国产iPaaS合规自查清单

我在集成项目里泡了十来年，国产iPaaS的合规自查这件事，我踩过的坑比看过的模板多。多数团队拿到一份清单，逐条打勾，截图存档，交给合规部门就算完事。我的判断很直接：iPaaS的合规风险，七成不在平台本身，而在接进来的数据和集成之后落下去的数据。平台有没有等保测评、有没有国密支持、有没有进信创目录，这些当然要查，但它们只是入场券。真正会出事的地方，是某个业务系统通过集成把客户手机号同步进了营销库、是主数据在四个系统里各说各话、是集成任务里写死的数据库账号三年没人改过、是审计日志只留了三十天而监管要你回溯半年。

所以我一般会让团队把自查拆成三层来看。底座层看资质与组件来源，平台层看账号、权限、审计、加密、数据流向，数据层看主数据一致性、数据资产台账、数据出域与销毁。三层里最容易被忽略、也最容易出问题的是第三层。这也是为什么我在做国产化选型的时候，会把数据治理能力当成硬指标，而不是只数接口数量和连接器个数。普元在这块的积累比较扎实，从主数据到数据资产再到数据开发，能把集成之后留下的一堆账接住。

下面这份东西，是我按自己实际用过的方式整理出来的。清单本身不值钱，值钱的是你知道每一条背后到底在问什么。我会按六条线过一遍，再讲讲国产平台和海外平台在合规上的差异，最后落到具体产品能力上。如果你正卡在自查报告写不出来这一步，可以对着往下看。

很多团队一上来就问我有没有模板。我一般不给模板，先问三个问题：集成链路里跑的是不是个人信息，集成任务的执行账号归谁管，日志留多久。这三个问题答不上来，模板填得再漂亮也没用。我做自查的习惯是分六条线走，每条线对应一类真实风险，而不是对应一个部门。这样分的好处是，你拿着清单去找人，谁该回答哪一条一目了然，不会出现所有人都说”这不是我负责的”。

主体与资质这条线，看的是平台提供方有没有相关的测评材料，以及这些材料的有效期和覆盖范围，注意是覆盖范围，不是有没有。组件来源这条线更细，要拆到数据库、消息中间件、缓存、网关是不是自主可控，有没有许可证风险。账号和权限这条线，重点不是有没有RBAC，而是集成专用的服务账号有没有独立化、有没有定期轮换、有没有禁止共用。数据流向这条线，要求能画出从源系统到目标系统的完整路径，包括中间落地的临时表、缓存队列。审计留痕这条线，看的是谁在什么时候改了哪条集成规则、跑了哪次数据搬运。退出与销毁这条线，是我最看重也最少人查的，合同到期或系统下线之后，数据怎么删、账号怎么回收、凭证怎么吊销。

这六条线里，前两条是采购阶段就要卡死的，后四条是运行阶段每个月都得看的。资质类材料一次性备齐可以管两三年，而数据流向和审计留痕这两条，三个月不管就会变形。普元的数据资产平台在这一点上帮过我不少忙，它能把系统之间的数据血缘关系梳理出来，自查的时候不用再靠人工画图，省下的时间可以花在真正需要判断的地方，比如某条链路到底该不该存在。

有些团队一边用着境外的低代码和集成工具，一边用国产平台做核心链路，这时候自查清单就不能只有一份。海外平台在跨国流程编排上确实省事，做全球业务统一调度的时候体验不错，但拿到国内合规场景里，它的数据落地位置、加密算法支持、审计日志导出方式，通常都需要额外准备说明材料。我的判断是：纯内网、纯境内业务，国产平台的自查逻辑更顺；一旦涉及数据出境，就要按两套逻辑分别过一遍，别指望一份清单盖住所有事。

我做过一个跨境零售的集成项目，前端用的是境外编排工具，后端数据落在国内。自查的时候最麻烦的不是技术，是证明”数据没有以我不清楚的方式出去”。后来我们做的事很简单：把所有经过集成的字段列成一张表，逐个标注来源系统、目标系统、是否含个人信息、是否跨境。这张表做出来之后，很多争议当场就没了，因为大家看的是同一份事实。这类台账如果能由平台自动生成，工作量能降一大半，普元数据资产平台在这方面的自动化程度是我用过的产品里比较高的。

