证据包规划：识别合规要求、定义证据目标、制定证据收集计划
好，咱们进入正题。上一章聊了证据包长什么样，这一章得聊聊怎么把它从脑子里搬到纸面上。说白了，就是做规划。
很多人一上来就开干，到处找日志、截屏、签字单。结果呢？收集了一堆没用的东西，真正关键的证据反而漏了。我见过太多这样的案例了。
证据包规划，核心就三件事：搞清楚要证明什么、拿什么来证明、怎么拿到这些证明。咱们一个一个拆。
3.1 识别合规要求：你到底在应付谁？
这一步是地基。地基歪了，后面全白干。
合规要求从哪来？我习惯把它们分成三层：
- 法律法规层：比如 GDPR、等保 2.0、SOX。这是硬杠杠，没得商量。
- 行业标准层：比如 PCI-DSS、ISO 27001。虽然不是法律，但客户或监管机构会拿它来卡你。
- 内部制度层：你们公司自己的安全策略、运维规范。很多审计其实是从这里开始查的。
怎么识别？别自己闷头看文档。我建议你拉上法务、业务和技术负责人，开个合规要求梳理会。会上就干一件事：把跟当前系统相关的所有条款，一条条列出来。
举个例子，等保 2.0 里有一条：「应对登录的用户进行身份标识和鉴别」。那你的系统如果有 Web 后台，这条就适用。证据要求是什么？可能是「登录页面截图 + 账号密码策略配置记录」。
3.2 定义证据目标：别想着证明所有事
识别完要求，你可能会发现——天哪，有 200 条要证明。别慌。
证据目标不是越多越好。你想想看，审计员看一份证据包，平均每份停留多久？我猜不超过 3 分钟。堆砌只会稀释重点。
定义证据目标，我遵循一个原则：一个条款，一个核心证据，一个备用证据。
| 合规条款 | 核心证据目标 | 备用证据目标 |
|---|---|---|
| 用户登录需身份鉴别 | 登录页面截图 + 认证日志 | 安全配置基线文档 |
| 数据加密传输 | TLS 配置截图 + 证书信息 | 网络抓包结果（加密） |
| 访问控制最小化 | 权限矩阵表 + 用户列表 | 最近一次权限审计报告 |
为什么要定义目标？因为目标决定了你收集的粒度和范围。比如「证明登录有验证码」，你截一张带验证码的登录页就够了。但「证明登录失败有锁定机制」，你就得截连续输错密码的截图，甚至录个屏。
3.3 制定证据收集计划：把活分下去
目标定好了，接下来就是怎么干。这一步最容易被忽视，但恰恰是项目能否按期交付的关键。
一份完整的证据收集计划，至少包含以下要素：
- 证据项清单：每个证据的唯一编号、名称、关联条款
- 收集方法：截图、导出日志、录制视频、签字确认……
- 责任人：谁去干这件事
- 截止日期：什么时候交
- 验收标准：什么样的证据算合格
我习惯用项目管理工具来跟踪，比如 Jira 或 Trello。每个证据项就是一个任务，状态从「待收集」到「已验收」流转。
这里有个关键点： 验收标准一定要写清楚。什么叫「合格的登录截图」？我的标准是：
- 必须包含完整的浏览器地址栏（证明是当前系统）
- 必须显示登录表单（证明有身份鉴别）
- 截图时间戳可见（证明时效性）
标准越细，返工越少。
3.4 知识图谱：证据包规划全景
说了这么多，咱们用一张图把整个逻辑串起来。下面这张 SVG 图展示了从合规要求到证据收集计划的完整链路。
3.5 避坑指南：规划阶段最容易犯的错
最后，分享几个我亲身踩过的坑，希望能帮你绕过去。
- 坑一：要求识别不全——只看了外部法规，忘了内部制度。结果内部审计时被自己人打脸。
- 坑二：证据目标太模糊——「证明系统安全」这种目标等于没定。要具体到「证明 SSH 禁用密码登录」。
- 坑三：计划没有缓冲——收集证据总会遇到意外：系统升级了、日志被覆盖了、负责人请假了。我一般会留 20% 的缓冲时间。
- 坑四：验收标准缺失——收集上来的截图缺地址栏、日志没有时间戳……返工比重新做还痛苦。
证据包规划，说白了就是先想清楚再动手。这一步花的时间越多，后面收集、整理、交付就越顺畅。别急着跑，先把地图画好。