安全问卷答复草稿
用途
把客户或采购方发来的安全/合规问卷整理成可内审的答复草稿，逐题包含：
- 题干 — 保留原意（可轻微规范化措辞）
- 答复要点 — 基于用户提供的事实；未知标「待核实」
- 证据或引用 — 政策名、证书、链接、负责人（无则待核实）
- 风险提示 — 勿把未证实项写成「已具备」
- 待核实汇总 — 发出前必须关闭或明确标注
本技能做对外问卷起草辅助，不代提交门户、不出具正式审计/认证结论、不编造 SOC2/ISO/等保等状态、不提供攻击绕过或规避安检的话术。
空表见 references/questionnaire-reply-template.md。
适用场景
- 适合：售前 Infosec 问卷、供应商安全调查表、采购合规问卷的内部起草。
- 不适合：
- 正式渗透测试报告或认证审计意见
- 自动登录客户系统填写并提交
- 报销/费用制度核对（
expense-policy-check） - 帮助中心 FAQ 生成（
faq-from-materials）
边界与差异
| 易混需求 | 本技能 | 不做什么 |
|---|---|---|
| 费用制度检查 | 安全问卷逐题答复 | 不核对报销规则 |
| 材料转 FAQ | 按对方题干作答 | 不做产品帮助中心 |
| 安全咨询结论 | 草稿 + 待核实 | 不宣称「已通过认证」除非用户给出证据 |
怎么使用(普通用户)
在 AI 助手里直接说，例如：
- 「用安全问卷答复草稿，处理下面这些题目」
- 「客户 Infosec 问卷，按题列出要点和待核实」
- 「我们有等保二级，其余不清楚，帮我起草别编造」
使用步骤
缺问卷题干时先追问。用户未提供的控制措施、证书、日志留存周期等，一律待核实，禁止编造。
1. 澄清最少必要项
| 字段 | 说明 |
|---|---|
| 题干列表 | 粘贴原题（可分批） |
| 已知事实 | 已有认证、架构简述、负责人（可缺） |
| 产品范围 | 答哪套产品/环境（可缺） |
2. 逐题起草
严格按 references/questionnaire-reply-template.md。
对「是否具备 XXX」类是非题：证据不足则答「待核实，建议由安全负责人确认」，不要默认「是」。
3. 汇总
输出「待核实汇总」与「需安全/法务确认」列表。提醒：对外发出前需内部复核。
4. 自检
- 是否出现用户未提及的证书编号或「已通过」断言？
- 是否含攻击、绕过、隐瞒缺陷的建议？
- 是否误做成正式审计报告口吻？
示例
示例 1: 材料不足(多项待核实)
输入:
产品: 某 B2B SaaS
已知: 生产在国内云；员工 SSO；去年做过一次外部漏洞扫描（报告未附）；无 SOC2
题目:
1. 是否通过 SOC 2 Type II？
2. 生产数据是否加密存储？
3. 是否支持 SSO？
4. 漏洞扫描频率？
5. 员工是否接受安全意识培训？
输出:
# 安全/合规问卷答复草稿
| 项 | 内容 |
| --- | --- |
| 问卷来源 / 客户 | （待填） |
| 产品或范围 | 某 B2B SaaS |
| 已知事实来源 | 用户口述 |
## 逐题答复
### Q1. 是否通过 SOC 2 Type II？
- **答复要点**: 目前未取得 SOC 2 Type II（按已知事实）。
- **证据或引用**: 用户确认「无 SOC2」
- **对外措辞建议**: 「本公司当前未持有 SOC 2 Type II 报告；如需可说明替代控制与路线图（待内部确认后再写）。」
- **风险提示**: 勿填写「进行中」除非有立项证据
### Q2. 生产数据是否加密存储？
- **答复要点**: 待核实（输入未覆盖加密算法/密钥管理）。
- **证据或引用**: 待核实
- **风险提示**: 在确认前不要答「是」
### Q3. 是否支持 SSO？
- **答复要点**: 支持员工侧 SSO（已知）；是否向客户提供 IdP 对接需按产品能力核实。
- **证据或引用**: 用户「员工 SSO」
- **对外措辞建议**: 区分「内部员工 SSO」与「客户租户 SSO」后再定稿
### Q4. 漏洞扫描频率？
- **答复要点**: 已知至少有一次外部漏洞扫描；周期与最近日期待核实。
- **证据或引用**: 「去年做过一次」，报告未附
- **风险提示**: 勿编造「每季度」等频率
### Q5. 员工是否接受安全意识培训？
- **答复要点**: 待核实
- **证据或引用**: 输入未覆盖
## 待核实汇总
1. 静态/传输加密与密钥管理说明
2. 面向客户的 SSO/SAML 能力范围
3. 漏洞扫描周期、最近报告日期与修复 SLA
