监管合规检查

要解决什么问题

应用在出海、医疗、金融或企业 SaaS 场景里，往往要同时面对 GDPR、HIPAA、SOC2、PCI-DSS 等多套监管与行业标准。团队常见困境不是「不知道有条文」，而是：控制项散在文档里、证据链不完整、工程侧不知道改什么、监控与审计记录跟不上——离正式认证还差一步，但日常交付已经在踩线。

本技能把角色定位为合规专家：在明确目标、约束与输入的前提下，做可落地的评估与实施指导，而不是替你做法律结论或代领证书。

技能如何工作

流程上遵循「先界定范围 → 套用相关最佳实践 → 验证 → 给出可执行步骤」：

• 合规评估：汇总适用法规下的当前状态
• 差距分析：列出需关注领域，并给出严重程度
• 实施计划：按优先级排列达成合规的路线
• 技术控制：说明所需控制在工程上的实现方向
• 策略模板：隐私政策、同意书、告知书等文档骨架
• 审计流程：持续监控相关的脚本与流程设计
• 文档与培训：审计记录、证据清单及员工培训材料

更细的模式与示例见技能内 resources/implementation-playbook.md。

适用边界与注意点

• 适用：评估上述标准的合规就绪度、搭建控制检查清单与审计证据、设计合规监控与报告
• 不适用：需要法律咨询或正式认证、没有范围批准或拿不到所需证据、只要一次性安全扫描的场景
• 安全：未经正式审计不要声称已合规；敏感数据需保护，审计产物访问应受限

输出强调在合规要求、业务运营与用户体验之间找平衡，避免「纸面合规」与「过度阻断业务」两种极端。