4、审查计划制定：制定审查计划书、时间线管理、资源分配与团队组建

好，咱们进入第四讲。前面几章我们聊了合规框架、资产盘点、风险识别，说白了都是在「摸家底」。但光摸清楚还不够，你得有个行动路线图。这一章，我就跟你聊聊怎么把审查这件事，从脑子里的一团乱麻，变成一张清晰的作战地图。

我个人习惯，做任何审查之前，先花半天时间把计划书敲定。别急着动手，磨刀不误砍柴工。你想想看，一个没有计划的审查，就像不带地图去爬山——走到哪算哪，最后大概率是迷路或者半途而废。

审查计划书不是写给别人看的，是给你自己和团队用的。它要回答三个核心问题：审什么？怎么审？审完怎么办？

我见过很多新手，上来就写「我们要审查所有设备的合规性」。这话说了等于没说。你得具体到：

计划书核心要素清单（我常用的模板）

嗯，这里要注意。计划书里一定要写清楚「不审什么」。我在项目中遇到过，客户后来质问「为什么这个系统没查？」——其实是因为当初约定好了边界，但没写进计划书。白纸黑字，能省掉很多扯皮。

审查这件事，最怕拖。一拖，人心就散了，设备配置也变了，审查结果就失去了时效性。

我建议，一个中等规模的企业（500-1000台设备），审查周期控制在4-6周。超过两个月，基本就凉了。

时间线怎么拆？我一般分四个阶段：

你看，每个阶段都有明确的交付物。这样你就能随时知道「我们走到哪了」。我曾经在一个项目里，数据采集阶段拖了两周，因为网络扫描把业务系统搞崩了。从那以后，我都在计划里预留20%的缓冲时间，专门应对这种突发状况。

避坑指南：我曾经在时间线里把「人工检查」和「自动化扫描」排成了串行，结果人工检查的人等扫描结果等了两天。后来我改成并行——扫描跑着的时候，人工先去检查物理环境、标签、线缆。效率翻倍。

资源分配，说白了就是三件事：谁来做？用什么做？花多少钱？

一个标准的审查团队，我建议至少包含以下角色：

我记得有一次，团队里全是技术大牛，但没人愿意做记录。结果审查完了，发现一堆问题，但证据链不全，整改的时候扯不清楚。从那以后，我坚持必须有一个「笔杆子」。

工具不在多，在于顺手。我常用的组合是：

嗯，这里要提醒一句。别迷信工具。工具只能帮你发现「已知的问题」，但很多合规问题藏在流程和人的行为里。比如，某台服务器的密码写在显示器贴纸上——工具扫不出来，但人一眼就能看到。

预算这块，我一般按人头和工具授权来算。举个例子：

注意：预算里最容易漏掉的是「整改验证」的费用。很多人只算了审查阶段的钱，但审查完发现一堆问题，整改又要花钱。我建议在计划书里就明确：审查只负责「发现问题」，整改是另外的项目，或者至少预留整改验证的预算。

最后，分享几个我这些年攒下来的经验：

好了，这一章的内容就这些。计划制定好了，下一步就是动手干了。下一章，我会跟你聊聊审查执行阶段的具体操作——怎么高效地采集数据，怎么跟被审部门斗智斗勇。咱们下章见。