什么是合规性管理？

一套强大的合规性管理计划由清晰的预期、可重复的工作方式、日常安全措施，以及保障合规运转的人员和工具构成。

政策明确规定组织必须执行的工作，以及合规性对应的执行标准。政策会将义务转化为人们可以遵照执行的清晰要求。

常见政策领域包括：

• 数据处理和访问规则。
• 用于审核的记录、数据保留和证据要求。
• 出现问题时报告和升级路径。

流程是团队为持续满足要求而遵循的逐步操作：审查周期、审批、测试和问题跟进。

合规性流程示例包括：

• 定期审查，以确认要求已嵌入业务工作流。
• 持续监控控制状态，而不只是每年检查一次。
• 发现缺口时的纠正措施工作流。

标准和框架充当衡量时所依据的参考集。其来源包括法规、行业标准或内部要求。

组织标准的一种实用方式是将其视为可分组和跟踪的要求模板。例如，评估就是从某一特定法规、标准或政策中归集出一组控制措施。

控制措施是具体的检查和实践，用来证明某项要求已得到满足，并将其与系统配置、组织流程和指定责任关联起来。

有用的控制措施类别包括：

• 由服务提供商管理的控制：由云提供商处理
• 组织管理的控制措施：由团队处理
• 共享控制措施：责任分摊

只有责任归属明确时，合规性管理才能发挥最佳效果。任何成功的计划都需要两类角色：领导层监督和日常合规责任。

董事会和领导层监督

领导层负责设定预期、采用政策声明、分配权限、提供资源，并定期接收有关合规性活动和发现的报告。

监督通常包括：

• 明确的合规性期望和政策审批。
• 指定一个额有权采取行动的负责人（合规官或合规委员会）。
• 定期汇报审核、问题和纠正措施。

合规官

此角色负责制定政策和程序、培训、合规性审查、跟踪新出现的问题、响应投诉、报告结果，并确保采取纠正措施。

一个可扩展的简单职责划分包括：

• 控制负责人维护具体控制并提供证据。
• 合规性团队设置结构、开展评估、跟踪缺口并支持审核。
• 领导层审查进展、清除阻碍并审批优先级。

电子表格在小规模场景下适用，但大多数组织会使用工具在一个位置集中管理要求、控制措施、证据和所有权，尤其是在多云环境和多业务部门场景下。

合规性管理软件的主要功能

有助于减少重复工作并使保持最新工作状态的实用功能包括：

• 评估，即可重复使用的要求和控制措施清单。
• 控制措施映射，将一项控制措施关联到多个标准，以减少重复工作。
• 监控，可视化一段时间内的控制状态。
• 证据管理，提供一个集中位置来存储项目、笔记和状态。
• 工作流和任务分配，用于分配、到期日期和进度跟踪。
• 评分，可提供基于风险的视图，以帮助聚焦改进工作。

制定计划

在为组织建立合规性管理时，请寻求以下问题的答案：

• 我们是否编写了与义务匹配的书面政策？
• 关键流程是否有文档记录？
• 控制措施是否已映射到标准，以免团队重复开展相同的工作？
• 进行审核或调查时，我们能否快速提供证据？
• 所有权和报告角色是否清晰？

安全合规性管理是安全工作和合规性义务交叉的领域。在实践中，这意味着以符合规则约束的方式保护数据和系统，然后通过基线、监控和记录来证明这一点。

大多数法规和标准都包含安全要求。常见要求通常包括：

• 数据处理：明确规定如何收集和处理敏感数据。
• 安全存储和访问：使用加密和受控访问来减少未经授权的暴露。
• 报告和审核：按需进行常规检查、审核支持和违规通知。

你可能需要同时将控制措施映射到多个框架。

三个常见标准包括：

• 一般数据保护条例 (GDPR)：这是一个聚焦隐私和个人数据保护的欧盟法律框架；合规性就是遵循 GDPR 合规性，并加强对个人信息的控制。
• Health Insurance Portability and Accountability Act (HIPAA)：这些美国医疗保健法律和规则规定了对受保护健康信息 (PHI) 的使用、披露和保护要求，包括针对电子 PHI 的安全规则保障措施。
• 支付卡行业安全标准 (PCI DSS)：这是一个面向存储、处理或传输持卡人数据的组织的全球信息安全标准，旨在通过加强对信用卡数据的控制来减少欺诈。

