合规工作的周期性
合规工作有很强的周期性：备案核对、等级测评、密评、安全评估、内审与管理评审、应急演练与培训都按年度推进，账号权限复核、日志审阅、漏洞跟进、供应商复核等则按月或按季执行。把这些动作排进日历的价值在于两点：预算提前申报，机构档期提前预约。测评与评估机构在旺季排期满，临时启动往往约不到时间。
基本信息
| 周期 | 年度动作 + 季度动作 + 月度运营动作 |
|---|---|
| 年度动作 | 备案核对、等级测评、密评与安全评估、内审与管理评审 |
| 季度动作 | 账号权限复核、日志审阅、漏洞跟进、供应商与备份抽检 |
| 预算要点 | 测评与改造费用提前立项，避免错过窗口 |
| 依据 | GB/T 22239-2019、ISO/IEC 27001:2022、网络安全法 |
典型使用场景
- 年初排期：把测评、密评、内审与演练落到月份
- 预算申报：为测评费用与改造投入提前立项
- 机构预约：提前联系测评机构锁定档期
- 季度检查：固定动作按季度执行并留记录
- 年末总结：统计当年动作完成率并指导下一年
排期参考
| 时间 | 动作 |
|---|---|
| 1 月 | 上年度总结；备案信息与系统清单核对 |
| 3-4 月 | 等级测评排期（提前 2-3 个月联系测评机构） |
| 5-6 月 | 数据合规审计计划启动；密评与安全评估排期 |
| 9-10 月 | ISO 内审与管理评审（认证或监督审核前） |
| 11-12 月 | 应急演练、培训考核、次年预算与计划 |
季度固定动作
季度固定动作
账号与权限复核（含外包与离职账号）
日志审阅报告（含异常处置闭环）
漏洞扫描与修复跟进
供应商与外包复核、备份恢复抽检
个人信息权利请求（DSR）受理情况统计日历要配上责任人：只写动作不写谁做、什么时候做，实际执行率会很低。建议每月用一次例会核对上季度动作的完成情况。