合规检查清单生成

审计前不知道缺什么

B2B SaaS 要签企业客户，往往被问 SOC2；医疗场景绕不开 HIPAA；收信用卡就得对 PCI-DSS；欧盟用户则触发 GDPR。框架条文多、控制项交叉，团队常见问题是：没有统一清单、状态靠口头记忆、证据散落在各工具里，临到审计才发现「部分实施」和「未实施」混在一起，整改也没有工作量估算。

技能如何组织一次评估

本技能把评估拆成可重复的五步：

1. 识别适用框架 — 按业务类型、数据类型、客户要求与地域，判断哪些标准同时生效，并尽量找出跨框架共享控制，避免重复建设。
2. 控制项映射 — 将 SOC2 五项信任服务准则、HIPAA 三类保障、PCI-DSS 12 个要求族、GDPR 第 5–49 条等，落到可检查的控制条目。
3. 评估当前状态 — 每项标记为已实施（有证据）、部分实施、未实施或不适用（需书面依据），并尽量引用现有文档、配置或流程产物。
4. 生成结构化清单 — 按类别输出要求描述、状态、所需证据、差距说明与整改工作量估算（小时/天），并给出类别级就绪百分比汇总。
5. 整改优先级 — 按风险、审计影响、工作量与共享覆盖率排序，优先「高影响、低工作量」项，并把可一并完成的关联整改分组（例如统一日志方案同时覆盖多个框架的日志要求）。

使用时说明目标框架、业务形态、当前安全现状与审计截止日期；现有控制与工具栈描述越具体，差距分析越可执行。

适用边界

• 多框架并行：适合构建统一控制框架，用一份证据覆盖重叠要求；审计员是否接受共享证据仍取决于具体审计范围。
• 云与 PaaS：责任共担下需区分继承控制（物理层等）与客户仍负责的应用访问、变更与监控。
• 无正式安全计划的团队：通常从风险评估与基础策略（信息安全、可接受使用、事件响应）起步，再借助云原生能力补监控与访问控制。
• 清单是活文档：积极整改期宜高频更新状态；稳定后按季度复核周期性控制（访问审查、年度风险评估、渗透测试等）。