第2章 合规框架与标准：ISO 27001、SOC 2、GDPR、等保2.0等主流标准解读
说实话，刚入行那会儿，我面对一堆合规标准也是懵的。ISO 27001、SOC 2、GDPR、等保2.0……每个都号称要“保护数据安全”，但侧重点完全不同。你想想看，要是搞混了，证据包方向直接跑偏，后面全白干。
这一章，我就带你把这些主流标准拆开揉碎。咱们不讲虚的，直接说它们到底要什么、怎么查、怎么过。
2.1 四大标准的核心定位
先给个全景图。我习惯用一张图把四个标准的关系理清楚，这样后面做证据包时，脑子里的地图是清晰的。
一句话总结：
- ISO 27001 — 管理体系认证，看“你有没有一套流程”
- SOC 2 — 服务商内控报告，看“你实际做到了没有”
- GDPR — 个人数据保护法规，看“你尊重用户数据权利了吗”
- 等保2.0 — 中国网络安全等级保护，看“你的系统够不够硬”
2.2 ISO 27001 — 信息安全管理体系
ISO 27001 是我最早接触的合规标准。说白了，它不关心你的防火墙有多贵，它关心的是你有没有一套“遇到问题怎么办”的流程。
核心逻辑就四个字：PDCA（Plan-Do-Check-Act）。
- Plan：定范围、做风险评估、选控制措施
- Do：执行控制措施、培训人员
- Check：内审、管理评审、监控测量
- Act：纠正预防、持续改进
我的经验：做 ISO 27001 证据包时，最容易漏的是“证据链闭环”。比如你写了《访问控制策略》，那就要有对应的《权限审批记录》、《季度权限审计报告》、《异常访问处理记录》。缺一个，审核员就会开不符合项。
ISO 27001 的附件 A 列出了 114 个控制项（2022 版缩减到 93 个）。但别被数字吓到——不是所有控制项都适用。你需要写一份 SoA（适用性声明），说明哪些控制项适用、为什么不适用。我见过有人把“不适用”写成“我们觉得没必要”，结果被审核员怼回来。正确的写法是：基于风险评估结果，该控制项不适用，理由要充分。
2.3 SOC 2 — 服务组织控制报告
SOC 2 跟 ISO 27001 最大的区别是什么？ISO 看“你有没有”，SOC 看“你做到了没有”。
SOC 2 基于 TSC（Trust Services Criteria） 五原则：
| 原则 | 中文 | 核心要求 |
|---|---|---|
| Security | 安全性 | 防止未授权访问 |
| Availability | 可用性 | 系统按承诺运行 |
| Processing Integrity | 处理完整性 | 数据处理准确完整 |
| Confidentiality | 保密性 | 机密信息受保护 |
| Privacy | 隐私 | 个人信息合规处理 |
SOC 2 报告分两种类型：
- Type I：某个时间点的控制设计是否合理
- Type II：一段时间内（通常 6-12 个月）控制是否有效运行
避坑指南：我曾经帮一家 SaaS 公司准备 SOC 2 Type II 报告。他们觉得“控制设计好了就行”，结果审核员抽查了 6 个月的日志，发现有三个月的权限审计没做。直接导致报告延期。记住：SOC 2 看的是“持续有效”，不是“偶尔做到”。
2.4 GDPR — 通用数据保护条例
GDPR 是欧盟的法规，但它有“长臂管辖”条款。只要你的业务涉及欧盟居民的个人数据，哪怕公司在中国，也得遵守。
GDPR 的核心原则：
- 合法性、公正性、透明性 — 处理数据要有法律依据
- 目的限制 — 收集数据时就要说清楚用途
- 数据最小化 — 只收集必要的数据
- 准确性 — 数据要准确，及时更新
- 存储限制 — 数据不能永久保留
- 完整性与保密性 — 安全措施到位
- 问责制 — 你能证明自己合规
做 GDPR 证据包，最核心的是 数据映射（Data Mapping）。你得清楚：
- 收集了哪些个人数据
- 从哪里收集的
- 存储在哪里
- 谁可以访问
- 是否跨境传输
- 保留多久
关键证据清单：
- 隐私政策（要写清楚数据处理目的和法律依据）
- 同意记录（用户怎么同意、何时同意、能否撤回）
- 数据主体权利响应流程（DSAR 处理 SOP）
- 数据泄露通知流程（72 小时内通知监管机构）
- 数据处理协议（DPA，跟第三方签）
2.5 等保2.0 — 中国网络安全等级保护
等保2.0 是中国的国家标准，2019 年正式实施。跟前面几个标准不同，等保是 强制性的。不做？轻则罚款，重则关停。
等保2.0 把系统分为五个等级：
| 等级 | 名称 | 适用场景 |
|---|---|---|
| 第一级 | 自主保护 | 一般信息系统 |
| 第二级 | 指导保护 | 涉及公共利益 |
| 第三级 | 监督保护 | 涉及国家安全、社会秩序 |
| 第四级 | 强制保护 | 涉及国家安全重要领域 |
| 第五级 | 专控保护 | 国家关键信息基础设施 |
大部分互联网企业做到 三级等保 就够了。但别小看三级，技术要求包括：
- 物理安全（机房要双路供电、门禁、监控）
- 网络安全（防火墙、入侵检测、VPN）
- 主机安全（操作系统加固、漏洞扫描）
- 应用安全（代码审计、身份认证）
- 数据安全（加密、备份、容灾）
我的建议：等保2.0 的证据包，最容易被忽视的是 定级报告。很多公司直接抄模板，结果专家评审时发现定级不合理，整个流程重来。定级要基于业务重要性、数据敏感度、受攻击后的影响程度来写，别偷懒。
2.6 多标准融合策略
现实中，很多公司要同时满足多个标准。比如做 SaaS 的，客户要求 SOC 2，业务涉及欧盟用户要 GDPR，国内运营还要等保2.0。
怎么办？我的做法是 找交集。
举个例子，访问控制这个控制项：
- ISO 27001 要求：A.9 访问控制
- SOC 2 要求：CC6 逻辑与物理访问控制
- GDPR 要求：第32条 安全处理措施
- 等保2.0 要求：三级安全计算环境
你看，四个标准都要求“控制谁可以访问系统”。那你就做一套统一的 访问控制策略，然后分别映射到每个标准的要求上。证据包可以复用，但映射表要单独做。
融合证据包的核心思路：
- 建立统一的安全控制基线（覆盖所有标准的共同要求）
- 针对每个标准做差异分析（哪些是独有的）
- 制作交叉映射矩阵（一个控制项对应多个标准条款）
- 证据收集时，标注该证据满足哪些标准