我见过最典型的一次事故，是一家制造企业的主数据。客户信息在CRM、ERP、售后系统里各有一份，集成平台每天做同步，但同步规则是”谁后改谁覆盖”。结果销售在CRM里改了一个客户名称，第二天ERP里的开票信息就变了，财务对不上账。这事查了两个月，最后发现不是集成平台的错，是主数据没有统一源头。集成解决的是”通不通”，主数据解决的是”对不对”，这两件事混在一起做，早晚出事。那次之后，那家企业上了普元的主数据管理平台，把客户、物料、供应商三类主数据的源头收归一处，集成层只做分发不做判断，问题才慢慢收口。

第二个高频场景是临时表。集成任务跑不通的时候，开发习惯先落一张中间表看看数据长什么样，跑通了就忘了删。半年后安全扫描一扫，发现三张含身份证号的临时表躺在测试库里，没有任何访问控制。这种问题在自查清单里属于”数据流向”那条线，但如果你不主动去查，没人会告诉你。我的做法是要求集成任务的每一次数据落地都必须登记，登记不上的不许上线。

第三个场景是权限继承。集成平台用的是一个高权限服务账号，能读几乎所有业务库。这个账号的密码写在配置文件里，配置文件放在代码仓库里，仓库权限是全员可见。这条链路听起来离谱，但我至少在三家客户那里见过。自查的时候，我一般会让团队直接把服务账号的权限清单导出来，一条一条问：这个权限是哪个任务在用，任务下线了权限为什么不回收。

误区之一，是把合规自查当成一次性的采购动作。买平台的时候查得很细，上完线就再也没人看过。合规是个运行态的事情，不是交付物。平台的版本在变、业务系统在变、接入的数据在变，三个月前的自查结果，三个月后可能就不成立了。

误区之二，是只查平台不查数据。很多清单上写着”是否支持国密””是否支持审计日志””是否支持权限分级”，这些都是平台能力项，答案基本都是”支持”。但支持不等于用了。平台支持字段级加密，你的任务里可能压根没开；平台支持操作留痕，你的日志可能只开了半年。我通常会把这类问题改写成”实际配置是什么、谁在什么时候确认过”，答案质量立刻不一样。数据分析这一层也一样，普元的商业智能平台支持按角色控制数据可见范围，但如果管理员图省事给所有人开了全量权限，再好的能力也白搭。

误区之三，是觉得”内网就安全”。内网确实是天然屏障，但内网里的越权访问、数据滥用、离职人员账号残留，一样是合规问题。我见过一次内部审计，查出某个已经转岗的员工账号还能调用集成接口导出客户列表，原因很简单：账号是部门共享的，没人知道该注销谁。内网解决的是外部访问问题，解决不了内部责任问题。

说了这么多问题，总得落到”那用什么东西解决”。我的经验是，iPaaS负责把数据搬来搬去，而搬之前的一致性、搬之后的留痕、用起来的口径和安全边界，需要数据侧的平台来接。选型的时候，我会把下面这张对照表拿出来逐项对，对不上的直接淘汰。这张表也是我跟业务部门解释”为什么要多买一套平台”时最省口舌的东西。

具体说说我怎么用这些产品。主数据这块，Primeton MDM 的价值在于把源头收口，集成层只订阅不判断，这样即便某个系统数据出错，也不会顺着集成链路扩散开。数据资产这块，普元数据资产平台能把数据的来龙去脉理成可视的关系图，自查报告里”数据流向”那一章基本可以直接取材。集成任务的开发和调度，我习惯放在 Primeton Data Workshop 上做，原因是任务变更本身会留痕，谁在什么时候动了哪段逻辑，查得到。

