2、审查框架与标准：ISO 27001、NIST SP 800-53、等保2.0、GDPR对设备的要求

做设备合规性审查，最头疼的是什么？

我个人觉得，不是技术多难，而是标准太多。你想想看，一个设备要过审，可能同时要满足ISO、NIST、等保、GDPR的要求。每个框架的侧重点还不一样。

今天我就把这四个主流框架对设备的要求，掰开揉碎了讲清楚。

ISO 27001其实是个管理体系标准。它不告诉你具体用什么防火墙，而是要求你“得有一套管设备的方法”。

我在帮一家制造企业做认证时，发现他们设备台账全是Excel，连固件版本都没记录。这肯定过不了。

ISO 27001对设备的核心要求，我总结为三点：

重点提醒：ISO 27001 Annex A 的 A.8.1.1 明确要求“资产应予以识别并编制清单”。这是审查员必查项。

说白了，ISO 27001就是逼着你把设备管起来。哪怕用个简单的CMDB工具，也比没有强。

NIST SP 800-53，嗯，这个框架我特别喜欢。为什么？因为它细啊。

它把设备安全拆成了几十个控制项。你照着做就行，基本不会漏。

我挑几个跟设备强相关的控制族：

控制族	控制编号	对设备的要求
访问控制 (AC)	AC-3	设备必须实施强制访问控制。不能随便谁都能登录交换机。
审计与问责 (AU)	AU-2	设备必须记录日志。登录、配置变更、异常事件，一个不能少。
配置管理 (CM)	CM-6	设备必须使用安全基线配置。比如禁用默认密码、关闭不必要的端口。
维护 (MA)	MA-2	设备维修要有记录。送修前必须擦除敏感数据。

我的经验：NIST 800-53 的 CM-6（配置基线）是审查重灾区。我曾经见过一家公司，所有交换机都开着telnet，一问就是“方便调试”。这要是被审查员抓到，直接开不符合项。

为什么会这样？因为很多运维人员觉得“安全配置影响效率”。但NIST的逻辑是：安全是前提，效率是后话。

等保2.0，这是国内做设备审查绕不开的坎。它的要求比ISO更具体，比NIST更本土化。

我记得有个客户，等保三级测评，就因为核心交换机没做双链路冗余，直接被判定为“高风险”。

等保2.0对设备的要求，我重点说三个层面：

避坑指南：等保2.0的“可信验证”要求，很多人会忽略。它要求设备启动时进行完整性校验。说白了，就是防止固件被篡改。我曾经见过一个案例，因为没开TPM模块，等保测评直接扣了5分。

等保2.0还有个特点：它要求“自主可控”。进口设备如果没通过安全审查，可能不让用。这点做跨国业务的朋友要特别注意。

GDPR虽然是欧洲的法规，但只要你的设备处理欧盟公民的数据，就得遵守。

它跟其他框架最大的区别是什么？它关注的是“数据”，不是“设备”。但设备是数据的载体，所以设备也得跟着改。

GDPR对设备的核心要求：

实战案例：我帮一家IoT设备厂商做GDPR合规审查。他们的智能音箱会录音，但录音文件存在设备本地，没加密。这明显违反GDPR第32条“安全处理”要求。后来我们加了硬件加密芯片，才通过审查。

你想想看，如果设备连基本的数据加密都没有，GDPR罚款可是全球营收的4%啊。

这么多标准，到底听谁的？

我的建议是：以等保2.0为底线，以ISO 27001为框架，以NIST 800-53为技术参考，以GDPR为数据保护补充。

我整理了一个对比表，方便你理解：

维度	ISO 27001	NIST 800-53	等保2.0	GDPR
侧重点	管理体系	技术控制	合规红线	数据隐私
设备清单	必须	必须	必须	建议
日志审计	要求	详细要求	强制要求	涉及个人数据时要求
加密要求	建议	明确要求	三级以上要求	强制要求
物理安全	要求	详细要求	强制要求	间接要求

我的融合策略：先按等保2.0把基础合规项做完，再用NIST 800-53的CM-6做安全基线加固，最后用ISO 27001的PDCA循环持续改进。GDPR的要求，单独作为数据保护专项处理。