一个重要的区分
合规（Compliance）：满足外部规定的要求（法律、法规、行业标准、合同）。
安全（Security）：实际抵御攻击、保护资产的能力。
两者相关，但不等同。
为什么会不等同
一、合规是"最低标准"和"时点快照"
合规要求通常是：
- 一组具体的控制项（如"密码至少 8 位""日志保留 6 个月"）；
- 在审计时点通过检查。
通过了合规审计，不代表系统是安全的——只代表满足了那一份清单。
二、合规清单滞后于威胁
标准制定需要时间，而攻击技术在快速演进。
一份三年前的标准，不可能覆盖今天的攻击手法。
三、"打勾式合规"（Checkbox Compliance）
把合规当成目标，只做"审计员会检查的事"，而非"真正有效的事"。
典型表现：
- 为了通过审计，临时补文档；
- 部署了安全设备但不配置、不看日志；
- 做了安全培训但只是让员工签个名。
这是很多发生数据泄露的组织"明明合规却仍被攻破"的原因。
但合规有真实价值
一、提供基线
对缺乏安全能力的组织，合规清单是一份现成的"最低要求清单"——有很好的指导价值。
二、外部压力推动内部投入
很多组织的安全预算，是靠"合规要求"争取来的。
三、问责机制
合规要求明确了责任，出现问题时有追责依据。
主要的合规框架
通用：
- ISO/IEC 27001：信息安全管理体系（ISMS）的国际标准，强调风险管理过程；
- NIST CSF（网络安全框架）：美国 NIST 发布的框架，分为识别—保护—检测—响应—恢复五个功能。
行业特定：
- PCI DSS：支付卡行业数据安全标准，适用于处理信用卡数据的组织；
- HIPAA（美国）：医疗健康信息；
- SOC 2：针对服务商的审计标准（安全、可用性、保密性等信任服务准则）；
- 等级保护（等保）：中国的网络安全等级保护制度；
- GDPR（欧盟）：个人数据保护，有严格的违规处罚。
与 AI 相关（新兴）：
- 欧盟《人工智能法案》；
- 各国的 AI 治理规范。
务实的做法
一、把合规当作"副产品"，而非目标
建立真正有效的安全实践，然后映射到合规要求——这样一份投入获得两种产出。
如果你建立了完善的资产清单、访问控制、日志监控、变更管理——那么面对多种合规框架，你只需要做映射和调整，而非从零开始。
二、超越清单
在合规要求的最低标准之上，基于自身的威胁模型做增强。
关键问题："我们真正的风险是什么？"——这比"审计会查什么"更重要。
三、持续合规（Continuous Compliance）
传统模式：每年审计一次，审计前突击准备。
更好的做法：把合规检查自动化、持续化——用工具持续监控配置项（如云安全态势管理 CSPM），随时知道自己是否合规，而非等到审计时才发现。
一句话
合规是地板，不是天花板。
满足合规是必要的（法律义务、客户要求），但把合规当作安全的终点，是一种危险的错觉。
说明：本文为安全与合规的知识整理。