小型 B2B SaaS 安全问卷应答助手 —— 把 CTO 手工填 1-2 周的 200-300 行安全问卷压缩到 1-2 小时

结论：观望（被访谈反复验证的真痛点，但原帖只有需求侧证据、零付费承诺，"ChatGPT 够用"的低价替代风险未排除；应先花 30 天做付费意愿验证再决定开发）｜形态：SaaS（Web 应用 + 管理后台）

1. 产品定义与形态

一句话：把公司已有资料（SOC 2 报告、隐私政策、子处理者清单、架构图、DPA）喂进知识库，自动把 200-300 行安全问卷（SIG Lite、CAIQ、VPAT、客户自制 Excel）生成带引用来源的答案草稿，人工复核后一键导出回原格式。

形态选择 Web SaaS 而非插件：问卷来源是 Word/Excel/门户，浏览器插件只能覆盖其中一部分。核心模块三块：①控制项-证据映射库（复用率是全部价值所在，第 2 份问卷应该只需 20% 工作量）；②AI 起草 + 相似度/置信度标注；③多格式导入导出。待验证：客户是否愿意把问卷与内部文档上传到第三方——若不愿，需做本地化或"粘贴即走"的临时会话模式。

2. 目标客户画像

10-50 人的 B2B SaaS，正在或刚开始向中大型企业/受监管行业（金融、医疗、政企）销售，创始人或 CTO 兼任"安全负责人"。触发事件极明确：销售流程走到采购/法务环节，对方发来一份 200-300 行问卷，不填就不签。

这类客户的特征是"偶发但致命"：一年可能只遇到 3-15 次，每次却卡住几十万到几百万的单子。他们既不会为此招人，也买不起 Loopio 这类企业级平台。

3. 付费者与付费证据

付费者=创始人/CTO，且他们手上的预算科目是"销售工具/效率"而非"安全合规"，审批链短。

原帖证据（唯一直接证据）：

"I've been talking to founders at small B2B SaaS companies... one thing keeps coming up: security questionnaires. ... It takes anywhere from a full day to two weeks, and the deal sits waiting."

这证明了痛感强、频率高、有人负责，但没有证明有人掏钱。原帖明确是需求验证性质，无付费承诺、无成交数据、无价格锚点。已有摘要也指出"没有直接付费承诺或收入数据"。

待验证的三件事：①1-2 周的时间成本是否被换算成钱（"我宁愿付 X 也不想再填一次"）；②他们现在是否已经在用 ChatGPT 硬扛并且满意；③是否愿意为"第 2 次填表省 80% 时间"持续付费，而非一次性外包。

4. 时机判断

三条顺风（后两条为待验证判断）： 1. 安全问卷正从大企业向中型 SaaS 采购下沉，供应商端被迫响应的人群基数在扩大； 2. LLM 让"长文档→结构化字段"的边际成本骤降，一个人可在 2-6 周内做出可用 MVP； 3. 信任中心类工具（Vanta/Drata 系）教育了市场，但它们解决的是"展示合规",不是"填写问卷"。

逆风：AI 能力商品化意味着现有玩家把问卷功能免费塞进信任中心或 CRM 的成本几乎为零，时间窗口可能只有 12-18 个月。

5. 市场前景

不做 TAM 数字（无来源支撑）。可观察的分层结构：底层是免费的模板与 Excel，中层是 50-300 美元/月的小团队工具（本产品位置），上层是 Loopio、Responsive 等企业级平台。

自设假设下的单客价值估算（非市场数据，仅用于判断值不值得做）：一个 20 人 SaaS 每年遇 5-15 份问卷、每份耗 1-5 人日，按 80 美元/小时计，年隐性成本约 4,000-24,000 美元。只要工具能省下其中 30%，79-199 美元/月的定价就有理性支撑。该假设需在访谈中用真实工时验证。

6. 竞争格局

• Loopio / Responsive：强在知识库与企业流程，弱在价格与上手成本，被原帖作者归为"面向有专职投标/安全团队的大公司"——这正是缝隙所在。
• Conveyor、SafeBase 等：偏信任中心与买家侧合规审核，回答问卷只是附带。
• 最大竞争对手其实是 ChatGPT + Excel：免费、够用、"隐私风险用户自担"。这是本产品必须正面击穿的对象，差异化只有三点：结构化控制库、跨问卷复用、可导出回原格式。
• 缝隙成立与否待验证：需要确认小团队是否真的买不到"轻量版"，而不是不愿意买。

