Microsoft Compliance Manager

Microsoft Compliance Manager 是 Microsoft Purview 合规门户中的一款工具，可帮助组织根据监管框架评估、监视和改进合规状况。它提供合规分数，用数字衡量组织的控制措施与所选标准要求的符合程度。拥有 Microsoft 365 或 Azure 订阅的组织均可使用 Compliance Manager。

您可以通过 compliance.microsoft.com 访问 Compliance Manager，入口为Microsoft Purview 合规门户。主页仪表板会显示总体合规分数、按类别细分的结果（数据保护、访问控制、事件管理）以及评估列表。您不需要成为合规专家即可使用此工具——它会逐步引导您完成每项标准的要求。

Compliance Manager 中的评估表示根据特定监管框架（例如 ISO 27001、GDPR、HIPAA）对组织进行评估。每项评估都包含一组取自相关法规的控制措施，以及Microsoft 管理的操作（由 Microsoft 为您处理的控制措施）和客户管理的操作（您必须自行实施的控制措施）。您可以同时针对多项法规创建评估。

合规分数是一个百分比（0-100%），表示相对于您所创建评估，组织控制措施的实施程度。以下项目可获得分数：

• Microsoft 管理的操作 — Microsoft 的控制措施到位后自动计分
• 客户管理的操作 — 您将操作标记为已实施并可选择上传证据后计分

分数越高表示控制措施覆盖程度越好，但这并不保证实际符合监管要求。

改进操作是您可以采取的、用于提高合规分数的具体步骤。每项操作都包括实施内容说明、对应的法规、所占分数、实施指南（通常包含 Microsoft 文档链接）以及用于记录实施状态的字段。操作按类别分组，例如保护信息、管理设备和控制访问。

对于客户管理的操作，Compliance Manager 允许您上传证据文档——例如屏幕截图、审计报告、策略文档或测试结果——以证明控制措施已经实施。这样可以建立合规证据链，供审计人员或检查人员查阅。证据文档存储在 Compliance Manager 门户中，您可以随时下载。

Compliance Manager 包含超过 300 个法规模板，您可以使用这些模板创建评估。模板涵盖全球标准（ISO 27001、NIST CSF）、行业专属法规（PCI DSS、HIPAA）和地区性法律（GDPR、LGPD、CCPA）。涵盖 Microsoft 365 之外法规的高级模板需要额外许可（例如 Microsoft 365 E5 Compliance 或 Compliance Manager 加载项）。

对于每项改进操作，Compliance Manager 会跟踪以下内容：

• 实施状态 — 未实施、已实施、替代实施、已计划
• 测试状态 — 未测试、通过、失败、无评估
• 测试日期 — 上次执行测试的时间

将操作标记为“已实施”但不上传证据虽然可以获得分数，却可能在正式审计期间受到质疑——请始终使用实际证据支持您的状态。

Compliance Manager 支持基于角色的委派——您可以将特定改进操作分配给个人团队成员或组。这对于大型组织非常有用，因为不同团队负责不同的控制领域（安全团队负责访问控制，HR 团队负责策略培训，IT 运营团队负责基础设施控制）。被分配的用户会收到通知，并可以直接更新其操作状态。

Compliance Manager 和 Azure Policy 负责合规性的不同方面：

• Compliance Manager — 跟踪组织控制措施与监管框架的符合情况；除技术控制措施外，还关注人员和流程控制措施；通过 Purview 合规门户运行
• Azure Policy — 强制实施并审核 Azure 资源的技术配置；自动化基础设施合规性；通过 Azure 门户运行

要实现完整的合规计划，二者缺一不可。

Compliance Manager 允许您将评估结果导出到 Excel，以便与审计人员、管理层或监管机构共享。导出内容包括完整的控制措施列表、各项状态、测试结果以及证据链接。许多组织会以此导出文件为基础编制适用性声明（SoA）——这是 ISO 27001 要求提供的文档，其中列出了所有控制措施及其实施状态。

在本课中，您了解到：Compliance Manager 提供合规分数和改进操作，并将其映射到 300 多个监管框架；Microsoft 管理的操作会自动计分，而客户管理的操作要求您实施并记录控制措施；您还可以上传证据文档来建立审计跟踪链。接下来，我们将探索 GDPR 的具体要求以及如何在 Azure 上实施这些要求。