我们分析了泄露的Delve审计报告，发现了一些惊人的模式： - 同一审计师许可证号码（PAC-FIRM-LIC-47383）出现在494份报告中的487份 - 每份II型报告的页码都相同：第4节在第30页，测试在第59页，第5节在第82页 - 每份报告中有220多个“未发现例外情况”，适用于每个客户 - 系统描述是从每家公司的营销网站上复制粘贴的 我们开发了工具来检查这些数据： - 通过公司名称搜索，查看它们是否在泄露的数据库中 - 将任何SOC 2报告文本粘贴进来，扫描10个模板指纹 - 一个滑动游戏，你尝试辨别真实的审计摘录和假的（比你想象的要难） 455家公司已被索引，全部免费，无需注册。我也很好奇Hacker News社区对指纹检测方法的看法，有没有我们遗漏的模式？
源讨论我们已对Delve审计泄露数据进行索引：533份报告，455家公司，99.8%的内容相同原帖 78 条评论 · 导入时统计把你的经验，加入这段讨论。
真心好奇：如果你只需要一份独立审计报告来应付检查，你真的关心审计师的工作做得多好吗？
完整原文没有例外情况的说明有点好笑。大多数SOC2审计师至少会做最低限度的努力，找到一个没有完成网络安全培训的人，这样报告就不会是完全的模板化内容。
完整原文如果你们能看一下几千份Vanta或Drata的报告，并按审计师进行分组，我会觉得更有说服力。你会发现只有语言上微小差异的相同共性。 SOC2报告是你们和审计师之间的私有文件（这样如果你们“未通过”测试，可以找另一个审计师或重新做一次，而不会被其他人知道），而且基本上总是需要经过销售接触点（这也是它们有什么用处的一个提示）。我想Delve的那些报告被泄露了，所以才能全部进行比较。 494份“无例外”的报告中有220份，这对我来说似乎太高了。我认识的任何人，都不会让任何例外出现在报告中。
完整原文这其中大部分并不那么严重。SOC II已经是高度模板化的，所以页面匹配其实并没有什么意义。事实上，过于详细或过于冗长的模板更可能有匹配的页面，因为你根本不需要添加额外内容。 系统描述并不一定有太大意义。它们更多是关于给系统一个大致的轮廓，以帮助读者理解，而不是提供一个技术上完整的描述。 这些报告的大部分内容是关于被测试的控制措施（这些控制措施在审计师之间是半标准化的）和结果。许多这些控制措施其实非常基础，很容易得到“未发现例外”的结果。 不过，几乎每个人至少会有一个例外，即使是很小的例外。他们在所有客户中都没有发现任何例外，这强烈表明他们并没有深入地进行审查。
完整原文尊重不同观点，分享具体经验。
登录后即可发帖、评论、转发和引用。