3、审查范围界定：如何定义审查边界、资产盘点方法、关键设备识别

说实话，很多合规审查翻车，不是技术不行，而是从一开始就没搞清楚「我们要查什么」。

我见过最典型的场景：审计组进场，客户问「你们查哪些机器？」审计师说「所有联网设备」。结果一晚上扫出三千多个IP，其中一半是打印机、门禁控制器、甚至还有一台咖啡机。嗯，这活儿就没法干了。

所以，审查范围界定，是整场合规审计的「地基」。地基歪了，后面盖的楼再漂亮也得塌。今天我就把这块的实战方法掰开揉碎了讲清楚。

定义审查边界，说白了就是画一个圈。圈里的东西我们负责，圈外的暂时不管。但这个圈怎么画，是有讲究的。

第一步：按业务属性划分

我个人习惯，先问客户三个问题：

这三个问题问完，大概的边界就出来了。举个例子，一家医院的合规审查，核心边界肯定是HIS服务器、PACS存储、医生工作站。而那些挂号自助机、候诊区大屏，虽然也联网，但优先级可以往后放。

第二步：按网络区域划分

边界不能只靠「感觉」，得有技术依据。我通常会要求客户提供网络拓扑图，然后按安全域来切：

    关键原则：审查边界不是越宽越好。边界太宽，资源分散，深度不够；边界太窄，容易遗漏高风险设备。我一般建议「先收后放」——先圈定最核心的20%设备，查透，再视情况扩展。

你想想看，客户给的资产台账，有几个是实时更新的？我遇到过最离谱的一次，台账上写着「服务器50台」，结果我拿扫描器一跑，发现实际在线设备是87台。那37台哪来的？没人知道。

所以我的原则是：台账只做参考，盘点必须动手。

方法一：主动扫描（最常用）

用Nmap或类似工具，对审查边界内的IP段进行全端口扫描。命令很简单：

nmap -sS -sV -O -p 1-65535 -T4 192.168.1.0/24 -oA scan_result

这个命令会做SYN扫描、版本探测、操作系统识别。扫完你会得到一份「活着的设备清单」。注意，扫描时间窗口要选在业务低峰期，不然网络部门会找你麻烦——我吃过这个亏。

方法二：被动监听（补充手段）

有些设备（比如医疗仪器、工控PLC）经不起主动扫描，一扫就死机。这时候就得用被动方式。在核心交换机上做端口镜像，抓一段时间的流量包，分析MAC地址、协议类型、IP会话。工具可以用Wireshark或者Zeek。

方法三：物理核对（最后一道防线）

别笑，这一步真的不能省。我做过一个金融项目，扫描结果和台账对不上，最后我拎着笔记本去机房一台一台对标签。结果发现有三台服务器被「遗忘」在机柜最底层，上面落满了灰，但系统还在跑着三年前的补丁。嗯，这种「幽灵设备」最危险。

小技巧：盘点时记得记录设备的「物理位置+机柜编号+端口号」。光有IP没用，万一设备宕机了，你总得知道去哪拔电源吧？

资产盘完了，你可能拿到一份几百台设备的清单。但合规审查的时间是有限的，你不可能每台都查得一样细。这时候就需要「关键设备识别」——找出那20%最要命的设备。

识别维度一：数据敏感度

我一般用这个表格来打分：

数据类型	示例	敏感等级	是否关键设备
个人身份信息（PII）	身份证号、手机号	高	是
财务数据	交易记录、财务报表	高	是
业务运营数据	订单、库存	中	视情况
公开信息	新闻、公告	低	否

识别维度二：业务连续性影响

问业务部门一个问题：「如果这台设备坏了，你们能撑多久？」

识别维度三：合规监管要求

有些设备虽然看起来不核心，但监管盯着呢。比如：

避坑指南：我曾经在一次审查中，把所有精力都放在了核心数据库上，结果忽略了那台「不起眼」的跳板机。后来发现攻击者正是通过跳板机横向移动，拿到了所有数据库的权限。所以，关键设备不只是「数据最多的」，还包括「路径最短的」。

边界定了、资产盘了、关键设备也标出来了。最后一步，把这些东西写成文档。我习惯用这个结构：

这份文档需要客户签字确认。为什么？因为一旦签了字，后续发现边界外的安全问题，责任就不在你。这是保护自己的职业底线。

好了，范围界定这块就讲到这里。说白了，就是「画圈、数数、标重点」三个动作。但每个动作做扎实了，后面的审查工作才能顺风顺水。下一章我们聊聊具体的检查项怎么设计——那又是另一门手艺了。