implementing-compliance

合规框架

通过统一控制映射、策略即代码执行和自动化证据收集，实现对主要监管框架的持续合规。

目的

现代合规是一项持续的工程工作，需要通过技术手段实施安全控制。本技能提供 SOC 2 Type II、HIPAA、PCI-DSS 4.0 和 GDPR 的实践模式，涵盖基础设施即代码、策略自动化和证据收集。重点实施可同时满足多个框架要求的统一控制，将实施工作量减少 60-80%。

适用场景

在以下情况下调用：

• 构建需要 SOC 2 Type II 认证以拓展企业销售的 SaaS 产品
• 处理需要符合 HIPAA 要求的医疗保健数据（PHI）
• 处理需要通过 PCI-DSS 验证的支付卡
• 为欧盟居民提供服务，并根据 GDPR 处理个人数据
• 实施可满足多个合规框架要求的安全控制
• 自动收集合规证据并准备审计
• 在 CI/CD 管道中强制执行合规策略

框架选择

第 1 层：信任与安全认证

SOC 2 Type II

• 适用对象：SaaS 供应商、云服务提供商
• 必需场景：企业级 B2B 销售、处理客户数据
• 时间线：6-12 个月的观察期
• 2025 年更新：每月进行控制测试、AI 治理、72 小时内披露违规事件

ISO 27001

• 适用对象：全球企业
• 必需场景：国际业务、政府合同
• 时间线：3-6 个月完成认证，每年进行监督审核

第 2 层：行业专项法规

HIPAA（医疗保健）

• 适用对象：医疗保健提供商、处理 PHI 的健康科技企业
• 必需场景：处理受保护健康信息
• 2025 年重点：零信任架构、EDR/XDR、AI 评估

PCI-DSS 4.0（支付卡行业）

• 适用对象：商户、支付处理商
• 必需场景：处理、存储或传输持卡人数据
• 生效时间：2025 年 4 月 1 日（强制实施）
• 主要变更：客户端安全、12 位字符密码、增强型 MFA

第 3 层：隐私法规

GDPR（欧盟隐私）

• 适用对象：处理欧盟居民数据的组织
• 必需场景：拥有欧盟客户/用户（具有域外适用效力）
• 2025 年更新：48 小时内报告违规事件、罚款可达收入的 6%、AI 透明度

CCPA/CPRA（加州隐私）

• 适用对象：服务加州居民的企业
• 必需场景：收入 >$25M，或加州居民人数达到 100K+，或 50%+ 的收入来自数据销售

有关各框架的详细要求，请参阅 references/soc2-controls.md、references/hipaa-safeguards.md、references/pci-dss-requirements.md 和 references/gdpr-articles.md。

通用控制实施

统一控制策略

只实施一次控制，并将其映射到多个框架。可减少 60-80% 的工作量。

实施优先级：

1. 加密（ENC-001、ENC-002）：静态数据使用 AES-256 加密，传输中使用 TLS 1.3
2. 访问控制（MFA-001、RBAC-001）：MFA、RBAC、最小权限
3. 审计日志（LOG-001）：集中化、不可篡改、保留 7 年
4. 监控（MON-001）：SIEM、入侵检测、告警
5. 事件响应（IR-001）：检测、升级处理、违规事件通知

控制类别

身份与访问：

• 对特权访问启用多因素身份验证
• 基于角色的访问控制，并遵循最小权限原则
• 每季度审查访问权限
• 密码策略：至少 12 个字符，并包含复杂字符

数据保护：

• 加密：静态数据采用 AES-256，传输中数据采用 TLS 1.3
• 数据分类与标记
• 制定符合相关法规的数据保留策略
• 数据最小化

日志记录与监控：

• 集中式审计日志记录（所有身份验证和数据访问）
• 保留 7 年（满足所有框架要求）
• 不可变存储（S3 Object Lock）
• 实时告警

网络安全：

• 网络分段与 VPC 隔离
• 默认拒绝的防火墙规则
• 入侵检测与防御
• 定期扫描漏洞

事件响应：

• 编制事件响应计划
• 自动检测与告警
• 泄露通知：HIPAA 要求 60 天，GDPR 要求 48 小时，SOC 2 要求 72 小时，PCI-DSS 要求立即通知

