一、合规审计的基本流程与周期

审计流程这件事，很多人一开始都觉得是“按清单打勾”。但其实没那么简单。

PCI DSS 合规审计，说白了就是一次针对你持卡人数据环境的“大体检”。你得证明自己说得通、做得到、留得下证据。我个人习惯把整个流程拆成四个阶段来看——准备、评估、报告、跟进。这样递进地走，不容易漏项。

1.1 审计准备阶段

这是最容易被压缩、也最容易出问题的一步。你想想看，要是连“你要审什么、审到哪、谁配合”都没定清楚，现场审计就是一场灾难。

1. 范围界定 – 确定你的持卡人数据环境（CDE）到底有多大。哪些系统、哪些网络段、哪些第三方服务商，全得划清楚。
2. 文档收集 – 策略、流程、拓扑图、数据流图、访问控制清单……我建议至少提前三周开始整理，否则你会发现自己以为有的东西其实早就丢了。
3. 资源协调 – 谁是接口人？谁懂网络？谁管日志？谁负责应用？这些角色必须提前定好。我在项目中遇到过，客户把运维负责人排了下周休假……结果现场审计根本没法推进。

1.2 现场评估与发现

现场审计通常会持续3到5天，具体看你CDE的复杂程度。审计师的日常工作就是“访谈 + 观察 + 验证”。

• 访谈 – 问相关人员：“你们是怎么做的？”不光问安全负责人，还得问运维、开发、甚至前台员工。口径不一致？那就有问题了。
• 观察 – 去机房、开柜子、看门禁、看监控。纸上写“物理访问受控”，结果机房大门敞着？嗯，这个直接挂发现项。
• 验证 – 配置截图、日志调取、漏洞扫描报告、防火墙规则导出。你光说“我们做了扫描”没用，你得拿出证据。

我曾经见过一个团队，所有防火墙规则都导出来了，但规则描述全是“Default rule”……审计师一看就知道是没管过。这就是典型的“做了却没做好”。

1.3 报告与整改

现场结束不代表审计结束。审计师会出具一份 ROC（报告合规性）或 SAQ（自我评估问卷），里面清晰列出每一项是“合规”、“不合规”还是“部分合规”。

不合规的项会直接进 行动整改计划（POA&M）。说白了，就是给你时间补课。但我提醒你，补课不是无限期的。尤其是 Level 1 商户，周期通常控制在30天到90天，看严重程度。

1.4 周期性持续监控

PCI DSS 要求你每年做一次合规评估，但千万别以为一年只忙一个月。持续监控才是合规的常态。

为什么？

• 你的网络天天在变——新应用上线、新员工入职、新供应商接入。
• 你的控制措施可能退步——补丁没打、日志没开、渗透测试过期了。
• 你服务的第三方也可能出问题——他们不合规，你也跟着受影响。

所以，我个人的做法是：把审计周期拆成季度节奏。每个季度做一次“小验收”，然后年尾做“大会考”。这样你不会在年底一次性面对一堆惊吓。

1.5 审计周期总结

为了让你更直观地理解，我把典型的审计周期整理成了一张表。你可以根据自己机构的等级和复杂度做调整。

阶段	主要内容	典型耗时	常见输出物
准备期	范围界定、文档收集、资源协调	4~8 周	范围声明、文档清单
现场审计	访谈、观察、证据验证	3~5 天	审计笔记、缺失清单
报告产出	撰写ROC、生成发现项	2~4 周	ROC / SAQ
整改闭环	POA&M 实施、再验证	30~90 天	整改证据、关闭备忘
持续监控	季度自检、日志与漏洞跟进	全年	内部审计报告

下面这张图可以帮你把整个审计生命周期串起来看。

整体来看，一次完整的PCI DSS审计不是一次性冲刺，而是螺旋上升的循环。从准备到现场，从报告到整改，再回到持续监控和下一轮准备。每一轮你都会比上一次更清楚自己的短板在哪。