等保与合规速查
等保 2.0 定级备案与测评要点、常见不符合项整改、数据与密码合规要求、审计留存：安全合规工作现场速查。
等保 2.0 基础
标准体系（GB/T 22239 等）、定级备案流程与对象范围
等保 2.0 体系总览与核心标准清单热门
等保 2.0 是网络安全等级保护系列标准的统称，以 GB/T 22239-2019 为核心，配套定级、设计、测评与实施标准，是网络安全法第二十一条的落地抓手。
网络安全法第二十一条：五项等保义务热门
等保制度的法律源头条款：要求网络运营者落实制度与责任人、技术防范措施、日志留存六个月、数据分类备份加密等义务。
GB/T 22239-2019 基本要求的构成与级别覆盖
等保 2.0 的核心标准：给出安全通用要求（十个安全类）与四类安全扩展要求，对一级至四级分别规定差异化条款，五级按特殊安全需求确定。
定级矩阵：客体与侵害程度对照表
定级论证的核心依据：按受侵害客体（合法权益 / 社会秩序与公共利益 / 国家安全）与侵害程度（一般、严重、特别严重）交叉查表确定等级。
三级与二级要求差异速查
三级在二级基础上强化：远程管理加密、更完整的审计要求、异地备份与热冗余、入侵防范增强、安全管理中心集中管控、每年测评。
安全计算环境核查要点清单
主机与服务侧条款密集区：身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、数据完整性与保密性、备份恢复、剩余信息与个人信息保护。
GB/T 22240-2020 定级指南要点
定级环节的核心标准：以受侵害客体与侵害程度两个要素判定等级，经专家评审、主管部门核准后进入备案，并作为测评范围的依据。
定级五步流程与责任分工
确定对象、初步定级、专家评审、主管部门核准、公安备案五步走；每一步的产出文件都要归档，保证后续备案与测评可追溯。
一个中心、三重防护：总体技术架构
等保 2.0 总体技术思路：以安全管理中心为管控中枢，构建安全通信网络、安全区域边界、安全计算环境三层纵深防护。
测评周期与年度合规节奏
三级系统每年至少一次等级测评，四级每半年一次；二级按属地要求执行。把测评、整改、报送纳入年度日历管理。
《信息安全等级保护管理办法》关键点速览
公通字〔2007〕43 号文件是备案与测评周期的直接管理依据：二级以上备案、三级每年测评、四级每半年测评，并接受公安机关监督检查。
五个等级与保护强度对照
一级到五级监管强度递增：自主保护、指导保护、监督保护、强制保护、专控保护；三级及以上是测评与监督检查的重点对象。
定级备案办理流程与受理渠道
等级确定后向所在地设区的市级以上公安机关网安部门办理备案，受理审核通过后取得备案证明；备案不收取费用。
十个安全类：技术要求与管理要求全景
安全通用要求分技术与管理的十个安全类；整改时两手都要抓，管理类条款在测评中同样占据可观比例。
安全管理中心（三级）核查要点
三级新增集中管控要求：系统管理、审计管理、安全管理分设并独立鉴别，对设备与安全组件集中管控、审计集中分析、事件集中处置。
等保建设整改实施流程（落地版）
按顺序推进：范围与定级、现状摸底、差距分析、方案设计、建设整改、测评验证、备案与持续运维，避免测评前的突击式整改。
GB/T 28448-2019 测评要求：测评项与判定尺度
规定各级测评指标、测评对象与测评方法，是现场测评与报告出具的直接依据；与基本要求配套使用，把要求条款转化为可核查的测评项。
云计算安全扩展要求要点
使用云服务的对象除通用要求外还要叠加云计算扩展要求：明确云服务商与客户责任边界、虚拟化安全、镜像与快照保护、数据与审计等。
安全区域边界核查要点清单
边界防护、访问控制、入侵防范、恶意代码防范与安全审计的核查项；重点是策略有效、规则精简、日志可回溯。
安全运维管理要求要点
十四条运维管理线：环境、资产、介质、设备维护、漏洞与风险、网络与系统安全、恶意代码、配置、密码、变更、备份与恢复、安全事件、应急预案、外包运维。
关键信息基础设施（CII）与等保的关系
CII 在网络安全等级保护制度的基础上实行重点保护（网络安全法第三十一条）：由保护工作部门认定并通知运营者，承担更严格的义务。
定级对象范围：哪些系统需要定级
定级对象包括信息系统、云计算平台与云上系统、物联网、工业控制系统、采用移动互联技术的系统等；按管理责任与运行边界划分。
备案材料清单（常见要求）
常见材料包括备案表、定级报告、专家评审意见、拓扑与责任说明等；各地清单略有差异，以属地公安机关最新要求为准。
安全物理环境核查要点清单
机房与设备物理防护的核查项：门禁、视频监控、消防、防水防潮、温湿度、电力供应、电磁防护与防雷接地等按等级递进。
安全通信网络核查要点清单
网络架构与通信传输的核查项：区域划分、关键设备与链路冗余、通信完整性/保密性、带宽保障等，按等级增加条款。
安全管理人员要求要点
人员录用、离岗、安全意识教育与培训、外部人员访问管理四条线：重点是背景与保密、离岗权限回收、年度培训留痕。
差距分析怎么做：方法与产出
以 GB/T 22239 条款为标尺，通过访谈、文档审查、配置核查、工具扫描逐项比对现状，输出可跟踪的问题清单与整改建议。
等保文档体系：制度、记录与证明
迎检与测评看三类材料：管理制度（有发布与修订）、运行记录（培训、备份、演练、变更）、合规证明（备案证明、测评报告）。
等保条款中的个人信息保护要求
等保 2.0 在计算环境类写入个人信息保护：仅采集和保存业务必需的用户个人信息，禁止未授权访问和非法使用。
GB/T 28449-2018 测评过程四阶段
规范等级测评的实施过程：测评准备、方案编制、现场测评、分析与报告编制四个阶段，是测评项目排期与配合工作的流程依据。
定级专家评审：材料与评审要点
二级及以上系统通常需组织定级专家评审：重点审对象边界划分、客体与侵害程度论证、等级结论一致性，评审意见要留痕归档。
备案时限与变更、注销备案
等级确定后 30 日内办理备案；系统发生等级调整、边界重大变化、责任主体变更时，应更新或重新办理备案。
物联网安全扩展要求要点
物联网对象叠加扩展要求：覆盖感知节点、网关节点与感知层网络，关注节点物理防护、接入鉴别、数据加密与固件更新管理。
安全管理制度与机构要求要点
管理类前两类：制度体系（安全策略、管理制度、发布评审修订）与机构（岗位设置、授权审批、沟通合作、审核检查）。
安全建设管理要求要点
系统建设全流程的管理要求：定级备案、安全方案设计、产品采购、软件开发、工程实施、测试验收、系统交付、等级测评与服务商选择。
