合规

本文约需 2 分钟阅读

安全合规是指维持并证明符合法律法规、行业标准和内部规程的安全措施的活动。根据所属行业和所处理数据的种类，需要遵守的法规各不相同，例如个人信息保护法、GDPR、PCI DSS、HIPAA 等。截至 2025 年，各国不断加强数据保护法规，合规应对的重要性日益提升。

现场使用案例

“在 SOC 2 Type II 的审计应对中，我们提交了过去 12 个月的访问日志、变更管理记录和事件响应记录。由于平时就构建了自动收集证迹的机制，审计准备所需的工时不到上一年的一半。”

合规与 GDPR 的关系

合规是“遵守法律法规”的总称，而 GDPR 是其中一项具体的法规。 GDPR 是专门针对欧盟境内个人数据保护的法规，但合规的对象并不仅限于此。日本企业需遵守个人信息保护法，处理信用卡需遵守 PCI DSS，处理医疗数据需遵守 HIPAA (美国) 或医疗信息指南 (日本) 等，需要同时遵守多项法规。合规入门书 (Amazon)可以系统地学习。

主要框架与标准

ISO 27001 是信息安全管理体系 (ISMS) 的国际标准，通过取得认证可以证明对外的可信度。 SOC 2 是面向云服务提供商的审计标准，依据安全性、可用性、处理完整性、机密性和隐私这五项信任原则进行评估。 NIST CSF (Cybersecurity Framework) 是源自美国的框架，以“识别、防御、检测、响应、恢复”五项功能来体系化安全措施。企业密码策略是这些框架都要求的基本措施。

应对要点

合规应对并非“取得一次就结束”，而是要求持续的维护与改进。证迹 (证据) 的管理至关重要，包括年度安全审计、定期的风险评估以及员工培训的实施记录等。违规时的处罚十分严厉，依据 GDPR 最高可处以全球年营业额 4% 或 2,000 万欧元的罚款。请为每项服务使用各自独立的强密码来保护所有系统，并满足医疗数据保护等行业特有的要求。ISMS 相关书籍 (Amazon)也可作为参考。