01 · 合规测评全流程管理
云上合规不是单次测评事件，而是"定级备案—建设整改—测评—监督检查"的循环（等保）与"申报—评估—监督"的循环（云评估）的叠加。组织层面的合规项目管理应覆盖五条并行工作流：
| 工作流 | 关键活动 | 频率/触发 | 责任方 |
|---|---|---|---|
| 等保工作流 | 定级备案、差距分析、整改、测评机构测评、报告归档、整改闭环 | 三级系统每年至少一次测评 | 运营者+测评机构 |
| 云评估工作流 | 服务商评估有效性跟踪、采购查验、合同条款年度复核 | 年度；重大变更时 | 采购+安全 |
| 密评工作流 | 密码应用方案、改造、密评、整改复测 | 系统上线前及重大变更 | 运营者+密评机构 |
| 数据合规工作流 | 分类分级维护、PIA、出境适用性复核、重要数据目录对接 | 持续；出境场景年度复核 | 数据合规岗 |
| 持续合规工作流 | CSPM策略运行、证据管道采集、KRI月报、偏离处置 | 持续（分钟级检测） | 安全运营 |
组织建议：设立"合规日历"统一管理五流的关键节点（测评到期前90天启动准备、证书到期前60天续证评估等）；将测评机构、密评机构、云服务商安全接口人纳入统一沟通矩阵，避免多线并行时的证据口径冲突。
02 · 审计证据清单（Checklist）
以下为云上三级系统等保测评与云评估尽调的通用证据清单（节选，正式清单按GB/T 28448-2019测评单元细化）：
| # | 控制域 | 必备证据 | 证据形态 |
|---|---|---|---|
| 1 | 定级备案 | 定级报告、专家评审意见、公安备案证明 | 文档 |
| 2 | 安全物理环境（借力） | 云服务商数据中心等保/ISO证书及范围说明 | 证书+合同 |
| 3 | 安全通信网络 | 网络架构图、VPC划分、传输加密配置、跨地域链路加密证明 | 配置快照 |
| 4 | 安全区域边界 | 边界设备策略、访问控制列表、WAF配置 | 配置快照 |
| 5 | 安全计算环境（云扩展） | 虚拟化隔离说明（服务商材料）、镜像签名验证配置、快照审计日志、数据加密配置与KMS策略、剩余信息清除记录 | 配置+日志+服务商材料 |
| 6 | 安全管理中心 | 集中管控平台说明、日志集中与留存配置（≥6个月）、时间同步配置 | 配置+截图（带时间戳） |
| 7 | 安全管理体系 | 制度文件族、发布记录、评审修订记录 | 文档 |
| 8 | 人员与机构 | 安全组织图、关键岗位任命、保密协议、培训记录 | 文档+记录 |
| 9 | 建设管理 | 上线前安全测试报告、供应商选型材料、云评估结果查验记录 | 文档 |
| 10 | 运维管理 | 变更审批记录、漏洞扫描报告、应急预案与演练记录、事件处置记录 | 工单+报告 |
| 11 | 密码应用 | 密码应用方案、密评报告、密钥管理记录 | 文档+记录 |
| 12 | 数据与个人信息 | 分类分级台账、PIA报告、委托处理协议、出境合规文件（如适用） | 文档 |
证据质量三原则：①时效性——测评前三个月内的运行证据优先，过期配置需重新采集；②一致性——制度文档、访谈回答、技术配置三者必须互洽，矛盾项是测评不符合项的最大来源；③可复现——配置快照应可回放到环境（IaC化最佳），口头声明无法作为核查证据。
03 · 合规度量指标体系（KRI/KPI）
| 指标 | 类型 | 定义/计算 | 参考目标 |
|---|---|---|---|
| CSPM高危配置违规数 | KRI | 检测周期内未关闭的高危级违规项数量 | 持续收敛至0 |
| MFA特权账号覆盖率 | KRI | 已启用MFA的特权账号/特权账号总数 | 100% |
| 长期访问密钥存量 | KRI | 存活超90天的AccessKey数量 | 0（全面短期凭证化） |
| 日志留存达标率 | KRI | 留存配置≥180天的日志源/日志源总数 | 100% |
| 测评不符合项整改闭环率 | KPI | 规定时限内完成整改项/不符合项总数 | 100%（高危30天内） |
| 证据自动化覆盖率 | KPI | 可由证据管道自动采集的控制项/控制项总数 | ≥70%（技术类） |
| 出境合规复核及时率 | KPI | 年度复核按期完成的数据流/应复核数据流 | 100% |
