6-2 安全策略的特点 · 波仔的云计算课

📄 一句话概括

安全不是买一堆设备，而是先把【我们打算怎么防】写下来——这份写下来的东西就是安全策略。它的三个特点是：分层（上面讲原则、下面讲动作）、书面（能被审计和追责）、可核验（外人能来查）。而第三方认证解决的正是最后一个问题：别人凭什么相信你的策略真在跑。

📝 本节和前面几节的关系

上一节把风险清成了四类，其中最后一类叫【合规性】——那一类没有技术解，只能靠认证、审计、日志。这一节讲的就是它怎么落地。

它也接着构建技术的通用化和标准化那条线：那一节讲的是技术怎么被协商成标准（OCI、CNCF 那些组织），这一节讲的是管理怎么被协商成标准（ISO、AICPA、PCI SSC）。两次协商的产物不一样，但推动力是同一个——市场需要一把大家都能用的尺子。

一、策略为什么必须写下来

一个团队当然可以不写策略，只在出事的时候靠人判断。这样做的代价是：

口径会变。同一个人今天严、明天松；换一个人接手，标准又不一样。
责任说不清。出了事，谁都没错——因为根本没有一条【应该怎么做】的成文规定可以对照。
外人无法核验。客户、监管、审计想确认你到底做没做到，只能听你说。

写下来就把这三件事同时解决了：口径固定、责任可追、外人可查。所以安全策略的本质不是【文档】，而是一份公开的承诺——你承诺了，就有被核对和被追责的义务。

二、动手 Demo：三层文件与第三方认证

看到什么算成功：

==================================================================================================
【Demo 2】安全策略的特点：三层文件与第三方认证
==================================================================================================
  安全不是买一堆设备，而是先写清楚【我们打算怎么防】——
  这份写下来的东西就是安全策略。它的特点是：分层、书面、可被外人核验。

  【一】策略分三层：上面讲原则，下面讲动作

  层级        名字                回答什么问题              谁批准
  ----------------------------------------------------------------------------------------
  第一层      方针 Policy         我们为什么做安全          董事会 / 负责人
  第二层      标准 Standard       做到什么程度算合格        安全委员会
  第三层      程序 Procedure      每一步具体怎么做          部门负责人

  三层是从上往下越来越具体。越靠上的改得越慢，越靠下的改得越勤。
  所以【策略不是文档柜里的死文件】——它是可以被审计、被追责的承诺。

  【二】第三方认证：别人凭什么信你的策略真在跑

  认证            谁发的      覆盖什么                      谁来审              有效期
  ------------------------------------------------------------------------------------------------
  ISO 27001:2022  ISO/IEC     整个管理体系（93 项控制）     第三方认证机构      3 年
  SOC 2 Type II   AICPA       某套服务（5 类准则）          CPA 事务所          无固定
  PCI DSS 4.0     PCI SSC     卡数据环境（12 项要求）       QSA / 自评          1 年
  等保 2.0        中国公安部  等级保护对象（分五级）        测评机构            1 年

  【三】拿证要多久、花多少钱（决定它能不能当卖点）

    ISO 27001：首次认证 6 ~ 18 个月，年审不断，证书 3 年一续
    SOC 2 Type II：3 ~ 12 个月，但要先跑 6 ~ 12 个月的观察期证据
    PCI DSS：3 ~ 12 个月，之后每年一次，还带季度扫描

  所以云服务商说自己【通过了 ISO 27001】，意思是：
  它把【怎么防】写成了文件、真按文件跑了、还让外人来查过。

读结果：

第一张表的重点在最后一列【谁批准】。方针由最高层批、程序由部门批——这条链说明的是【承诺的层级】：越往上，改一次要动的层级越多，所以越稳定。判断一家公司的安全是不是真在做，看它的程序文件是谁签的字就够了。
第二张表有个容易被忽略的细节：四张证书的【覆盖范围】完全不同。 ISO 27001 覆盖整个管理体系，SOC 2 只覆盖某一套服务，PCI DSS 只覆盖卡数据经过的那一小圈，等保 2.0 按定级对象来。所以【我们通过了认证】这句话，一定要追问一句【哪个范围、哪个版本、什么时候的】 ——不提范围的认证，基本没有信息量。
第三张表解释了一个商业现象：为什么云服务商的资质页上写的总是【ISO 27001 + SOC 2 + 等保三级】这一串。因为拿证要一两年、每年还要复审，所以一旦拿到就是一条护城河——小公司花不起这个时间和钱，认证本身成了准入门槛。

三、四张证书怎么选

不是每张都要拿，取决于谁来买你的东西：

你在卖什么	客户最想要哪张	原因
面向欧亚市场的云服务	ISO 27001	它是可公开查证的证书，政府与大企业采购认这个
做 B 端 SaaS（客户在美国）	SOC 2 Type II	美国的采购流程习惯问这份报告
处理信用卡数据	PCI DSS	这是强制的，不做就不能碰卡数据
面向中国政企、金融	等保 2.0	国内法规要求，按定级结果测评

