从客户业务系统清单和合规要求进入范围确认
企业客户在采购安全咨询服务时，首先需要明确服务范围究竟涵盖哪些业务系统。安全团队会要求客户提供完整的业务系统清单，包括所有在用的硬件设备、软件平台、网络架构以及相关的合规要求文档。例如，一家互联网公司可能拥有多个业务系统，如Web服务器、数据库、内部办公网络等，每个系统都有不同的安全需求和合规标准。
收到清单和文档后，安全团队会逐项核对方案是否覆盖所有业务系统，并检查是否满足客户所需的合规标准，如ISO 27001、等保2.0等。这一阶段的目标是确保没有遗漏，同时为后续的评估和差距分析奠定基础。如果发现某些系统或合规条款未被覆盖，会及时与客户沟通，调整服务范围或补充必要的安全产品。
依据评估报告和合规差距分析界定服务边界
在确认覆盖范围后，安全团队会依据客户提供的网络拓扑图、安全设备清单、安全事件记录等材料，开展全面的安全评估。评估报告会详细描述客户现状，包括网络架构、系统配置、存在的安全漏洞和潜在风险点，并给出具体的改进建议。例如，一份典型的评估报告可能列出10项风险，涉及访问控制、数据加密、日志审计等方面。
同时，合规差距分析会逐条对照客户所需的合规标准，检查现有安全措施是否满足要求。以ISO 27001为例，差距分析报告会列出已满足的条款和未达标的条款，并给出整改建议。这一过程确保了服务边界清晰，客户可以明确知道哪些合规要求已被覆盖，哪些需要后续改进。
说明服务边界对费用和交付结果的影响
服务边界的明确直接影响费用组成和交付物清单。如果服务范围仅涵盖核心业务系统，费用会相对较低；如果扩展到所有边缘系统或新增合规条款，费用相应增加。安全团队会在方案中详细列出每项服务的费用，包括评估、差距分析、安全规划、应急响应咨询等，并说明各项费用的依据。
交付物清单也随服务边界确定。例如，基础服务可能只交付评估报告和整改建议；而更全面的服务还包括安全规划文档、应急响应预案、培训材料等。客户可以根据自身需求和预算，选择适合的服务包。明确的服务边界避免了后期范围蔓延和费用超支，确保双方对交付结果有共同的理解。
通过评估报告和整改建议安排后续复查
交付评估报告和整改建议后，这些文档将作为后续复查和延伸服务的依据。客户可以对照整改建议，逐步落实安全改进措施。安全团队建议在3个月后进行一次复查，检查整改完成情况，并更新评估报告。复查时，会重新核对业务系统清单和合规要求，确保新加入的系统或变更的合规标准也被覆盖。
此外，如果客户后续需要扩展服务范围，如增加新的业务系统或应对新的合规要求，之前的评估报告和差距分析可以作为基础，快速定位新增需求。安全咨询服务边界从初始的清单和文档开始，经过评估、分析、交付和复查，形成一个闭环，确保客户的信息安全建设持续合规、有效。