From 44cb3ca593b622c1f9850d9e1e6a0de99aaf4b24 Mon Sep 17 00:00:00 2001 From: tradecatlabs <288998340+tradecatlabs@users.noreply.github.com> Date: Tue, 2 Jun 2026 22:04:27 +0800 Subject: [PATCH] docs: architecture - add cryptographic material lifecycle ledger --- assets/ai-citation/llms-full.txt | 2 +- docs/README.md | 2 +- docs/references/AGENTS.md | 2 +- docs/references/README.md | 4 +- ...modern-enterprise-architecture-template.md | 391 +++++++++++++++--- metadata/taxonomy.yml | 2 +- 6 files changed, 347 insertions(+), 56 deletions(-) diff --git a/assets/ai-citation/llms-full.txt b/assets/ai-citation/llms-full.txt index 35f4e85..b045393 100644 --- a/assets/ai-citation/llms-full.txt +++ b/assets/ai-citation/llms-full.txt @@ -67,7 +67,7 @@ GEOFlow 的关键启发是：GEO 不是关键词堆砌，而是内容工程链 - docs/references/project-architecture-template.md：常见项目结构、架构设计原则、最低门禁和检查清单。 - docs/references/python-project-skeleton.md：Python 应用、服务、脚本工具和库项目的通用骨架。 - docs/references/enterprise-architecture-template.md：中大型工程组织、平台工程和多产品线参考模型。 -- docs/references/modern-enterprise-architecture-template.md：面向领域产品网络、微服务容器 GitOps 边界、AI 原生能力、微调治理、AI 事件响应、内部平台、数据产品、供应链安全、FinOps 成本治理、版本治理、版本控制面、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、外部标准版本锁定、可执行标准、执行控制面、门禁决策、RACI 决策权、可靠性分级、仓库拓扑、迁移弃用、审计证据、联邦治理和行业对标矩阵的完整说明文档。 +- docs/references/modern-enterprise-architecture-template.md：面向领域产品网络、微服务容器 GitOps 边界、AI 原生能力、微调治理、AI 事件响应、内部平台、数据产品、供应链安全、FinOps 成本治理、版本治理、版本控制面、基线密码材料、密钥、证书与秘密生命周期总账、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、外部标准版本锁定、可执行标准、执行控制面、门禁决策、RACI 决策权、可靠性分级、仓库拓扑、迁移弃用、审计证据、联邦治理和行业对标矩阵的完整说明文档。 - docs/references/dataset-first-data-service.md：以 dataset、contract、registry、runtime 为核心的数据服务模板。 - docs/references/code-organization.md：模块化、命名、注释、格式化、文档和工具。 - docs/references/development-experience.md：变量名、文件结构、编码规范、架构原则和常见基础设施经验。 diff --git a/docs/README.md b/docs/README.md index b528a51..a61a290 100644 --- a/docs/README.md +++ b/docs/README.md @@ -62,7 +62,7 @@ - [项目架构模板](./references/project-architecture-template.md) - 常见项目结构、架构设计原则、最低门禁和检查清单。 - [通用 Python 项目骨架](./references/python-project-skeleton.md) - Python 应用、服务、脚本工具和库项目的通用骨架。 - [企业级架构模板](./references/enterprise-architecture-template.md) - 中大型工程组织、平台工程和多产品线参考模型。 -- [现代企业数字化平台架构](./references/modern-enterprise-architecture-template.md) - 面向领域产品网络、微服务容器 GitOps 边界、AI 原生能力、微调治理、AI 事件响应、内部平台、数据产品、供应链安全、FinOps 成本治理、版本治理、版本控制面、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、基线运营韧性与重要业务服务影响容忍总账、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线发布证据、基线兼容性总账、基线采纳总账、基线支持矩阵、基线发布列车、基线符合性声明、外部标准版本锁定、可执行标准、执行控制面、门禁决策、RACI 决策权、可靠性分级、仓库拓扑、迁移弃用、审计证据、联邦治理和行业对标矩阵的完整说明文档。 +- [现代企业数字化平台架构](./references/modern-enterprise-architecture-template.md) - 面向领域产品网络、微服务容器 GitOps 边界、AI 原生能力、微调治理、AI 事件响应、内部平台、数据产品、供应链安全、FinOps 成本治理、版本治理、版本控制面、基线密码材料、密钥、证书与秘密生命周期总账、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、基线运营韧性与重要业务服务影响容忍总账、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线发布证据、基线兼容性总账、基线采纳总账、基线支持矩阵、基线发布列车、基线符合性声明、外部标准版本锁定、可执行标准、执行控制面、门禁决策、RACI 决策权、可靠性分级、仓库拓扑、迁移弃用、审计证据、联邦治理和行业对标矩阵的完整说明文档。 - [Dataset First 数据服务](./references/dataset-first-data-service.md) - 数据服务模板。 - [代码组织](./references/code-organization.md) - 模块化、命名、注释、格式化、文档和工具。 - [开发经验](./references/development-experience.md) - 编码规范、架构原则和常见基础设施经验。 diff --git a/docs/references/AGENTS.md b/docs/references/AGENTS.md index 83cdddb..a876888 100644 --- a/docs/references/AGENTS.md +++ b/docs/references/AGENTS.md @@ -19,7 +19,7 @@ references/ ├── project-architecture-template.md ├── python-project-skeleton.md ├── enterprise-architecture-template.md -├── modern-enterprise-architecture-template.md # 现代企业数字化平台、版本治理、版本控制面、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、外部标准版本锁定、可执行标准、执行控制面、门禁决策、RACI、可靠性分级、仓库拓扑、迁移弃用、审计证据、微服务容器 GitOps、AI 原生能力、供应链安全和联邦治理蓝图 +├── modern-enterprise-architecture-template.md # 现代企业数字化平台、版本治理、版本控制面、基线密码材料、密钥、证书与秘密生命周期总账、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、外部标准版本锁定、可执行标准、执行控制面、门禁决策、RACI、可靠性分级、仓库拓扑、迁移弃用、审计证据、微服务容器 GitOps、AI 原生能力、供应链安全和联邦治理蓝图 ├── dataset-first-data-service.md ├── code-organization.md ├── development-experience.md diff --git a/docs/references/README.md b/docs/references/README.md index 7bf60e8..0b35f5a 100644 --- a/docs/references/README.md +++ b/docs/references/README.md @@ -14,7 +14,7 @@ | [项目架构模板](project-architecture-template.md) | 常见项目结构、架构设计原则、最低门禁和检查清单。 | | [通用 Python 项目骨架](python-project-skeleton.md) | Python 应用、服务、脚本工具和库项目的通用骨架。 | | [企业级 Monorepo / Multi-repo 架构模板](enterprise-architecture-template.md) | 中大型工程组织、平台工程和多产品线参考模型。 | -| [现代企业数字化平台架构](modern-enterprise-architecture-template.md) | 面向领域产品网络、微服务容器 GitOps 边界、AI 原生能力、微调治理、AI 事件响应、内部平台、数据产品、供应链安全、FinOps 成本治理、版本治理、版本控制面、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、基线运营韧性与重要业务服务影响容忍总账、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线发布证据、基线兼容性总账、基线采纳总账、基线支持矩阵、基线发布列车、基线符合性声明、外部标准版本锁定、可执行标准、执行控制面、门禁决策、RACI 决策权、可靠性分级、仓库拓扑、迁移弃用、审计证据、联邦治理和行业对标矩阵的完整说明文档。 | +| [现代企业数字化平台架构](modern-enterprise-architecture-template.md) | 面向领域产品网络、微服务容器 GitOps 边界、AI 原生能力、微调治理、AI 事件响应、内部平台、数据产品、供应链安全、FinOps 成本治理、版本治理、版本控制面、基线密码材料、密钥、证书与秘密生命周期总账、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、基线运营韧性与重要业务服务影响容忍总账、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线发布证据、基线兼容性总账、基线采纳总账、基线支持矩阵、基线发布列车、基线符合性声明、外部标准版本锁定、可执行标准、执行控制面、门禁决策、RACI 决策权、可靠性分级、仓库拓扑、迁移弃用、审计证据、联邦治理和行业对标矩阵的完整说明文档。 | | [Dataset First 数据服务结构](dataset-first-data-service.md) | 以 dataset、contract、registry、runtime 为核心的数据服务模板。 | | [代码组织](code-organization.md) | 模块化、命名、注释、格式化、文档和工具。 | | [开发经验](development-experience.md) | 变量名、文件结构、编码规范、架构原则和常见基础设施经验。 | @@ -33,7 +33,7 @@ - [项目架构模板](project-architecture-template.md) - 常见项目结构、架构设计原则、最低门禁和检查清单。 - [通用 Python 项目骨架](python-project-skeleton.md) - Python 应用、服务、脚本工具和库项目的通用骨架。 - [企业级 Monorepo / Multi-repo 架构模板](enterprise-architecture-template.md) - 中大型工程组织、平台工程和多产品线参考模型。 -- [现代企业数字化平台架构](modern-enterprise-architecture-template.md) - 面向领域产品网络、微服务容器 GitOps 边界、AI 原生能力、微调治理、AI 事件响应、内部平台、数据产品、供应链安全、FinOps 成本治理、版本治理、版本控制面、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、基线运营韧性与重要业务服务影响容忍总账、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线发布证据、基线兼容性总账、基线采纳总账、基线支持矩阵、基线发布列车、基线符合性声明、外部标准版本锁定、可执行标准、执行控制面、门禁决策、RACI 决策权、可靠性分级、仓库拓扑、迁移弃用、审计证据、联邦治理和行业对标矩阵的完整说明文档。 +- [现代企业数字化平台架构](modern-enterprise-architecture-template.md) - 面向领域产品网络、微服务容器 GitOps 边界、AI 原生能力、微调治理、AI 事件响应、内部平台、数据产品、供应链安全、FinOps 成本治理、版本治理、版本控制面、基线密码材料、密钥、证书与秘密生命周期总账、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、基线运营韧性与重要业务服务影响容忍总账、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线发布证据、基线兼容性总账、基线采纳总账、基线支持矩阵、基线发布列车、基线符合性声明、外部标准版本锁定、可执行标准、执行控制面、门禁决策、RACI 决策权、可靠性分级、仓库拓扑、迁移弃用、审计证据、联邦治理和行业对标矩阵的完整说明文档。 - [Dataset First 数据服务结构](dataset-first-data-service.md) - 以 dataset、contract、registry、runtime 为核心的数据服务模板。 - [代码组织](code-organization.md) - 模块化、命名、注释、格式化、文档和工具。 - [开发经验](development-experience.md) - 变量名、文件结构、编码规范、架构原则和常见基础设施经验。 diff --git a/docs/references/modern-enterprise-architecture-template.md b/docs/references/modern-enterprise-architecture-template.md index 00d41a4..bbe4f1d 100644 --- a/docs/references/modern-enterprise-architecture-template.md +++ b/docs/references/modern-enterprise-architecture-template.md @@ -1,10 +1,10 @@ # 现代企业数字化平台架构说明文档 -**文档版本**：V2.74 +**文档版本**：V2.75 **适用对象**：企业管理层、产品负责人、架构师、研发负责人、数据负责人、平台团队、安全合规团队 **适用范围**：中大型企业数字化平台建设、业务系统重构、平台工程建设、数据产品化、组织协同机制设计 **文档定位**：本文件用于说明现代企业数字化平台的总体架构、核心组成、团队职责、治理机制、技术原则和落地路径。 -**专项修订**：V2.74 在 V2.73 基础上新增基线资产关键性、数据分类与风险分级总账，把资产 owner、业务关键性、SLO Tier、L3/L4 合规等级、CIA 影响、数据敏感度、监管暴露、AI 风险等级、互联网暴露、第三方关键性和复核状态统一到 release gate，避免“catalog、CMDB、conformance profile、数据目录和风险登记各自存在，但无法证明资产分级一致驱动门禁”的治理断层。 +**专项修订**：V2.75 在 V2.74 基础上新增基线密码材料、密钥、证书与秘密生命周期总账，把 KMS/HSM key、TLS 证书、签名密钥、API token、数据库凭据、webhook secret、工作负载密钥、轮换、过期、吊销、泄露响应、托管边界和 owner 统一到 release gate，避免“Secret 扫描、KMS、证书平台、CI 签名和应用配置各自存在，但无法证明密码材料生命周期一致受控”的治理断层。 --- @@ -53,7 +53,7 @@ | 版本 | 状态 | 说明 | | ---- | ---- | ---- | -| `V2.74` | `Baseline Candidate` | 用作可执行企业标准起点；包含机器可读版本清单、控制项覆盖清单、107 组 starter kit schema/example、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、基线运营韧性与重要业务服务影响容忍总账、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线符合性声明、基线发布列车、基线支持矩阵、基线采纳总账、基线兼容性总账、基线发布证据包、版本控制面、外部标准版本锁定、企业执行控制面、合规等级、门禁决策、证据新鲜度、例外放行、break-glass、季度复核、仓库变更控制、远端保护漂移整改、控制证据映射、审计导出清单、审计导出自动化、控制评估报告、架构基线变更记录、架构决策记录、AI 