官方技能 · 法务基础

安全问卷回答

v1.0.0 · 2026年11月4日 更新

根据你们自己的制度和事实起草客户安全问卷的回答，未知项标给负责人，绝不夸大认证。

可在 Claude、ChatGPT 和编程智能体中使用。在 Team 和 Business 套餐中，Pod 里的官方技能会在我们改进后自动更新到最新版。

适用场景

• 潜在客户的采购团队发来安全问卷
• 续约时附带了更新版的供应商评估

你需要提供

• 带编号的问题
• 你们的制度、报告和明确说明的事实
• 待办事项的负责人

你会得到

每行都注明证据的回答表、带负责人的待办清单，以及需请律师确认的承诺事项。

工作方式

1. 整理证据索引 每个来源起一个简短的名称（例如“访问控制制度 v2，2026年3月”）。每个回答都要引用其中一个名称，或用户在本次对话中说过的话。
2. 识别问卷格式 云安全联盟（Cloud Security Alliance）的 CAIQ 等标准问卷，问的是对应到某个控制框架的“是 / 否”问题。保留它们的答案选项和编号；细节写在备注栏，不要改动答案本身。
3. 给问题分类 每个问题标为：可根据证据回答、只能部分回答、未知。未知项放进待办清单并指定负责人；绝不能按“公司一般都这么做”来填。
4. 严格回答“是 / 否” 只有证据显示该控制措施目前确实存在时，才答“是”。只对部分系统或部分时间有效时答“部分”，并写明是哪些。不存在时答“否”，只有用户给了补偿措施或计划，才在后面写上。答“不适用”必须说明原因。
5. 绝不夸大认证 只有用户提供了报告，或说明了日期和范围，才写出认证、审计报告或鉴证（SOC 2、ISO 27001、PCI DSS、渗透测试）。SOC 2 报告由会计师事务所按 AICPA（美国注册会计师协会）的标准出具，所以没有报告就说“符合 SOC 2”属于夸大。云服务商的认证不是用户的认证：以 AWS 的责任共担模型为例，它把云“本身”的安全（服务商负责）和云“之中”的安全（客户的数据、应用和配置）分开。如有需要，写“托管于 [服务商]，该服务商公布其持有 [认证]”，绝不暗示用户自己持有。
6. 每个回答保持简短 1 到 3 句：答案、怎么做的、证据名称。不用营销词（“银行级”“军工级”“绝对安全”）。
7. 标出合同性承诺 问题要求作出承诺时（X 小时内通知泄露、数据存放地、审计权），标注“[承诺事项：请律师确认]”，因为这个回答可能会成为合同的一部分。
8. 写出回答表和待办事项 保留问卷原有编号，方便把回答贴回去。

SKILL.md 全文

这就是 AI 读取的完整文件。 下载

---
name: security-questionnaire-answers
description: 只根据用户自己的制度和事实，起草客户安全问卷（供应商安全评估、CAIQ、信息安全审查、尽职调查表格）的回答，把每个未知项标给负责人，绝不声称没有证据的认证或控制措施。适用于潜在客户发来安全问卷、问“能帮我们填一下供应商评估吗？”，或采购部门在签单前需要安全方面的回答时。
---

# 安全问卷回答

> 这不是法律意见。本清单是为律师审阅做准备的初步检查，不能代替律师审阅。SOC 2、ISO 27001 等是国际通行的标准；各地对数据存储和信息安全的规定不同 [待确认：当地法律法规]。

安全问卷的回答是对客户的书面承诺，常常会附进合同。最好的回答简短、真实，并有用户能拿得出手的文件支撑。一个附带计划的“否”，胜过一个谁也证明不了的“是”。

## 适用场景

- 潜在客户的采购或安全团队发来问卷或表格。
- 续约时附带了更新版的供应商评估。
- 你在用过去的问卷整理一个可复用的回答库。
- 不适用于编写安全制度本身，也不适用于声称符合某项标准。前者需要制度负责人，后者需要审计机构。

## 需要准备

- 问题本身，保留原有编号。
- 用户的证据：安全制度、以往填过的问卷、审计报告、架构说明、供应商清单，以及用户明确说过的事实。如果完全没有证据，起草前先要一次；不要凭一般常识起草。
- 待办事项由谁负责（某位工程师、创始人）。不知道的话写“[负责人：待确认]”。
- 可选：这笔交易的背景，以便知道哪些问题会卡住签约。

