合规与认证
NIST、风险、Legal、Security+ / CISSP。
30 分钟
合规实务：等保 2.0、GDPR 与 ISO 27001
这一课你将能做到
- 说清等保 2.0、ISO 27001、GDPR 各自解决什么问题、适用于谁
- 用「数据分类分级」方法梳理自己平台的敏感数据
- 为 Spring Boot 平台整理一份可执行的技术合规自查清单
为什么要学
合规是安全的「法律与审计面」：技术做得再好，缺少合规体系照样在招投标中被一票否决；反过来，合规不是一堆文档表演——等保要求的技术控制（访问控制、审计、加密）就是你日常写的那部分代码。国内做 To B 业务躲不开等保，做出海业务躲不开 GDPR，外企面试常问 ISO 27001。
人话：技术安全是「门锁装没装」，合规是「有没有人定期检查、有记录、出了事说得清楚」。审计的核心永远是：有控制、有证据、有闭环。
先建立图像
三大体系一张图：
等保 2.0(国内强制) ISO 27001(国际认证) GDPR(欧盟法规)
───────────────── ─────────────────── ─────────────
对象：信息系统 对象：整个组织 对象：个人数据
动作：定级→备案→测评 动作：建 ISMS→内审→认证 动作：合规义务+执法
视角：技术+管理双维度 视角：风险管理制度化 视角：数据主体权利
结果：测评报告/证明 结果：27001 证书 结果：罚款最高4%营收
数据分类分级先行（三套体系都要用）：
| 级别 | 例子 | 控制要求 |
|---|---|---|
| 公开 | 产品介绍 | 完整性保护 |
| 内部 | 接口文档、配置 | 访问控制 + 水印/审计 |
| 敏感 | 用户手机号、订单 | 加密存储 + 最小访问 + 审计 |
| 核心 | 密码哈希、支付凭证 | 专项加密 + 严格授权 + 留存策略 |
跟着做
步骤 1：给平台做数据分类分级
列一张表（Excel 即可），逐字段过：
字段 级别 存储位置 现状 差距
手机号 敏感 user 表 明文存储 ❌ AES 加密 + 掩码展示
密码哈希 核心 user 表 BCrypt ✅ 保持成本因子≥10
身份证(有吗) 核心 实名模块 未收集 ✅ 坚持「最小必要」不收
操作日志 内部 ES 有 ✅ 加 6 个月留存策略
「最小必要」是所有合规的第一原则：不收集就不承担保护责任。
步骤 2：等保 2.0 自查（以二级系统为例）
技术要求速查：
□ 身份鉴别：密码复杂度+失败处理（你做了吗？）
□ 访问控制：角色最小授权、默认账号改名禁用
□ 安全审计：日志覆盖登录/操作/异常，留存≥6个月
□ 通信完整性：管理通道 HTTPS/TLS
□ 数据完整性/保密性：敏感字段加密、传输 TLS
□ 数据备份：定期备份 + 恢复演练记录
□ 入侵防范：最小安装、漏洞扫描记录、漏洞修复闭环
管理要求速查：制度文件、人员职责、外包管理、应急预案（演练记录！）
定级：一般业务系统多为二级；涉及大量公民个人信息或重要行业系统可能到三级（要求更严：每年测评、双因子、更细的审计）。
步骤 3：ISO 27001 的 ISMS 骨架
核心循环(PDCA)：
Plan → 风险评估(资产清单+威胁+脆弱性) → 选择控制项(附录A 93项)
Do → 落地控制、培训、运行记录
Check → 内部审核 + 管理评审 + 度量指标
Act → 不符合项整改 → 持续改进
认证流程：差距分析 → 体系文件(方针/程序/记录) → 运行≥3个月 → 一阶段文件审 → 二阶段现场审
作为开发者，你在 ISMS 里的日常角色：按程序执行变更管理、留运行记录、配合内审提供证据。