是对您租户的技术测试；证书也不是由 ISO 颁发的，而是由认证机构颁发。

SOC 2 报告是通过或不通过的结果吗？

不是。它是一份报告，包含管理层认定、系统描述以及服务审计师的意见，其中包括发现的任何例外事项。买方需要阅读其范围、涵盖的类别和测试的期间，然后判断它是否涵盖自己所购买的服务。

NIST CSF 是一种认证吗？

不是。NIST 把 CSF 2.0 描述为“并不规定应如何实现成果”的指引，文件中也不含任何认证方案。服务商可以说自己的计划与该框架对标，但没有任何机构为这种对标出具认证。

新加坡的 Cyber Essentials 和 Cyber Trust 是什么？

它们是新加坡网络安全局的分级、组织层面的标志，在由 CSA 委任的认证机构完成评估后授予。Cyber Essentials 面向刚踏上网络安全之路的组织，有效期为两年。Cyber Trust 以新加坡标准 SS 712:2025 发布，有效期三年，每年审核一次。

新加坡的 Cyber Essentials 与英国的 Cyber Essentials 是一回事吗？

不是。它们只是同名，其他全然不同。新加坡的标志由 CSA 运营，由 CSA 委任的认证机构评估，有效期两年。英国的计划由国家网络安全中心运营，有自己的控制措施集和认证途径。如果服务商说自己“持有 Cyber Essentials”，应当追问是哪一个；英国计划的证书不能说明新加坡的要求，反之亦然。我们关于英国计划的 Microsoft 365 指南已在上文链接。

香港有国家级的网络安全认证标志吗？

我们没有找到可与新加坡标志相比的制度。数字政策办公室与 HKCERT 于 2025 年 10 月 23 日启动了经审核的服务商名录，但它审核的是服务商，并非组织可以通过努力取得的证书。香港的买方通常依靠 ISO/IEC 27001、SOC 2 以及行业监管机构的期望。这是检索结果，不是不存在的证明。

如何核实认证是否真实且相关？

对于 ISO/IEC 27001，请索取证书、范围声明和适用性声明，确认版本为 2022 版，并在 IAF CertSearch 中核查状态。对于 SOC 2，请索取完整报告，阅读其中的系统描述、类别和期间。对于新加坡的标志，请索取证书并向颁发机构或 CSA 核实。无论哪种情况，都要核对其范围是否涵盖您所购买的服务；凡是证书范围覆盖不到您自己租户的地方，就索取来自您自己租户的证据。

下一步

如果您正在被索要保证，或正在索要保证，请从上文的三个问题开始：范围、期间、证据。如果您发现的缺口是 Microsoft 365 的租户层面证据，固定价格的 Microsoft 365 安全审计会出具一份按可用作证据的形式设计的报告和工作簿，按人数分为 US$450、US$990、US$1,800 和 US$2,900 四档，5–7 个工作日内交付。若涉及更广的事项，从对照您自身要求阅读服务商的适用性声明，到落实本文所述的合同权利，欢迎与 Brocent 顾问联系。