AHAX 公开知识库阶段 · 文章
06 安全、运维与 90 天路线
把迁移、权限、日志、备份恢复、漏洞响应、业务连续性和 AI 升级条件写进同一套可验收的运行机制。
管理者先看结论
Section titled “管理者先看结论”系统上线不是项目终点，而是责任从“建设”切换到“持续运行”的那一天。真正需要管理者签字确认的，不只是功能清单，而是五件事：数据迁移能对账、账号权限能回收、异常能发现、备份能恢复、事故发生时有人按手册处置。
AHAX 判断：安全与运维不能等上线后再补。第一期至少要交付权限基线、日志与告警、备份恢复演练、迁移对账、事件联系人、回滚手册和上线观察期。若这些内容没有进入验收，所谓“已经上线”只代表页面能打开，不代表业务能持续运行。
| 管理者要确认什么 | 不能只看什么 | 应拿到的证据 | 第一责任角色 |
|---|---|---|---|
| 迁移数据完整且口径一致 | 导入成功提示 | 对象清单、总量核对、抽样核验、差异单、复核签字 | 数据负责人 |
| 权限符合岗位需要 | 一张角色配置截图 | 权限矩阵、审批记录、离职回收记录、越权测试 | 业务负责人 + 系统管理员 |
| 关键操作可追溯 | “系统有日志” | 日志样例、查询步骤、保留策略、告警记录 | 运维负责人 |
| 备份可以恢复 | 备份任务绿色状态 | 恢复演练记录、恢复后对账、失败复盘 | 运维负责人 + 业务复核人 |
| 事故时可以止损 | 一份应急预案 | 联系人表、分级规则、隔离/回滚步骤、演练记录 | 事件负责人 |
法律义务和实施方法要分层理解。《个人信息保护法》《数据安全法》《网络安全法》《网络数据安全管理条例》属于中国法律法规，应结合企业实际数据、服务对象和处理活动判断适用责任；NIST CSF、事件响应指南、应急规划指南和 SSDF 是国际方法参考，不是中国企业统一的法定模板。SLA、SLO、RTO、RPO、备份频率和 90 天顺序，则应写成项目约定或 AHAX 示例，不能冒充行业强制值。
适用与不适用
Section titled “适用与不适用”本章适合已经准备上线、正在替换旧系统、需要迁移历史数据，或者已经上线但运维职责混乱的中小企业。它也适合没有专职安全团队、需要由业务、供应商和兼职 IT 共同承担运行责任的企业。
出现这些信号，应先补运行基础
Section titled “出现这些信号，应先补运行基础”- 员工离职后账号仍能登录，或多人共用一个管理员账号。
- 关键业务只有数据库备份，却从未完整恢复到可用环境。
- 日志只能由供应商查看，企业无法查询谁改了价格、库存、合同或权限。
- 迁移方案只有“导入 Excel”，没有对象数量、字段口径、失败重跑和差异处理。
- 线上故障靠微信群临时找人，没有事件分级、联系人、回滚和复盘。
- 计划接入 AI，但系统尚未建立数据口径、权限、人工确认和审计链。
哪些情况不能照本章通用模板直接套用
Section titled “哪些情况不能照本章通用模板直接套用”医疗、金融、教育、未成年人、重要数据、跨境数据、面向公众的生成式 AI 服务等场景，可能存在额外行业和监管要求，应单独做法律、安全和行业评估。企业是否构成特定法律中的处理者、运营者或适用对象，也不能仅凭公司规模判断。
AHAX 判断：小企业可以缩小系统范围和演练规模，但不能用“小”作为取消权限、备份、日志和责任人的理由。控制可以轻量，责任不能消失。
先画一条运行责任链
Section titled “先画一条运行责任链”| 环节 | 必须有人回答的问题 | 最低产出 |
|---|---|---|
| 数据进入 | 数据从哪里来，是否合法、是否需要、谁批准 | 数据来源与字段清单 |
| 数据存储 | 放在哪里，谁能看，保存多久，如何删除 | 数据分类与访问矩阵 |
| 业务处理 | 谁能新增、修改、审批、导出和批量操作 | 角色权限矩阵 |
| 系统运行 | 谁看告警，谁处理失败，谁决定回滚 | 值守与事件联系人表 |
| 数据退出 | 备份、迁移、归档、删除如何证明 | 导出/删除/恢复记录 |
