差距分析怎么做
差距分析以 GB/T 22239 对应等级条款为标尺，用访谈、文档审查、配置核查、工具扫描逐项比对现状，输出可跟踪的问题清单与整改建议，是测评前最省钱的一步：把不符合项提前找出来，整改预算与工期才有依据。产出格式最好与测评机构的报告结构对齐，判定口径与证据材料可以直接复用。
基本信息
| 判定基准 | GB/T 22239-2019 条款（参考 GB/T 28448 判定尺度） |
|---|---|
| 取证方法 | 访谈、文档审查、配置核查、工具扫描组合使用 |
| 覆盖范围 | 技术类与管理类条款全量覆盖，不留空白 |
| 产出物 | 差距表、问题清单、整改建议与排期 |
| 复核机制 | 业务、运维、安全三方会签 |
| 复用价值 | 与测评报告格式对齐，证据可直接引用 |
典型使用场景
- 测评前的自评估与整改预算编制
- 新建系统的合规设计评审
- 年度安全工作的差距盘点与整改排期
- 并购或系统接收时的安全现状摸底
- ISO 27001 与等保双体系整合时的条款映射
差距表字段建议
差距表字段建议
# 条款编号 | 要求摘要 | 现状 | 证据 | 判定 | 整改建议 | 责任部门 | 期限
# 判定口径：符合 / 部分符合 / 不符合 / 不适用（不适用需写理由）
# 证据列填写文件名或截图编号，避免只写「已做」
# 整改建议要写到设备、配置或流程层面，便于直接派工方法与适用
| 方法 | 适用条款 | 取证产出 |
|---|---|---|
| 访谈 | 管理制度、人员、应急预案 | 访谈记录（时间、对象、要点） |
| 文档审查 | 制度发布、记录留存、审批材料 | 材料目录与问题标注 |
| 配置核查 | 身份鉴别、访问控制、审计配置 | 配置导出与截图 |
| 工具扫描 | 漏洞、弱口令、入侵防范有效性 | 扫描报告与结果复盘 |
差距分析只做技术类是常见偏差：管理类条款数量不少，漏评会直接低估工作量与预算，进场后被动追加资源。
现状描述没有证据（截图、配置导出）时，整改验证阶段无法闭环，等于要重做一遍核查，人力与工期双浪费。