资源介绍
视频数量：27个
总时长：3小时37分
课程介绍：
治理风险合规工程自动化
审计人员最怕遇到的场景，大概不是发现了严重漏洞，而是打开检查清单后才发现：表格里的状态、服务器上的配置和系统实际运行情况，早就不是一回事。云环境每天都在变化，权限配置会变，服务器会新增，合规证据稍不注意就会过期。等到季度审计开始，再让团队逐项截图、导出、核对，工作量大，结论也往往滞后。
这门GRC工程大师课要解决的，正是这个现实问题。课程共27个视频，总时长3小时37分，内容从GRC工程的基本理念出发，逐步进入工具搭建、Python控制脚本、证据自动采集、AWS Config持续合规、基础设施即代码，最后讨论如何建立GRC文化和规划职业发展。它不是把传统合规表格简单搬进云端，而是教读者用工程思维重新设计治理、风险与合规流程。
一、理解GRC工程究竟改变了什么：
课程开篇会介绍传统GRC的工作方式。它通常依赖电子表格、审计报告和人工抽查，控制措施写完后，可能一年才检查一次；可云和AI驱动的环境变化很快，人工流程很难持续跟上。
GRC工程的核心，是把软件工程的方法引入GRC：控制措施应当像代码一样被编写、部署、测试和验证，Compliance状态也要从“事后报告”变成“持续反馈”。这种转变能解决几个具体问题，例如团队不知道哪个资源缺少标签，审计证据总是临时补齐，安全配置变化后没有及时发现，以及不同部门对合规状态的认知不一致。
二、搭建GRC工程工具箱：
接下来进入实践环节，课程会介绍GRC工程师日常使用的工具，并逐步创建自己的工程工具包。讲师会说明如何申请AWS免费额度账户、安装AWS命令行工具，同时引入Cursor作为开发辅助工具。
这一部分的意义在于消除“知道概念却无法动手”的距离。你会看到云环境、代码编辑器、命令行和身份认证如何连接起来，并从零建立后续实验所需的工作空间。涉及云服务费用时，课程也会提醒查看账单、预算和剩余额度，让练习过程更可控。
三、用Python把控制措施代码化：
本课程最有特点的内容，是把合规控制从文字要求转成可执行逻辑。你会先理解“控制措施代码化”的概念，安装Python，再编写第一个GRC控制，例如检查多因素认证状态，或者列出IAM用户。
脚本的优势不只是快，而是结果可以重复验证。人工检查容易受时间、人员和操作差异影响，代码却能明确检查对象、判断条件和输出结果。通过这类例子，你会逐渐形成工程化习惯：先定义控制目标，再选择查询接口，接着编写判断逻辑，最后形成可供审计使用的记录。
四、让审计证据自动生成和保存：
有了控制脚本，课程进一步回答一个非常现实的问题：如果仍然要有人定时运行脚本，这仍然不是真正的自动化。
为此，课程引入AWS Lambda和Amazon EventBridge。Lambda用于运行无服务器函数，EventBridge负责按计划或事件触发任务。两者结合后，控制检查可以自动执行，审计证据能够持续采集，并存入S3存储桶。
具体内容分为多段演示：从设计触发机制开始，在Cursor中创建Lambda函数，再配置事件规则、身份权限和存储位置，最后运行并核对证据文件。课程还会处理存储桶中的旧证据，避免新旧结果混杂。这个环节解决的是审计工作中最耗时的一环：证据不再依赖临时截图，而是由系统持续记录，形成更加稳定、可追溯的记录链。
五、利用AWS Config实现持续合规：
AWS Config是课程持续合规部分的核心。你会先认识它如何发现资源变化、保存配置历史并触发规则，再创建第一条AWS Config Rule，例如检查必需标签。
课程还包含自定义Config Rule、自动修复、Conformance Packs等内容。自定义规则能针对企业自己的安全政策编写检查逻辑；自动修复则更进一步，在发现不符合要求时自动采取行动。通过Conformance Packs，可以把一组相关规则组织起来，覆盖更完整的合规场景。
六、通过基础设施即代码落实控制：
课程随后进入基础设施即代码，并结合Amazon EC2展开操作。你会编写和管理服务器配置，比较两台服务器在安全设置上的差异，观察手工创建的资源为何容易遗漏控制，以及用统一配置部署资源为何更稳定、更容易验证。
这部分把“代码化控制”落实到基础设施层面。它适合已经能运行Python脚本、但希望把控制措施真正纳入部署流程的读者。你会进一步理解，当资源由代码生成时，标签、权限、网络暴露和安全参数可以被重复检查，合规要求也能随模板同步到环境，而不是留在文档里等待人工执行。
七、建立GRC文化并规划职业路径：
技术工具只是GRC工程的一部分。最后两节课转向团队协作与职业发展。课程会讨论如何让法务、安全、IT和业务团队共同参与控制设计，怎样让GRC从审计部门的一次性任务变成组织日常决策的一部分，以及如何让控制责任、证据和自动化流程形成闭环。
GRC工程师的职业路径也会单独梳理。你会看到这项工作如何连接安全工程、云平台、合规管理和技术领导力，并为后续学习方向建立清晰框架。
完成课程后，你将拥有一套可运行的GRC工程思路和实践路径：能够搭建工作环境，用Python编写合规控制，通过Lambda与EventBridge自动采集证据，利用AWS Config持续检查和修复问题，并借助基础设施即代码把控制前置到资源创建阶段。更重要的是，你会学会用可重复、可扩展、可持续验证的方式处理治理、风险与合规，而不是继续依赖脆弱的人工流程。