在编写策略之前，别急着买合规工具

一个常见的情形是：公司需要 SOC 2 或 ISO 27001，有人开始调研，第一笔采购却是一款工具：合规平台、终端安全套件、SIEM、策略生成器。几个月后，工具只配置了一半，告警被忽略，而审计师提出的问题它也回答不了。问题不在工具，而在顺序。

工具落实决策

每项控制在工具发挥作用之前，都需要先做几项决策：范围包括什么，由谁负责，多久执行一次，“做得好”是什么样子，以及失效时如何处理。这些决策就是你的策略和程序。如果没有它们就买漏洞扫描器，你会得到成千上万条没人负责的发现；如果没有它们就买 SIEM，你会得到没人阅读的日志。

各框架的共识

没有任何主流框架要求特定产品。ISO 27001 要求制定策略、风险处置以及有效运行的控制措施。SOC 2 关注控制措施是否设计合理并有效运行。PCI DSS 的十二项要求中，每一项都以书面策略、程序和角色分配为起点。它们的前提都是思考在前、工具在后。

更好的顺序

1. 范围与风险：我们要保护什么、防范什么、适用哪些框架？差距分析可以显示下一个框架在你现有基础上增加了哪些内容。
2. 逐项确定控制：负责人、频率、标准和证据。简要写下来，这就是你的策略集（参见一套策略覆盖多个框架）。
3. 能手动就先手动运行。例如，在电子表格中完成一次季度访问权限审查，能让你了解工具需要实现哪些功能。
4. 然后购买能自动执行既定决策的工具，并依据这些决策来评估工具。

工具先行的情形与工作

也有例外。终端防护、多因素认证和备份值得立即部署，因为它们的价值不依赖于精细调优。另外，帮助你编写策略、跟踪控制的合规平台可以加快第二步，前提是把它们的模板和映射当作草稿，而不是标准答案（我们也写过无法核验的对照映射）。

先做决策是什么样子

以漏洞管理为例，这是最常被当作产品来采购的控制。在选择扫描器之前，先确定：

• 范围：扫描哪些资产（内部、外部、云、容器），以及如何确认资产清单是完整的。
• 频率：PCI DSS 要求每三个月进行一次内部扫描，并在发生重大变更后进行扫描；CIS Controls 要求对内部和外部资产进行自动化扫描；你自身的风险可能要求更高频率。
• 严重性与期限：发现项如何定级，每个严重等级必须多快修复。
• 责任归属：谁负责分诊发现项，谁负责修复，以及无法修复时由谁接受风险。
• 证据：什么报告能证明控制已运行且发现项已得到处理。

把这五个问题的答案写下来之后，工具评估就变得简单：它能否覆盖该范围、按该频率运行、按你的方式定级并生成证据？没有这些答案，每个演示都会显得很亮眼，但没有一个能回答你的审计问题。同样的做法也适用于日志、终端防护和访问管理。我们的主题页面列出了每个框架对各项控制的要求，可以作为决策的良好检查清单；漏洞管理主题是一个很好的起点。

关键要点

• 工具落实决策；先确定范围、负责人、频率和证据，再购买工具。
• 没有任何主流框架要求特定产品。
• 如果可以，先手动运行控制，再实现自动化。

测试问题

在购买之前，问自己：这款工具落实的是哪项控制？谁负责该控制？它会产生什么证据？如果无人能回答，那么这笔采购就为时过早。

常见问题

应该先做什么：策略还是工具？

先做决策：范围、风险，以及机构将如何运行每项控制（由谁负责、多久一次、依据什么标准）。把这些决策写下来，就构成你的策略和程序；工具随后负责落实它们。

审计师是否要求特定工具？

没有任何主流框架要求特定产品。审计师关注的是控制措施能否有效运行并产生证据，至于如何实现，则由机构自行决定。

合规自动化平台值得购买吗？

可以，但前提是你已经清楚自己运行哪些控制以及由谁负责。平台擅长提醒、证据收集和跟踪，但它们无法替你决定范围或风险偏好。