CII 年度检测评估要点
CII 运营者应自行或委托机构每年至少开展一次网络安全检测评估；评估发现的问题要整改，结果按要求报送保护工作部门。
安全技术措施三同步（同步规划/建设/使用）
关键信息基础设施应保证安全技术措施同步规划、同步建设、同步使用（网络安全法第三十三条）；新建系统普遍建议按此执行。
等保 1.0 与 2.0 的核心变化
从 2008 版到 2019 版：保护对象扩展到云计算、移动互联、物联网与工业控制，新增安全管理中心、可信验证与个人信息保护等要求。
定级报告内容框架
定级报告是备案核心材料：写清对象描述、系统边界、受侵害客体与侵害程度分析、等级结论与理由，并保持与备案表信息一致。
二级（指导保护级）要求概要
二级是最常见的入门等级：覆盖十个安全类，但条款强度低于三级，例如不强制异地备份与集中管控。
工业控制系统安全扩展要求要点
工控对象叠加扩展要求：兼顾工业协议、现场设备与生产连续性，安全措施不得影响生产实时性与可用性，改造需选停机窗口。
定级常见误区与纠偏
定级环节的典型误区：一律定三级、按机房/投资额定级、云上系统不做定级、忽略业务拆分合并、定级后长期不更新。
云上系统定级与责任划分
云平台与云上业务可分别定级：平台按自身重要性定级，租户系统按承载业务定级；责任边界写进合同、定级材料与运维分工。
测评机构选择与配合要点
选择具备等级保护测评能力的机构；注意机构与本单位是否有利害关系，签好保密与工作范围条款，提前对齐测评计划与配合资源。
行业要求与等保国标的关系
金融、医疗、教育、能源等行业在等保之上还有行业监管要求与行业标准，落地时按并集执行，不能只对标国标。
可信验证要求解读（等保 2.0 新增）
等保 2.0 在通信网络、区域边界、计算环境引入可信验证：基于可信根对引导程序、系统程序、配置参数与应用程序做可信验证，异常时报警并记录。
GB/T 25070-2019 安全设计技术要求怎么用
面向方案设计阶段的标准：把等级保护要求转化为技术架构设计，体现一个中心、三重防护的纵深防御思路，用于建设方案与蓝图评审。
移动互联安全扩展要求要点
采用移动互联技术的系统叠加扩展要求：覆盖无线接入网、移动终端与移动应用，强调接入认证、终端管理、应用签名与远程接入安全。
测评报告的用途与有效期实践
测评报告用于备案材料补充、监管检查、投标资质证明与内部整改依据；被查验时通常要求提供近一年内报告（三级系统每年测评）。
GB/T 25058-2019 实施指南：全流程定位与角色
从运营使用单位视角给出等保实施的工作流程与角色分工：定级、备案、建设整改、测评、监督检查各环节该做什么、由谁做。
测评与整改
测评项要点、常见不符合项与整改思路
不符合项：弱口令与口令策略缺失
高频问题：管理员口令为简单数字组合或出厂口令，系统未配置复杂度与更换策略；对应身份鉴别要求，整改重点是策略加执行。
不符合项：日志留存不足六个月
日志只在本机保留数天即被轮转覆盖，且未集中存储；与网络安全法第二十一条六个月留存要求不符。
不符合项：远程管理明文传输
继续使用 Telnet、HTTP 管理后台、明文 RDP 外露等：鉴别信息可被窃听，是三级远程管理加密条款的典型不符合。
不符合项：重要数据无备份
核心数据库无定期备份、备份文件与生产同盘存放：数据可用性无保障，数据备份恢复条款不满足。
不符合项：漏洞与补丁管理缺失
系统漏洞长期不修、无补丁管理流程与验证记录；很多测评问题清单里都能看到高危漏洞未修复。
整改实操：SSH 服务加固配置
围绕身份鉴别与远程管理加密条款加固 SSH：禁用口令登录与 root 直登、限制尝试次数、空闲超时断开。
测评前自查清单（逐项核对版）
测评前按安全类过一遍高频项：口令与账号、远程管理、日志、备份、漏洞、边界、备份演练与制度记录，把问题在测评前消化。
等级测评全流程与单位侧配合动作
测评由测评机构主导、运营使用单位配合完成：从委托准备到报告出具通常经历四个阶段，单位侧的准备质量直接决定测评效率。
综合得分与测评结论分档
按标准评分方法对测评项折算得分并加权汇总，结论常见分为优、良、中、差四档；具体分档与算法以现行标准与测评机构报告为准。
不符合项整改流程与优先级
整改按六步闭环：问题确认、责任分解、方案评审、实施、验证、销项；资源有限时优先处理高风险与低成本的项。
不符合项：账号生命周期管理缺失
离职、转岗、外包到期后账号未回收，长期不用的账号继续有效；访问控制与人员离岗条款的组合问题。
不符合项：访问控制粗放
表现：防火墙 any-any、数据库账号全库权限、共享目录 Everyone 读写；与访问控制最小化、最小权限要求不符。
不符合项：未开展备份恢复演练
备份存在但从未验证可恢复：恢复流程、时长、人员分工都是未知数；管理要求中的备份与恢复管理条款不满足。
不符合项：高危端口开放与不必要服务
服务器开放 6379 未授权、27017 全开、3389 暴露公网等：端口与服务收敛不足，攻击面过大。
不符合项：重要数据未加密保护
重要数据（鉴别信息、个人信息、业务敏感数据）在网络传输或存储中明文；数据完整性/保密性条款不满足（按等级）。
整改实操：Linux 口令复杂度策略
用 pam_pwquality 落实口令复杂度要求：长度、四类字符、重复限制，配合 chage 设置有效期，对应身份鉴别条款。
整改实操：用 logrotate 把日志留满 180 天
通过 logrotate 轮转份数与周期组合实现留存：按周轮转保留 30 份约 210 天，配合集中存储形成双保险。
整改实操：备份策略模板（3-2-1）
按 3-2-1 原则组织备份：3 份副本、2 种介质、1 份异地；数据库备份加校验与加密，形成可恢复的备份体系。
现场测评活动：三种取证方式怎么配合
现场以访谈、核查、测试三种方式取证：访谈问流程与责任，核查看配置与记录，测试验证防护是否真的生效。
测评判定规则：符合、部分符合与不适用
每个测评项按落实情况判定：全部落实为符合，部分落实为部分符合，未落实为不符合，对象不适用为不适用（须说明理由）。
不符合项：默认账号与共享账号
典型问题：设备保留出厂账号（admin/vendor 等），多人共用同一管理员账号；违背账号唯一与标识唯一性要求。
不符合项：未限制管理终端接入范围
运维管理口（SSH/RDP/数据库）对所有来源开放；应通过地址范围或特定终端限制，并经堡垒机集中管控。
不符合项：审计记录可被删除篡改
审计日志由被审计的系统管理员本机保管且可删除，日志文件权限过宽；无视审计记录保护要求。