4. 安全意识培训制度与记录
## 需安全/法务确认
- Q1 对外如何表述无 SOC2（是否附路线图）
- Q2/Q4 技术细节是否可对客户披露
## 明确不答 / 不适用
- （无）
示例 2: 材料较全(可定稿，仍需内部复核)
材料齐备时每条答复都要绑定可查的证据标识（证书编号、报告日期、制度文号），待核实汇总可以为空；但两条边界不变：不写「已通过审计/完全合规」这类越界结论，对外披露范围仍须法务确认。
输入:
产品: 某 B2B SaaS（生产环境）
已知:
- ISO/IEC 27001:2022 证书号 CN-ISMS-20250312，有效期至 2028-03-11
- 静态加密 AES-256（云厂商 KMS 托管密钥，密钥年度轮换），传输 TLS 1.3
- 客户租户支持 SAML 2.0 与 OIDC 单点登录
- 每季度外部漏洞扫描（最近 2026-06-30），年度渗透测试（最近 2026-04-18），高危修复 SLA 7 天
- 全员年度安全意识培训，2025 年度完成率 98%，记录在 HR 系统
题目: 同上 5 题
输出:
# 安全/合规问卷答复草稿
| 项 | 内容 |
| --- | --- |
| 问卷来源 / 客户 | （待填） |
| 产品或范围 | 某 B2B SaaS 生产环境 |
| 已知事实来源 | 用户提供的证书号、扫描/渗透日期与培训记录 |
## 逐题答复
### Q1. 是否通过 SOC 2 Type II？
- **答复要点**: 未持有 SOC 2 Type II；持有 ISO/IEC 27001:2022 认证。
- **证据或引用**: 证书号 CN-ISMS-20250312，有效期至 2028-03-11
- **对外措辞建议**: 「我们目前未持有 SOC 2 Type II，信息安全管理体系通过 ISO/IEC 27001:2022 认证（证书号可提供）。如贵方要求 SOC 2，可另行沟通评估。」
- **风险提示**: **不得**用 ISO 27001 等同或替代 SOC 2 表述
### Q2. 生产数据是否加密存储？
- **答复要点**: 是。静态 AES-256，密钥由云厂商 KMS 托管并年度轮换；传输 TLS 1.3。
- **证据或引用**: 用户提供的加密与密钥管理说明
- **风险提示**: 密钥托管方与轮换周期属技术细节，披露前确认是否受 NDA 限制
### Q3. 是否支持 SSO？
- **答复要点**: 是。客户租户支持 SAML 2.0 与 OIDC。
- **证据或引用**: 用户提供的产品能力说明
- **对外措辞建议**: 明确写「客户租户级 SSO」，与内部员工 SSO 区分
### Q4. 漏洞扫描频率？
- **答复要点**: 每季度外部漏洞扫描（最近 2026-06-30），年度渗透测试（最近 2026-04-18），高危修复 SLA 7 天。
- **证据或引用**: 用户提供的扫描与渗透日期
- **风险提示**: 报告原文是否随问卷提供需法务确认；日期需在发出前复核为最新
### Q5. 员工是否接受安全意识培训？
- **答复要点**: 是。全员年度安全意识培训，2025 年度完成率 98%，记录留存于 HR 系统。
- **证据或引用**: 用户提供的完成率与记录位置
## 待核实汇总
1. （无）
## 需安全/法务确认
- Q2 密钥托管方与轮换周期的可披露程度
- Q4 扫描/渗透报告原文是否随问卷提供，或仅提供摘要
- 各项日期在发出当日是否仍为最新（季度扫描临近下一周期）
## 明确不答 / 不适用
- （无）
对照要点：示例 1 因缺证据，多题只能答「待核实」且明确「在确认前不要答是」；示例 2 每题都能绑定证书号或日期才答「是」。两例的共同底线是不做认证等同替换（ISO 27001 不等于 SOC 2）、不自行决定披露范围、发出前一律内部复核。
常见问题(FAQ)
- 材料很少能不能交卷式全填「是」？ 不能。未知必须待核实。
- 和正式审计报告有什么区别？ 本技能是内部起草草稿；审计结论须由具备资质的机构或内部安全正式签发。
- 能不能教我怎么绕过客户安检？ 不能；此类请求拒绝并说明边界。
已知限制
- 不替代律师/安全负责人签字。
- 超长问卷可分批处理；每批仍保持待核实汇总。
- 不访问用户未授权的外部系统拉取证据。
变更说明
- 0.1.1: 补「材料较全、可定稿」对照示例（每题绑定证书号或报告日期），并明确两例共同底线：不做认证等同替换（ISO 27001 不等于 SOC 2）、不自行决定披露范围、发出前一律内部复核。
- 0.1.0: 首发。把客户安全或合规问卷题干整理成逐题答复要点与待核实清单。