| 服务商评估有效性跟踪率 | KRI | 在有效期内的云服务商合同数/云服务商合同总数 | 100% |
| 权限复核按期完成率 | KPI | 按期完成季度权限复核的账号范围 | 100% |
04 · 合规成熟度模型（五级）
| 级别 | 名称 | 特征描述 | 典型证据形态 |
|---|---|---|---|
| L1 | 初始级（被动应付） | 测评前突击补文档；控制项依赖人工；证据散落个人手中 | 制度文档为主，运行证据缺失 |
| L2 | 管理级（制度化） | 制度文件族齐全；测评周期化管理；关键控制有人工执行记录 | 制度+执行记录（工单） |
| L3 | 定义级（技术固化） | 控制项以基线/策略固化到平台（CSPM覆盖）；配置漂移可检测 | 基线核查报告+配置快照 |
| L4 | 量化级（持续合规） | 证据自动化管道运行；KRI/KPI月报驱动改进；多云策略等价 | 自动化证据库+度量报告 |
| L5 | 优化级（前瞻合规） | 合规要求变更（新标准发布）自动映射到控制库；与业务发布流水线融合 | 合规即代码库+变更影响分析 |
使用建议：多数组织在等保首次测评时处于L1—L2；将"证据自动化覆盖率≥70%"作为L3→L4的晋级门槛；成熟度评估每半年一次，与等保测评周期错开半年，形成年中评估+年末测评的节奏。
05 · 实施路线图（24个月）
| 阶段 | 重点任务 | 里程碑 |
|---|---|---|
| 第0—3月 义务盘点 | 绘制义务交集图（关基？重要数据？个信规模？）；责任矩阵签署；合规日历建立；差距评估启动 | 义务图谱V1.0+差距清单 |
| 第4—9月 整改建设 | 按等保云扩展差距整改；日志集中与留存基线；IAM治理（MFA+短期凭证）；制度文件族发布 | 基线核查通过率≥90% |
| 第10—15月 测评取证 | 等保测评+密评+云评估材料对接；不符合项整改闭环；证据管道一期上线 | 测评报告归档；整改闭环率100% |
| 第16—21月 持续合规 | CSPM策略全量运行；KRI月报机制；出境适用性年度复核；成熟度达L3—L4 | 证据自动化覆盖≥70% |
| 第22—24月 优化融合 | 合规即代码库建设；多云策略等价声明；迎接监督检查与复测 | 成熟度L4；复测一次通过 |
06 · 常见失败模式与纠偏
| 失败模式 | 表现 | 纠偏策略 |
|---|---|---|
| 文档合规、运行失守 | 制度完备但配置漂移无人管，测评测试环节暴露 | 制度条款逐一映射技术检测规则；漂移告警进安全运营流程 |
| 测评周期失忆 | 每次测评从零开始准备，历史证据不可复用 | 证据管道+证据库按测评单元归档；测评底稿复用 |
| 多云口径分裂 | 各云各自合规，策略不一致，审计互相矛盾 | 以等保控制项为锚的统一策略库；跨云策略等价声明（子课题05） |
| 出境后知后觉 | 业务上线后才发现触发出境申报 | 采购/上线流程前置出境适用性判断节点；豁免情形文档化 |
| 服务商材料过期 | 云评估结果、ISO证书到期未跟踪 | 供应商台账设证书到期预警（提前60天） |
07 · 课题总结与研究展望
本子课题以"义务图谱—标准解读—技术落地—证据度量"为闭环，完成了对中国云上合规体系的系统梳理：法律层四线并行（网络—数据—个人信息—密码）、等保2.0云扩展五大域落地、云计算服务安全评估实务、国际标准对照映射、合规即代码技术路径与数据出境决策方法。后续研究方向：①AI服务上云的合规新命题（生成式人工智能服务备案与云上算力合规的叠加）；②合规自动化标准的演进（监管机构对自动化证据采信规则的明确化）；③隐私计算、机密计算等技术对"数据可用不可见"合规定性的影响——这些将纳入课题滚动更新计划。
本节参考来源（第8页）
GB/T 28448-2019《网络安全等级保护测评要求》（测评单元与证据要求）；GB/T 22239-2019：国家标准全文公开系统。
GB/T 39786-2021（密评）与商用密码应用安全性评估管理要求：国家标准全文公开系统。
《云计算服务安全评估办法》及评估结果公开发布渠道：中国网信网。
成熟度模型为本课题方法论建构，参考CMMI分级思想与CSA CCM控制分级实践，非某单一标准的官方模型。