安全与运维没有“买了云服务就自动完成”这一条捷径。企业通常在自管、供应商托管和共同运营之间选择。关键不是名称，而是账号归属、可见证据、响应责任和退出能力。
| 运行方式 | 适合情况 | 企业必须保留 | 主要风险 | 退出条件 |
|---|---|---|---|---|
| 企业自管 | 有稳定 IT/运维能力，系统较关键 | 云主账号、源码、密钥管理、监控、备份 | 能力不足导致控制只停在文档 | 能独立部署、恢复和轮换权限 |
| 供应商托管 | 团队小、需要持续技术支持 | 资产所有权、只读监控、事件记录、导出权 | 黑箱、人员依赖、退出困难 | 账号和数据可完整移交，恢复已验证 |
| 共同运营 | 业务关键但企业技术团队有限 | 决策权、审批权、业务复核、应急联系人 | 边界不清时互相等待 | RACI 清楚，演练能完成跨团队交接 |
| 托管平台/SaaS | 流程标准、定制少 | 管理员账号、配置导出、数据导出、供应商通知 | 平台变更、接口限制、锁定 | 能导出业务数据和关键配置 |
备份方案不能只比“有没有”
Section titled “备份方案不能只比“有没有””| 备份方式 | 能解决什么 | 不能单独解决什么 | 验收要看什么 |
|---|---|---|---|
| 数据库自动备份 | 数据库误删、损坏后的基础恢复 | 文件、密钥、配置、第三方状态 | 备份成功记录 + 实际恢复 |
| 应用与配置备份 | 版本、配置和部署环境复原 | 业务数据一致性 | 版本清单、配置清单、重建步骤 |
| 异地/隔离副本 | 降低同一故障域同时损坏风险 | 恢复流程本身是否可执行 | 副本可访问性和恢复演练 |
| 业务连续性方案 | 明确故障期间如何继续关键业务 | 不会自动恢复技术系统 | 降级流程、人工台账、恢复后补录 |
“有备份”不等于“可恢复”。只有在隔离环境按手册恢复、完成业务对账并记录耗时与问题，才能证明恢复链真正可用。
控制矩阵：从口号变成动作
Section titled “控制矩阵：从口号变成动作”| 控制域 | 最小控制 | 验收证据 | 责任人 | 复核触发 |
|---|---|---|---|---|
| 账号 | 唯一账号、入转离流程、禁用共享管理员 | 账号清单、离职回收样例 | 系统管理员 | 入职、转岗、离职 |
| 权限 | 最小权限、敏感动作审批、定期复核 | 权限矩阵、审批单、越权测试 | 业务负责人 | 角色变化、重大版本 |
| 凭据 | 密钥不进代码，按范围保存和轮换 | 密钥清单、轮换记录、扫描结果 | 技术负责人 | 泄露、人员变化、到期 |
| 日志 | 登录、权限、关键数据、导出、发布可追溯 | 查询截图、样例日志、告警 | 运维负责人 | 异常操作、审计、事故 |
| 备份 | 数据、文件、配置分层备份 | 任务记录、失败告警 | 运维负责人 | 任务失败、架构变化 |
| 恢复 | 定期在隔离环境恢复并业务对账 | 演练记录、差异清单 | 运维 + 业务复核 | 重大版本、迁移、事故 |
| 漏洞 | 接收、分级、修复、验证、例外审批 | 漏洞单、修复记录、复测证据 | 技术负责人 | 新漏洞、依赖升级 |
| 事件 | 分级、隔离、通报、恢复、复盘 | 时间线、决策记录、复盘单 | 事件负责人 | 安全或连续性事件 |
第一步：迁移前建立对象清单和对账口径
Section titled “第一步：迁移前建立对象清单和对账口径”迁移不是一次导入动作，而是一项可重复、可撤销、可对账的业务变更。先按客户、商品、订单、合同、库存、工单、附件、账号、权限等业务对象列清单，再为每个对象定义来源系统、目标系统、唯一标识、字段映射、数量口径、金额口径、时间口径、责任人和失败处理。
| 迁移检查项 | 演练时怎么做 | 上线时怎么证明 |
|---|---|---|
| 总量一致 | 比较源与目标记录数，解释过滤和合并 | 总量核对表 |
| 关键金额一致 | 按期间、币种、状态分组核对 | 汇总对账表 |
| 关联关系完整 | 抽查客户—订单—附件等关联 | 关联抽样记录 |
| 重复与空值 | 预先定义去重、补值和拒绝规则 | 异常清单与处理结果 |
| 权限继承 | 用不同角色抽查可见范围 | 权限复测记录 |