不符合项：无异地备份（三级要求）
三级要求提供异地数据备份能力；只在同机房留一份备份，火灾、断电等场景下无恢复手段。
不符合项：入侵防范措施缺失或未生效
边界与主机均无入侵检测/防御措施，或设备部署后规则库长期不更新、无告警处置记录；入侵防范条款形同虚设。
不符合项：个人信息超范围采集
表单与后台采集与业务无关的身份证号、住址等，且无告知与授权记录；个人信息保护条款与个人信息保护法要求双重不符。
整改实操：Windows 密码与锁定策略
用 net accounts 或组策略落实密码长度、有效期、历史与锁定策略；域环境生效在默认域策略，本地策略生效在本机。
整改实操：管理端口来源白名单收敛
把 SSH/RDP/数据库等管理端口的访问来源收敛到运维网段，落实访问控制与未授权接入防范；firewalld 与 iptables 两种写法。
测评方案编制：对象、指标与方法
测评方案确定三件事：测评哪些对象、用哪些条款作为指标、用什么方法取证；方案经双方确认后，现场按方案执行。
测评报告编制与报告结构
报告编制阶段完成单项判定、单元测评、整体测评与风险分析，最终给出测评结论与问题清单；结论与问题是整改的依据。
整改验证与复测：证据怎么留
验证阶段要有可复核的证据链：整改前问题、整改动作、整改后状态三组证据对应，复测范围覆盖原不符合项。
测评/迎检资料包清单
资料包按三类准备：合规证明、技术资料、管理记录；打包成电子目录并保持与现场实际一致。
不符合项：登录失败处理缺失
未配置登录失败处理：连续错误口令不锁定、不延迟；与身份鉴别b)项要求不符，是暴力破解的风险敞口。
不符合项：恶意代码防范未覆盖服务器
只在终端装杀毒，Linux 服务器与数据库主机无恶意代码防范措施；防范库更新与扫描记录缺失。
不符合项：应急预案与演练缺失
无网络安全应急预案，或预案多年未演练、联系人已失效；事件处置靠临场发挥，与应急预案管理条款不符。
不符合项：机房物理环境问题
机房无门禁、监控缺失或录像过期、无消防设施、UPS 缺失或未测试、线缆凌乱；物理类条款在测评中直接判不符合。
不符合项：安全管理中心集中管控缺失（三级）
三级要求对设备分散审计集中收集分析、对安全组件集中管控；实际各管各的、没有集中平台或平台只收不用。
整改实操：登录失败锁定（pam_faillock）
用 faillock 实现登录失败处理：失败次数、统计窗口与解锁时间可配置，满足鉴别信息防暴力猜测要求。
整改实操：备份恢复演练与记录
恢复演练是证明备份有效的直接证据：在隔离环境真实恢复，记录耗时与问题，形成演练报告与改进项。
测评准备活动：单位要交什么材料
准备阶段的目标是让测评机构理解系统：提交系统资料与制度记录，确认测评对象与边界，避免现场才发现资料缺失。
测评方法速查：五种取证手段
等级测评综合使用访谈、文档审查、配置核查、工具测试与渗透测试（按需）：不同条款适用不同方法，交叉印证。
现场测评注意事项与配合技巧
现场配合的目标是高效取证、不影响生产：提前冻结变更、准备账号、指定陪同人员，问题当场确认。
不符合项：设备时钟未同步
服务器、网络设备、安全设备时间偏差大：日志时间线无法互证，事件追溯与取证失效，审计相关条款受影响。
不符合项：安全管理制度缺失或过期
制度体系不完整（缺备份、变更、应急预案等），或多年未评审修订；管理类条款成片不符合。
不符合项：外包与供应商安全管理缺失
运维外包无安全协议、无保密条款，第三方可长期不受控访问；服务供应商选择与外包运维管理条款不满足。
整改实操：fail2ban 自动封禁暴力破解来源
对 SSH 等暴露服务启用 fail2ban：按失败频率自动封禁来源 IP，降低口令爆破成功率，形成动态防护。
渗透测试与等保测评的区别与衔接
等保测评以条款核查为主、渗透测试按需开展；渗透测试是验证边界防护有效性的补充手段，需要单独授权与专业实施。
整改实操：时间同步（chrony 与 Windows）
统一时间源是审计日志可采信的前提：Linux 用 chrony 同步内外时间源，Windows 用 w32tm 指向上级时钟。
测评访谈准备：角色与高频问题
访谈覆盖安全负责人、系统/网络管理员、审计员、普通用户等角色；回答要与制度、配置、记录三者一致。
不符合项：会话超时与自动退出缺失
管理后台与主机会话长期挂起、无操作不超时；身份鉴别中的连接超时自动退出要求未落实。
不符合项：无线网络安全配置不足
办公 Wi-Fi 使用弱加密或个人版共享口令，未做接入认证与访客隔离；移动互联扩展与边界防护相关条款受影响。
不符合项：安全培训与记录缺失
年度安全教育培训未开展或无签到、考核记录；全员安全意识薄弱，钓鱼邮件与弱口令问题反复出现。
不符合项：可信验证要求未落实
等保 2.0 新增条款：未做任何可信验证或完整性校验；差距分析中容易被整条遗漏。
不符合项：剩余信息保护与介质处置缺失
退役硬盘直接外流、设备维保更换的存储介质无清除记录；剩余信息保护与介质管理条款不满足。
工具测试在等保中的位置与注意事项
工具测试用于验证配置与防护的有效性：漏洞扫描、弱口令检测、抓包验证加密等；必须授权、约定窗口并控制影响。
测评报告解读：先看什么后看什么
读报告的顺序：结论与总体风险 → 高风险问题 → 逐条问题清单 → 整改建议；把问题清单直接转成整改台账。
整改投入排序：按投入产出安排预算
资源有限时按整改成本与风险收益排序：口令、补丁、日志类先做；机房与平台类立项推进，避免预算卡住全部整改。
数据安全与个人信息
数据安全法、个人信息保护法要点与落地要求
数据安全法总览与执法要点
数据安全法 2021-06-10 通过、2021-09-01 施行，是数据领域的基础性法律：建立分类分级保护制度，明确数据处理者安全义务与法律责任。
个人信息保护法总览与适用范围
2021-08-20 通过、2021-11-01 施行：规范个人信息处理活动，明确处理规则、个人权利、处理者义务与法律责任；境外处理境内自然人信息也可适用。
数据分类分级制度：一般、重要、核心
国家建立数据分类分级保护制度：按数据重要程度与受危害影响程度划分保护级别，行业主管部门出台目录与规则，企业落地为台账与差异化管控。
数据出境管理框架：谁管、管什么
数据出境实行分类管理：关键信息基础设施运营者的个人信息与重要数据出境、重要数据出境均有安全评估等要求；具体路径与方法由配套规定细化。
最小必要原则：从字段到流程的落地方法
最小必要不是一句口号：要把每个个人字段与具体业务功能绑定，逐项论证必要性，并定期复核、提供替代方案。
