01
合规审查概述
什么是设备合规性审查？为什么重要？审查的三大目标（安全性、可靠性、法规遵从）。
基础概念
02
审查框架与标准
ISO 27001、NIST SP 800-53、等保2.0、GDPR对设备的要求。
框架标准
03
审查团队组建
角色定义（审查员、技术专家、业务代表）、技能要求、团队协作流程。
团队角色
04
审查计划制定
范围界定、时间线规划、资源分配、风险预评估。
计划管理
05
资产盘点与分类
硬件资产清单、软件资产清单、资产分类标准（关键、重要、一般）。
资产盘点
06
设备配置基线审查
操作系统基线、网络设备基线、安全配置基线（CIS Benchmarks）。
基线CIS
07
漏洞扫描与评估
扫描工具选型（Nessus、OpenVAS）、扫描策略、结果解读与优先级排序。
漏洞扫描
08
补丁管理审查
补丁生命周期、紧急补丁流程、补丁验证与回滚策略。
补丁生命周期
09
身份与访问控制审查
用户账号管理、权限最小化原则、多因素认证（MFA）实施检查。
IAMMFA
10
日志与审计审查
日志收集范围、SIEM工具配置、日志保留策略、异常行为检测。
日志SIEM
11
网络边界安全审查
防火墙规则、入侵检测/防御系统（IDS/IPS）、VPN配置审查。
边界IDS/IPS
12
数据保护审查
静态数据加密、传输中数据加密（TLS/SSL）、数据脱敏与备份。
加密数据
13
物理安全审查
机房访问控制、视频监控、环境监控（温湿度、UPS）、设备销毁流程。
物理机房
14
移动设备与BYOD审查
MDM策略、设备擦除、应用白名单、远程锁定。
MDMBYOD
15
云设备合规审查
云安全责任共担模型、CSPM工具、云配置检查（S3桶权限、安全组）。
云CSPM
16
物联网（IoT）设备审查
固件安全、默认密码修改、通信协议安全、OTA更新机制。
IoT固件
17
供应链安全审查
供应商评估、硬件篡改检测、软件物料清单（SBOM）审查。
供应链SBOM
18
审查证据收集
自动化收集脚本、人工访谈、截图与文档归档、证据链完整性。
证据收集
19
发现项分类与严重性评级
CVSS评分应用、业务影响分析、风险接受与例外处理。
CVSS风险
20
审查报告撰写
报告结构（执行摘要、发现详情、整改建议）、图表呈现、受众适配。
报告沟通
21
整改跟踪与验证
整改计划制定、复测流程、关闭标准、遗留风险跟踪。
整改跟踪
22
自动化合规工具
Chef Inspec、OpenSCAP、AWS Config、自定义脚本框架。
自动化工具
23
合规审查中的常见陷阱
范围蔓延、证据不足、沟通不畅、忽视业务上下文。
陷阱经验
24
跨部门沟通与推动
如何与IT团队沟通、如何向管理层汇报、如何说服业务部门配合。
沟通推动
25
法规更新与持续合规
订阅威胁情报、法规变更跟踪、年度审查计划调整。
法规持续
26
实战案例一：金融行业终端
金融行业终端设备合规审查（Windows + 防病毒 + 加密）。
金融终端
27
实战案例二：医疗IoT设备
医疗行业IoT设备合规审查（输液泵、心电监护仪）。
医疗IoT
28
实战案例三：云原生容器/K8s
云原生环境容器与K8s合规审查（镜像扫描、Pod安全策略）。
K8s容器
29
审查成熟度评估
CMMI模型在合规审查中的应用、持续改进路线图。
成熟度CMMI
30
课程总结与认证路径
CISA、CISSP、ISO 27001 LA认证介绍、下一步学习建议。
认证总结