问：我需要按照一套已有的规定完成一个现有架构的差距分析。目标是找到差距，解决这些问题，从而使基础架构达到中期总结报告的标准。你可以帮助我做这件事吗，第一步该从哪开端呢?
答：我的第一个问题是：你所提到的已有的规定是什么？是PCI DSS、HIPAA、NERC CIP还是ISO 27001/2？
一旦明白了你需要满足的规定，你就可以进行一个简略的清单差距分析。下面是几种建立和获取系统架构审查清单的方法：
例如，可以将支付卡行业数据安全标准（PCI DSS）的自我评估问卷作为一个起点。对于HIPAA合规，可以在网上找到各种组织供给的现成清单，比如NIST清单。对于NERC CIP，我发明，只要你进行逐项条款而不是逐段条款，他们的标准——与可靠性标准审计工作表（RSAW）一起——可以作为一个相当体面的清单应用。
如果我没有列出与您的组织规范相符合的标准，您可以在互联网上搜索清单，也可根据你所关注的标准建立你自己的清单（下面将详细讲述）。
对于应用清单，我有如下建议：汇集了关于这个问题的内部专家（如类似你情况的网络架构人员）尝试过的标准，并断定以下内容：
1．目前的架构是否符合请求规定？
2．你能遵照这个规定吗？
3．如果不符合请求，需要采用哪些举动来达到合规呢？
这个初步清单/标准最好的审查方法是应用类似SharePoint的协作工具。在小组审查请求时，你可以跟踪合规评估，收集和发布能够证明合规的文件以及后期举动项目（包含义务和截止日期）。
最后，一个可能会呈现的问题是：“如果我没有任何可用的清单该怎么办？”在这种情况下，你需要做大批的工作，你需要浏览标准和详细研究满足每一个请求的可能性，这样来建立清单。在过去，我已经这样做了，而且实际上，我采用了审计人员的做法：首先按照一个特定标准规定的请求建立一个问题清单，然后让自己和内部团队成员去检测清单是否符合标准请求。这样做可能开端有点慢，但到最后你会完整懂得标准的细节。
相关阅读