## 步骤

1. **整理证据索引。** 每个来源起一个简短的名称（例如“访问控制制度 v2，2026年3月”）。每个回答都要引用其中一个名称，或用户在本次对话中说过的话。
2. **识别问卷格式。** 云安全联盟（Cloud Security Alliance）的 CAIQ 等标准问卷，问的是对应到某个控制框架的“是 / 否”问题。保留它们的答案选项和编号；细节写在备注栏，不要改动答案本身。
3. **给问题分类。** 每个问题标为：可根据证据回答、只能部分回答、未知。未知项放进待办清单并指定负责人；绝不能按“公司一般都这么做”来填。
4. **严格回答“是 / 否”。** 只有证据显示该控制措施目前确实存在时，才答“是”。只对部分系统或部分时间有效时答“部分”，并写明是哪些。不存在时答“否”，只有用户给了补偿措施或计划，才在后面写上。答“不适用”必须说明原因。
5. **绝不夸大认证。** 只有用户提供了报告，或说明了日期和范围，才写出认证、审计报告或鉴证（SOC 2、ISO 27001、PCI DSS、渗透测试）。SOC 2 报告由会计师事务所按 AICPA（美国注册会计师协会）的标准出具，所以没有报告就说“符合 SOC 2”属于夸大。云服务商的认证不是用户的认证：以 AWS 的责任共担模型为例，它把云“本身”的安全（服务商负责）和云“之中”的安全（客户的数据、应用和配置）分开。如有需要，写“托管于 [服务商]，该服务商公布其持有 [认证]”，绝不暗示用户自己持有。
6. **每个回答保持简短。** 1 到 3 句：答案、怎么做的、证据名称。不用营销词（“银行级”“军工级”“绝对安全”）。
7. **标出合同性承诺。** 问题要求作出承诺时（X 小时内通知泄露、数据存放地、审计权），标注“[承诺事项：请律师确认]”，因为这个回答可能会成为合同的一部分。
8. **写出回答表和待办事项。** 保留问卷原有编号，方便把回答贴回去。

## 输出格式

```markdown
# 安全问卷 — [客户]，[日期]

_这不是法律意见。回答根据下列证据起草；发送前请复核。_

## 使用的证据
- [E1] [文件名称、版本、日期]
- [E2] [用户的说明，日期]

## 回答
| # | 问题 | 答案 | 说明 | 证据 |
|---|---|---|---|---|
| [n] | [问题，简写] | [是 / 部分 / 否 / 不适用 / 未知] | [1 到 3 句] | [E1] |

## 待办事项
| # | 需要什么 | 负责人 | 是否卡住签约？ |
|---|---|---|---|
| [n] | [缺少的事实或文件] | [姓名或“负责人：待确认”] | [是 / 否 / 未知] |

## 需请律师确认的承诺
- 第 [n] 题：[承诺内容] — [承诺事项：请律师确认]
```

## 示例

**输入：** 明循科技（一款排班 App）的梅婷收到安泰保险发来的 5 个问题。证据：“访问控制制度 v3（2026年6月）：所有员工访问管理后台须通过 SSO 并启用 MFA；每季度复核一次权限。”用户说明：“我们用的是阿里云新加坡地域。还没有 SOC 2，9月刚和审计机构启动。我们每天备份。”

> 1. 贵公司是否持有 SOC 2 Type II 报告？  
> 2. 所有管理权限访问是否强制启用 MFA？  
> 3. 客户数据存储在哪里？  
> 4. 静态数据是否加密？  
> 5. 发生数据泄露时，能否在 24 小时内通知我们？

**输出：**

```markdown
# 安全问卷 — 安泰保险，11月4日

_这不是法律意见。回答根据下列证据起草；发送前请复核。_

## 使用的证据
- [E1] 访问控制制度 v3，2026年6月
- [E2] 梅婷的说明，2026年11月4日

## 回答
| # | 问题 | 答案 | 说明 | 证据 |
|---|---|---|---|---|
| 1 | SOC 2 Type II 报告 | 否 | 明循科技目前没有 SOC 2 报告。审计工作已于 2026年9月启动。 | [E2] |
| 2 | 管理权限访问启用 MFA | 是 | 所有员工通过启用 MFA 的 SSO 访问管理后台。每季度复核一次权限。 | [E1] |
| 3 | 数据存放地 | 是 | 客户数据存储在阿里云新加坡地域。 | [E2] |
| 4 | 静态数据加密 | 未知 | 证据中没有涉及。 | — |
| 5 | 24 小时内通知泄露 | 未知 | 未提供安全事件响应制度。[承诺事项：请律师确认] | — |

## 待办事项
| # | 需要什么 | 负责人 | 是否卡住签约？ |
|---|---|---|---|
| 4 | 确认数据库和备份的静态加密情况 | [负责人：待确认] | 未知 |
| 5 | 安全事件响应制度，以及我们能做到的通知时限 | 梅婷 | 未知 |
| 1 | 如需对外提供，SOC 2 报告的预计出具日期 | 梅婷 | 未知 |

## 需请律师确认的承诺
- 第 5 题：24 小时内通知泄露 — [承诺事项：请律师确认]
```

## 发送前检查

- [ ] 输出最上方有免责声明。
- [ ] 每个“是”都引用了能证明该控制措施目前存在的证据。
- [ ] 除非用户提供了带日期的材料，否则没有写出任何认证、审计或渗透测试。
- [ ] 没有把服务商的认证说成用户自己的。
- [ ] 每个“未知”都出现在待办事项里，并有负责人或“[负责人：待确认]”。
- [ ] 承诺事项都已标出，请律师确认。

## 常见错误

- 因为控制措施在计划中就答“是”。计划中 = “否”加上计划。
- 照搬去年的回答，不核实现在是否仍然属实。
- 写成长篇安全论文。审核方给简短、具体的回答打分更高。

与团队共享

把它添加到 AI Skill Pod，团队里的每个人（包括外包人员）都能在自己的 AI 中使用同一个版本。 了解与团队共享 AI 技能的最佳方式

添加到团队的 Pod

更新记录

• v1.0.0 · 2026年11月4日 · First release.