同意与单独同意：场景与留痕
同意应当由个人在充分知情的前提下自愿、明确作出；法律、行政法规要求单独同意的场景（敏感信息、对外提供、公开、跨境、公共场所图像用于其他目的等）应单独取得并留存记录。
数据安全事件处置与报告义务
数据安全法要求加强风险监测：发现缺陷漏洞立即补救，发生安全事件立即处置，按规定告知用户并向主管部门报告。
个人信息处理的基本原则（第 5-9 条）
五项原则贯穿所有处理活动：合法正当必要诚信、目的明确且最小范围、公开透明、保证质量、承担责任。
告知义务：处理前的告知内容与方式
处理个人信息前应以显著方式、清晰易懂的语言真实准确完整地告知：处理者身份与联系方式、处理目的方式、信息种类保存期限、权利行使方式等；事项变更需重新告知。
敏感个人信息：范围与加强处理要求
生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹及不满十四周岁未成年人的个人信息属敏感个人信息，处理需特定目的与充分必要性、单独同意、事前影响评估与严格保护措施。
个人信息出境的三条路径与判断顺序
个人信息出境按主体与规模分档：数据出境安全评估、个人信息出境标准合同备案、个人信息保护认证，并叠加告知与单独同意义务；2024 年配套规定补充了豁免情形。
数据跨境流动的豁免情形与规模门槛（2024 规定）
《促进和规范数据跨境流动规定》明确了多类免予申报评估、备案与认证的场景，并给出个人信息出境的规模分档，是企业判断出境义务的起点。
个人信息泄露通知：内容要素与例外
发生或可能发生泄露、篡改、丢失的，应立即采取补救措施，并通知履行个人信息保护职责的部门和个人；能够有效避免危害时可不通知个人，但监管部门可要求通知。
重要数据保护：目录、负责人与风险评估
重要数据按目录管理：处理者应明确数据安全负责人与管理机构、定期开展风险评估并报送，出境还要走安全评估等程序。
数据处理者的安全保护义务（第 27 条要点）
开展数据处理活动应建立健全全流程数据安全管理制度、组织教育培训、采取技术措施；利用网络开展数据处理活动的，在等保基础上履行。
隐私政策撰写与自查要点
隐私政策应以显著方式、清晰易懂的语言呈现处理者信息、处理规则与权利渠道；内容与实际处理活动一致，版本变更时重新告知或取得同意。
数据出境安全评估：申报材料与流程
向境外提供重要数据、CII 运营者提供个人信息、达到规模门槛的处理者，应向网信部门申报数据出境安全评估；未经评估通过不得出境。
《网络数据安全管理条例》要点速览
2024 年公布、2025 年 1 月 1 日施行的行政法规，把数据安全法与个人信息保护法的要求细化为可执行义务：安全管理制度、个人信息处理规则、重要数据保护与出境衔接等。
处理个人信息的合法性基础（第 13 条清单）
除同意外还有六类情形可不依赖同意：合同所必需、人力资源管理所必需、法定职责义务、公共卫生与紧急情况、新闻报道与舆论监督、已公开信息及法律行政法规规定的其他情形。
个人信息保护影响评估（PIA）：触发场景与报告结构
处理敏感信息、自动化决策、委托与对外提供、出境等场景应事前开展个人信息保护影响评估并记录处理情况；评估报告与处理情况记录应至少保存三年。
个人信息出境标准合同：订立与备案
标准合同适用于非 CII 运营者、未达到安全评估门槛的个人信息出境场景：先完成个人信息保护影响评估，与境外接收方订立标准合同，并在生效后 10 个工作日内向省级网信部门备案。
第三方 SDK 与共享：台账与上线检查
通过 SDK 向第三方提供个人信息前应告知并取得同意，对合作方开展安全评估、签订协议并持续监督；上线前用台账与行为检测核对 SDK 实际收集的字段。
重要数据处理者风险评估：内容与报送
重要数据处理者应定期开展数据安全风险评估并向主管部门报送报告：评估覆盖处理活动合法性、安全措施有效性、风险与处置计划。
个人权利总览与响应要求
个人对其个人信息享有知情决定、查阅复制、可携带、更正补充、删除、解释说明等权利；处理者应建立便捷的申请受理处理机制，拒绝请求的应说明理由。
删除权：触发情形与执行方法
处理目的已实现或不再必要、停止服务或保存期限届满、撤回同意、违法处理等情形下个人有权请求删除；技术上难以删除的，应停止除存储与必要安全保护之外的处理。
自动化决策与个性化推荐的合规要点
利用个人信息进行自动化决策应保证透明度与结果公平公正；信息推送与商业营销应提供不针对个人特征的选项或便捷拒绝方式；重大影响决定个人有权要求说明并拒绝仅由自动化决策作出。
账号注销：功能、条件与数据处置
应提供有效的账号注销功能，不得设置不合理条件；注销完成后按约定与法定要求删除或匿名化个人信息，并处理关联数据与第三方共享数据。
人脸识别：场景约束与技术安全要求
公共场所安装图像采集与身份识别设备应为维护公共安全所必需并设置显著提示；人脸信息属敏感个人信息，需单独同意；私密空间禁装设备，规模化应用另有备案要求。
个人信息保护合规审计：频次与落地
《个人信息保护合规审计管理办法》（2025-05-01 施行）要求：处理超过 1000 万人个人信息的，每两年至少开展一次合规审计；其他处理者合理确定频次；报告与记录至少保存三年。
数据安全法罚则速览
不履行数据安全保护义务的：责令改正、警告，可并处罚款；拒不改正或造成大量数据泄露等严重后果的，罚款上限显著提高，并可停业整顿、吊销执照。
未成年人个人信息处理的特别要求
处理不满十四周岁未成年人个人信息，应取得父母或其他监护人同意，并制定专门的个人信息处理规则；未成年人网络保护条例进一步细化了网络平台义务。
去标识化与匿名化：区别与常用方法
去标识化数据仍可能属于个人信息（可借助额外信息复原）；匿名化处理后无法识别且不能复原，不属于个人信息。落地常用假名化、加盐哈希与泛化等手段。
个人信息保护法法律责任：罚则结构
违反个人信息保护义务将面临责令改正、警告、没收违法所得、罚款乃至暂停业务；情节严重的罚款为五千万元以下或上一年度营业额百分之五以下，责任人员另有罚款与任职禁止。
GB/T 35273-2020 个人信息安全规范：使用方式
推荐性国家标准，覆盖收集、存储、使用、共享转让公开披露、安全事件处置与组织管理要求，并附隐私政策模板等资料性内容，是自查、影响评估与审计的常用参照。
核心数据：更严格的管理要求
关系国家安全、国民经济命脉、重要民生、重大公共利益的数据属于核心数据，实行更严格的管理制度，管控强度高于重要数据。
查阅、复制与转移请求的处理流程