证据账本、微调运行证据、AI 事件响应 playbook、OSCAL 交换映射、POA&M 整改计划、企业架构风险登记、审计导出门禁、审计导出完整性清单、审计导出 provenance statement、审计导出签名策略、审计导出签名验签回执、严格 schema 模式、访问复核、密钥轮换、漏洞修复、事故复盘、可靠性、数据治理、AI 运行、GitOps 安全、供应链证据链一致性和自动化校验入口 | +| `V2.75` | `Baseline Candidate` | 用作可执行企业标准起点；包含机器可读版本清单、控制项覆盖清单、108 组 starter kit schema/example、基线密码材料、密钥、证书与秘密生命周期总账、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、基线运营韧性与重要业务服务影响容忍总账、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线符合性声明、基线发布列车、基线支持矩阵、基线采纳总账、基线兼容性总账、基线发布证据包、版本控制面、外部标准版本锁定、企业执行控制面、合规等级、门禁决策、证据新鲜度、例外放行、break-glass、季度复核、仓库变更控制、远端保护漂移整改、控制证据映射、审计导出清单、审计导出自动化、控制评估报告、架构基线变更记录、架构决策记录、AI 证据账本、微调运行证据、AI 事件响应 playbook、OSCAL 交换映射、POA&M 整改计划、企业架构风险登记、审计导出门禁、审计导出完整性清单、审计导出 provenance statement、审计导出签名策略、审计导出签名验签回执、严格 schema 模式、访问复核、密钥轮换、漏洞修复、事故复盘、可靠性、数据治理、AI 运行、GitOps 安全、供应链证据链一致性和自动化校验入口 | ### 0.3 变更分级 @@ -166,6 +166,8 @@ V2.73 起，企业级基线还必须形成 `baseline-identity-entitlement-access V2.74 起，企业级基线还必须形成 `baseline-asset-criticality-classification-ledger.yaml`。它不是替代 catalog、CMDB、数据目录、AI 产品目录、风险登记、SLO、conformance profile 或隐私/AI 影响评估，而是证明每个受治理资产已经有 owner、业务关键性、SLO Tier、L3/L4 合规等级、CIA 影响、数据敏感度、监管暴露、AI 风险等级、互联网暴露、第三方关键性和复核状态；任何未知资产、无 owner、未知数据分类、CIA 影响缺失、关键资产低估、L3/L4 与 conformance profile 不一致、AI 风险低估或分级复核过期都必须阻断 baseline/frozen 晋级。 +V2.75 起，企业级基线还必须形成 `baseline-cryptographic-secrets-key-certificate-ledger.yaml`。它不是替代 KMS、HSM、Vault、cert-manager、CA、Secret Manager、CI 签名系统、TLS 扫描器或 secrets rotation evidence，而是证明所有生产密码材料、密钥、证书、token、数据库凭据、webhook secret、签名密钥和工作负载密钥已经有 owner、用途、托管位置、算法、强度、轮换周期、过期时间、吊销路径、泄露响应和访问边界；任何未知密码材料、无 owner、明文存放、弱算法、过期证书、轮换超期、吊销路径缺失、泄露未关闭或签名密钥托管不清都必须阻断 baseline/frozen 晋级。 + 推荐发布检查： ```bash @@ -228,6 +230,7 @@ git diff --check | 第三方与关键供应商风险 | `baseline-third-party-risk-ledger.yaml` 必须声明供应商分级、服务范围、受影响资产、数据类别、合同控制、DPA/SLA、审计权、保证报告、集中度、退出计划、替代路径、连续性和事件状态 | 关键 SaaS、云、模型供应商、外包方或子处理方未分级、合同和审计权缺失、保证报告过期、集中度超阈值、退出计划不可执行或供应商事故未进入基线阻断 | | 运营韧性与重要业务服务 | `baseline-operational-resilience-ledger.yaml` 必须声明重要业务服务、影响容忍、BIA、端到端依赖、严重但合理场景、场景测试、恢复能力、人工替代、沟通计划、第三方依赖、超限升级和开放韧性缺口 | 只按系统组件写 RTO/RPO，没有业务服务影响容忍；重要业务服务依赖未知；场景测试未覆盖云、数据、AI、供应商和人员失效；超出影响容忍仍可晋级 | | 监管与合规义务可追溯 | `baseline-regulatory-obligation-ledger.yaml` 必须声明义务来源、版本、司法辖区、适用范围、控制目标、映射控制项、证据路径、owner、例外、POA&M、监管变更和生效期限 | 控制项无法证明覆盖哪些适用义务、强制义务无 owner、监管变更未进入门禁、客户合同义务未映射、过期整改仍可晋级 | +| 密码材料、密钥、证书与秘密生命周期 | `baseline-cryptographic-secrets-key-certificate-ledger.yaml` 必须声明 KMS/HSM key、TLS 证书、签名密钥、API token、数据库凭据、webhook secret、工作负载密钥、owner、托管位置、算法、强度、轮换、过期、吊销、泄露响应和访问边界 | 密码材料未知、无 owner、明文存放、弱算法、证书过期、轮换超期、吊销路径缺失、泄露未关闭、签名密钥托管不清或 Secret 与运行资产无法绑定仍放行 | | 资产关键性、数据分类与风险分级 | `baseline-asset-criticality-classification-ledger.yaml` 必须声明资产清单、owner、业务关键性、SLO Tier、L3/L4 合规等级、CIA 影响、数据敏感度、监管暴露、AI 风险等级、互联网暴露、第三方关键性和复核状态 | catalog、CMDB、数据目录或 conformance profile 存在但资产无 owner、数据分类未知、CIA 影响缺失、关键资产低估、风险等级漂移或分级复核过期仍放行 | | 身份权限、特权访问与工作负载身份 | `baseline-identity-entitlement-access-ledger.yaml` 必须声明人类身份、服务账号、工作负载身份、角色授权、JML 生命周期、MFA、PAM/JIT、break-glass、最小权限、访问复核、孤儿账号、过期权限和运行时身份绑定 | 访问复核报告存在但生产 ServiceAccount、Cloud IAM、PAM/JIT、break-glass、JML、Kubernetes RBAC 或工作负载身份漂移仍放行 | | 处理活动、个人数据清单与 RoPA 覆盖 | `baseline-processing-activity-inventory-ledger.yaml` 必须声明处理活动、系统/数据产品/AI 产品、数据主体类别、个人数据类别、控制者/处理者角色、接收方、跨境传输、保留映射、合法基础、DPIA、发现覆盖和 owner 状态 | DSAR、同意、删除、驻留或第三方台账各自成立，但处理活动未入账、个人数据类别未知、无 owner、发现扫描有未归类 PII 或 RoPA 与运行资产不一致仍放行 | @@ -362,8 +365,9 @@ git diff --check | `V2.72` | 2026-06-02 | Minor | 补齐基线处理活动、个人数据清单与 RoPA 覆盖总账、处理活动发现、数据主体、个人数据类别、接收方、角色、DPIA、合法基础、保留和跨境映射 | | `V2.73` | 2026-06-02 | Minor | 补齐基线身份权限、特权访问与工作负载身份总账、JML、MFA、PAM/JIT、break-glass、服务账号、工作负载身份、孤儿权限和过期权限阻断 | | `V2.74` | 2026-06-02 | Minor | 补齐基线资产关键性、数据分类与风险分级总账、资产 owner、业务关键性、SLO Tier、L3/L4、CIA 影响、数据敏感度、AI 风险、互联网暴露和分级漂移阻断 | +| `V2.75` | 2026-06-02 | Minor | 补齐基线密码材料、密钥、证书与秘密生命周期总账、KMS/HSM、TLS 证书、签名密钥、API token、凭据、轮换、过期、吊销和泄露响应阻断 | -### 0.8 V2.74 可执行企业标准路线图 +### 0.8 V2.75 可执行企业标准路线图 V2.0 已将 V1.9 的文档化基线转化为第一批可执行资产。V2.1 继续把字段约束、示例一致性和远程 CI 门禁补强为可执行口径。V2.2 把主文档最小验证包中的 API、事件、AI 工具、RAG、微调、GitOps、catalog 和 scorecard 纳入 schema/example 校验。V2.3 继续把发布证据、供应链证明、治理例外、兼容性报告和 GitOps 漂移报告纳入机器可校验基线。V2.4 把当前版本、发布状态、starter kit pair 清单、pair 数量和索引同步要求固化到机器可读版本清单中。