7. 90 天路线图

• 第 1-2 周（验证优先）：在 r/SaaS、Indie Hackers、MicroConf Connect、YC Startup School 社群做 30 次访谈，索要 10 份真实问卷样本；直接问"如果现在收费 99 美元/月，你会刷卡吗"。
• 第 3-6 周（MVP）：文档上传 → 控制项映射库（先只做 SIG Lite + CAIQ 两套）→ AI 起草 → Excel 导出。不做门户对接、不做多语言。
• 第 7-8 周（内测）：5-8 家付费意向客户免费试用，跟踪"填完一份问卷的实际耗时"。
• 第 9-12 周（定价上线）：落地页 + 免费模板领取 + SEO 内容；若 5 家试用中 2 家转化为付费，才继续。

8. 获客与运营

冷启动渠道必须具体： - 发 r/SaaS、r/cybersecurity、r/msp：以"我把 300 行安全问卷从 3 天压到 40 分钟"的过程贴形式，不带硬广； - 进 MicroConf Connect Slack、Indie Hackers、SaaS 创始人 Discord； - 定向外呼：LinkedIn 搜"CTO + Series A + 10-50 人 + SOC 2"； - 免费引流物：一份可下载的 SIG Lite 迷你模板 + 控制项映射表（换邮箱）； - SEO 关键词：security questionnaire automation、SIG Lite response software、CAIQ automation tool、SOC 2 questionnaire answers for startups、security questionnaire template for SaaS； - 内容平台：Medium/Hacker News 的"Show HN"。 - 待验证：这类人群是否会在 Reddit 上讨论采购工具，还是只讨论痛点。

9. 地域需求分析

• 北美（首要）：企业采购问卷文化最成熟，付费意愿与价格容忍度最高，但竞争也最挤。
• 英国/德国：GDPR、DPA 附加问卷多，需求真实，客单价略低。
• 印度/东南亚出海 SaaS：面向美国客户，被迫填问卷，价格极敏感，适合做低价自服务。
• 中国：内销市场以等保/信创合规为主，"安全问卷"不是主流成交环节，付费意愿待验证；真实机会在"中国团队卖向欧美客户"的出海 SaaS，语言与生态都要求英文优先。 结论：先做美区英文产品，不做本地化。

10. 定价与收入模型

• Free：每月 1 份问卷、模板库、水印导出——只做获客；
• Starter 79 美元/月：5 份问卷/月、1 席、Excel/Word 导出；
• Growth 199 美元/月：不限问卷、3 席、复用率报表、SSO（待验证是否小团队需要）；
• 增值服务：Done-with-you 代填 500-1,500 美元/份，用服务换早期现金流与语料；
• 年付 8 折。

自设假设下的收入模型（非预测）：若 12 个月内做到 20 家付费客户、平均 150 美元/月，则 MRR 约 3,000 美元（假设：纯自助、无销售团队、月流失 5%）。真正的天花板问题是：小团队的问卷频次够不够支撑订阅制——若一年只填 3 次，按次付费（如 149 美元/份）可能比订阅更合理，这点必须靠访谈定夺。

11. 风险与放弃条件

风险： 1. 替代品免费：客户认为 ChatGPT 已够用（最高风险）； 2. 被平台吞并：信任中心或 CRM 免费附送问卷功能； 3. 数据敏感性：客户不愿上传问卷与内部文档，且本产品自身需要 SOC 2 才能卖给别人（鸡生蛋问题）； 4. 长尾格式地狱：每家大客户的自制 Excel 结构都不同； 5. 单条证据支撑：目前只有 1 个 Reddit 帖，样本可能偏斜。

放弃条件（写死）： - 60 天内做满 30 次访谈，拿不到 8 个"愿意付 79 美元/月试用"的明确意向 → 放弃； - 5 家试用者中 3 家反馈"ChatGPT 已经够了" → 放弃； - 上线 6 个月付费客户 < 5 家 → 转纯服务代填或放弃。

12. 总评分卡

评分说明：个人匹配度扣分在于需要持续维护安全控制知识库、且要能听懂 CISO 语言；付费意愿扣分在于证据只有定性痛点、无付费承诺；竞争空间扣分在于"ChatGPT + Excel"这一免费对手极难击穿。总分 66.4 与遴选官给出的 66.2 基本一致，落在"值得小成本验证、不值得直接投入开发"的区间——这正是结论为观望的原因。