1. 从安全基线开始。 为关键系统使用定义明确的基准，使团队能够了解组织认可的良好配置。监控偏离规定值的设置，并修复缺口。

2. 实施强访问控制和加密控制。 应用受控访问和加密，以降低敏感数据未经授权暴露的风险

3. 开展常规评估和审核。 定期执行审核和评估，找出切口并确认控制措施仍满足要求。

4. 对人员开展数据处理方面的培训。 安全合规性取决于日常决策，因此培训和清晰的指导很重要。

5. 留存文档，使其随时可供审查。 保留支持审核和法规合规性审查的记录，以便在要求时快速响应。

6. 通过监控和工作流保持最新。 使用支持持续监控、跟踪和纠正措施的工具和流程，而不是只依赖某一时间点的审查。

自动化和持续合规性可帮助团队在环境更改时同步更新要求、控制措施和证据。该方法并未将合规性作为周期性事件，而是将其视为持续、零散的检查和更新，更易于管理和验证。

几个变化使自动化比过去更具实操性，也更有必要：

• 多云和 SaaS 增长：数据和工作负载会在更多服务和供应商之间流动，这会增加必须应用和跟踪控制措施的地点数量。
• 快速变化的法规：要求不断演变，去年适用的标准今年可能失效，尤其是在隐私和安全性要求方面。
• 分布式所有权：控制措施负责人通常分属不同团队（云安全、IT、工程、法务、人力资源等），因此协调和统一归集证据愈发重要。

在查看自动化和持续合规性时，重点关注那些能减少人工工作量又不会降低责任追踪能力的功能。

先从使用可复用控制措施集的标准化评估开始。这有助于在各团队间保持一致，也便于比较一段时间内的结果。

• 标准化评估：每个周期都使用相同的评估结构，这样更容易发现进展（和回退）。
• 可复用控制措施集：重复使用一组核心控制措施，无需针对每一条新要求重新编写检查方案。

通用控制措施映射通过将一项控制措施关联到多个要求来减少跨框架的重复工作。

实际操作如下：

1. 一个访问控制做法（例如“限制对敏感数据的访问”）可能可以满足多套标准的部分条款要求。
2. 为该控制措施收集的证据可以在针对不同框架报告时重复使用，无需多处重复创建相同证明。
3. 对控制措施（或其文档）的更新会同步影响所有依赖它的框架。

持续监控关注控制状态和合规性态势：控制措施是否已到位、是否仍按预期运行，以及是否有需要跟进的变更。

以下是团队跟踪的常见监控信号：

• 控制状态：这可能包括通过、失败或尚未评估。
• 变更指标：配置更改、政策更新或新系统都可能带来要运行的新检查。
• 异常模式：反复出现的异常说明控制措施需重新设计，或者需要强化所有权。

如果不提前规划，证据往往会分散在收件箱、共享驱动器和工单线程中。集中式证据管理将项目保存在一个位置，并将其与正确的控制措施、负责人和审查周期关联。

这里的工作流和任务分配很重要，因为它们能将本应修复的问题变成可跟踪的工作：

• 工作流：用于审查、审批和签署的统一路径。
• 任务分配：与控制措施或评估相关的明确分配、到期日期和进度跟踪。
• 证据准备情况：快速回答“我们有什么证明？” 以及“是否最新？”的方法。

基于风险的评分和成熟度模型有助于团队决定先修复哪些问题。无需一次性消除每个小缺口，优先修正会带来最大风险的问题。

这有助于按以下方式确定修正优先级：

• 按影响对工作排序：将风险最高的缺口排在队列前面。
• 持续跟踪改进：完成修正工作后，分数或成熟度级别可以清楚地显示修正前后的变化。
• 支持一致的决策：当团队使用相同的评分或成熟度模型时，优先级就不那么主观，也更容易解释。

一旦开始自动化评估、监控和证据收集，下一步需要决定跟踪指标和进度报告机制，方便领导者研判风险趋势、确定修复优先级并长期展示成果。

即使是运行良好的项目，也可能在要求不断增多、系统分散到多个环境和权责划分变得模糊时停滞。通常，解决办法就是减少重复工作、加强证据管理习惯，并为新工具设定清晰的防护措施。

问题：团队会在多个位置跟踪同一项需求，为不同法规重写类似控制措施，并花时间核对重叠的清单。

如何避免：在不同法规之间使用通用控制措施映射。

一种实用方法是将一项控制措施映射到多个框架，这样就无需在每次添加新标准时重复相同的工作。

• 构建共享控制措施库。保留一组会在多个要求（访问控制、日志记录、加密、保留、事件响应）中出现的核心控制措施。
• 一次映射，多次复用。将每项控制措施链接到所有需要该措施的法规/标准，然后在审查和审核中引用该映射。
• 更新控制措施，而不是更新每个清单。当控制措施发生更改时，让这一处更新同步反映到已映射的要求中，而不是编辑多个副本。

