第2章 法规与标准体系
GDPR、SOX、PCI-DSS、ISO 27001 等主流合规框架简介、适用场景与核心要求。
2.1 合规框架全景
现代企业面临日益复杂的监管环境，不同行业、地域和业务场景需要遵循特定的法规与标准。本章系统梳理全球最具影响力的四大合规框架，帮助 DevOps 与合规团队建立体系化认知。
2.2 GDPR — 通用数据保护条例
适用场景：任何处理欧盟境内个人数据的组织，无论其所在地。涵盖数据收集、存储、传输、删除全生命周期。
核心要求：数据主体权利（访问、删除、可携带）、数据保护影响评估（DPIA）、72小时内数据泄露通知、任命数据保护官（DPO）、充分性认定与标准合同条款（SCC）。
2.3 SOX — 萨班斯-奥克斯利法案
适用场景：在美国上市的公司及其审计师，重点在财务报告内部控制（ICFR）与公司治理。
- 第302条：CEO/CFO对财务报告真实性负责。
- 第404条：管理层评估并报告内部控制有效性，外部审计师出具鉴证报告。
- 第409条：重大事件实时披露。
2.4 PCI-DSS — 支付卡行业数据安全标准
适用场景：所有存储、处理或传输持卡人数据的实体，包括商户、服务提供商、收单机构。
| 目标领域 | 核心要求 | 自动化合规要点 |
|---|---|---|
| 构建并维护安全网络 | 防火墙配置、禁止默认密码 | 基础设施即代码扫描 |
| 保护持卡人数据 | 加密传输与存储、密钥管理 | 自动化密钥轮换与审计 |
| 维护漏洞管理计划 | 防病毒、安全更新、漏洞扫描 | CI/CD 集成漏洞扫描 |
| 实施强访问控制 | 最小权限、唯一ID、物理安全 | IAM 策略即代码 |
| 定期监控与测试 | 日志记录、渗透测试、入侵检测 | 日志聚合与自动告警 |
| 维护信息安全策略 | 安全策略、风险评估、人员培训 | 策略即代码版本管理 |
2.5 ISO 27001 — 信息安全管理体系
适用场景：任何规模的组织，通过建立 ISMS 实现信息安全的系统化管理，认证范围可覆盖特定部门或全组织。
核心要求：PDCA 循环（Plan-Do-Check-Act）、风险评估与处置、安全策略、资产分类、访问控制、密码学、物理安全、运营安全、通信安全、供应商关系、事件管理、业务连续性、合规性。
2.6 框架对比与选择策略
不同框架存在重叠与互补，企业通常需要组合实施。下表从关键维度进行对比：
| 维度 | GDPR | SOX | PCI-DSS | ISO 27001 |
|---|---|---|---|---|
| 地域 | 欧盟/全球 | 美国上市 | 全球支付 | 全球通用 |
| 强制/自愿 | 强制 | 强制 | 合同强制 | 自愿认证 |
| 审计频率 | 持续+年度 | 年度 | 年度/季度 | 监督审核 |
| 自动化成熟度 | 中高 | 中 | 高 | 高 |
| 典型罚款 | 4% 营收 | 刑事/民事 | 逐月罚款 | 认证撤销 |
2.7 自动化合规切入点
基于上述框架的核心要求，DevOps 团队可从以下方面启动持续合规自动化：
- 策略即代码：将控制要求转化为可执行策略（OPA、Rego、Sentinel）。
- 基础设施扫描：使用 Checkov、tfsec 扫描 Terraform/CloudFormation。
- CI/CD 门禁：在流水线中集成合规检查，阻断不合规部署。
- 持续审计日志：集中采集并关联审计日志，支持实时告警。
- 合规仪表盘：可视化控制项状态，支持按框架筛选。
本章介绍了四大主流合规框架的核心要求与适用场景，为后续章节的自动化实现奠定法规基础。下一章将深入合规自动化技术栈。