V2.5 把可靠性等级、RTO/RPO、数据保留与访问审计、AI 预算与降级、GitOps 运行安全和供应链 source/vulnerability/scorecard 证据提升为 starter kit 强制字段。V2.6 增加控制项覆盖清单，把关键企业控制要求映射到 schema 字段、example 和 checker 规则，避免“文档说有控制、机器无法证明控制存在”。V2.7 启用严格 schema 模式，要求 starter kit 所有对象节点声明 `additionalProperties=false`，并由 checker 阻断未知字段。V2.8 补齐扩展字段策略、Feature Flag / Kill Switch、AI 威胁模型、运行血缘和平台产品指标。V2.9 继续把隐私工程、租户边界、恢复演练、Policy as Code 测试、GenAI 可观测性和 FinOps 成本分摊补成可执行证据。V2.10 把访问复核、密钥轮换、漏洞修复、事故复盘和证据新鲜度纳入控制目录，避免生产安全运营只停留在“有制度、有人看、事后补”的弱证据状态。V2.11 把每个控制项到证据路径、状态、新鲜度和审计导出包的关系纳入总账，避免审计时只能逐段翻文档、不能一键证明控制覆盖。V2.12 增加审计导出自动化命令，把版本、控制目录、证据映射、导出清单、脚本和关键制品哈希生成可交付审计包。V2.13 增加控制评估报告，把证据包进一步闭环到控制结果、发现项、整改、剩余风险和签署状态。V2.14 增加架构基线变更记录，把基线升级的影响分析、审批、验证命令和回滚路径纳入可执行证据。V2.15 增加 OSCAL 交换映射和导出摘要，把内部控制证据映射到 catalog、component-definition、system-security-plan、assessment-results 和 POA&M 视图。V2.16 增加审计导出门禁，把导出包生成、JSON/Markdown/OSCAL 输出和关键不变量校验纳入 `make test`。V2.17 增加审计导出完整性清单，把生成物 SHA-256、源制品哈希和防篡改校验纳入审计包。V2.18 增加审计导出 provenance statement，把生成物 subject、构建定义、源码提交和源证据依赖纳入可追溯证明。V2.19 增加审计导出签名策略，把 provenance payload 摘要、签名方式、验签命令和外部签名交接纳入门禁。V2.20 增加审计导出签名验签回执，把外部签名完成后的 bundle 摘要、证书身份、OIDC issuer、透明日志和验签结果纳入证据链。V2.21 增加 POA&M 整改计划，把控制发现项、责任人、整改行动、里程碑、证据、签署和 OSCAL POA&M 输出纳入闭环。V2.22 增加企业架构风险登记，把风险、控制项、POA&M、缓解行动、残余风险、复审和审计导出风险视图纳入闭环。V2.23 增加架构决策记录，把 ADR 上下文、备选方案、取舍、决策、关联控制项、风险、POA&M、复审和基线变更绑定纳入闭环。V2.24 增加 AI 事件响应 playbook，把幻觉爆发、工具循环、RAG 索引污染、供应商中断、成本异常、检测、遏制、降级、回滚和复盘纳入闭环。V2.25 增加 AI 证据账本，把模型、Prompt、RAG、工具、评估、威胁模型、观测、事件响应、数据使用、审批、留存和复审纳入 AI 产品级证据闭环。V2.26 增加微调运行证据，把训练数据授权、数据准备、实验追踪、评估、模型登记、审批、灰度发布、监控和退役纳入 AI 微调审计闭环。V2.27 增加仓库变更控制，把 CODEOWNERS、受保护分支、PR 审查、必需检查、签名提交、禁止直推、发布 tag 保护、远端保护状态验证、漂移整改、POA&M 和风险登记纳入版本基线保护。V2.28 增加企业执行控制面，把合规等级、门禁决策、证据新鲜度、例外放行、break-glass、季度复核和退出标准变成统一执行协议。V2.29 增加外部标准版本锁定与升级策略，避免把未稳定标准、实验性语义约定或外部规范变更直接带入生产基线。V2.30 增加版本控制面，把基线 ID、发布通道、tag、源 commit、兼容窗口、冻结策略和回滚入口固化为发布不变量。V2.31 增加基线发布证据包，把晋级决策、冻结复核、漂移检查、不可变引用、审计摘要和回滚验证固化为发布证据。V2.32 增加基线兼容性总账，把消费者影响、迁移窗口、弃用截止、例外状态和未迁移风险固化为版本门禁证据。V2.33 增加基线采纳总账，把领域、平台、数据、AI 和生产资产对基线的采用状态、逾期治理和例外整改固化为组织级版本证据。V2.34 增加基线支持矩阵，把旧基线支持状态、维护窗口、安全补丁窗口、EOL 和最低可接受基线固化为版本生命周期门禁。V2.35 增加基线发布列车，把候选窗口、冻结窗口、晋级日期、通知节奏、黑窗和紧急补丁入口固化为版本发布节奏门禁。