业务连续性：

• 自动备份，并定义 RPO/RTO
• 多区域灾难恢复
• 定期进行故障转移测试

完整的控制措施实现请参阅 references/control-mapping-matrix.md。

合规即代码

使用 OPA 执行策略

在部署基础设施之前，通过 CI/CD 执行合规策略。

架构：

Git Push → Terraform Plan → JSON → OPA Evaluation
                                    ├─► Pass → Deploy
                                    └─► Fail → Block

示例：加密策略

执行加密要求（SOC 2 CC6.1、HIPAA §164.312(a)(2)(iv)、PCI-DSS Req 3.4）：

完整实现请参阅 examples/opa-policies/encryption.rego。

CI/CD 集成：

terraform plan -out=tfplan.binary
terraform show -json tfplan.binary > tfplan.json
opa eval --data policies/ --input tfplan.json 'data.compliance.main.deny'

完整的 CI/CD 模式请参阅 references/cicd-integration.md。

使用 Checkov 进行静态分析

使用内置合规框架支持扫描 IaC：

checkov -d ./terraform \
  --check SOC2 --check HIPAA --check PCI --check GDPR \
  --output cli --output json

为组织特定要求创建自定义策略。示例请参阅 examples/checkov-policies/。

自动化测试

将合规验证集成到测试套件中：

def test_s3_encrypted(terraform_plan):
    """SOC2:CC6.1, HIPAA:164.312(a)(2)(iv)"""
    buckets = get_resources(terraform_plan, "aws_s3_bucket")
    encrypted = get_encryption_configs(terraform_plan)
    assert all_buckets_encrypted(buckets, encrypted)

def test_opa_policies():
    result = subprocess.run(["opa", "eval", "--data", "policies/",
        "--input", "tfplan.json", "data.compliance.main.deny"])
    assert not json.loads(result.stdout)

完整的测试模式请参阅 references/compliance-testing.md。

技术控制措施实现

静态数据加密

标准： AES-256、托管 KMS、自动轮换

AWS 示例：

resource "aws_kms_key" "data" {
  enable_key_rotation = true
  tags = { Compliance = "ENC-001" }
}

resource "aws_s3_bucket_server_side_encryption_configuration" "data" {
  bucket = aws_s3_bucket.data.id
  rule {
    apply_server_side_encryption_by_default {
      sse_algorithm     = "aws:kms"
      kms_master_key_id = aws_kms_key.data.arn
    }
  }
}

resource "aws_db_instance" "main" {
  storage_encrypted = true
  kms_key_id       = aws_kms_key.data.arn
}

完整的加密实现（包括 Azure 和 GCP）请参阅 references/encryption-implementations.md。

传输中数据加密

标准： TLS 1.3（最低 TLS 1.2）、强加密套件、HSTS

ALB 示例：

resource "aws_lb_listener" "https" {
  port       = 443
  protocol   = "HTTPS"
  ssl_policy = "ELBSecurityPolicy-TLS13-1-2-2021-06"
}

多因素身份验证

标准： TOTP、硬件令牌、特权访问采用生物识别

AWS IAM 强制实施：

resource "aws_iam_policy" "require_mfa" {
  policy = jsonencode({
    Statement = [{
      Effect = "Deny"
      NotAction = ["iam:CreateVirtualMFADevice", "iam:EnableMFADevice"]
      Resource = "*"
      Condition = {
        BoolIfExists = { "aws:MultiFactorAuthPresent" = "false" }
      }
    }]
  })
}