| 可重跑 | 使用批次号、幂等规则和失败清单 | 重跑日志与结果 |
| 可回退 | 保留旧系统只读窗口和回滚条件 | 回滚演练或桌面推演 |
迁移检查表回答“要做什么”，迁移风险矩阵回答“先处理什么、什么证据才算关闭”。下表等级为 AHAX 示例，项目应由业务与技术共同重评。
| 迁移风险 | 可能性 | 影响 | 优先级 | 预防/处置 | 关闭条件与证据 | 责任人 |
|---|---|---|---|---|---|---|
| 字段口径错误 | 中 | 高 | 高 | 字段映射评审；按状态、期间、币种分组对账 | 关键字段抽样通过，汇总差异已解释并签字 | 数据负责人 |
| 唯一标识冲突 | 中 | 高 | 高 | 预扫描重复项；定义合并与拒绝规则 | 冲突清单清零或逐项形成接受决定 | 业务负责人 |
| 重跑生成重复记录 | 中 | 高 | 高 | 批次号、唯一键、幂等写入、失败队列 | 同批次重跑后业务对象数量和状态不重复 | 技术负责人 |
| 附件或关联关系丢失 | 中 | 中 | 中 | 导出关联清单；按对象抽查链路 | 抽样对象可打开附件并追溯上下游关联 | 业务复核人 |
| 新旧权限不等价 | 低 | 高 | 高 | 角色映射；敏感动作单独复测 | 允许与拒绝用例均通过，越权项已关闭 | 系统管理员 |
| 切换后需要回退 | 低 | 高 | 高 | 明确触发条件、旧系统只读窗口和回退步骤 | 桌面推演或演练完成，回退授权人已确认 | 项目负责人 |
AHAX 建议：采用“对象清单 + 总量核对 + 关键字段抽样 + 差异修复 + 复核签字”。这是实施建议，不是所有项目的法定统一模板。签字也不是为了免责，而是让业务确认口径和差异已经被理解。
第二步：建立账号、权限、日志和加密基线
Section titled “第二步：建立账号、权限、日志和加密基线”- 账号按人分配，禁止日常共用管理员；服务账号与人员账号分开。
- 权限按岗位动作授予，不按“方便”一次性开全；导出、删除、审批、退款、发布等敏感动作单独控制。
- 入职、转岗、离职都形成工单或记录，离职账号和令牌及时回收。
- 关键日志至少回答“谁、何时、对什么、做了什么、结果怎样”，并限制普通用户修改或删除。
- 传输和存储保护应结合数据分类、系统能力和风险设计；密钥与代码、日志、聊天记录分离。
《网络数据安全管理条例》提到加密、备份、访问控制、安全认证等措施，但具体设计仍应结合企业承担的角色、数据类型和风险，不宜把单一技术名词写成“已经合规”的证明。
如果企业在具体场景中属于个人信息处理者，还要把个人信息责任拆到操作层，而不是只在隐私政策中写一句“依法保护”：业务负责人确认处理目的、必要字段和保留期限；系统管理员落实访问、导出与删除权限；客服或指定入口接收查阅、复制、更正、补充、删除等权利请求；供应商按委托协议处理并接受监督；安全与法务角色判断哪些活动需要事前个人信息保护影响评估并保存记录。
发生或者可能发生个人信息泄露、篡改、丢失时，应立即采取补救措施，并依《个人信息保护法》第五十七条结合“是否可能造成危害”等事实判断通知主管部门和个人的要求。公开文章不能替企业预先得出“必须通知”或“无需通知”的统一结论，但运行手册必须明确发现、止损、事实确认、法律判断、通知决策和证据留存分别由谁负责。
第三步：把备份、恢复和连续性连成一条链
Section titled “第三步：把备份、恢复和连续性连成一条链”先由业务负责人定义哪些业务不能长时间中断，再由技术团队提出恢复顺序和方案。RTO（目标恢复时间）和 RPO（目标恢复点）应由项目约定，而不是供应商单方面填写。
AHAX 示例：可以把系统分为关键、重要、一般三档，为每档分别约定 RTO、RPO、备份频率、恢复演练频率和人工降级流程。这里不提供统一小时数，因为订单、官网、内部知识库和财务系统的损失完全不同。
恢复演练至少记录：演练范围、使用的备份点、环境、开始与结束时间、恢复步骤、失败点、数据对账、业务复核、遗留问题和整改负责人。若演练只恢复了数据库但应用无法登录，仍不能判定成功。
把 SLI、SLO 和 SLA 写成同一套可统计约定
