合规实务：等保 2.0、GDPR 与 ISO 27001

这一课你将能做到

1. 说清等保 2.0、ISO 27001、GDPR 各自解决什么问题、适用于谁
2. 用「数据分类分级」方法梳理自己平台的敏感数据
3. 为 Spring Boot 平台整理一份可执行的技术合规自查清单

为什么要学

合规是安全的「法律与审计面」：技术做得再好，缺少合规体系照样在招投标中被一票否决；反过来，合规不是一堆文档表演——等保要求的技术控制（访问控制、审计、加密）就是你日常写的那部分代码。国内做 To B 业务躲不开等保，做出海业务躲不开 GDPR，外企面试常问 ISO 27001。

人话：技术安全是「门锁装没装」，合规是「有没有人定期检查、有记录、出了事说得清楚」。审计的核心永远是：有控制、有证据、有闭环。

先建立图像

三大体系一张图：

等保 2.0(国内强制)   ISO 27001(国际认证)    GDPR(欧盟法规)
─────────────────   ───────────────────    ─────────────
对象：信息系统        对象：整个组织          对象：个人数据
动作：定级→备案→测评   动作：建 ISMS→内审→认证   动作：合规义务+执法
视角：技术+管理双维度  视角：风险管理制度化     视角：数据主体权利
结果：测评报告/证明    结果：27001 证书        结果：罚款最高4%营收

数据分类分级先行（三套体系都要用）：

级别	例子	控制要求
公开	产品介绍	完整性保护
内部	接口文档、配置	访问控制 + 水印/审计
敏感	用户手机号、订单	加密存储 + 最小访问 + 审计
核心	密码哈希、支付凭证	专项加密 + 严格授权 + 留存策略

跟着做

步骤 1：给平台做数据分类分级

列一张表（Excel 即可），逐字段过：

字段          级别    存储位置        现状          差距
手机号        敏感    user 表        明文存储 ❌    AES 加密 + 掩码展示
密码哈希      核心    user 表        BCrypt ✅      保持成本因子≥10
身份证(有吗)  核心    实名模块       未收集 ✅      坚持「最小必要」不收
操作日志      内部    ES             有 ✅          加 6 个月留存策略

「最小必要」是所有合规的第一原则：不收集就不承担保护责任。

步骤 2：等保 2.0 自查（以二级系统为例）

技术要求速查：
□ 身份鉴别：密码复杂度+失败处理（你做了吗？）
□ 访问控制：角色最小授权、默认账号改名禁用
□ 安全审计：日志覆盖登录/操作/异常，留存≥6个月
□ 通信完整性：管理通道 HTTPS/TLS
□ 数据完整性/保密性：敏感字段加密、传输 TLS
□ 数据备份：定期备份 + 恢复演练记录
□ 入侵防范：最小安装、漏洞扫描记录、漏洞修复闭环
管理要求速查：制度文件、人员职责、外包管理、应急预案（演练记录！）

定级：一般业务系统多为二级；涉及大量公民个人信息或重要行业系统可能到三级（要求更严：每年测评、双因子、更细的审计）。

步骤 3：ISO 27001 的 ISMS 骨架

核心循环(PDCA)：
Plan   → 风险评估(资产清单+威胁+脆弱性) → 选择控制项(附录A 93项)
Do     → 落地控制、培训、运行记录
Check  → 内部审核 + 管理评审 + 度量指标
Act    → 不符合项整改 → 持续改进
认证流程：差距分析 → 体系文件(方针/程序/记录) → 运行≥3个月 → 一阶段文件审 → 二阶段现场审

作为开发者，你在 ISMS 里的日常角色：按程序执行变更管理、留运行记录、配合内审提供证据。

步骤 4：GDPR 的工程映射

GDPR 条款	工程落地
数据最小化	表单只收必要字段，不做「顺手收集」
目的限制	收集时声明用途，换用途需重新同意
数据主体权利	提供「导出我的数据」「删除我的账号」接口
同意与撤回	Cookie/营销同意可一键撤回，撤回即停
数据可携带	导出格式为机器可读(JSON/CSV)
72小时泄露通知	事件预案里写明通报流程与责任人
隐私默认设计	新功能评审加「隐私检查项」

步骤 5：平台技术合规自查清单（合并落地版）

□ 敏感字段加密存储 + 日志脱敏（logback 掩码插件）
□ 审计日志留存 ≥6 个月且防篡改
□ 密码策略 + 失败锁定 + MFA（管理后台必须）
□ 数据导出/删除接口（GDPR/个保法权利）
□ 备份策略 + 每年至少一次恢复演练并留记录
□ 依赖漏洞扫描纳入 CI（对应等保「漏洞管理闭环」）
□ 事件响应预案 + 演练记录（对应 NIST，也满足等保应急要求）