个人请求查阅、复制其个人信息的应当提供；请求转移至指定处理者且符合国家网信部门规定条件的，应提供转移途径。办理过程需身份核验、检索、输出与留痕。
个人信息保护认证：第三条出境路径
需要向境外提供个人信息的处理者可选择认证路径：由具备资质的认证机构依据个人信息保护相关标准实施认证，作为安全评估与标准合同之外的合规方式。
个人权利请求（DSR）响应流程与工单设计
把查阅、更正、删除、注销、撤回同意等请求纳入统一工单：身份核验、分派处理、时限跟踪、答复留痕，形成可审计的闭环。
委托处理：协议条款与监督义务
委托处理应与受托人约定目的、期限、方式、信息种类、保护措施与双方权责，并对受托人的处理活动进行监督；合同终止时应返还或删除，未经同意不得转委托。
共同处理与向外提供：责任划分
两个以上处理者共同决定处理目的与方式的属共同处理，应约定权责且不影响个人向任一处理者主张权利；向他人提供个人信息需告知并取得单独同意，接收方变更用途须重新取得同意。
营销触达合规：短信、邮件与弹窗
商业性短信息未经用户同意或请求不得发送，用户拒绝后应停止发送且不得设置障碍；互联网广告应显著标明关闭标志并确保一键关闭。
处理者义务总览：制度、技术与管理措施
处理者应制定内部管理制度与操作规程、对个人信息分类管理、采取加密与去标识化等技术措施、合理确定操作权限、开展培训并制定应急预案；达到规定规模的应指定负责人并报送。
App 违法违规收集使用个人信息行为认定方法：自查框架
四部门发布的认定方法把常见违规归纳为六类：未公开规则、未明示目的方式范围、未经同意收集使用、违反必要原则、未经同意对外提供、未提供删除更正与注销功能。
数据映射（Data Mapping）：合规工作底稿
把系统、字段、目的、共享方与留存期整理成台账，是回答最小必要、响应 DSR、开展影响评估与迎接检查的共同底稿；应随功能与数据流变化持续更新。
员工个人信息处理：范围与边界
实施人力资源管理所必需的处理可不依赖同意，但应依依法制定的劳动规章制度与集体合同；超出必需范围（如生物识别考勤、健康信息）需另行履行告知同意或单独同意。
网络安全审查办法：申报情形
关键信息基础设施运营者采购影响国家安全的网络产品和服务应申报审查；掌握超过 100 万用户个人信息的网络平台运营者赴国外上市，应向网络安全审查办公室申报。
工信领域数据安全管理办法：行业落地要点
《工业和信息化领域数据安全管理办法（试行）》自 2023-01-01 施行，覆盖工业、电信、互联网等领域：要求数据分类分级、重要数据目录备案、风险评估与事件报告。
数据交易中介服务与来源审核
从事数据交易中介服务的机构应要求提供方说明数据来源、审核双方身份并留存审核与交易记录；违规提供数据服务需承担相应责任。
个人信息转移（可携带）的落地要点
个人有权请求将个人信息转移至其指定的处理者，符合国家网信部门规定条件的应当提供转移途径；实践中以结构化导出与接口对接实现，并以本人信息为限。
境外处理者的境内专门机构或代表
以向境内提供产品服务等方式处理境内自然人个人信息的境外处理者，应在境内设立专门机构或指定代表，负责处理个人信息保护相关事务，并将名称或代表信息报送监管部门。
汽车数据安全规定：四项处理原则
《汽车数据安全管理若干规定（试行）》（2021-10-01 施行）给出四项处理原则：车内处理、默认不收集、精度范围适用、匿名化处理，并对车外信息与出境提出约束。
密码与认证合规
密码法、商用密码应用与密钥管理要求
密码法总览：分类管理与合规边界
密码法 2019-10-26 通过、2020-01-01 施行，将密码分为核心密码、普通密码与商用密码，明确商用密码的检测认证、应用安全评估与法律责任制度。
商用密码应用安全性评估（密评）总览
密评是评估信息系统商用密码应用的合规性、正确性与有效性：法律、行政法规和国家有关规定要求使用商用密码保护的关键信息基础设施等系统，应按规定开展密评。
GB/T 39786-2021 信息系统密码应用基本要求
密评的核心依据标准：从物理和环境、网络和通信、设备和计算、应用和数据四个技术层面，以及管理制度、人员、建设、运行四个管理层面提出密码应用要求。
SM2 椭圆曲线公钥算法：用途与要点
SM2 是我国商用密码公钥算法（GB/T 32918 系列）：用于数字签名、密钥交换与公钥加密，密钥长度 256 位，广泛用于证书、签名与加密场景。
SM4 分组密码算法：加密与工作模式
SM4 是我国分组密码算法（GB/T 32907-2016）：128 位分组、128 位密钥，用于数据机密性保护，支持 ECB、CBC、CTR、GCM 等模式，实践中避免 ECB。
密钥全生命周期管理：六阶段动作
密钥从生成到销毁应全程受控：生成、分发、存储、使用、轮换与归档、销毁各阶段都有明确要求与记录，是密评与审计的高频检查项。
等保三级身份鉴别四项要求与落地
三级安全计算环境的身份鉴别要求围绕四点：唯一标识与复杂口令、登录失败处理、远程管理防窃听、两种以上鉴别技术组合且含密码技术。
密评流程：方案评估与系统评估
密评按系统生命周期分阶段开展：规划与建设阶段进行方案评估（含密码应用方案合规性），运行阶段进行系统评估，评估由具备资质的测评机构实施。
SM3 密码杂凑算法：摘要与完整性
SM3 是我国密码杂凑算法（GB/T 32905-2016）：输出 256 位摘要，用于数字签名、消息认证与完整性校验，可与 HMAC 组合用于口令与数据保护。
口令存储：不可逆、加盐、慢哈希
口令必须以不可逆方式存储：加盐并采用慢哈希（PBKDF2、bcrypt、scrypt、Argon2），防止拖库后离线破解与彩虹表攻击。
多因素认证（MFA）：类型与合规场景
多因素认证组合知识、持有与生物三类因素中的两类以上；等保三级要求对用户身份鉴别采用两种以上组合技术且其中一种使用密码技术实现。
口令策略：复杂度、锁定与更换周期
口令策略应覆盖复杂度与长度、登录失败锁定、初始口令强制修改与黑名单；关于定期更换，等保测评关注定期更换要求，行业实践（NIST SP 800-63B）则建议以泄露检测替代强制周期更换，落地时按适用要求执行。
TLS 配置基线：协议、套件与验证
对外服务应禁用 SSLv3 与 TLS 1.0/1.1，优先 TLS 1.2 及以上，停用弱套件与短密钥；启用 HSTS，并定期做配置核查与到期证书巡检。
商用密码检测认证制度：谁要认证
国家推进商用密码检测认证体系建设：涉及国家安全、国计民生、社会公共利益的商用密码产品依法列入相关目录，经具备资质的机构认证合格或检测符合要求后方可销售、提供。
