SOC 2和ISO 27001在访问控制方面都要求：访问权限基于最小权限原则授予、定期审查、保留可追溯的审批证据。