合规框架

合规是指满足法律、法规或行业标准规定的安全要求。框架为组织提供一套结构化且获得认可的控制措施，供其实施并证明落实情况。

合规不等同于安全，但良好的框架能够推动实际改进。

ISO/IEC 27001 是针对ISMS（信息安全管理体系）的国际标准。它以风险为基础：识别风险，选择控制措施（来自附录 A），并持续改进。

• 认证由获得认可的审核员颁发。
• 重点是管理流程，而不仅仅是技术。

SOC 2（系统与组织控制）是一份鉴证报告，软件即服务提供商经常使用该报告。它基于 AICPA 的信任服务准则：安全性、可用性、处理完整性、保密性和隐私性。

• 类型 I：评估某一时点设计的控制措施。
• 类型 II：评估控制措施在一段时间内是否有效运行。

PCI DSS（支付卡行业数据安全标准）适用于任何存储、处理或传输持卡人数据的组织。它具有规定性，包含具体要求。

• 加密持卡人数据并使用网络分段。
• 按照知情必要原则限制访问。
• 定期测试和监控。

您还会遇到以下制度：

• GDPR：EU 的数据保护与隐私制度。
• HIPAA：US 的医疗保健数据制度。
• NIST CSF / 800-53：US 的框架和控制目录。

许多制度存在重叠，因此可以在不同框架之间映射控制措施。

框架分布在一个连续范围内：

• 基于风险（ISO 27001）：根据风险程度选择相应的控制措施。
• 规定性（PCI DSS）：无论具体情境如何，都必须满足特定要求。

了解框架的类型，可以帮助您判断控制措施有多大的定制空间。

定义范围是实际工作的第一步。范围规定框架适用于哪些系统、数据和流程。

对于 PCI DSS，网络分段可以将持卡人系统与网络的其他部分隔离，从而缩小范围并降低成本。

框架会将要求组织成控制措施，并通常按访问控制、密码学、日志记录和事件响应等类别分组。

每项控制措施都需要负责人、实施方案以及证明其有效的证据。

不同框架产生的结果不同：

• 认证（ISO 27001）：由获得认可的机构颁发的通过/未通过证书。
• 鉴证（SOC 2）：由审核员出具、根据 NDA 共享的意见报告。
• 验证（PCI DSS）：由 QSA 提供 AOC 和/或 ROC。

合规不是一次性事件。标准要求持续运行、定期重新评估和不断改进。

• ISO 27001 要求进行监督审核。
• SOC 2 类型 II 覆盖数个月的时间段。
• PCI DSS 要求进行季度扫描和年度评估。

大多数组织需要同时遵循多个框架。请建立控制措施映射，使一项实施良好的控制措施（例如 MFA）能够同时满足 ISO 27001、SOC 2 和 PCI DSS 中相应的要求，避免重复工作。

将框架与其性质进行匹配。

合规框架可以构建并证明安全性：

• ISO 27001 = 基于风险的 ISMS 认证。
• SOC 2 = 面向服务提供商的信任服务鉴证。
• PCI DSS = 针对持卡人数据的规定性标准。
• 定义范围、指定控制措施负责人，并映射重叠的控制措施以提高效率。