compliance-manager

Microsoft Purview Compliance Manager

Compliance Manager 是一个合规态势与证据平台。它会将 Microsoft 云控制措施、租户配置和手动提供的证据映射到法规模板（ISO、NIST、SOC 2、PCI、HIPAA、GDPR、FedRAMP、IRAP、Essential Eight、DORA、EU AI Act 等），为你提供合规评分，并通过可用于审计的证据收集来跟踪改进措施。

适用场景

• 编写或维护一个或多个法规评估。
• 生成审计证据包（SOC 2、ISO 27001 监督审核）。
• 将合规评分随时间的变化作为领导层指标进行跟踪。
• 将自定义内部框架映射到 Compliance Manager 评估中。

请勿将此技能用于 Defender for Cloud 的法规仪表板 （defender-for-cloud-hardening）、记录管理（purview-records-management）或 M365 Secure Score（常规安全遥测）。

概念图

概念	含义
模板	一项法规／标准（例如，“ISO/IEC 27001:2022”）
评估	基于模板、限定到某个产品／组的实例（例如，“M365 ISO 27001”）
改进措施	一项具体的控制任务（由 Microsoft 管理或由客户管理）
Microsoft 管理的措施	由 Microsoft 维护；你会自动获得相应积分，无需采取任何行动
客户管理的措施	你必须实施、记录并提供证据
证据	附加到某项措施的文件、链接或自动化测试结果
评估组	逻辑分组（例如，某业务部门范围内的所有评估）
持续评估	对受支持的技术措施自动重新测试

方法

1. 先将你的义务映射到模板。 列出业务需要遵守的法规，然后与 Compliance Manager 模板匹配。覆盖范围广泛，但并非每个内部框架都有预置模板。自定义模板可以弥补这一缺口。

2. 从一个核心评估开始，而不是十个。通常选择 ISO 27001 或 NIST CSF，并将范围限定为“Microsoft 365”或“Microsoft 365 + Azure”。先证明价值，再逐步扩展。

3. 先处理 Microsoft 管理的措施。 这些措施会自动计分。剩下的客户管理措施才是真正需要投入工作的部分。

4. 对于每项客户管理的措施：

   • 指定负责人和截止日期。
   • 定义实施状态（未实施 → 部分实施 → 已实施）。
   • 附上证据（策略文档、屏幕截图、配置导出文件、Defender for Cloud 合规报告、审核日志查询）。
   • 对于支持自动化测试的技术措施，配置测试，使其持续重新运行（M365、Entra、Defender for Cloud）。

5. 对评估进行分组。 多法规环境会产生重复的控制工作（NIST AC-2 与 ISO 27001 A.9.2 基本相同）。在分组评估间共用改进措施，让一次实施在所有评估中都能计分。

6. 为内部框架编写自定义模板： 通过 CSV/Excel 导入来构建模板（控制 ID、类别、标题、说明、测试流程、措施类型）。适用于 Microsoft 目录中尚未收录的行业框架，以及内部合规补充要求。

7. 规范证据存储库管理。 将证据集中存储（每项评估对应一个 SharePoint 文件夹）。为证据标注版本、日期和负责人。审计时才去找 8 个月前的屏幕截图，为时已晚。

8. 报告。

   • 按评估统计合规评分趋势（每月向领导层汇报）。
   • 按负责人和逾期时长统计未完成的改进措施。
   • 检查证据是否新鲜（标记任何超过 12 个月的证据）。
   • 导出为 PDF/Excel，供审计人员和 GRC 工具使用。

9. 持续重新评估。 为每项评估安排季度内部审查。不要等到外部审计时才发现偏差。

护栏

• Compliance Manager 分数不是你的审计结论。 这是 Microsoft 根据操作状态计算的安全态势指标。审计员仍然需要证据；该分数有助于确定工作优先级，而不能让你通过审计。
• 没有证据时，不要将由客户负责的操作标记为“已实施”。 这是导致审计失败的情形。现在虚报分数，以后就会难堪。
• Microsoft 管理的抵免适用于 Microsoft 服务。 你仍需负责该服务中的租户配置（例如，Microsoft 管理的加密 ≠ 你的 CMK 配置）。
• 自定义模板缺少持续测试。 内置模板中的技术操作会重新测试；自定义模板则依赖手动更新证据。
• 不要在多个评估中重复工作。 使用分组；否则，同一项控制措施会被实施 5 次。
• Compliance Manager 是 Purview 许可功能。 某些模板是高级附加项（特定区域／行业模板）。请确认相应 SKU 是否提供该模板。
• Compliance Manager 中的证据不是法律记录保留存储库。 请结合 Records Management 进行实际的记录保留。

常见反模式

• “分数达到 92% → 我们已合规” — 分数是内部指标；审计员会测试控制措施，而非 Microsoft 的分数。
• “未上传证据就将操作标记为完成” — 会立即导致审计失败。
• “第一周就创建了 15 项评估” — 没有一项会持续维护证据；最终都会失效。
• “Compliance Manager 证据存放在个人 OneDrive 文件夹中” — 存在继任风险；审计时也无法找到。
• “忽略 Microsoft 管理操作的上下文” — 在未配置客户侧选项的情况下申领 Microsoft 抵免（例如，审计要求启用 Customer Key，却在未启用时申领“加密”抵免）。
• “在 UI 中手动创建自定义模板” — 速度慢，也无法进行版本控制。请使用 CSV 导入，并将 CSV 纳入源代码管理。
• “忽略持续评估 — 对可自动测试的技术控制手动提供屏幕截图证据” — 白费功夫。

示例提示词

• 规划 Compliance Manager 部署：为医疗保健 M365 + Azure 租户，将 SOC 2 Type II、ISO 27001 和 HIPAA 进行分组。
• 根据我们的内部控制框架 CSV 创建自定义评估模板。
• 为 ISO 27001 监督审计准备建立证据存储库结构和标记规范。
• 找出 NIST 800-53 和 ISO 27001 中重复的客户管理操作，并合并为共享操作。
• 季度内部审查 SOP：如何验证证据时效性、重新测试状态，以及重新分配逾期操作。
• 将 Compliance Manager 的 NIST CSF 覆盖范围与我们当前的 GRC 工具进行比较，并提出迁移建议。
• 为 FedRAMP Moderate 评估中的 Entra、M365 和 Defender for Cloud 操作接入自动化技术测试。

Microsoft Learn

• Compliance Manager 概述：https://learn.microsoft.com/purview/compliance-manager
• 模板列表：https://learn.microsoft.com/purview/compliance-manager-templates-list
• 评估：https://learn.microsoft.com/purview/compliance-manager-assessments
• 改进操作：https://learn.microsoft.com/purview/compliance-manager-improvement-actions
• 持续评估：https://learn.microsoft.com/purview/compliance-manager-setup#turn-on-automatic-testing
• 自定义模板（CSV 导入）：https://learn.microsoft.com/purview/compliance-manager-templates
• 证据：https://learn.microsoft.com/purview/compliance-manager-improvement-actions#how-to-export-an-improvement-action-report
• 合规分数计算：https://learn.microsoft.com/purview/compliance-score-calculation
• 角色权限：https://learn.microsoft.com/purview/compliance-manager-setup#set-user-permissions-and-assign-roles