3. 合规基础
在网络安全需求与合规证据工程中，合规体系不是一张“证书清单”，而是一组相互引用、相互约束的要求来源。它们决定了组织必须保护什么、必须留下什么证据、在什么时限内报告什么事件。理解这些体系的定位与关系，是后续需求分解和证据映射的前提。
一、核心原理：合规体系的三层结构
国内外主要合规体系大致可分为三层：法律层、监管与标准层、行业与合同层。法律层设定强制义务与法律责任，如《网络安全法》《数据安全法》《个人信息保护法》、欧盟 GDPR；监管与标准层把法律要求转化为可操作的管理与技术控制，如网络安全等级保护 2.0、ISO/IEC 27001；行业与合同层则来自客户、行业监管或供应链协议，如金融、医疗、汽车行业的专项要求。
三层之间并非并列，而是“上位法定义底线，标准提供方法，合同细化场景”。例如《网络安全法》要求网络运营者采取技术措施保障网络安全，等级保护制度则给出定级、备案、建设整改、测评的具体路径，ISO 27001 提供 ISMS 管理体系框架，GDPR 则对个人数据处理提出合法性基础、数据主体权利和跨境传输规则。
二、方法流程：从合规要求到证据链
把合规体系转化为工程动作，通常遵循以下流程：
- 识别适用体系：根据业务地域、数据类型、行业属性，列出必须遵守的法律、标准与合同条款。
- 提取控制要求：将法律条文和标准条款拆解为可执行的安全控制，如访问控制、加密、日志留存、事件报告。
- 映射现有措施：对照已有制度、技术和流程，标记“已满足”“部分满足”“缺失”。
- 设计证据形式：明确每项控制需要什么证据，如配置截图、日志样本、审批记录、测评报告。
- 持续监控与更新：法规和标准会修订，证据链需要定期复核，避免“一次性合规”。
关键原则：合规证据不是“有文件即可”，而是要求证据与要求之间可追溯、可验证、可复现。一条要求对应多条证据，一条证据也可能支撑多个体系。
三、主要体系对比与场景
下表从定位、核心对象、典型证据三个维度对比常见合规体系，便于在项目中快速判断优先级。
| 体系 | 定位 | 核心对象 | 典型证据 |
|---|---|---|---|
| 网络安全法 | 中国基础性法律 | 网络运营者、关键信息基础设施 | 安全管理制度、日志留存、应急预案 |
| 等级保护 2.0 | 中国强制性合规基线 | 定级系统、安全通用要求 | 定级报告、备案证明、测评报告、整改记录 |
| ISO/IEC 27001 | 国际管理体系标准 | ISMS、风险与机会 | 体系文件、风险评估报告、内审与管理评审 |
| GDPR | 欧盟个人数据保护法 | 数据主体、控制者/处理者 | 合法性基础记录、DPIA、数据主体请求响应 |
| 数据安全法 / 个保法 | 中国数据与个人信息保护 | 数据分类分级、个人信息处理 | 分类分级清单、同意记录、跨境评估材料 |
在实际项目中，一个系统往往同时受多个体系约束。例如，一个面向欧盟用户的中国电商平台，既要满足等级保护测评，又要处理 GDPR 的数据主体访问请求，还要遵守《个人信息保护法》的跨境传输规定。此时证据工程的价值在于：用一套证据资产支撑多个合规声明，减少重复劳动。
四、误区与复盘
常见误区一：把标准当法律。ISO 27001 是自愿性标准，认证不等于合法；等级保护测评是法定要求，未通过可能面临处罚。两者不能互相替代。
常见误区二：证据“临时补”。测评前集中补日志、补审批，往往出现时间戳矛盾、记录缺失。合规证据应嵌入日常运维流程。
常见误区三：忽视版本与时效。等级保护 2.0 与 1.0 要求差异明显，GDPR 指南持续更新，ISO 27001:2022 附录 A 控制项已重构。使用过期模板会导致证据失效。
复盘时建议采用“要求—控制—证据—责任人”四列清单，逐条核对。对于跨体系共用的证据，如访问日志、变更记录、培训记录，应建立统一归档目录，并标注其可支撑的合规条款编号。这样在迎接测评、审计或客户尽调时，可以快速定位、快速举证。
合规证据映射示例（片段）：
要求来源：等级保护 2.0 8.1.4.2 访问控制
控制措施：统一身份认证 + 最小权限 + 定期复核
证据形式：IAM 配置导出、权限复核记录、登录日志样本
责任人：安全运维组
复核周期：每季度
掌握这些合规体系的定位与关系后，下一步才能把抽象要求拆解为可验证的安全需求，并设计出真正可用的证据链。