合规与GRC

这份榜单是做什么的

用来跟踪安全与隐私义务的软件：您声称在运行的控制措施，证明它们在运行的证据，员工必须阅读的制度，以及客户在签约前发来的问卷。

买家来到这里有两个原因之一。一笔交易卡在证书上，或者监管机构开始关注。前者很常见，并带有期限，这也是这个分类如此强调速度的原因。

真正执行访问控制和密钥管理的工具归入安全。合同签署和审批流程属于电子签名与合同。

这些产品真正做什么

这里没有谁颁发证书。软件收集证据，把它映射到某个框架，并在两次审计之间保持更新。检查您做法并形成意见的，仍是认可的审计员。

理解这条界线，能避免这个分类里代价高昂的失望。平台可以省去几个月的截图收集工作。它无法缩短审计员需要看到您的控制措施运行的观察期，也无法替一家并未做到自己所声称的事的公司通过审计。

工作分为四个部分：编写制度、落实控制措施、证明它们在运行，以及回答关于这三者的问题。各产品覆盖的程度不同。

框架，以及重叠有多少

从客户实际要求的框架出发，而不是网站上最长的那份清单。

• 安全鉴证，在企业销售中被要求，报告出具前有观察期。
• 可认证的标准，有正式的审计周期，两次审计之间有监督性访问。
• 隐私法规，其义务是法律性的，而非通过认证取得。
• 行业规则，针对医疗、支付卡数据、公共部门或金融，优先于一般性建议。
• 客户问卷，没有统一格式、没完没了，也是答案库存在的原因。

多数控制措施在各框架之间重复。好的平台会把一份证据映射到它满足的每一个框架，这正是第二个标准远比第一个便宜的原因。请针对您的具体组合核查这种映射。

持续监控是值得付费的部分

一年收集一次的证据只是一张照片。控制措施在拍照的第二天就开始偏离。

把平台连接到您的身份提供商、云账户、代码仓库和终端工具，它就能持续检查：访问权限评审是否已进行，设备是否已加密，离职人员是否已移除，以及生产变更是否经过评审。

关于这一点要问三个问题。对于您实际运行的系统，有哪些集成。检查失败时会怎样，因为没人负责的告警只是摆设。以及发现的问题能否在工具内部分配、跟踪和关闭，而不是复制进电子表格。

人员、制度与培训

没人阅读的制度，是一个等着发生的审计发现项。

寻找带确认签收的分发功能，能经受审计员追问“三月份的制度是怎么写的”的版本管理，以及发给个人而不是共享收件箱的提醒。安全意识培训有些厂商打包提供，有些单独销售，而打包的版本往往够用。

入职和离职清单把整件事串联起来，因为人走后遗留的访问权限，是首次审计中最常见的单项发现。

一年到底要花多少钱

平台订阅只是三项中的一项。审计员是第二项，往往更大。渗透测试，如果框架或客户有要求，是第三项。

平台定价通常按员工人数、按框架和按已连接的系统数量缩放，自动化的证据收集有时被放在入门方案之上。要一份包含任何入门费用在内的第一年完整费用，再问实施完成之后续费是什么样子。这些数字背后的做法，在定价页隐藏了什么里有详细解析。

为首次认证安排顺序

工作的顺序比平台更重要，因为多数延误来自软件无法加速的事情。

从范围开始。涵盖哪些系统、哪些地点、业务的哪些部分，决定了有多少证据需要收集，范围过宽是最常见的自找成本。

然后修复那些显然会失败的控制措施：没人执行的访问权限评审、账号仍然有效的离职人员、没有加密的设备，以及多年前写好却从未被阅读的制度。这些需要几周，工具无法缩短。

等这些工作开始之后再引入平台，这样它收集的是已经存在的做法的证据，而不是记录它们的缺失。

尽早预约审计员。决定日期的，往往是对方的档期，而不是您的准备程度。