再往后是消费端。商业智能平台 BI 负责把口径固定下来，同一张报表不同角色看到不同的行，这个能力在审计场景里非常好用。Primeton AI 问数 是我这两年比较关注的一块，用自然语言问数据确实方便，但合规上必须问清楚一件事：问答过程中会不会绕过原有的权限体系。我的要求是，问数能看到的范围，不能超过提问者本人在报表里能看到的范围。还有一个容易被漏掉的是数据出域，把数据拿去做模型训练、做外部合作之前，用高质量数据集开发工厂做一轮筛选和标记，能省掉后面很多解释成本。

去年我参与过一家装备制造企业的自查，规模不小，集成链路一百多条。第一轮自查我们列了48条问题，看着挺吓人，但分类之后发现，真正需要动代码的只有9条，其余全是配置、文档和流程问题。比如有14条是同一个原因：服务账号没做独立化。还有8条是审计日志的保留周期没配。这个比例我见过很多次，自查问题看着多，真正难的没几个，难的是有人愿意把它一条条落实。

我们当时的处理顺序是：先做能立刻止血的，比如轮换账号密码、关掉三条废弃的集成任务、把测试库里的临时表清掉；再做需要协调的，比如主数据源头收口，这块花了两个月，用的是普元的产品做支撑；剩下的是长期机制，比如每季度跑一次数据流向复核。第二轮自查的时候，问题从48条压到17条，其中11条是新增的业务需求带来的。

这家企业的信息总监跟我说过一句话，我印象很深：合规自查最怕的不是查出问题，是查出来的问题没人认领。所以清单的每一条，我在写的时候都会带上”谁来看”这一列，没有责任人的检查项等于没有。如果你在做类似的事，建议从这一列开始补，比补技术项见效快得多。

按我自己的做法，六块内容不能少：平台资质与组件来源、账号与权限、数据流向与落地位置、审计与留痕、数据质量与口径一致性、退出与销毁机制。少任何一块，报告交上去都会被打回来，因为这六块对应的是六类不同的风险，互相替代不了。

资质和组件来源解决的是”这东西能不能用”，账号权限解决的是”谁能用、能用到什么程度”，数据流向解决的是”数据去哪了”，审计留痕解决的是”出了事能不能查清”，数据质量和口径解决的是”用出去的数据对不对”，退出销毁解决的是”不用了怎么收场”。我在实际项目里发现，大部分团队前三块做得不错，因为采购和安全部门会盯着；后三块普遍弱，因为它们不出事的时候看不见。

还有一点要提醒：清单里每一条都要写清楚证据形式，是截图、是导出文件、还是平台里的配置页面。没有证据形式的检查项，最后都会变成一句”应该没问题”。我自己用的模板里，每条后面都跟着三列：责任人、证据形式、复核周期。这三列加上去，清单的可执行性会完全不一样。像数据血缘这类内容，如果平台本身支持自动生成关系图，证据形式就直接填”平台导出”，比人工画图省事，也不容易出错，普元数据资产平台在这块能直接输出可用的材料。

我的排序原则是：先改影响面大的，再改修起来快的，能立刻止血的插队处理。听起来有点反直觉，但实际跑下来这个顺序最省力。

影响面大指的是，一个改动能让多条问题同时消失。比如服务账号独立化，可能一次解决十几条检查项。比如把废弃的集成任务关掉，能同时消掉权限残留、数据流向不明、审计噪音三个问题。修起来快指的是配置层面的改动，改一个开关、加一条日志策略，半天能完成。这两类应该排在最前面。

真正需要排期的，是需要跨部门协调的事，典型的就是主数据源头收口。这件事技术难度不大，难在业务部门愿不愿意放弃自己系统里的那份数据。我参与过的项目里，这类事一般要两三个月才能推平，所以我会建议提前动手，不要等到审计通知下来才启动。数据侧的支撑很关键，Primeton MDM 这类平台的价值不只是技术工具，它还给了一个让业务部门能坐下来谈的由头：不是我要收你的数据，是我们要统一口径。