商用密码管理条例（2023 修订）要点
修订后的《商用密码管理条例》自 2023-07-01 施行，细化商用密码科研、生产、销售、服务、进出口与检测认证管理，并强化关键信息基础设施的商用密码应用与评估要求。
密钥保护：信封加密与 KMS 实践
用主密钥保护数据密钥、再用数据密钥保护业务数据（信封加密），可以让海量数据加密具备可运维性；主密钥应存放于 KMS 或密码机。
密码应用常见问题清单（对照自查）
汇总密评与安全评估中的高频问题：算法与产品不合规、密钥管理不规范、随机数弱、模式误用、覆盖不完整、证书管理缺失，按清单逐项排查效率较高。
三类密码的适用范围与要求差异
核心密码、普通密码用于保护国家秘密信息，由国家密码管理部门统一管理；商用密码保护不属于国家秘密的信息，实行市场化与依法监管，是多数企业合规工作的主战场。
密评结论与整改处理
密评结论分为符合、基本符合与不符合：报告会列出不符合项与高风险项，未达到要求的系统应制定整改计划并在整改后复测，评估与整改情况按要求报送。
密码机（HSM）使用与运维要点
密码机用于生成与保管密钥、执行密码运算：应做到密钥不出机、权限分设、操作留痕、备份可恢复，并纳入年度演练。
密钥硬编码与明文存放：检测与治理
密钥、证书私钥与口令出现在代码、配置文件、镜像与 CI 变量中，是密码应用检查与代码审计的高频问题；应改为 KMS/密码机托管并配置轮换。
密评与等保测评：差异与联合推进
两者对象不同但常被并行要求：等保测评评估系统整体安全（依据 GB/T 22239），密评聚焦商用密码应用的合规性、正确性与有效性（依据 GB/T 39786）。
GB/T 39786 应用与数据层面：检查点速览
应用和数据层面是密评现场核查的重点：用户身份鉴别、访问控制信息完整性、重要数据传输与存储的机密性完整性、敏感信息保护等逐项核对。
GB/T 39786 管理要求：制度、人员、建设与运行
除技术层面外，标准还要求从管理四方面落实：密码应用管理制度、人员管理、建设管理与运行管理，密评会同时审查制度与执行记录。
国密 TLS 在 Nginx 上的落地路径
Nginx 原生不支持国密套件：需要国密 TLS 库（如 Tongsuo 铜锁及对应模块）或使用支持国密的发行版与网关设备，部署后用客户端命令验证协商结果。
统一身份认证（SSO）：OIDC 与目录整合
把系统接入统一身份源（LDAP/AD/OIDC）：身份标识唯一、权限集中管理、离职及时回收，同时让登录与授权日志汇聚，便于审计与合规举证。
JWT 认证安全：算法、校验与密钥轮换
JWT 用于接口与服务间认证时应固定可信算法、完整校验声明（iss/aud/exp），并使用 JWKS 轮换密钥；仅签名不含加密，禁止将敏感数据放入载荷。
等保测评中的密码相关检查线
等保测评在多个层面检查密码技术的使用：身份鉴别、数据机密性与完整性、通信保护等；它与密评的关注对象不同，建议合并准备材料避免重复整改。
密评整改：常见问题与改法
整改按"算法产品、密钥管理、技术措施、制度记录"四条线推进：替换不合规产品、补齐密钥管理、补上缺失的密码保护点、完善制度与执行记录。
用 OpenSSL 生成 SM2 自签证书（联调与验证）
在无 CA 环境联调国密 TLS 时，可用 OpenSSL 生成 SM2 自签证书验证链路；测试证书不得用于生产环境对外服务。
SM2 标准体系：五个部分的用途分工
SM2 由 GB/T 32918 系列五个部分构成：总则、数字签名、密钥交换、公钥加密与参数定义，实施与验收时按用途对照相应部分。
GB/T 37092-2018 密码模块安全要求：四个等级
密码模块通用安全要求标准：按安全等级 1-4 级提出规格、接口、角色认证、软件、运行环境、物理、非入侵、参数管理、自测试与生命周期等维度的要求。
GM/T 0024 SSL VPN 规范：双证书国密通道
GM/T 0024《SSL VPN 技术规范》规定基于国密算法的 SSL VPN 实现要求：SM2 证书完成身份鉴别，SM3/SM4 保障完整性与机密性，设备选型与验收常见此标准。
SM2 签名与验签：命令与验证
SM2 签名配合 SM3 摘要用于数据与身份的真实性验证；联调时可用 OpenSSL 完成签名与验签闭环，验证密钥与流程正确性。
随机数质量：密码应用的隐形地基
密钥生成、IV/Nonce、盐与挑战值都依赖高质量随机数：应使用密码模块或操作系统密码学随机源，并按 GM/T 0005 做随机性检测；业务代码禁用非密码学随机数。
电子签名法：可靠电子签名的条件
电子签名法（2005-04-01 施行）确立数据电文与电子签名的法律效力；可靠电子签名需满足专有性、控制性与可发现改动三项条件，实践常以数字证书与时间戳实现。
密评范围判断：谁的系统需要做
密码法要求法律、行政法规和国家有关规定要求使用商用密码保护的关键信息基础设施开展密评；实践中行业规定与等保级别共同决定具体范围，判断时应结合主管部门要求。
密评准备材料清单：一次备齐
现场评估前按清单准备材料：系统信息、密码应用方案、产品与证书、密钥管理记录、网络与数据流说明、制度文件，材料与现场一致性是核查重点。
SM9 标识密码：免证书的公钥体制
SM9 是基于标识的公钥密码算法体系（GB/T 38635 系列）：以用户标识（如邮箱、手机号）作为公钥要素，由密钥生成中心管理主密钥并派生用户私钥。
SM2 双证书体系：签名证书与加密证书
国密 TLS/SSL VPN 通常使用双证书：签名证书用于身份鉴别与签名，加密证书用于密钥交换与数据加密；两证由 CA 分别签发，用途字段不同。
FIDO2 / WebAuthn：抗钓鱼的认证方式
FIDO2（WebAuthn + CTAP2）使用公私钥凭据取代共享口令：私钥保存在认证器，服务端只存公钥，天然抵抗钓鱼与撞库，可作为密码技术鉴别选项之一。
商用密码产品选型：判断维度与材料留存
选型既要看功能与性能，也要看合规证明：认证证书、安全等级、国密套件支持、密钥管理能力与厂商服务能力，采购档案纳入证据链。
密码应用方案编写要点
方案是密评与建设验收的纲领性文件：从现状与差距出发，按四个技术层面设计密码措施，明确算法、产品、密钥管理与实施计划，并给出验收指标。
云上密码服务（KMS/云密码机）使用要点
使用云 KMS 或云密码机可降低密钥管理成本，但需关注合规资质、密钥控制边界与审计能力；核心密钥的最终控制权与降级预案应在合同中明确。
SM2 公钥加密与密文格式互操作
