2. 合规体系基础

2.1 合规的定义与重要性

合规（Compliance）是指组织在运营过程中，严格遵守国家法律法规、行业监管要求、国际标准以及内部规章制度的行为准则。在网络安全领域，合规不仅是法律底线，更是企业风险管理的核心支柱。

💡 核心定义： 合规 = 符合 + 规范。即“做正确的事，并证明你做了正确的事”。

合规的重要性（三大支柱）

法律保护伞： 避免因违规导致的巨额罚款、法律诉讼甚至刑事责任（如《网络安全法》最高罚款100万元）。
信任基石： 通过合规认证（如ISO 27001）向客户、合作伙伴证明安全能力，提升商业信誉。
风险防火墙： 系统化的合规要求倒逼企业建立安全基线，降低数据泄露、勒索攻击等事件概率。

2.2 国内外主要合规标准概览

当前全球网络安全合规体系呈现“多标准并行、相互引用”的格局。以下为最核心的三大标准体系：

标准名称	发布机构	核心定位	适用场景
ISO 27001	国际标准化组织（ISO）	信息安全管理体系（ISMS）	跨国企业、云服务商、金融
等级保护（等保2.0）	中国公安部、网信办	网络安全等级保护制度	中国境内所有关键信息基础设施
网络安全法	中国全国人大常委会	网络安全法律框架	所有网络运营者、关键信息基础设施

三大标准核心要点

ISO 27001： 基于PDCA循环，包含114项控制措施（A.5~A.18），强调风险管理与持续改进。认证有效期3年，每年监督审核。
等级保护（等保2.0）： 将系统分为5个等级（一级~五级），要求“三同步”（同步规划、建设、使用）。2023年新规强化了云计算、物联网等新场景。
网络安全法： 2017年6月1日实施，明确网络运营者安全义务、个人信息保护、关键信息基础设施保护（CII）及跨境数据管理。

2.3 合规标准对比与选择建议

在实际应急响应体系建设中，企业常面临“多标准如何融合”的难题。以下为关键对比维度：

✅ 优先选择ISO 27001

有出海业务或外资客户
需要国际认证背书
管理体系成熟度较高

✅ 优先满足等保2.0

中国境内关键信息基础设施
政府、金融、医疗等行业
监管检查重点对象

✅ 必须遵守网络安全法

所有中国网络运营者
涉及个人信息处理
数据跨境传输场景

2.4 合规审计要点（应急响应视角）

在应急响应场景下，合规审计重点关注以下证据链的完整性：

📋 应急响应合规审计清单（示例）
1. 安全事件报告记录（时间、发现人、初步定级）
2. 应急响应预案版本及演练记录（至少每年1次）
3. 日志留存情况（至少6个月，关键系统1年以上）
4. 数据备份与恢复测试报告（每月1次）
5. 第三方服务商安全协议（SLA中包含合规条款）
6. 整改跟踪记录（PDCA闭环）

💡 提示：等保2.0要求日志留存不少于6个月，网络安全法要求不少于6个月，ISO 27001建议根据风险评估确定。

⚠️ 合规红线提醒： 应急响应过程中，不得删除原始日志、不得私自修复漏洞而不记录、不得隐瞒安全事件不报。否则可能面临行政处罚甚至刑事责任。

—— 合规不是一次性项目，而是持续改进的循环过程 ——

📚 课程目录