合规和安全之间的区别就是：合规是按照规章制度来做事，而安全则是防止没有预想到的事情发生。企业的网站要满足这两方面的要求，并且这两个方面都在不断地发生变化。按照最容易出现问题的一些环节来进行说明，不使用抽象的概念，而是用具体的行动来说明。
首先要把这三条线分开
- 告知与同意：收集信息前说明收集什么、用来做什么、保留多久；默认勾选“已同意”不能算同意。
- 最小必要：能不收集的就不收集。留言表单放身份证号、家庭住址，既没必要也给自己添麻烦。
- 可以删除也可以导出：留下后台入口，在用户提出查看、修改或者删除的要求之后能够进行相应的操作。
这三条不能解决的话，后面的技术方法都属于事后补救了。整改中最花钱的部分并不是修改代码，而是“翻旧账”：要找到之前所有的资料在哪里、谁可以查看。
网站侧经常遗漏的地方
- 第三方的统计数据、客户服务、地图、字体和验证码等系统的功能以及数据传输路径没有记载。
- 表单采用明文方式发送，后台管理系统则直接挂靠在子域名的下面。
- 使用了多年的没有更新过的开源软件以及插件存在安全漏洞，已经发布了半年的补丁信息还没有进行修复。
- 全站使用http和https两种协议，有些页面的资源加载出现了问题。
- 备份文件和压缩文件可以放在网站上进行下载。
- 管理员账号使用弱密码，无登录失败次数限制和二次验证功能。
- 错误信息直接把数据库报错和路径信息输出到页面上了。
- 测试环境和正式环境使用相同的账号和密码，在数据库中存在着真实的数据。
大部分的项目并不需要高技术，只需要有人来管、有一份清单、有一个审核人就可以了。很多发生的问题并不是因为不知道怎么做，而是因为没有人的监督。
隐私政策怎么写才通俗易懂呢？
隐私政策中最不能做的有两点：一是直接套用模板，使内容不符合实际情况；二是写得太复杂让人看不懂。正确的做法是按照实际的流程来编写：
| 页面动作 | 政策里要写清 |
|---|---|
| 留言咨询 | 收集姓名、电话、需求内容，用于回复，7 日内未成交转归档 |
| 下载资料 | 收集邮箱，仅用于发送该资料，不用于营销 |
| 在线客服 | 对话记录保留期限、是否用于服务改进 |
| 统计与分析 | 使用的统计工具、是否涉及跨站识别 |
写完之后要检查一下整个流程是否符合要求：有规定但是没有相应的页面说明就是过度承诺了，有页面说明却没有相应的规定就是信息不全了，这两种情况都需要修改。
安全：四件一定要经常做的事情
- 更新：核心程序、主题、插件、服务器系统，固定周期检查更新，紧急漏洞不拖延。
- 备份：程序、上传文件、数据库分开备，备份存到隔离位置，定期做恢复演练。备份没恢复过，等于没备。
- 权限：后台按岗位分权，离职即回收；日常账号不用管理员权限登录。
- 监控：留访问与错误日志，异常请求（批量扫描、登录爆破）有告警。
上线前检查清单
在交货之前一一勾选要比之后去弥补要容易多了：
- 整个网站都是https的，没有混用内容的警告，并且已经设置了自动续期证书。
- 表单数据通过加密方式传输，不直接显示在URL中。
- 有隐私政策、备案号和版权声明等完整的信息，可以正常访问。
- 第三方的脚本清单已经整理好了，包括用途和责任人等信息。
- 后台入口已经更改或者设置了访问权限，并且启用了强密码和双重认证。
- 机器人和sitemap都正常，没有敏感的目录被搜索引擎索引。
合规和安全都有一个特点就是没有尽头：随着业务的改变而变化、随着软件的升级而修复。把它当作一个一次性项目来做是对它最大的误解了。