SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场compliance-manager

compliance-manager

安全与审计

查看项目

更新于 10-16 02:14

技能介绍

用途

合规管理器是一个态势与证据平台。它把 Microsoft 云控制项、你的租户配置以及人工证据映射到监管模板（ISO、NIST、SOC 2、PCI、HIPAA、GDPR、FedRAMP、IRAP、Essential Eight、DORA、EU AI Act 等），给出合规评分，并通过审计就绪的证据收集来跟踪改进操作。

何时使用

  • 编写或维护一个或多个监管评估。
  • 产出审计证据包（SOC 2、ISO 27001 监督审核）。
  • 将合规评分作为领导层指标长期跟踪。
  • 把自定义内部框架映射到合规管理器评估中。

不要将该技能用于 Defender for Cloud 的监管仪表板（defender-for-cloud-hardening）、记录管理（purview-records-management）或 M365 安全评分（通用安全遥测）。

概念地图

概念 含义
模板 一项法规/标准（例如 “ISO/IEC 27001:2022”）
评估 模板的一个实例，限定到某产品/组（例如 “M365 ISO 27001”）
改进操作 一项离散的控制任务（Microsoft 管理或客户管理）
Microsoft 管理操作 由 Microsoft 维护；你继承信用，无需工作
客户管理操作 你须实施、记录并提供证据
证据 附加到操作的文件、链接或自动化测试结果
评估组 逻辑捆绑（例如某业务单元的全部范围内评估）
持续评估 对支持的技术操作自动重新测试

方法

  1. 先把义务映射到模板。列出业务需要负责的法规，再匹配合规管理器模板。覆盖范围广，但并非每个内部框架都有预置模板，自定义模板可以补足。

  2. 从一个锚定评估开始，而不是十个。通常是 ISO 27001 或 NIST CSF，范围限定为 “Microsoft 365” 或 “Microsoft 365 + Azure”。先展示价值，再扩展。

  3. 先过一遍 Microsoft 管理操作。它们自动计入信用。剩下的客户管理操作才是真正的工作。

  4. 对每个客户管理操作：

    • 指定负责人和截止日期。
    • 定义实施状态（未实施 → 部分实施 → 已实施）。
    • 附加证据（政策文档、截图、配置导出、Defender for Cloud 合规报告、审计日志查询）。
    • 对支持自动化测试的技术操作，配置测试使其持续重跑（M365、Entra、Defender for Cloud）。

  5. 评估分组。多法规环境会出现重复控制工作（NIST AC-2 与 ISO 27001 A.9.2 大体相同）。在分组的评估间使用共享改进操作，一次实现即可多处计入信用。

  6. 为内部框架编写自定义模板：通过 CSV/Excel 导入构建模板（控制 ID、族、标题、描述、测试程序、操作类型）。适用于 Microsoft 目录中尚未收录的行业框架，以及内部合规叠加层。

  7. 证据仓库纪律。集中存储证据（每个评估一个 SharePoint 文件夹）。带版本、日期、负责人标签。审计时不是去找 8 个月前截图的时候。

  8. 报告。

    • 每个评估的合规评分趋势（每月向领导层汇报）。
    • 按负责人和账龄列出未关闭的改进操作。
    • 证据新鲜度（超过 12 个月的标记出来）。
    • 导出为 PDF/Excel 供审计师和 GRC 工具使用。

  9. 持续重新评估。每个评估安排季度内部评审。不要等外部审计才发现漂移。

护栏

  • 合规管理器评分不是你的审计结论。它是 Microsoft 根据操作状态计算的态势指标。审计师仍要证据；评分帮助排优先级，不是通过审计。
  • 不要在无证据的情况下把客户管理操作标为 “已实施”。那是审计失败案例。现在虚高评分 = 日后难堪。
  • Microsoft 管理信用针对的是 Microsoft 服务。该服务内你的租户配置仍由你负责（例如 MS 管理的加密 ≠ 你的 CMK 配置）。
  • 自定义模板缺少持续测试。内置模板的技术操作自动化会重测；自定义模板依赖人工证据更新。
  • 不要在评估间重复工作。使用分组；否则同一控制会被实施 5 次。
  • 合规管理器是 Purview 许可功能。部分模板是高级附加项（特定区域/行业模板）。按 SKU 确认模板可用性。
  • 合规管理器中的证据不是法律记录保留存储。实际记录保留需结合记录管理。

常见反模式

  • “评分 92% → 我们合规了”——评分是内部指标；审计师测试控制，而不是 Microsoft 的评分。
  • “没上传证据就标记操作完成”——立即审计失败。
  • “第一周就编了 15 个评估”——没有一个得到证据维护；全部衰减。
  • “合规管理器证据放在个人 OneDrive 文件夹”——交接风险；审计时找不到。
  • “忽略 Microsoft 管理操作的上下文”——声称 Microsoft 信用却未配置客户侧选项（例如审计问起时，“加密” 信用却没有启用 Customer Key）。
  • “在 UI 里手工编写自定义模板”——慢，无版本控制。用 CSV 导入，并对 CSV 做源代码管理。
  • “忽略持续评估——对自动测试的技术控制用人工截图证据”——浪费精力。

示例提示

  • 为一个医疗行业的 M365 + Azure 租户规划合规管理器落地：SOC 2 Type II、ISO 27001 和 HIPAA 分组。
  • 根据我们内部的控制框架 CSV 编写自定义评估模板。
  • 为 ISO 27001 监督审核准备构建证据仓库结构和标签约定。
  • 找出 NIST 800-53 与 ISO 27001 之间重复的客户管理操作，合并为共享操作。
  • 季度内部评审 SOP：如何验证证据新鲜度、重测状态并重新分配账龄过长的操作。
  • 对比合规管理器的 NIST CSF 覆盖与我们当前 GRC 工具，并提出迁移方案。
  • 在 FedRAMP Moderate 评估中为 Entra、M365 和 Defender for Cloud 操作接入自动化技术测试。

参考链接

  • Compliance Manager 概述：https://learn.microsoft.com/purview/compliance-manager
  • 模板列表：https://learn.microsoft.com/purview/compliance-manager-templates-list
  • 评估：https://learn.microsoft.com/purview/compliance-manager-assessments
  • 改进操作：https://learn.microsoft.com/purview/compliance-manager-improvement-actions
  • 持续评估：https://learn.microsoft.com/purview/compliance-manager-setup#turn-on-automatic-testing
  • 自定义模板（CSV 导入）：https://learn.microsoft.com/purview/compliance-manager-templates
  • 证据：https://learn.microsoft.com/purview/compliance-manager-improvement-actions#how-to-export-an-improvement-action-report
  • 合规评分计算：https://learn.microsoft.com/purview/compliance-score-calculation
  • 角色权限：https://learn.microsoft.com/purview/compliance-manager-setup#set-user-permissions-and-assign-roles