Section titled “把 SLI、SLO 和 SLA 写成同一套可统计约定”- SLI 是实际测量指标，例如成功请求率、关键任务成功率、告警确认时间或恢复耗时。
- SLO 是企业对某项 SLI 设定的内部目标，用于运营和改进。
- SLA 是企业与供应商/客户之间的服务承诺，通常还要写明适用范围、排除项、升级和未达标处理。
三者都不是一个孤立百分比。项目应明确统计对象、数据来源、统计周期、维护窗口、责任人和争议处理。以下仅为可填写模板，不给统一目标值。
| 服务项 | SLI 与计算口径 | SLO（项目填写） | SLA/合同承诺（如有） | 统计周期与来源 | 未达标升级/处理 |
|---|---|---|---|---|---|
| 可用性 | 可服务时间 / 约定服务时间；排除项单列 | 待约定 | 待约定 | 监控平台；按月/按项目约定 | 告警、问题单、责任升级 |
| 关键任务成功率 | 成功完成的关键任务 / 有效任务总数 | 待约定 | 待约定 | 业务日志；按周或月 | 失败样本复盘、暂停发布 |
| 故障确认 | 从有效告警到负责人确认的时间 | 待约定 | 待约定 | 告警和工单时间戳 | 逐级通知、替补接管 |
| 恢复目标 | RTO/RPO 与实际恢复结果分别记录 | 待约定 | 待约定 | 事件记录、恢复演练 | 启动连续性方案、复盘整改 |
第四步：建立漏洞与安全开发闭环
Section titled “第四步：建立漏洞与安全开发闭环”漏洞管理要能接收来自依赖扫描、代码审查、渗透测试、供应商公告和运行告警的问题，然后完成确认、分级、修复、复测和例外审批。例外不能只写“暂不处理”，还应记录影响、补偿措施、责任人和复查日期。
NIST SSDF 可作为把安全实践并入开发生命周期的方法参考，例如明确开发责任、保护软件、产出更安全的软件并响应漏洞；它不是中国法定验收条款。中小企业无需照搬全部活动，但应至少保留依赖清单、变更评审、测试证据、发布审批和可回滚版本。
第五步：建立事件响应与业务连续性
Section titled “第五步：建立事件响应与业务连续性”事件手册必须能在压力下使用。把联系人、严重级别、首个动作、隔离方式、证据保留、内部通知、外部沟通、恢复授权和复盘时间写清。对于数据、个人信息或网络安全事件，是否需要履行通知、报告或其他义务，应根据适用法律法规和事件事实判断，不能用通用模板替代法律评估。
一次桌面演练可以这样进行：假设管理员凭据泄露且出现批量导出，参与者按手册完成账号冻结、令牌轮换、日志保全、影响确认、业务通知决策、恢复和复盘。演练重点不是“所有人都答对”，而是暴露联系人失效、权限过大、日志不足和决策无人负责。
第六步：按 90 天建立运行能力
Section titled “第六步：按 90 天建立运行能力”以下是 AHAX 示例，应按项目重要性调整，不是法定统一周期。
| 阶段 | 管理目标 | 关键动作 | 退出证据 |
|---|---|---|---|
| 第 1–15 天 | 看清资产和责任 | 资产/账号/数据清单，RACI，风险初筛 | 清单有所有者，重大缺口有负责人 |
| 第 16–30 天 | 建立最低基线 | 权限、日志、备份、联系人、变更和回滚规则 | 关键控制能演示，告警能到人 |
| 第 31–45 天 | 完成迁移演练 | 字段映射、测试迁移、对账、差异修复 | 演练报告和业务复核 |
| 第 46–60 天 | 完成恢复与事件演练 | 隔离环境恢复、桌面事件演练 | 恢复对账、时间线、整改清单 |
| 第 61–75 天 | 上线并观察 | 分批切换、监控、问题单、每日复盘 | 重大问题关闭或有接受决定 |
| 第 76–90 天 | 固化持续运营 | 权限复核、漏洞闭环、SLA/SLO 复盘、预算确认 | 运维责任矩阵和下一周期计划 |
第七步：满足条件后再打开 AI 升级入口
Section titled “第七步：满足条件后再打开 AI 升级入口”AI 不应被用来掩盖基础系统混乱。至少满足以下条件，再从只读、草稿或建议型场景试点：流程相对稳定；关键数据口径一致；权限与审计已经建立；高风险动作有人工确认；试点结果可用评估集和业务指标验收；错误可撤销、补偿或转人工。
