安全合规工具箱·安全审计/合规检查清单生成器（参数表 + 示例输出）

你是资深安全合规审计师/GRC专家。按以下结构输出安全审计/合规检查清单：

输出约束：

• 严格映射标准条款、条款编号可追溯
• 证据要求具体、可获取、可验证
• 测试步骤可执行、抽样标准明确
• 发现分级定量化、整改可追踪
• 报告模板专业、可直接交付管理层/监管机构
• 支持多标准并行审计、控制措施复用

常用负面词：
vague scope, no evidence, no testing, subjective findings, no remediation tracking, no continuous monitoring, checklist only

示例输入：
标准：ISO 27001:2022 + 等保 2.0 三级
业务：B2B SaaS 客户成功平台
数据：客户数据/用户行为/支付/个人信息（核心机密/敏感/内部/公开）
架构：K8s/AWS/RDS/ElastiCache/S3/CloudFront/WAF/GuardDuty
监管：个人信息保护法/数据安全法/网络安全法

示例输出：

安全合规审计清单：ISO 27001:2022 + 等保 2.0 三级 - 客户成功平台

1. 审计范围与标准

• 适用标准：ISO 27001:2022 (Annex A 93条控制) + 等保 2.0 三级 (扩展要求)
• 业务范围：客户成功主动干预平台全链路(数据接入/健康度/预警/干预/仪表盘/管理后台)
• 系统边界：K8s集群(生产/预发/开发)/RDS PostgreSQL/ElastiCache Redis/S3/CloudFront/WAF/GuardDuty/IAM/KMS/CloudTrail
• 数据分级：核心机密(客户支付/个人身份/健康度模型参数)/敏感(用户行为/工单内容/邮件)/内部(运营数据/配置/日志)/公开(官网/文档)
• 云厂商：AWS (cn-north-1/ cn-northwest-1 双区部署)
• 监管要求：个人信息保护法/数据安全法/网络安全法/等保 2.0 三级备案

2. 控制域与控制目标 (ISO 27001 Annex A 4大主题)

3. 核心技术控制措施清单 (节选：访问控制/加密/运维/网络/应用)

1. 强制 MFA、会话录制、操作审计、即时提权
   | 3. 云控制台/数据库/K8s/堡垒机统一纳管 | 技术 | 实施中 | IAM策略/特权账号清单/MFA配置/会话录像/审计日志/堡垒机记录 | 1. 抽查 100% 特权账号是否启用 MFA |
2. 抽查 5 个特权操作是否有录像/审计
3. 验证即时提权流程/审批记录 |
   | A.8.24 加密 | 1. 传输加密：TLS 1.2+ 全链路(ALB/CloudFront/RDS/ElastiCache/内部 gRPC) |
4. 静态加密：RDS/S3/EBS/EFS/KMS 托管密钥 + 自带密钥(KMS 外部密钥库)
   | 3. 密钥管理：KMS 自动轮转 90 天/密钥分级/访问策略/审计 | 技术 | 已实施 | TLS配置/证书/KMS密钥策略/轮转记录/加密状态截图/密钥访问日志 | 1. 扫描全链路 TLS 版本/密码套件 |
5. 验证 RDS/S3/EBS 加密状态/密钥归属
6. 抽查密钥轮转记录/访问日志 |
   | A.8.8 技术漏洞管理 | 1. 容器镜像扫描：CI 集成 Trivy/Grype，阻断高危漏洞 |
7. 依赖扫描：Dependabot/Snyk，自动 PR 修复
8. 基础设施扫描：Checkov/Terraform Plan，策略即代码
9. 运行时防护：Falco/Tracee，异常行为告警
   | 5. 补丁管理：OS/中间件/库 30 天内修复高危 | 技术 | 已实施 | 扫描报告/阻断记录/修复 PR/策略文件/运行时告警/补丁记录 | 1. 抽查 10 个镜像扫描报告/阻断记录 |
10. 验证 Dependabot 自动修复 PR
11. 验证 Checkov 策略覆盖/运行时告警响应 |
    | A.8.20 网络安全 | 1. VPC 隔离：生产/预发/开发 独立 VPC，Security Group 最小开放 |
12. WAF 托管规则 + 自定义规则：OWASP Top 10/速率限制/地理封禁/签名
13. 流量加密：全链路 TLS/私有连接/VPN/Direct Connect
14. DDoS 防护：Shield Advanced/速率限制/黑洞/清洗
    | 5. 网络监控：VPC Flow Logs/GuardDuty/Network Firewall/异常流量告警 | 技术 | 已实施 | VPC/子网/SG规则/WAF规则/Shield配置/Flow Logs/GuardDuty发现/告警记录 | 1. 验证 VPC 隔离/SG 最小开放 |
15. WAF 规则覆盖/拦截日志
16. GuardDuty 发现响应/误报率 |
    | A.8.25 安全开发生命周期 | 1. 威胁建模：新功能/架构变更强制 STRIDE/数据流图 |
17. 代码审查：安全清单/SAST(SonarQube/CodeQL)/秘钥扫描
18. 安全测试：DAST/IAST/渗透测试(年 1 次)/模糊测试
19. 依赖管理：SBOM 生成/许可证合规/供应链扫描
    | 5. 安全培训：开发安全编码/OWASP Top 10/年 2 次 | 技术/管理 | 实施中 | 威胁建模文档/代码审查记录/SAST报告/渗透报告/SBOM/培训记录 | 1. 抽查 5 个新功能威胁建模 |
20. SAST 覆盖率/高危漏洞修复率
21. 渗透测试报告/整改验证 |

4. 等保 2.0 三级扩展要求 (节选)

5. 发现分级与整改追踪

6. 持续监控指标

7. 报告模板结构

1. 执行摘要：范围/周期/关键发现/整改状态/剩余风险/建议
2. 审计范围/标准/方法/团队/时间线
3. 控制域合规度统计：合规/不合规/部分合规/不适用
4. 关键发现详情：ID/分级/描述/证据/影响/根因/建议/责任人/截止
5. 整改追踪状态：已关闭/进行中/逾期/风险接受
6. 剩余风险与接受声明
7. 管理层建议/投资优先级/路线图
8. 附件：证据清单/测试记录/访谈记录/配置导出

常用负面词：
vague scope, no evidence, no testing, subjective findings, no remediation tracking, no continuous monitoring, checklist only