随着技术的变化，WEB系统面临的安全威胁越来越多。这些威胁可能来自于组织内部和外部，可能产生破坏性的后果，导致系统宕机或者敏感信息泄露。因此在WEB系统的整个生命周期中都需要关注系统安全，本篇文章基于WEB系统涉及的法律法规和行业规范要求，分析如何制定合理的合规与安全基线。
在制定合规与安全基线时，从以下三个方面进行考虑。
一 考虑WEB系统涉及的法律法规和行业规范要求
从法律法规上讲，为进一步规范个人信息安全管理工作，有效防范用户个人信息安全隐患，根据《电信和互联网用户个人信息保护规定》、《关于办理侵犯公民个人信息刑事案件使用法律若干问题的解释》、《中华人民共和国网络安全法》、《信息安全技术个人信息安全规范》、《中华人民共和国个人信息保护法》等相关法律法规指定管理方法。在此基础上还要根据公司要求，以电信为例，参照电信集团印发的个人信息保护管理方法的制度进行进一步地确定。
需要明确的是，在WEB系统涉及用户信息的服务或者在向用户提供其他服务过程中收集、存储、使用等各个环节中都需要遵守上述的原则和保护要求。
二 考虑WEB系统本身的服务特性和使用场景
《个人信息保护法》中指出，web系统在个人用户信息读取和保存中需要遵守以下规则：
第四十一条：
处理个人信息达到国家网信部门规定数量的特定单位应当按照下列情形指定个人信息保护负责人对个人信息处理活动进行检查、监督，并负责组织个人信息处理条件评估和敏感个人信息泄露、损毁事故发生时的应急处置：
（一）处理敏感个人信息的；
（二）处理不满十四周岁未成年人个人信息的。
前款规定的特定单位应当将个人信息保护负责人名单及其联系方式向所在地的省、自治区、直辖市人民有关部门、网信部门备案。个人信息保护负责人应当具备与其履行职责相适应的专业素养和专业知识。
对于WEB系统来讲，使用的用户信息包括但不仅限于用户名、用户ID、绑定邮箱、手机号码、登录时间、登录位置、搜索码等。如有必要，可能还涉及用户的个人身份证号码，住址或者ip等信息。根据这些信息的机密程度，还要区分涉及安全基线。
三 制定合规与安全基线的八个步骤
- 定义合规要求：首先，需要确定项目所需的合规标准。这可以是行业标准（如HIPAA、PCI DSS等），也可以是企业内部标准。
- 识别风险：对项目进行风险评估，识别出潜在的安全威胁和漏洞。
- 确定安全需求：根据合规要求和风险评估结果，确定项目的安全需求。这些需求可以包括加密、身份验证、访问控制、数据备份等方面。
- 建立安全策略：基于安全需求，制定相应的安全策略。这些策略应涵盖物理安全、网络安全、应用程序安全、访问控制等方面。
- 制定安全标准：为项目创建安全标准，包括代码审查、安全测试、漏洞管理等。
- 建立监控和报告机制：实施监控和报告机制，确保项目的安全性。这可以包括日志记录、入侵检测、安全事件响应等方面。
- 培训团队成员：为团队成员提供安全意识和培训，确保他们了解安全政策、标准和技术，并在项目中遵循。
- 持续改进：定期审查和更新安全策略和标准，以适应项目发展和技术变化。
总之，制定项目合规与安全基线需要综合考虑多种因素，包括合规要求、风险评估、安全需求、安全策略、安全标准、监控和报告机制、团队培训和持续改进。