应用级 MFA（TOTP）请参阅 examples/mfa-implementation.py。

基于角色的访问控制

标准： 最小权限、基于工作职能的角色、每季度审查

Kubernetes 示例：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: developer
  namespace: development
rules:
- apiGroups: ["", "apps"]
  resources: ["pods", "deployments", "services"]
  verbs: ["get", "list", "watch", "create", "update", "patch", "delete"]
- apiGroups: [""]
  resources: ["secrets"]
  verbs: ["get", "list"]  # Read-only

完整的 RBAC 模式（包括 AWS IAM 和 OPA 策略）请参阅 references/access-control-patterns.md。

审计日志记录

标准： 结构化 JSON、保留 7 年、不可变存储

必需事件： 身份验证、授权、数据访问、管理操作、安全事件

Python 示例：

class AuditLogger:
    def log_event(self, event_type, user_id, resource_type,
                  resource_id, action, result, ip_address):
        audit_event = {
            "timestamp": datetime.utcnow().isoformat() + "Z",
            "event_type": event_type.value,
            "user_id": user_id,
            "action": action,
            "result": result,
            "resource": {"type": resource_type, "id": resource_id},
            "source": {"ip": ip_address}
        }
        self.logger.info(json.dumps(audit_event))

日志保留：

resource "aws_cloudwatch_log_group" "audit" {
  retention_in_days = 2555  # 7 years
  kms_key_id        = aws_kms_key.logs.arn
}

resource "aws_s3_bucket_object_lock_configuration" "audit" {
  bucket = aws_s3_bucket.audit_logs.id
  rule {
    default_retention { mode = "COMPLIANCE"; years = 7 }
  }
}

完整的审计日志记录模式（包括 HIPAA PHI 访问日志）请参阅 references/audit-logging-patterns.md。

证据收集自动化

持续监控

自动收集证据，以持续验证合规性。

架构：

AWS Config → EventBridge → Lambda → S3 (Evidence)
                                   → DynamoDB (Status)

证据收集：

class EvidenceCollector:
    def collect_encryption_evidence(self):
        evidence = {
            "control_id": "ENC-001",
            "frameworks": ["SOC2-CC6.1", "HIPAA-164.312(a)(2)(iv)"],
            "timestamp": datetime.utcnow().isoformat(),
            "status": "PASS",
            "findings": []
        }
        # Check S3, RDS, EBS encryption status
        # Document findings
        return evidence

完整的证据收集器请参阅 examples/evidence-collection/evidence_collector.py。

审计报告生成

自动生成合规报告：

class AuditReportGenerator:
    def generate_soc2_report(self, start_date, end_date):
        controls = self.get_control_status("SOC2")
        return {
            "framework": "SOC 2 Type II",
            "compliance_score": self.calculate_score(controls),
            "trust_services_criteria": {...},
            "controls": self.format_controls(controls)
        }

完整的报告生成器请参阅 examples/evidence-collection/report_generator.py。

控制映射矩阵

跨框架的统一控制映射：

控制项	SOC 2	HIPAA	PCI-DSS	GDPR	ISO 27001
MFA	CC6.1	§164.312(d)	Req 8.3	Art 32	A.9.4.2
静态加密	CC6.1	§164.312(a)(2)(iv)	Req 3.4	Art 32	A.10.1.1
传输中加密	CC6.1	§164.312(e)(1)	Req 4.1	Art 32	A.13.1.1
审计日志记录	CC7.2	§164.312(b)	Req 10.2	Art 30	A.12.4.1
访问审查	CC6.1	§164.308(a)(3)(ii)(C)	Req 8.2.4	Art 32	A.9.2.5
漏洞扫描	CC7.1	§164.308(a)(8)	Req 11.2	Art 32	A.12.6.1
事件响应	CC7.3	§164.308(a)(6)	Req 12.10	Art 33	A.16.1.1

**策略：**通过正确的标记一次性实施，并映射到所有适用框架。

如需查看包含 45 项以上控制的完整控制映射，请参阅 references/control-mapping-matrix.md。

数据泄露通知要求

特定框架的时限：

• HIPAA：在 60 天内通知 HHS 和受影响个人
• GDPR：在 48 小时内通知监管机构（2025 年更新）
• SOC 2：在 72 小时内通知受影响客户
• PCI-DSS：立即通知支付品牌