第一阶段不让 AI 自动改价格、删数据、发合同、退款或直接生产发布。先限制工具、参数、数据范围和调用额度，记录输入、引用、输出、审批和最终动作。只有低风险闭环经过评估，才讨论逐步增加写入权限。
| 风险 | 影响 | 预警信号 | 应对 | 责任人 |
|---|---|---|---|---|
| 迁移口径不一致 | 订单、库存、金额失真 | 总量相同但分组金额对不上 | 冻结口径、分对象对账、差异单逐项关闭 | 数据负责人 |
| 重跑造成重复 | 客户、订单或消息重复 | 同一批次出现重复唯一标识 | 批次号、唯一键、幂等规则、失败清单 | 技术负责人 |
| 权限长期膨胀 | 越权查看或操作 | 转岗人员仍保留原权限 | 入转离流程、定期复核、敏感动作审批 | 业务负责人 |
| 共享账号无法追责 | 无法确认操作人 | 多人使用同一管理员 | 唯一账号、MFA、禁止共享、应急账号封存 | 系统管理员 |
| 日志有记录但不可用 | 事故无法还原 | 关键动作缺对象或结果 | 定义日志字段、限制修改、定期抽查 | 运维负责人 |
| 备份成功但恢复失败 | 中断时间扩大、数据不可用 | 从未完整恢复，手册过期 | 隔离恢复演练、业务对账、整改复测 | 运维负责人 |
| 漏洞长期积压 | 攻击面扩大 | 高风险项无负责人或复查日 | 分级、修复时限项目化、例外审批、复测 | 技术负责人 |
| 事件时互相等待 | 隔离和恢复延误 | 联系人不清、回滚无人批准 | 事件负责人、授权边界、桌面演练 | 企业管理者 |
| 供应商成为黑箱 | 企业无法接管或退出 | 云主账号、日志、备份只在供应商手中 | 资产归属、只读监控、导出和移交演练 | 项目负责人 |
| AI 过早获得写权限 | 错误被放大或难以撤销 | 无评估集却直接自动执行 | 只读/草稿起步、人工门、工具白名单、回滚 | AI 业务负责人 |
运维预算不能只包含服务器。还应考虑监控、日志、备份存储、恢复演练、证书与域名、漏洞修复、依赖升级、接口变更、账号管理、客服支持、数据治理和文档更新。比例和金额应根据系统重要性、变更频率和响应约定计算，不能套一个“行业固定百分比”。
预算可按“固定底座 + 使用量 + 计划变更 + 风险准备”归集。以下为 AHAX 模板，金额全部由项目填写：
| 预算项 | 计价驱动 | 月/年基线 | 触发增量 | 责任人 | 实际与差异原因 |
|---|---|---|---|---|---|
| 云资源与网络 | 环境、存储、流量、并发 | 待填写 | 业务量或架构变化 | 技术负责人 | 待复盘 |
| 监控、日志与告警 | 数据量、保留期、通知渠道 | 待填写 | 日志增长或保留要求变化 | 运维负责人 | 待复盘 |
| 备份与恢复演练 | 副本、存储、演练环境和人时 | 待填写 | 重大版本或迁移 | 运维 + 业务 | 待复盘 |
| 安全与漏洞治理 | 扫描、评审、修复和复测人时 | 待填写 | 新漏洞或高风险变更 | 技术负责人 | 待复盘 |
| 维护与接口变更 | 版本、依赖、第三方接口、证书域名 | 待填写 | 平台变更或供应商通知 | 项目负责人 | 待复盘 |
| 支持与事件响应 | 支持时段、响应等级、事件次数 | 待填写 | 严重事件或扩展保障 | 服务负责人 | 待复盘 |
| 数据与 AI 运营 | 数据治理、评估集、模型/调用成本 | 待填写 | 场景扩展或调用增长 | 数据/AI 负责人 | 待复盘 |
| 风险准备 | 不确定变更和整改 | 待填写 | 经批准的风险处置 | 企业管理者 | 待复盘 |
年度运维预算（AHAX 模板） = 固定底座 + 预计使用量成本 + 已计划变更成本 + 经批准的风险准备。预算评审时同时看上期实际、偏差原因和下一期风险，不用一个固定比例代替估算。
验收要证明控制能运行，而不是证明文档存在。每项证据都应有环境、时间、版本、执行人、复核人、结果和未关闭问题。
| 验收域 | 可执行动作 | 通过证据 | 不能作为单独通过证据 |
|---|---|---|---|
