2. 相关法规与标准：ISO 27001、GDPR、SOX、等保2.0
做合规审计，说白了就是拿着尺子去量。尺子是什么？就是法规和标准。你连尺子都不认识，怎么去量别人？
我这个环节不得不提一点个人教训。我刚入行那会儿，接到一个客户需求，上来就给对方推荐ISO 27001全套控制项。结果人家是家金融公司，在美国上市。我完全忽略了SOX法案的要求，后来被甲方技术总监一句“你懂不懂合规”怼得哑口无言。
所以，在做合规审计报告之前，我们先把这些“尺子”捋清楚。你心里得有数，什么时候该用哪把尺。
2.1 四大法规标准的定位与场景
咱们先看一张图，把这四个东西的关系理清楚。你会发现，它们各有各的脾气，各有各的战场。
2.2 ISO 27001：信息安全的通用语言
ISO 27001 是我个人最常用的标准。它不挑行业，不挑规模。说白了，它是一套信息安全管理体系（ISMS）的建设指南。
它的核心逻辑是什么？PDCA循环——计划、执行、检查、改进。听起来很理论对吧？但实际落地时，你会发现这套逻辑特别管用。
核心控制项分类：
- A.5 信息安全策略——你有没有写清楚安全目标？
- A.6 信息安全组织——谁负责安全？权责分明吗？
- A.8 资产管理——你的资产清单在哪儿？
- A.9 访问控制——人人都有管理员权限？
- A.12 操作安全——变更管理、恶意软件防护怎么搞？
- A.16 信息安全事件管理——出了事怎么办？
避坑指南： 我曾经见过一个团队，花了三个月整理 ISO 27001 的文档，结果审计时发现，他们把所有控制项都填了“已实施”，但实际一个变更流程都没跑通。你猜怎么着？审计师直接给了个重大不符合项。
2.3 GDPR：个人数据的“枷锁”
GDPR 是欧洲的法规，但影响力是全球的。只要你的业务涉及欧盟公民的数据，就得被它管着。我在做跨国项目时，GDPR 永远是绕不开的坎。
它最核心的原则就几条：
- 合法、公平、透明——你不能偷偷摸摸收集数据。
- 目的限制——你收集的数据只能用于告知过的用途。
- 数据最小化——别什么都存，够用就行。
- 准确性——数据错了要改。
- 存储限制——用完了就删，别占着茅坑不拉屎。
- 完整性与保密性——防丢、防泄露。
实战技巧： 在审计报告中需要特别关注“数据保护影响评估（DPIA）”。我习惯在报告里单独列一个章节，专门展示企业对高风险数据处理活动有没有做 DPIA。这是 GDPR 审计的高频考点。
2.4 SOX：财务内控的“紧箍咒”
SOX 法案是美国出的，专门针对上市公司。它的第 302 条和第 404 条，是审计师最头疼的条款。
- 第 302 条——公司高管要对财务报告的准确性负责。
- 第 404 条——管理层需要评估并报告内控的有效性。
说白了，如果 IT 系统里的财务数据被改了，CEO 和 CFO 是要坐牢的。你想想看，这压力多大。
我个人在 SOX 审计中，最常检查的是 IT 通用控制（ITGC）。包括：
| 控制域 | 常见问题 | 审计重点关注 |
|---|---|---|
| 逻辑访问控制 | 离职员工账号未及时注销 | 高 |
| 变更管理 | 开发人员直接操作生产环境 | 高 |
| 计算机操作 | 没有日志审计或监控 | 中 |
| 程序开发 | 代码上线前没有安全测试 | 高 |
警告： 很多公司在 SOX 审计中栽跟头，不是因为技术不行，而是因为流程文档不全。审计师要的不是你说“我们做了”，而是“我们写下了怎么做，并且按写的做了”。
2.5 等保2.0：中国特色的安全合规
等保2.0 是国内企业绕不开的标准。它把信息系统按安全等级分为五级，你属于哪一级，就得按对应的要求来。
我做过一个电力行业的项目，对方系统定级为第三级。好家伙，光安全管理制度就写了十几份，还得定期做渗透测试和漏洞扫描。
等保2.0 的核心安全要求包括：
- 安全物理环境——机房门禁、温湿度控制。
- 安全通信网络——网络架构、访问控制策略。
- 安全区域边界——边界防护、入侵检测。
- 安全计算环境——操作系统、数据库、中间件加固。
- 安全管理中心——集中监控、审计、运维。
- 安全管理制度——策略、流程、人员管理。
2.6 四者如何协同——我的个人经验
严格来说，这四个标准不是互斥的，而是互补的。我在实际项目中，常常给客户画一张表，帮他们看清自己的合规现状。
| 评估维度 | ISO 27001 | GDPR | SOX | 等保2.0 |
|---|---|---|---|---|
| 适用范围 | 全球，任意组织 | 涉及欧盟公民数据 | 美国上市公司 | 中国大陆信息系统 |
| 核心目标 | 信息安全管理体系 | 个人隐私保护 | 财务报告真实性 | 国家网络安全等级 |
| 审计频率 | 通常1年1次 | 持续合规 | 每年强制审计 | 按级别定周期 |
| 处罚力度 | 认证撤销 | 全球营业额4%或2000万欧元 | 高管刑事责任 | 责令整改+罚款 |
| 与IT审计关系 | 强依赖 | 中依赖 | 强依赖 | 强依赖 |
比如一个场景：一家总部在德国、同时在国内有数据中心、还在美国上市的金融科技公司，会同时受 GDPR、等保2.0、SOX 的约束。这时候，你不能只盯着 ISO 27001。你要把标准揉碎了，按业务模块匹配。
我的建议： 写审计报告时，先明确客户的“合规义务矩阵”。列出他们分别受哪些法规约束，再按标准逐一展开评价。这样才能避免漏项，也显得专业。
2.7 本章小结
理解法规和标准，就是理解审计的“剧本”。你不需要背下每一个条款，但要清楚每个标准的脾气和侧重点。
- ISO 27001——体系化，什么都能装。
- GDPR——以个人为中心，敏感且强硬。
- SOX——财务驱动，高管踩红线。
- 等保2.0——国家意志，合规即安全。
嗯，心里有了这张图，后面我们讲具体审计步骤时，你就知道该翻哪本手册了。