一个实用的判断顺序：先问【我碰不碰卡数据】（碰就必须 PCI），再问【我的客户在哪】（欧洲认 ISO、美国认 SOC 2），最后问【我受不受国内监管】（受就做等保）。很多公司是从最急的那一张做起，做到第三张之后发现控制项大量重叠——据公开的实务统计，ISO 27001 与 SOC 2 的控制项约有七成可以复用同一批证据。所以顺序选对了，后面几张会越来越快。

四、拿证之后才是开始

有句话值得单独拎出来：认证是【一次审核】，安全是【一直运行】。

审核看的是【这一刻有没有】。SOC 2 Type II 之所以比 Type I 值钱，就是因为它要跑一段观察期（通常 6~12 个月），看的是【这段时间是不是一直有】。
证书是会过期的。ISO 27001 三年一续、每年监督审核；等保一年一测。过期没续，等于没有。
真正的风险在【为了过审而写】。如果文件是审计前临时补的、程序是给审核员看的，那么通过了也防不住任何事——这正是本节要把【策略是承诺】这句话放在最前面的原因。

30 秒实验

打开任意一家云服务商的【合规 / 信任中心】页面（多数叫【Trust Center】或【合规认证】），做两件事：

数一数它列了多少张认证（通常是十几到几十张，按地区、行业分）。
随便点开一张，看它的【范围声明】写的是什么——是【整个公司】，还是【某个区域、某个产品线】？

做完你会明白一件事：认证是有边界的。 一家云服务商有二十张证书，但你要用的那个服务不一定在证书覆盖的范围里。所以专业采购在签字之前，问的从来不是【你有没有认证】，而是【我要用的这个东西，在不在你的认证范围里】。

常见误区

错误：通过认证就说明这家公司安全。——纠正：认证说明的是【它有一套流程并且照跑了】，不是【它没漏洞】。ISO 27001 查的是管理体系（有没有风险评估、有没有内部审核、控制项有没有落实），它不保证你的系统不会被攻破。所以认证是【及格线】，不是【满分线】——它回答的问题是【这家公司靠不靠谱】，不是【这个系统安不安全】。
错误：安全策略是安全部门的事。——纠正：方针要最高层批，这一条就决定了它不是安全部门能自己定的。因为方针里写的往往是取舍（比如【为了合规，业务上线要慢三天】），只有能同时管业务和安全的人才批得下来。一份由安全部门单独写、没有业务方签字的方针，在真实冲突面前守不住——这也是为什么审计会专门看【管理层参与】的证据。
错误：认证越多越好，应该把能拿的都拿了。——纠正：每张证书都要人力和时间持续维持（年审、复审、证据收集）。拿了用不上的证书，就是把钱花在纸面上。正确做法是从客户实际会问的那一张开始：客户不问的证书，拿十张也不加分；客户问的那张没有，其他再多也进不了门。这是一个销售问题，不是一个安全技术问题。
错误：策略文件写完归档，这件事就结束了。——纠正：策略是【活文档】。Demo 第一张表里三层文件的修改频率不一样（方针几年一改、程序随时可改），这个设计本身就说明它是要被维护的。而且现实中最危险的状态不是【没有策略】，而是【策略写在文件里、实际做的完全是另一套】——审计和事故复盘都会盯着这个差距。策略的价值在于【对齐】，不在于【存在】。

自测三问（点开对答案）

1. 为什么安全策略要分层，而不是写成一份大文件？ —— 因为**不同层级的东西，修改频率和批准人是不同的**。方针（为什么做安全）是**战略层**的事，几年才动一次，要最高层批；标准（做到什么程度）是**执行标准**，一年一审，安全委员会定；程序（具体怎么做）是**操作层**的，随时可能因为工具换代而改。**如果全写在一份文件里，改一行字都要走最高审批，最后的结果就是【谁都不改】，文件很快就和现实脱节了。** 分层是为了让该灵活的地方灵活、该稳定的地方稳定。 2. 【可核验】为什么是安全策略的三个特点之一？ —— 因为**没有核验，承诺就没有约束力**。客户、监管、审计想确认你做没做到，如果只能听你自述，那这条承诺就等于没有。**第三方认证解决的正是这一点**：它引入了一个【利益无关的第三方】来对照标准查一遍，并把结果写成一个可以被外人看到的结论（证书或报告）。**这也是为什么本节有一半篇幅在讲认证**——它是【可核验】这个特点的落地方式。 3. 为什么 SOC 2 Type II 比 Type I 更有价值？ —— 因为**它们查的时间跨度不一样**。Type I 查的是【某一个时点上，控制措施有没有被设计出来】——**这是快照**；Type II 查的是【在一段观察期（通常 6~12 个月）里，这些控制是不是一直在有效运行】——**这是录像**。**快照可以临时准备，录像准备不了**：要证明某件事连续做了半年，你只能真的做了半年。所以对客户来说，Type II 回答的才是那个真正关心的问题——**【你平时就是这样做的吗】**，而不是【你审计那天做得怎么样】。

☐ 下一节（6-3 面临威胁时的安全对策：非法访问、有针对性的攻击）