| 迁移 | 完成测试迁移、重跑、总量与关键字段对账 | 迁移报告、差异关闭单、业务签字 | “导入成功”截图 |
| 权限 | 用不同角色执行允许与禁止动作 | 权限矩阵、越权测试、审批记录 | 角色名称列表 |
| 账号回收 | 模拟离职并回收会话、令牌和权限 | 回收工单、登录失败和令牌失效证据 | 仅在员工表标记离职 |
| 日志 | 查询一次登录、导出、权限变更和关键数据修改 | 含主体、对象、动作、结果的日志 | “已开启日志”配置页 |
| 备份恢复 | 在隔离环境恢复应用、数据库、文件和配置 | 恢复记录、业务对账、问题清单 | 备份任务绿色状态 |
| 漏洞 | 从发现走到修复、复测或例外审批 | 漏洞单、变更、复测、例外依据 | 一次扫描报告 |
| 事件响应 | 运行桌面演练或技术演练 | 时间线、决策记录、整改责任 | 未演练的应急预案 |
| 回滚 | 从当前版本回到已知可用版本 | 回滚记录、数据兼容说明、业务复核 | 口头说明“可以回滚” |
| AI 入口 | 用评估集测试引用、权限、拒答和人工确认 | 评估报告、审批日志、工具限制 | 一段效果演示 |
运行级验收问题
Section titled “运行级验收问题”- 企业是否持有云、域名、代码仓库、数据库、监控和备份的必要账号与恢复方式？
- 供应商离场后，指定人员能否按文档部署、查询日志、恢复数据和回滚？
- 告警是否到达真实负责人，并能转成问题单和处理记录？
- SLA/SLO、RTO/RPO、支持时段、升级路径和费用是否写入合同或运维约定？
- 未关闭风险是否有接受人、补偿措施和复查日期？
AHAX 判断：上线观察期结束时，应召开一次运行验收，而不是只做功能复盘。若恢复演练、账号移交和事件联系人仍未完成，就不应把项目标记为“完全交接”。
这一章最重要的学习成果不是记住术语，而是产出一张可执行的“运维责任矩阵”。它要让新员工或替补人员在没有口头交接的情况下，知道发生什么、看哪里、找谁、谁批准、留下什么证据。
学习作业：完成运维责任矩阵
Section titled “学习作业：完成运维责任矩阵”| 运行事项 | 触发条件/频率 | 执行人 | 批准或复核人 | 操作入口/手册 | 留存证据 | 替补人 |
|---|---|---|---|---|---|---|
| 新增/变更/回收账号 | 入职、转岗、离职 | 待填写 | 待填写 | 待填写 | 工单、权限差异 | 待填写 |
| 备份检查与恢复演练 | 按项目约定/重大变更 | 待填写 | 待填写 | 待填写 | 任务记录、演练报告 | 待填写 |
| 告警与事件响应 | 告警触发/用户报告 | 待填写 | 待填写 | 待填写 | 时间线、问题单 | 待填写 |
| 漏洞与依赖更新 | 公告、扫描、评审发现 | 待填写 | 待填写 | 待填写 | 漏洞单、复测 | 待填写 |
| 发布与回滚 | 版本发布/上线异常 | 待填写 | 待填写 | 待填写 | 发布单、回滚记录 | 待填写 |
| 数据导出、删除与迁移 | 业务申请/系统替换 | 待填写 | 待填写 | 待填写 | 审批、对账、结果 | 待填写 |
- 从最近一次真实故障或变更出发，列出系统、账号、数据和联系人。
- 把每个动作区分为执行、批准、复核和知会，不让“技术负责”覆盖所有角色。
- 为每项补上操作入口、手册位置和替补人，避免只有一个人会做。
- 选取账号回收、恢复演练、故障回滚各走一遍，记录缺失步骤。
- 把发现的问题纳入 90 天路线，并指定关闭证据。
- 是否每项都有一个明确执行人和一个业务复核人？
- 关键动作是否存在替补人，而不是单点依赖？
- 是否能从证据反查谁在什么版本、什么环境执行了什么？
- 是否至少完成过一次恢复或事件演练，而不只是填写矩阵？
- 供应商退出时，企业是否仍能访问资产、数据、日志和手册？
| 主张 | 来源 | 发布机构 | 发布日期 | URL | 核验日期 | 使用边界 |
|---|---|---|---|---|---|---|