必需内容：

• 事件及涉及数据的描述
• 受影响个人的估计人数
• 为减轻损害所采取的措施
• 供咨询使用的联系信息
• 补救措施及时间安排

如需事件响应模板，请参阅 references/incident-response-templates.md。

供应商管理

业务伙伴协议（HIPAA）：

• 所有处理 PHI 的供应商都必须签署
• 明确允许的用途和披露
• 要求采取适当的保护措施
• 每年审查并续签

数据处理协议（GDPR）：

• 所有处理个人数据的供应商都必须签署
• 仅按照控制者的指示进行处理
• 实施适当的技术措施
• 必须获得对下游处理者的批准

评估流程：

1. 根据数据访问级别进行风险分类
2. 评估安全问卷
3. 签署 BAA/DPA
4. 收集 SOC 2 报告（不超过 90 天）
5. 每年重新评估

如需供应商管理模板，请参阅 references/vendor-management.md。

工具与库

策略即代码：

• Open Policy Agent (OPA)：通用策略引擎
• Checkov：基于合规框架的 IaC 安全扫描
• tfsec：Terraform 安全扫描器
• Trivy：容器和 IaC 扫描器

合规自动化：

• AWS Config：AWS 资源合规性监控
• Cloud Custodian：多云合规自动化
• Drata/Vanta/Secureframe：持续合规平台

如需工具选择指南，请参阅 references/tool-recommendations.md。

与其他技能集成

相关技能：

• security-hardening：技术安全控制的实施
• secret-management：根据 HIPAA/PCI-DSS 处理机密
• infrastructure-as-code：通过 IaC 实施合规控制
• kubernetes-operations：K8s RBAC、网络策略
• building-ci-pipelines：在 CI/CD 中执行策略
• siem-logging：审计日志记录和监控
• incident-management：事件响应流程

快速参考

实施清单：

• 确定适用框架
• 实施加密（AES-256、TLS 1.3）
• 为特权访问配置 MFA
• 实施遵循最小权限原则的 RBAC
• 设置审计日志记录（保留 7 年）
• 配置安全监控/告警
• 制定事件响应计划
• 签署供应商协议（BAA、DPA）
• 实施策略即代码（OPA、Checkov）
• 自动收集证据
• 每季度进行访问审查
• 每年进行风险评估

常见错误：

• 将合规视为一次性项目，而非持续流程
• 按框架分别实施，而非采用统一控制
• 手动收集证据，而非自动化
• 日志保留期限不足（少于 7 年）
• 未强制启用 MFA
• 未加密备份/日志
• 供应商尽职调查不充分

参考资料

框架详情：

• references/soc2-controls.md - SOC 2 TSC 控制目录
• references/hipaa-safeguards.md - HIPAA 保障措施
• references/pci-dss-requirements.md - PCI-DSS 4.0 要求
• references/gdpr-articles.md - GDPR 关键条款

实施模式：

• references/control-mapping-matrix.md - 统一控制映射
• references/encryption-implementations.md - 加密模式
• references/access-control-patterns.md - MFA、RBAC 实施
• references/audit-logging-patterns.md - 日志记录要求
• references/incident-response-templates.md - IR 流程

自动化：

• references/cicd-integration.md - OPA/Checkov CI/CD 集成
• references/compliance-testing.md - 自动化测试模式
• references/vendor-management.md - 供应商评估模板
• references/tool-recommendations.md - 工具选择指南

代码示例：

• examples/opa-policies/ - OPA 策略示例
• examples/terraform/ - Terraform 控制实施
• examples/evidence-collection/ - 证据自动化
• examples/mfa-implementation.py - TOTP MFA 实施

请咨询具备资质的法律顾问和审计师，以获取法律解释并做好审计准备。