从差距报告到项目计划：责任人、证据与时间表

开展差距分析只是容易的部分。我们的分步指南可以帮你做出一份列出所有未满足要求的跟踪表。接下来发生的事情，决定了项目能否成功落地：很多跟踪表最后只是一长串标记为“未满足”的行，却无人认领。

第 1 步：将条目归入工作流

要求的编号遵循的是框架自身的逻辑，而非你的组织逻辑。请按修复它们所需的工作，重新归类未满足的条目：

• 治理与政策（范围、角色、政策、管理层批准）
• 身份与访问
• 漏洞与补丁管理
• 日志与监控
• 事件响应与报告
• 供应商管理
• 业务连续性与备份
• 安全开发
• 物理安全

一个工作流往往能关闭十几甚至二十行条目。例如，在合同中写入供应商安全条款，即可同时满足 ISO 27001、PCI DSS、通用数据保护条例（GDPR）和 NIS2 中的多项要求。

第 2 步：按依赖关系和风险排序

1. 优先处理前置项：范围、治理、政策和风险评估。缺少这些基础，技术工作就会返工。
2. 其次处理高风险差距：未启用多因素认证的暴露系统、未打补丁的面向互联网的服务、未经测试的备份。
3. 再处理其余项，文档编制与证据收集应与之同步推进，而不是留到最后。

第 3 步：如实估算工作量

对每个工作流，应明确工作内容、执行人、所需时长以及成本（人力、工具、外部支持）。隐性成本通常出现在控制措施建成之后的日常运行中（例如季度评审每年要开四次会，而且会一直持续下去），而不在前期建设阶段。

第 4 步：指定将来负责运行控制措施的责任人

整改任务的责任人应是日后负责运行该控制措施的人：补丁管理由 IT 经理负责，供应商合同由采购部门负责，背景筛查由人力资源部门负责。合规负责人负责协调、检查证据并汇报进展，但不能承担全部职责。

第 5 步：以证据定义“完成”

只有当控制措施既正常运行又产生证据时，任务才算完成：首次访问权限审查已签字确认，首次恢复测试已记录，政策已获批准并已完成宣贯。请在推进过程中将证据索引同步记录到跟踪表中；到审计时，这份跟踪表就是你的证据索引。

实例说明

假设一家已通过 ISO 27001 认证的企业需要满足 NIS2。ISO 27001 → NIS2 差距报告将每一条 NIS2 要求对应到 ISO 中的相应内容，但与实际情况进行验证后发现，有十几条要求只是部分满足。按整改措施归类后，这些条目可以合并为四个工作流：

• 治理：管理层批准各项措施，并开展管理层培训（一次董事会会议、一门培训课程，并做好记录）。
• 报告：制定重大事件处理程序，明确 24 小时和 72 小时的时限，编制模板并组织演练。
• 供应商：制定选择标准、合同条款，并对前二十名供应商进行审查。
• 技术深度：漏洞披露、密码学政策以及有效性指标。

四位责任人、四份计划，每份都有明确日期和证据清单，取代十几条互不相关的条目。治理与报告优先推进，因为监管机构会首先询问这两方面；技术深度工作则在接下来的一个季度内跟进。

核心要点

• 按修复所需的工作而非要求编号，重新归类未满足的要求。
• 先做治理、范围和政策工作，它们是解锁其他工作的前提。
• 为每个工作流指定将来负责运行控制措施的责任人。
• 以已运行并产生证据的控制措施来定义“完成”。

第 6 步：简明汇报进展

管理层需要三组数字：按工作流统计的已满足、进行中和未开始的要求数量，以及已逾期的风险。请定期重新执行差距分析；如果像本站一样基于实时数据计算，覆盖率数字会随着差距的关闭和框架的更新而变化。

如需起点，请在你现有的框架与所需框架之间运行差距分析并导出结果。对比页面列出了双向最常见的框架组合。

常见问题

合规差距应如何排定优先级？

应依据风险和依赖关系排序：先处理阻碍其他工作的差距（治理、范围、政策），再处理高风险的技术差距，最后处理文档和证据。要求编号并不能很好地指示处理顺序。

谁应负责合规整改任务？

应由日后负责运行控制措施的人员负责，而不是合规团队。合规团队负责协调并检查证据；控制措施责任人负责交付。

合规项目计划应该做到多详细？

应详细到每个工作流都有责任人、交付物、日期和证据清单。要求级别的细节属于跟踪表；计划本身应控制在一两页之内。