合规与审计

1. 合规体系

1.1 主要法规标准

1.2 合规管理流程

识别适用法规 → 差距分析 → 制定合规计划 → 实施控制 → 持续监控 → 审计评估

2. 等保2.0

2.1 定级流程

确定定级对象 → 初步确定等级 → 专家评审 → 主管部门审核 → 公安备案

2.2 三级等保要求

3. GDPR

3.1 核心原则

• 合法性、公平性、透明性
• 目的限制
• 数据最小化
• 准确性
• 存储限制
• 完整性和保密性
• 问责制

3.2 数据主体权利

3.3 违规处罚

• 一般违规：1000万欧元或全球营业额2%
• 严重违规：2000万欧元或全球营业额4%

4. 安全审计

4.1 审计类型

4.2 审计范围

• 访问控制审计
• 变更管理审计
• 日志审计
• 漏洞管理审计
• 备份恢复审计
• 人员安全审计

4.3 审计证据

5. 合规自动化

5.1 自动化工具

5.2 合规即代码

# OPA 策略：禁止公开S3桶
package aws.s3

deny[msg] {
bucket := input.resource.aws_s3_bucket[name]
bucket.acl == "public-read"
msg := sprintf("S3 bucket '%s' is publicly readable", [name])
}

5.3 持续合规

代码提交 → 合规检查 → 部署 → 运行时监控 → 合规报告

• IaC扫描：部署前检查
• CSPM：运行时检查
• 持续报告：仪表盘展示