安全是DigiCert所做一切的核心。随着DigiCert和我们的客户面临的威胁和风险的不断变化，维护这种安全性和信任需要不断关注标准和合规性。在DigiCert，我们在全球运营中保持着强大的合规文化。
作为全球领先的TLS/SSL和PKI解决方案提供商，DigiCert致力于在我们所做的一切中培养强大的合规文化。从首席执行官到下一任首席执行官，我们的团队都明白，如果不专注于标准和合规，我们就无法在安全和维护与客户和合作伙伴的信任方面发挥最大作用。由于我们的服务是客户安全态势的重要组成部分，我们有责任在了解业务标准和风险方面做到世界一流。
我们的规模和规模相结合，要求我们在维持合规文化的方式上灵活娴熟，与每一位团队成员都息息相关。我们努力通过积极主动和不断发展的方法优化合规性，这将帮助我们领先于新的威胁和行业要求。

领导
它从顶部开始。DigiCert的执行指导委员会每隔几周召开一次会议，专门讨论合规和风险管理问题，以审查公司和客户面临的不断变化的威胁和风险矩阵。
本次审查的目标是始终掌握围绕标准、合规性和风险不断变化的形势。我们维护一个风险登记册，该登记册源于我们的产品、标准和合规团队的努力，以确保任务获得资源并优先解决。
随着DigiCert寻求在影响我们行业或运营的发展问题面前保持领先地位，并避免在一些组织中出现无休止的“中断/修复”功能障碍，这一生活过程正在不断完善。我们预计2022年将进一步加强企业风险管理工作。

领先于标准
使用DigiCert的客户的优势之一是我们能够在标准和合规方面进行适当投资。我们不仅在勾选方框，而且通过投资制定塑造我们行业的技术标准，以及确保遵守我们义务的新方法，帮助引领潮流。
许多客户将熟悉DigiCert与CA/浏览器论坛的长期合作，该论坛是TLS、s/MIME和代码签名证书相关的领导工作组。但我们的专业标准专家也参与了其他重要的行业机构，为我们的行业制定要求，如IETF（在LAMPS和（后量子加密）等领域）和欧洲电信标准协会，特别是在与我们的合格信托服务提供商运营相关的电子签名和基础设施（ETSI ESI）领域。其他组织包括ISO、ANSI（特别是X9金融服务PKI组织）、Zigbee联盟和AuthIndicators工作组。

合规投资
正如一个参与PKI各个方面的全球组织所期望的那样，DigiCert已经投资于为我们的合规和审计团队配备适当的人员，专家遍布我们在世界各地的办公室。然而，DigiCert的不同之处并不在于我们只是履行了自己的义务，而是我们采取了下一步行动，将合规知识转化为新的价值和持续改进。

● 审计自动化——作为一家涉及PKI各个方面的全球性组织，DigiCert根据WebTrust、ETSI、ISO和其他机构等组织的标准，对我们的系统和运营进行多达25次不同的年度审计。管理这么多审计本身就是一项相当大的任务，更不用说成功通过这些审计了，但DigiCert认真开发和利用工具，使审计更高效、更有意义。
一个例子是我们对审计管理解决方案的投资，通常被称为GRC工具，以将我们无数的安全和技术要求与我们的内部控制相匹配，并持续保持所有权/责任和证据。这些工具使我们能够在全年持续跟踪合规和风险，而不是每年对我们的合规状况进行一次快照。

● 分析–我们行业中的许多人都熟悉ZLint等自动化工具的积极影响，它可以验证TLS证书是否符合主要标准。在我们的规模上，DigiCert采取了数据驱动的合规方法，开发了帮助我们的内部审计团队在整个证书基础上确定风险领域的能力，而不仅仅是勾选3%的样本。重点领域可以包括在出现新问题时主动扫描。

● 事件和合规工作组——将一个专家团队隔离在象牙塔里是没有帮助的。甚至在新冠疫情爆发之前，DigiCert就建立了一个专注会议的学科，将我们来自不同学科的关键人员聚集在一起，专注于分享某个主题的信息。例子包括我们的事件分析电话，重点关注外部披露（如对Bugzilla的披露）及其及时补救，以及我们每周的合规工作组，该工作组汇集了包括产品经理在内的跨职能团队成员，以跟踪行业趋势的发展，应反映在我们的产品和运营战略中的标准和合规要求。

● 嵌入产品开发——合规不是守望相助。DigiCert确保我们的合规专家在产品和服务开发列车离开车站之前参与其中。我们的目标不仅是确保我们的产品符合适用于其运营的许多技术标准，而且我们还在产品主干中构建了诸如linting、控制链接和专家报告等功能，以帮助我们实时运行合规功能。

总之，这种对合规性的关注有助于 DigiCert 领导层了解我们的产品、我们的客户和我们的合作伙伴面临的风险，并推动采取积极行动来解决我们发现的任何威胁，同时将对我们客户的负面影响降到最低。 根据我们的规模和增长率，我们的目标是保持我们在行业安全性和合规性方面的领先地位。

本文由 聚力诚信 根据 Digicert 博客

DIGICERT’S COMPLIANCE CULTURE: A PROACTIVE APPROACH 编译整理，转载请注明出处。

厦门聚力诚信科技有限公司（BestCert.net）是网络安全领域的专业服务提供商，专注提供SSL证书，邮件安全证书，代码签名证书等国际、国密双算法的数字证书管理服务, 涵盖所有市场主流的SSL证书类型和品牌，从证书的申请，验证，安装，证书专家全程在线支持！公司同时为各行业客户提供电子签章，身份认证等电子认证服务解决方案。