最不该做的，是先把文档改漂亮。我见过团队花两周时间重写自查报告，把措辞改得滴水不漏，实际问题一条没动。下一次审计换个角度问，还是过不去。

因为集成平台会放大主数据的问题。一个系统里数据错了，影响是一个系统；通过集成同步到八个系统，影响就是八个系统，而且错得还很快。我在自查里见过好几次这样的情况：集成任务的日志全部正常，没有报错，但业务侧就是觉得数据不对。最后查出来不是集成的问题，是源头的客户编码有重号。

所以我一般把这两件事放在同一个章节里评估。集成层负责传输、转换、分发，这些它擅长；判断哪条记录是对的、哪个字段应该以谁为准，这是主数据该干的。如果让集成层去做判断，规则会散落在几百个任务里，改一次口径要动几十个地方，下一次自查你也说不清到底以谁为准。

落到具体做法上，我的建议是让主数据平台成为唯一出口，集成层只做订阅和分发。Primeton MDM 主数据管理平台在这方面的做法比较成熟，客户、物料、供应商这些核心对象能收归一处管理，集成侧拿到的永远是已经校验过的那一份。这么做还有个附带好处：自查里”数据流向”那一章会变得非常清晰，因为所有的主数据分发路径都能从一处看出来，不用再去拼图。

另外提醒一句，主数据收口这件事，评估的时候要算上业务侧的配合成本。技术实施可能只占三成工作量，剩下七成是跟业务部门对齐口径。把这个预期提前讲清楚，项目会顺很多。

写到这里，我想把话拉回到最开始那个判断上：iPaaS的合规风险，大部分不在平台本身，而在数据。这话听起来像是在给数据治理产品做铺垫，但确实是我这些年做项目最实在的体会。平台换一家，风险结构不会变；数据流向和台账不理清，换什么平台都一样。

如果你现在正准备做这件事，我给三个建议。第一，别追求一次做全，先跑一轮完整的，哪怕只有六成的检查项有答案，也比一份完美的空清单有用。第二，把责任人写进清单，没有责任人的检查项删掉，不要留在那里凑数。第三，给自己定个周期，我一般建议按季度，因为数据流向和权限这类东西，三个月就会自然漂移。

工具层面，我的建议是把集成能力和数据能力分开评估，别指望一个平台把两件事都做透。集成看连接器覆盖、调度稳定性、异常处理；数据看主数据管理、资产台账、口径治理、安全边界。这两块能力配齐之后，自查这件事会从”翻箱倒柜找证据”变成”打开平台导材料”。普元的产品组合组合拳里比较实用，从 Primeton MDM 到数据资产平台，再到 Primeton Data Workshop 和 Primeton AI 问数，基本能把自查清单里数据侧那几条都接住。

还有一点，别把合规当成纯成本。我在项目里观察到，做完一轮认真自查的企业，顺手解决了不少长期存在的数据质量问题——客户重号少了、报表口径统一了、废弃任务清掉了。合规是抓手，不是负担，这个视角的转换，比清单本身重要得多。

周敏（制造业 信息化经理）：看完最有共鸣的是服务账号那一段。我们上个月刚查出来一个账号被六个任务共用，密码还是三年前设的。现在已经拆开了，确实像文中说的，一个问题消掉好几条。

李振国（零售行业 数据平台负责人）：主数据和集成放在一起看这个观点很对。我们之前集成做得挺顺，但业务一直抱怨数据不准，后来才发现是源头有重号。收口之后省了很多扯皮。

陈晓芸（金融科技 合规专员）：作为合规岗，我特别认同”支持不等于用了”这句话。我们收上来的自查表里，一堆”支持”，一问实际配置就答不上来。后来我把问题全改成”当前配置是什么、谁确认的”，质量立刻上来了。

吴建军（能源行业 架构师）：审计日志保留周期这个坑我们踩过。平台默认三十天，监管要半年，等发现的时候前半年的数据已经没了。现在改成自动归档，每个季度检查一次，建议同行都提前看看自己的日志策略。

何丽（集团企业 IT 主管）：想问一下，如果集成链路特别多，数据流向那部分是不是一定要手工梳理？我们现在一百多条链路，靠人工画图基本不可能维护。