SM2 公钥加密用于保护会话密钥或小段数据；不同实现的密文分量顺序可能不同（国密规范为 C1||C3||C2），跨实现对接必须核对格式。
TOTP 动态口令：实现与校验要点
TOTP（基于 RFC 6238）以共享密钥与时间窗生成一次性口令，适合作为持有因素补齐双因素认证；服务端应校验时间窗、防重放并保护共享密钥。
ZUC 祖冲之序列密码：移动通信场景
ZUC 是我国序列密码算法（GM/T 0001）：作为 3GPP LTE 的 128-EEA3 加密算法与 128-EIA3 完整性算法，用于移动通信空口数据保护。
证书吊销检查：CRL 与 OCSP
证书在有效期内也可能被吊销：应通过 CRL 或 OCSP 检查吊销状态，使用 OCSP Stapling 降低延迟与隐私暴露，并监控证书到期与吊销事件。
密码应用人员管理：岗位分设与交接
密码岗位应职责分离：密钥管理员、密码安全员与审计员相互制约；人员应经培训与背景审查，离岗或岗位调整时完成密钥与权限交接。
商用密码进出口：许可与管制清单
国家对商用密码实行进口许可与出口管制制度：列入进口许可清单、出口管制清单的产品，未取得许可或未经批准不得进口、出口。
审计与日志留存
日志留存要求、审计策略与记录完整性
网络日志留存六个月：法定义务与落地口径
网络安全法第二十一条要求采取监测、记录网络运行状态与网络安全事件的技术措施，并按规定留存相关网络日志不少于六个月。
auditd：Linux 系统调用级审计配置
auditd 记录系统调用、文件访问与特权操作，是满足主机审计与溯源要求的基础组件；规则应聚焦账号、权限、敏感文件与拒绝事件。
等保三级安全审计要求：条款要点
三级安全审计要求覆盖：审计范围到每个用户、记录要素完整、审计记录保护与备份、审计进程保护，以及对分散审计数据的集中收集分析。
rsyslog 集中收集：把日志搬离本地
集中日志服务器是防篡改与长期留存的基础：客户端将日志转发到服务器，服务器按主机与程序分类存储，并限制本地清理权限。
Windows 安全日志：审核策略与关键事件
Windows 审计依赖审核策略：建议覆盖登录、账户管理、策略更改与对象访问，用 auditpol 查看配置、wevtutil 或事件查看器检索关键事件。
日志审阅机制：频率、重点与记录
审计日志只有被审阅才有价值：建立"自动告警 + 定期人工抽审 + 月度报告"的机制，审阅动作本身也要留记录。
日志源清单：审计覆盖的起点
审计有效性取决于日志采集的覆盖面：先建立日志源台账（设备、类型、格式、传输方式、留存期限、责任人），再谈分析与告警。
Nginx 访问日志：审计要素与格式设计
访问日志是 Web 层审计与溯源的原始证据：格式应包含时间、客户端 IP（含代理链）、账号或会话标识、请求、状态码与耗时，并按留存要求轮转。
SSH 登录审计：命令与日志位置
SSH 登录与提权记录分布在 wtmp/btmp 与认证日志中：定期核对成功与失败登录、来源 IP 集中度，是主机审计的基础动作。
日志完整性：只追加、哈希与签名
日志防篡改叠加三层手段：文件属性只追加、集中存储与权限隔离、定期哈希（可加签名）形成可验证的证据链。
时间同步与审计时间线：chrony 配置要点
跨设备日志比对依赖一致时间：所有主机、网络与安全设备应配置可靠时间源，统一时区并监控偏差，避免"时间错位"破坏证据链。
MySQL/MariaDB 审计：插件与替代方案
数据库审计关注敏感表访问与高危语句：可用 MariaDB Audit Plugin、企业版审计插件或旁路审计设备；general_log 性能影响大，仅适合临时排查。
logrotate：轮转与六个月留存的实现
日志轮转策略应与留存要求对齐：按天轮转、保留足够份数覆盖留存期限，并压缩归档、控制权限、轮转后通知服务重开文件。
日志平台流水线：采集、解析、存储、告警
集中日志平台按流水线建设：采集（Agent/Syslog）→ 解析规范化 → 分层存储 → 检测规则 → 告警与值班处置；每一环都要有运行监控，防止"静默丢日志"。
日志脱敏：敏感字段不能进日志
口令、令牌、密钥、身份证号、银行卡号、手机号等不应明文写入日志：在应用层输出前脱敏，并在采集管道做二次过滤，双保险。
systemd-journald：持久化与查询
journald 默认只存内存，重启即丢：需开启持久化存储、设置容量上限，并将关键日志转发到集中平台长期留存。
容器与 K8s 日志：采集与审计策略
容器日志随生命周期销毁，必须集中采集；K8s 集群还应开启 API 审计日志（audit policy）以记录对集群的关键操作。
云平台操作审计：开通、投递与留存
云控制台与 API 操作需开启平台自带审计（如操作审计/云审计服务），投递到日志或对象存储集中归档，并覆盖所有子账号与角色。
API 网关日志：要素与审计价值
网关日志是接口层审计的关键：记录调用方、接口、结果码、耗时与请求标识，用于越权排查、异常调用定位与责任界定；请求体与参数不落盘或只落脱敏摘要。
六个月留存的分层设计：热、温、冷
留存要求的核心是"可查可调"：用热温冷分层兼顾查询效率与成本，明确各层保留期限、查询方式与调档时限，并把"可调取"纳入制度。
迎检日志证据包：一次准备、快速出示
检查人员通常要求现场调取指定时间段日志：提前准备证据包与调取演示路径，可显著缩短现场核查时间。
提权与横向移动的日志线索
溯源分析聚焦提权与横向移动痕迹：Linux 侧 sudo/su 与 cron 变更，Windows 侧显式凭据与远程会话事件，结合来源 IP 做关联。
Sysmon：Windows 端点详单日志
Sysmon 补充系统自带日志的粒度：记录进程创建、网络连接、镜像加载、注册表与 DNS 查询，适合溯源与异常检测，配置应做裁剪与版本管理。
防篡改验证：做一次真实的删除尝试
审计保护措施需要被验证：用测试账号尝试修改与删除日志、核对集中副本与签名校验结果，并把过程写成迎检证据。
syslog 设施与优先级：规则写法速查
写 syslog 规则需要 facility 与 severity 两个维度：理解分类（如 authpriv、local0-7）与级别（0-7）后，才能把日志分流到正确的文件与平台。
日志归档介质：加密、校验与恢复演练
长期归档需兼顾成本与合规：归档包加密、记录哈希、异地保存，并定期做恢复演练与介质检查，确保调档时可用。
审计记录要素：三 W 一 H 的字段映射
审计记录应能回答"何时、何人、做了什么、结果如何"：落库字段与设备日志字段的映射关系应写入日志规范，避免采集后发现字段缺失。