快速检查：如果两个团队使用不同措辞维护单个“相同”的控制措施，你就在承担重复工作带来的成本。

问题：证据散落在聊天、电子邮件线程、票证备注和共享驱动器中。收到申请请求时，工作人员只能仓促翻找项目文件并重新创建上下文。

如何避免：集中存储项目文件，并分配控制措施负责人。

只有当每项控制措施都有指定的负责人，且该负责人知道什么是“合格证据”以及证据存放在哪里时，集中管理证据才最有效。

• 统一存放证据。将项目文件、备注和状态更新存放在与该控制措施关联的单一位置。（许多工具支持在改进操作中附加证据并跟踪状态。）
• 明确所有权。分配一名控制措施负责人，负责及时更新项目文件并响应证据请求。
• 定义“最低可行证据”。对于每项控制措施，记录你需要展示的内容：
  • 控制措施是什么，
  • 由谁负责，
  • 如何检查，
  • 收集哪些证明，以及
  • 多久更新一次。
• 使用工作流和任务分配。跟踪请求、到期日期和审查步骤，以免依赖记忆收集证据。

一个有帮助的简单习惯：如果两个月后仍然很难找到证据，则说明它没有存放在合适的位置。

问题：不同的云平台具有不同的默认设置、日志记录模式和安全设置。随着服务更新和团队进行本地更改，控制措施会随着时间推移而偏离。

如何避免：设置标准化的策略即代码和态势基线。

一种稳定的方法是在两个层级标准化预期：策略即代码用于保持规则一致，态势基线用于定义你期望在所有位置都达到的最低配置状态。

• 将策略即代码用于实现可重复性。以可在各环境中一致应用的形式定义关键要求（如加密、标识要求、日志记录、保留）。
• 态势基线用于清晰呈现安全态势。维护一套基线安全设置，并跟踪系统何时偏离该基线。
• 持续监控控制状态。跟踪控制措施在一段时间内的通过或失败状态，而不只是依赖计划内审查。
• 通用控制措施映射仍然很重要。尽可能使用共享控制措施，即使底层平台不同也是如此。

留意偏移：仅书面记录基线而不对其进行监控，基线会快速过时。

问题：人员采用新应用和新 AI 工具的速度比治理流程的审查速度更快。这会增加敏感数据在未经审查的位置中共享的风险。

如何避免：使用经批准的工具、标签、监控和更新后的模板。

建立清晰的防护措施，并与人员的实际工作方式保持一致，尤其是在 AI 工具不断普及的情况下。

• 定义经过批准的工具。发布一份简短的已批准应用和 AI 工具列表，同时提供申请新工具的途径。
• 标记敏感数据。应用敏感度标签，这样，工作人员就知道哪些内容在处理时需要格外谨慎，控件也可以根据标签执行操作。
• 监控通信风险。添加侧重风险共享模式的监控（例如，将敏感内容复制到未经批准的工具中，或发送到未经授权的目标）。
• 采用与不断发展的法规（包括 AI）保持一致的模板。使用在 AI 规则发生更改时反映新要求的模板和清单，并定期刷新这些要求，而不是等待下一次年度审查。

一个保障工作持续推进的实用分层方案是：

• 阻止没有业务需要的高风险工具。
• 仅允许低风险工具用于非敏感工作，并添加防护措施以降低数据泄露风险。
• 针对涉及敏感数据的工作，统一采用企业级选项。

你已经了解一个有效的合规性管理计划是如何运作的：设置清晰的策略、分配责任、评估风险、填补缺口、监控控制措施，并以便于领导层采取行动的方式报告进展。将以上流程组合起来，就可以减少在搜集证据上花费的时间，并将更多时间投入到改进工作方式上。

如果你是刚开始，或者正在优化现有计划，可以通过以下方式让内容更易管理：

• 选取一项符合你近期需求的评估（你已经在跟踪的法规、标准或内部要求）。
• 将改进操作列表用作你的工作待办，然后为实施和测试工作分配负责人。
• 定期查看评分和“需要关注”视图，以持续聚焦影响力最大的工作。
• 同步捕获证据和状态更新，避免在审核临近时仓促整理报告。

Microsoft Purview 合规性管理器旨在帮助你评估和管理跨多云环境的合规性，并支持整个流程（从盘点数据保护风险到实施控制措施），从而及时掌握最新的法规和认证并向审核人员报告。

获取帮助，将要求整理为评估，把缺口转化为已分配的改进操作，通过基于风险的评分跟踪进度，并支持向审核人员报告 - 所有工作都在一个位置完成。