| 委托处理个人信息时，应约定处理目的、期限、方式、种类、保护措施和双方权利义务，并监督受托人的处理活动。 | 《中华人民共和国个人信息保护法》 | 全国人民代表大会常务委员会 | 2021-08-20 | https://www.cac.gov.cn/2021-08/20/c_1631050028355286.htm | 2026-07-15 | 只用于个人信息委托处理责任；应结合实际处理活动判断适用。 |
| 数据处理覆盖收集、存储、使用、加工、传输、提供、公开等环节。 | 《中华人民共和国数据安全法》 | 全国人民代表大会常务委员会 | 2021-06-10 通过，2021-06-11 发布页 | https://www.cac.gov.cn/2021-06/11/c_1624994566919140.htm | 2026-07-15 | 只用于说明数据安全覆盖全流程，不能外推所有特殊数据义务。 |
| 网络运营者应采取技术措施和其他必要措施，保障网络安全和稳定运行。 | 《中华人民共和国网络安全法》 | 全国人民代表大会常务委员会 | 2016-11-07 通过；2025-10-28 修正 | https://www.cac.gov.cn/2025-12/29/c_1768735112911946.htm | 2026-07-15 | 页面为修正后文本转载载体；不得把转载日期写成法律通过日。 |
| 网络数据处理者应采取加密、备份、访问控制、安全认证等措施。 | 《网络数据安全管理条例》 | 国务院 | 2024-09-30 | https://www.cac.gov.cn/2024-09/30/c_1729384452307680.htm | 2026-07-15 | 具体义务须按条例适用对象和数据情形判断。 |
| CSF 2.0 提供高层级网络安全结果框架，但不规定统一实现方式。 | The NIST Cybersecurity Framework (CSF) 2.0 | NIST | 2024-02-26 | https://csrc.nist.gov/pubs/cswp/29/the-nist-cybersecurity-framework-csf-20/final | 2026-07-15 | 美国自愿框架，只作治理方法参考，不是中国法定义务。 |
| SP 800-61 Rev. 3 提供准备、检测、响应和恢复网络安全事件的方法建议。 | Incident Response Recommendations and Considerations for Cybersecurity Risk Management | NIST | 2025-04-03 | https://csrc.nist.gov/pubs/sp/800/61/r3/final | 2026-07-15 | 只作事件响应方法参考，不能替代适用法规与合同。 |
| SP 800-34 Rev. 1 提供业务影响分析和应急恢复规划方法。 | Contingency Planning Guide for Federal Information Systems | NIST | 2010-11-11 | https://csrc.nist.gov/pubs/sp/800/34/r1/upd1/final | 2026-07-15 | 面向美国联邦信息系统，只能借鉴方法，不能直接照搬为统一标准。 |
| SSDF 提供可并入各类软件开发生命周期的高层安全开发实践。 | SP 800-218, Secure Software Development Framework Version 1.1 | NIST | 2022-02-03 | https://csrc.nist.gov/pubs/sp/800/218/final | 2026-07-15 | 安全开发方法参考，不是中国通用强制验收条款。 |
- 法律法规决定适用责任，项目清单不能替代法律判断。
- NIST 框架提供组织和技术方法，不与中国法律处在同一强制层级。
- 本文的迁移对账、控制矩阵、90 天顺序和 AI 升级门槛是
AHAX 建议。 - SLA、SLO、RTO、RPO、备份频率和预算由项目根据业务损失与能力约定。
最后核验：2026-07-15