PowerShell 审计：脚本块日志与转录
PowerShell 常被用于管理与攻击：开启脚本块日志（事件 4104）与转录记录，可回溯执行内容；仅在需要时开启详细级别，兼顾性能与取证。
体系与检查应对
ISO 27001 等体系概览与迎检准备工作
ISO/IEC 27001:2022 概览：ISMS 与认证价值
ISO/IEC 27001 是信息安全管理体系（ISMS）要求标准：组织按自身风险建立、实施、保持并持续改进管理体系，可通过第三方认证证明符合性。
公安机关网络安全监督检查：依据与配合
公安机关依法对互联网服务提供者与联网单位开展安全监督检查，覆盖等保落实、日志留存、安全措施与备案情况；检查形式包括现场检查与远程检测。
附件 A 93 项控制：四个主题与 2022 版新增
2022 版附件 A 共 93 项控制，按组织（37）、人员（8）、物理（14）、技术（34）四主题分组，并新增威胁情报、云服务使用、数据脱敏等控制项。
ISMS 风险评估与处置：6.1 条款落地
体系策划的核心是风险：建立风险准则，识别、分析与评价风险，形成处置计划（规避/降低/转移/接受），接受残余风险需经授权。
ISO 27001 与等保：关系与整合思路
等保聚焦特定系统的基线合规（强制、国标体系），ISO 27001 聚焦组织级体系（自愿、国际标准）：两者可整合运行，但义务与结论各自独立。
应急预案与演练：分级与演练类型
应急预案应明确组织、分级、流程、联络与恢复安排；演练覆盖桌面推演与实操科目，每年至少一次并留存评估报告。
安全组织与职责：负责人制度与协作机制
法规要求确定网络安全负责人、数据安全负责人与个人信息保护负责人并明确职责；建议设跨部门工作组与例会机制，把责任落到岗位。
供应链与外包安全：合同条款与运维管控
外包与供应链是检查重点：准入评估、合同安全条款、远程运维审批与留痕、年度复核与退出交接，与委托处理义务一并对齐。
事件报告机制：对象、要素与时限管理
安全事件报告要"快报事实、慎报原因"：明确报告对象、要素与升级路径，时限以法律法规与行业规定为准并制成对照表。
ISO/IEC 27001 条款结构：第 4-10 章怎么读
27001 正文按管理体系通用结构组织（第 4-10 章）：组织环境、领导作用、策划、支持、运行、绩效评价与改进，附件 A 为控制措施集合。
适用性声明（SoA）：审核必查的核心文件
SoA 逐项列出附件 A 控制的适用性、理由与实施状态，是风险处置结果与体系范围的连接文件，也是认证审核抽样与访谈的入口。
年度检查应对计划：把迎检做成常态
与其临时突击，不如把迎检准备排进年度计划：季度自检、材料常备、场景演练，检查通知到来时按预案快速响应。
制度框架清单：安全合规文件目录模板
制度体系按"总纲—专项—操作"搭建，覆盖账号权限、日志审计、变更、备份、应急、供应链、数据与个人信息、密码管理等主题，避免遗漏。
年度合规日历：把常规动作排进月份
合规工作有强周期性：备案核对、测评、密评、审计、演练与培训按年度排期，季度动作（账号复核、日志审阅、供应商复核）固定进日历，避免临时抱佛脚。
上线合规门禁：把检查卡点嵌入研发流程
在需求评审与上线流程设置合规卡点：新字段、对外共享、接口暴露、日志与权限四类问题的评审记录成为上线前置条件，问题早发现成本低。
内部审核：独立性与闭环
内审用于验证体系符合性与有效性：应按方案覆盖关键条款与控制，审核员不应审核自己的工作，发现的不符合要跟踪到关闭。
ISO 27001 认证流程：从准备到监督审核
认证周期一般三年：准备（差距分析、体系建设）→ 阶段一审核（文件与准备）→ 阶段二审核（实施有效性）→ 整改发证 → 每年监督审核 → 到期再认证。
行业与网信监管：建立监管矩阵
不同监管方关注点不同：网信部门关注数据安全与个人信息保护，通信管理局关注电信与互联网行业安全，行业主管另发细则；用监管矩阵统一管理对接事项。
整改报告写法：问题—原因—措施—证据
监管检查与测评后的整改报告应逐项闭环：问题描述、原因分析、整改措施、完成情况与佐证材料、长效机制，一项一编号。
合规证据管理：目录、期限与调用
证据管理决定迎检效率：按主题归档、标注保存期限与责任人、调用留登记，做到"随时可查、查而有据"。
体系文件层级：方针、手册、程序与记录
ISMS 文件通常分四层：方针（方向）、手册（体系框架）、程序/制度（流程要求）、记录（执行证据）；文件数量服从实用性，审核关注执行痕迹。
管理评审：输入输出与频率
管理评审由最高管理者主持：按策划的周期评审体系适宜性、充分性与有效性，输出决策与资源安排，环环留痕。
ISO 审核准备：证据、访谈与现场
认证审核以抽样方式核验：提前按"制度—记录—现场"三线准备证据，明确访谈角色与现场走访路线，能显著降低不符合项数量。
现场检查配合：分工与流程
现场检查按"迎接—资料—访谈—核查—确认"推进：每个环节有明确负责人，问题清单当场确认，避免事后争议。
安全意识培训与钓鱼演练：指标与证据
培训覆盖全员并按岗位分层：钓鱼演练用指标度量效果（点击率、报告率），培训记录与演练报告作为合规证据留存。
公开通报中的高频违规事由（类别归纳）
从公开通报与处罚案例看，高频事由集中在类别上：未落实等保义务、弱口令、日志缺失、泄露未报、超范围收集个人信息、出境未合规。逐类对照自查效率更高。
整改与投入的优先级：风险导向排序
资源有限时按风险排序：先处理"监管明确要求 + 高暴露面 + 高影响"的问题，兼顾修复成本与见效速度，形成可辩护的决策记录。
ISO/IEC 27002:2022：控制实施指南的用法
27002 是信息安全的控制实施指南（非认证依据）：为每项控制给出目的、属性与实施指南，用于设计与落地时查找"怎么做"。
向管理层汇报合规：指标与话术
管理层关注风险与资源：汇报用"监管态势—风险敞口—投入与计划"结构，用指标和里程碑说话，避免堆砌法条。
集团与多法人：责任划分与共享服务边界
各法人对自身系统与数据承担独立义务；集团统一策略不改变责任归属，共享服务中心运维子公司系统时应明确委托关系与审计安排。
合规考核：指标设定与奖惩挂钩
把合规动作纳入部门与个人考核：用可统计的指标（按期完成率、演练完成、培训覆盖、事件处置时长）驱动执行，避免制度"挂在墙上"。
合规交接与知识沉淀：人员变动不失控
合规工作高度依赖台账与人脉：人员变动前完成清单式交接（文档、账号、外部联系、待办事项），并持续沉淀 SOP 与案例库，降低单点依赖。