讲清楚要点

1. 等保是「合规底线」，不是安全上限：测评通过说明达到基线，攻击面管理、威胁情报、红蓝对抗都在其上。别把「过了等保」当成「我们安全了」。
2. ISO 27001 卖的是「过程可信」：客户关心的不是你没有漏洞，而是你有制度、有记录、持续改进。证书背后的价值是体系化的风险管理能力。
3. GDPR/个保法改变产品设计顺序：以前「先收集后考虑保护」，现在「默认最小化 + 隐私内建」。隐私影响评估（DPIA）在高风险功能上线前必做。
4. 「记录」是合规的通用货币：三套体系都靠证据说话——培训签到、变更审批、演练报告、漏洞修复记录。工程实践里顺手留下结构化记录，审计时省一半力气。
5. 合规与技术是互相成就：等保要求的审计=你落的操作日志；GDPR 的删除权=你设计的软删除+物理清除任务；ISO 的访问控制=你配的 RBAC。用合规预算推动技术债清偿是聪明的打法。

你可能会懵的地方

• 我的个人项目需要等保吗？ 法规上「网络运营者」都涉及，但实际监管针对运营中的系统（尤其公共服务）。个人项目练手不用测评，但按等保技术清单自查是零成本的优秀实践。

• 等保二级和三级核心差别？ 三级要求每年测评（二级可按要求周期）、更严格的入侵防范与恶意代码防范、双因子鉴别、更细的审计与集中管控。金融、政务、大量个人信息场景通常三级起步。

• ISO 27001 和 SOC 2 什么关系？ 27001 是国际标准+认证体系（证书），SOC 2 是美国 CPA 出具的审计报告（Type I/II），常见于对接美国客户。工程控制高度重叠，做一套体系可支撑两种交付。

• 个人信息保护法和 GDPR 差别大吗？ 框架相近（同意、最小化、主体权利、泄露通知），个保法有中国特色：需个人信息保护负责人、大型平台额外义务、跨境传输安全评估。在国内做产品以个保法为准，出海叠加 GDPR。

• 合规和安全的优先级怎么排？ 不冲突：合规是「必须做的下限」，安全是「按风险投入的合理上限」。预算排序：先补齐法规硬性要求（否则业务做不了），再按风险视图加固高价值资产。

错法对照

错法	问题	正解
为测评临时补文档造记录	假证据过不了成熟审计	把记录生成为日常流程一部分
日志留存不足 6 个月	等保硬性不达标	日志归档策略 + 冷存储
先收集数据再想合规	返工+处罚风险	需求评审加隐私检查项
测评通过即停止投入	合规是持续义务	年度复测 + 持续改进
合规与开发两套话语体系	协作低效	把条款翻译成工程 checklist

卡点急救

1. 不知道自己该定几级：按主管单位与行业惯例初判（一般互联网应用多为二级），最终以专家评审结论为准；拿不准先做差距分析。
2. 审计日志分散各处凑不齐证据：统一接入集中日志（ELK/云日志服务），补齐「谁、何时、对什么、做了什么」四要素，保留期写入归档策略。
3. GDPR 的删除请求不知道怎么技术实现：软删除 + 定期物理清除任务 + 备份同步处理策略写进制度；关系复杂时先做数据流图（PIA 的基础）。

面试常问

• 等保 2.0 的核心流程与你的理解？ 定级（专家评审）→ 备案（公安机关）→ 建设整改（按技术+管理要求）→ 等级测评（测评机构）→ 监督检查（持续）。开发者视角：身份鉴别、访问控制、安全审计、数据保护这些技术项就是日常编码工作，合规是把它们制度化并留证据。

• GDPR 对你的后端设计有什么实际影响？ 数据最小化决定表结构；主体权利要求导出/删除/更正接口；同意管理要求记录同意时间与范围；泄露通知写进事件预案；跨境传输要评估。一句话：隐私要求前置到设计阶段（privacy by design）。

• ISO 27001 的 ISMS 是什么？为什么要 3 个月运行期？ ISMS 是以风险管理为核心的管理体系（PDCA 循环）。3 个月运行期是为了证明体系「在真实运转」——内审、记录、不符合项整改都要有真实痕迹，而不是文档表演。

自测三问

1. 你的平台里哪些字段属于「敏感」级？现在加密了吗？
2. 等保对日志留存的硬性要求是什么？你满足吗？
3. GDPR 的数据主体三大权利，你的系统有对应接口吗？

小结一句话

合规是安全的制度化表达：等保守国内底线、ISO 27001 证体系可信、GDPR/个保法定数据规则，三者共同语言是「控制 + 证据 + 闭环」。

延伸

• 全国网络安全等级保护测评机构（等保官网）
• ISO/IEC 27001 官方页面
• GDPR 官方全文
• 下一课（结课）：综合实战——靶场通关、漏洞复现与平台安全加固。