合规检查做得好是安全底座，做得不好就是全员抱怨。区别在于分级策略、透明告知与合理的缓冲期。
终端合规检查是零信任落地中最容易激起抵触的环节，因为它直接影响每个人的电脑。推广方式决定了项目是顺利推进还是被迫叫停。
原则一：分级，不要一刀切
把要求分成三档，按岗位与设备类型适用：
- 基础要求（全员）：系统密码策略、屏幕锁、杀毒软件运行、系统补丁不过期太久。
- 增强要求（接触敏感数据）：全盘加密、外设管控、禁止私自安装来源不明的软件。
- 特殊要求（研发与运维）：代码与配置的访问审计、更严格的网络访问范围。
一刀切的结果通常是：研发抱怨装不上开发工具，财务抱怨 U 盾用不了，最后被迫整体放宽。
原则二：先解释，再执行
提前两周告知要检查哪些项、为什么检查、不达标会怎样。给出自查方法，让员工能自己先检查一遍。
实践中，多数抵触来自「不知道在检查什么」的不安感，而不是检查本身。
原则三：留缓冲期与申诉通道
- 先运行监控模式，只提示不处置，让员工有时间处理不合规项。
- 对特殊设备（测试机、老旧设备）开申诉通道，由 IT 审核后加入例外清单。
- 例外清单要定期复核，不能一次申请永久有效。
原则四：把好处讲清楚
终端合规不只是给 IT 添麻烦，它同样保护员工：设备丢失后数据不泄露、被钓鱼后不会横向扩散、个人隐私数据不会被公司误采集。把这些讲清楚，接受度会明显不同。
衡量推行效果
关注三个数字：合规率的变化趋势、申诉与工单量、以及因为合规检查导致的业务中断次数。合规率上升而工单量下降，说明策略是合理的。
