2. 基线标准与框架：等保2.0、CIS Benchmarks、NIST CSF、ISO 27001等主流标准介绍
做设备合规，第一件事不是写脚本，而是搞清楚——你照着谁的标准来检查？
我见过不少团队，上来就自己定义一堆检查项，结果审计一来，全都不认。说白了，合规不是自嗨，你得有据可依。今天我们就聊聊几个主流标准：等保2.0、CIS Benchmarks、NIST CSF、ISO 27001。它们各自解决什么问题，怎么配合使用，我踩过哪些坑。
2.1 等保2.0：国内合规的硬门槛
等保2.0，全称《信息安全技术 网络安全等级保护基本要求》。2019年正式实施，取代了老的等保1.0。它最大的变化是什么？从“信息安全”变成了“网络安全”，覆盖范围更广，要求也更细。
我个人习惯把等保2.0理解成一个“检查清单”。它把安全要求分成十个大类：物理安全、网络安全、主机安全、应用安全、数据安全等等。每个大类下面又有若干控制点。比如主机安全里，就明确要求“应启用登录失败处理功能”、“应限制非法登录次数”。
核心要点：等保2.0是强制性的。如果你是政府、金融、医疗、教育等行业，或者系统被认定为关键信息基础设施，那必须过等保。不是选择题，是必答题。
我在项目中遇到过一家企业，他们服务器密码策略设得很松，觉得内部系统无所谓。等保测评时，测评师直接给了个高风险项。整改起来很痛苦，因为涉及几百台服务器。嗯，这里要注意：等保2.0对密码复杂度、登录失败锁定、会话超时这些基础项查得非常严。
| 等级 | 适用对象 | 安全要求强度 |
|---|---|---|
| 第一级 | 一般系统 | 基础防护 |
| 第二级 | 一般系统（影响较大） | 适度防护 |
| 第三级 | 重要系统 | 较高防护 |
| 第四级 | 特别重要系统 | 严格防护 |
我们做设备基线，通常对标的是等保三级。三级要求最典型，也最常遇到。
2.2 CIS Benchmarks：业界公认的基线“食谱”
CIS Benchmarks，由互联网安全中心发布。它不是什么法律，而是最佳实践。但它的影响力非常大，很多等保、ISO的落地细节，其实都参考了CIS。
你想想看，CIS Benchmarks 好在哪里？它非常具体。比如“如何加固一台Linux服务器”，CIS会告诉你：禁用root远程登录、设置SSH协议版本为2、配置审计日志、关闭不必要的服务……每一步都有明确的配置命令和验证方法。
我的建议：如果你刚开始做设备基线，从CIS Benchmarks入手是最快的。它就像一个“食谱”，你照着做就行。等保是“你要做菜”，CIS是“菜怎么做”。
我曾经帮一家金融科技公司做基线自动化。他们服务器有上千台，操作系统版本五花八门。我们直接拿CIS的基准脚本做二次开发，用Ansible批量执行。效果很好，审计一次过。为什么？因为CIS的检查项非常细，细到“/etc/shadow文件的权限必须是640”。这种粒度，手工检查根本不可能，必须自动化。
CIS Benchmarks 覆盖了主流操作系统、数据库、中间件、云平台。你可以在它的官网免费下载PDF，但更推荐用它的自动化工具CIS-CAT，或者直接拿社区版的脚本。
2.3 NIST CSF：框架思维，适合做顶层设计
NIST CSF，美国国家标准与技术研究院发布的网络安全框架。它不是一个检查清单，而是一个“框架”。它把网络安全工作分成五个核心功能：识别、保护、检测、响应、恢复。
为什么我要提它？因为很多大企业、跨国公司的合规体系，底层逻辑就是NIST CSF。它不告诉你具体怎么配置SSH，但它告诉你：你应该有一个流程来识别资产、保护资产、检测威胁、响应事件、恢复业务。
我个人习惯把NIST CSF当成“地图”。等保和CIS是“路标”。你拿着地图，知道大方向；看着路标，知道下一步怎么走。
2.4 ISO 27001：管理体系，重在“持续改进”
ISO 27001，信息安全管理体系标准。它和前面几个最大的区别是：它不关心你具体用什么技术，它关心你有没有一套“管理流程”。
你想想看，ISO 27001的核心是PDCA循环：Plan（计划）、Do（执行）、Check（检查）、Act（改进）。它要求你建立安全方针、风险评估、内部审计、管理评审、纠正预防措施。说白了，它是一套“如何持续做好安全”的方法论。
我在项目中遇到过一家公司，他们通过了ISO 27001认证，但服务器基线一塌糊涂。为什么？因为他们把精力都花在写文档、做流程上，忽略了技术落地。认证审核员只看你有没有流程文件，不看你的服务器是不是真的安全。但真正出事的时候，流程文件救不了你。
避坑指南：ISO 27001和等保、CIS不是互斥的，而是互补的。ISO管“人”和“流程”，等保和CIS管“技术”和“配置”。我曾经见过一家企业，ISO证书拿了三年，结果等保测评没过。原因就是技术基线没落地。所以，别只盯着认证，要盯着真正的安全水位。
2.5 怎么选？怎么组合？
说了这么多，你可能会问：我到底该用哪个？
我的经验是：
- 国内企业、政府项目：以等保2.0为底线，用CIS Benchmarks做具体落地。等保是“必须过”，CIS是“怎么过”。
- 跨国公司、出海业务：以NIST CSF为框架，用ISO 27001做管理体系认证，用CIS做技术基线。NIST给方向，ISO给流程，CIS给细节。
- 初创公司、资源有限：直接抄CIS Benchmarks。别想太多，先把基础加固做好。等业务大了再考虑认证。
| 标准 | 性质 | 适用场景 | 我的建议 |
|---|---|---|---|
| 等保2.0 | 法规强制 | 国内关键信息基础设施 | 必须过，没商量 |
| CIS Benchmarks | 最佳实践 | 技术基线落地 | 首选，直接照着做 |
| NIST CSF | 框架指南 | 顶层设计、战略规划 | 适合大企业、体系化建设 |
| ISO 27001 | 管理体系 | 认证、流程建设 | 适合需要对外展示合规能力的企业 |
最后说一句：标准是死的，人是活的。别为了合规而合规，要为了安全而合规。我们做基线自动化，最终目的是让设备真正安全，而不是让审计报告好看。