合规标准
一、CISO 核心理解
- SOC 2：信任背书，审计报告
- GDPR：法律底线，数据保护
- 等保：监管红线，中国境内系统必须
- NIST：内功方法论，指导安全设计
二、国际通用审计 & 安全标准
| 标准/制度 | 全称 | 属性 | 适用对象 | 核心关注点 |
|---|
| ISO 27001 | 信息安全管理体系 | 国际标准 | 各行业 | 安全管理体系（ISMS）、风险管理 |
| ISO 27701 | 隐私信息管理体系 | 国际标准 | 各行业 | 隐私 & 数据保护 |
| SOC 1 | Service Organization Control 1 | 审计 | 金融 / 会计相关服务 | 财务报告相关控制 |
| SOC 2 | 同上 | 审计 | SaaS / 云服务 | 信任服务原则（安全、可用性、保密性、完整性、隐私） |
| SOC 3 | 同上 | 审计（公开版） | SaaS / 云服务 | SOC 2 精简公开版 |
| PCI DSS | Payment Card Industry Data Security Standard | 行业标准 | 支付 / 电商 | 支付卡数据安全 |
| NIST CSF / SP 系列 | 国家标准与技术研究院框架 | 方法论 | 政府 / 企业 | 风险管理、信息安全控制 |
| CIS Controls | Center for Internet Security Controls | 实践框架 | 各行业 | 20 个关键安全控制 |
三、法律与监管合规类（强制）
| 法规/制度 | 国家 / 地区 | 核心内容 | 适用对象 |
|---|
| GDPR | 欧盟 | 个人数据保护 | 涉及欧盟用户的企业 |
| CCPA / CPRA | 美国加州 | 个人信息保护 | 面向加州用户的企业 |
| LGPD | 巴西 | 数据保护法 | 涉及巴西用户 |
| HIPAA | 美国 | 健康信息保护 | 医疗 / 健康数据企业 |
| FISMA | 美国 | 联邦政府信息系统安全 | 政府承包商 |
| 等保 2.0 | 中国 | 信息系统等级保护 | 中国境内信息系统 |
四、行业 / 特定功能合规
| 标准/制度 | 核心方向 | 适用行业 |
|---|
| SOX（萨班斯-奥克斯利法案） | 财务数据审计 | 上市公司（美国） |
| FedRAMP | 云安全认证 | 政府云服务供应商 |
| HITRUST | 健康信息安全 | 医疗 / 健康数据 |
| ISO 22301 | 业务连续性管理 | 所有行业，尤其金融 / 运营关键企业 |
| ISO 31000 | 风险管理 | 企业整体风险管理 |
| TISAX | 汽车行业信息安全 | 汽车制造与供应链 |
| CSA STAR | 云安全联盟 | 云服务安全评估 & 透明度 |
五、方法论 / 内部安全框架
| 框架 | 核心内容 | 适用对象 |
|---|
| NIST CSF | Identify / Protect / Detect / Respond / Recover | 政府 / 企业 |
| NIST SP 系列 | 详细控制清单（SP 800-53, 800-61, 800-171 等） | 政府 / 企业 |
| CIS Controls | 20 个关键安全控制 | 企业信息安全落地 |
| ISO 31000 | 风险管理指南 | 企业整体风险 |
| ISO 22301 | 业务连续性管理 | 企业关键业务 |
六、不同框架本质对比（CISO 视角）
| 框架 | 性质 | 法律强制 | 核心目标 | 输出形式 |
|---|
| SOC 2 | 审计 | 市场强制 | 信任服务原则 | 审计报告 |
| GDPR | 法律 | 法律强制 | 个人数据保护 | 合规报告 / 罚款风险 |
| 等保 2.0 | 国家制度 | 法律 + 监管 | 信息系统等级保护 | 备案 / 检查 / 下线整改 |
| NIST | 方法论 | 不强制 | 安全体系与风险管理 | 内部控制 / 实践指南 |
核心理解：
- SOC 2 = 审计 → 信任背书
- GDPR = 法律 → 数据保护底线
- 等保 = 监管 → 国内准入门槛
- NIST = 方法论 → 内功安全设计
七、全球化企业安全合规策略
- 国内系统
- 等保 2.0（三级或以上）
- ISO 27001（国际背书可选）
- 海外 SaaS / B2B
- SOC 2 Type II
- GDPR（欧盟用户）
- CCPA / LGPD / HIPAA（根据地区和行业）
- 技术体系内部建设
- NIST CSF / SP 系列 → 构建安全架构与流程
- CIS Controls → 安全落地操作
- 行业准入
- PCI DSS → 支付安全
- TISAX → 汽车行业
- HITRUST → 医疗行业
八、CISO 视角总结
- 方法论（NIST / CIS） → 内部安全体系建设
- 管理体系（ISO 27001 / ISO 27701） → 全面安全管理
- 审计 / 信任背书（SOC 2 / SOC 1 / CSA STAR） → 对外证明
- 法律与监管（GDPR / 等保 / HIPAA / FISMA） → 法律风险控制
- 行业标准（PCI DSS / TISAX / HITRUST） → 行业准入与客户信任
真正成熟的企业安全治理，是内功 + 合规 + 信任背书 + 行业准入四层结合。
思 维 教程：