V2.36 增加资产级基线符合性声明，把资产自声明、证据绑定、例外、复核和采纳总账回写固化为资产级版本证据。V2.37 增加基线制品清单，把源文档、schema、示例、控制项、证据模板、脚本、生成物和外部引用固化为可摘要、可签名、可复现的版本物料清单。V2.38 增加基线验证环境锁定，把校验命令、工具版本、runner 镜像、策略包、schema validator 和验签工具固化为可复现门禁。V2.39 增加基线通知确认总账，把发布列车中的通知计划升级为可审计的送达、确认、异议和例外证据。V2.40 增加基线回滚验证记录，把上一基线检出、GitOps revision 恢复、审计导出恢复和烟测结果升级为独立证据。V2.41 增加基线例外总账，把分散例外、到期、风险接受、POA&M 和冻结阻断收敛为统一审计证据。V2.42 增加基线就绪评分卡，把硬门禁、评分维度、证据摘要和 baseline/frozen 判定统一到最终准入证据。V2.43 增加基线生命周期状态机，把允许迁移、禁止迁移、状态回写、迁移审批和回滚入口统一到状态转换证据。V2.44 增加基线状态对账报告，把状态机、版本控制面、发布证据、支持矩阵、采纳总账和审计导出的状态字段统一对账。V2.45 增加基线 EOL 退役证书，把旧基线生产引用清零、迁移关闭、例外清零、审计归档和新采用阻断固化为退役证据。V2.46 增加基线会审裁决记录，把会审范围、证据核验、投票签署、反对意见、条件动作和最终裁决固化为独立会审证据。V2.47 增加基线证据追踪图，把跨证据依赖、摘要一致性、下游消费和断链阻断固化为可校验证据图。V2.48 增加基线门禁执行报告，把执行命令、策略包、输入摘要、规则结果、退出码和重放证明固化为 release gate 的可审计运行证据。V2.49 增加基线发布事务回执，把提交、签名 tag、远端 ref、push 回执、保护规则和发布后验证固化为版本发布事实。V2.50 增加基线撤销与隔离记录，把坏基线的隔离、撤销、通知、恢复目标、风险接受和审计归档固化为版本事故控制证据。V2.51 增加基线准入执行策略，把最低基线、撤销/EOL、资产声明、例外到期和运行入口阻断固化为统一策略。V2.52 增加基线消费锁定文件，把资产消费端的基线版本、commit、tag 和关键证据摘要固化为不可变锁。V2.53 增加基线迁移工作单，把目标资产迁移到新基线的步骤、依赖、GitOps 变更、消费锁更新、验收证据和回滚动作固化为执行工单。V2.54 增加基线迁移执行回执，把实际命令、actor、before/after 摘要、GitOps revision、catalog/lock diff、验收日志和回滚验证固化为执行事实。V2.55 增加本地私有制品边界，把内部 starter kit、生成 JSON、校验脚本、禁推原因、摘要留存和远端排除固化为受控证据。V2.56 增加审计导出排除清单，把原文白名单、摘要留存项、强制排除项、签名 payload 排除和导出后验证固化为受控证据。V2.57 增加私有制品托管交接清单，把私有制品库引用、访问控制、留存期限、取回命令、恢复验证和摘要一致性固化为受控证据。V2.58 增加干净环境基线重建回执，把远端 checkout、私有制品取回、摘要校验、审计导出重建、门禁重放和禁推资产复核固化为受控证据。V2.59 增加基线证据不可变归档回执，把关键证据的 WORM 留存、legal hold、访问日志、防删除、归档摘要和恢复演练固化为受控证据。V2.60 增加基线长期验签回执，把签名 bundle、证书链、OIDC 身份、透明日志、signed entry timestamp、RFC3161 TSA、撤销状态和验证工具版本固化为长期验签证据。V2.61 增加基线运行时准入回执，把 Kubernetes admission、策略引擎、镜像 digest、签名、provenance、SBOM、消费锁和拒绝样例固化为生产运行入口证据。V2.62 增加基线运行时准入决策总账，把 Kubernetes audit、admission webhook、PolicyReport、OPA decision log、actor、requestUID、allow/deny 和原始日志摘要固化为逐条运行决策证据。V2.63 增加基线连续控制监测总账，把控制项指标、告警、漂移、处置、证据新鲜度和控制运行 SLO 固化为持续监测证据。后续 `V2.x` 迭代应继续补充示例仓库，并把平台、catalog、GitOps、runtime admission、audit logging、continuous control monitoring 和审计系统连接起来。 @@ -389,7 +393,9 @@ V2.73 进一步增加基线身份权限、特权访问与工作负载身份总 V2.74 进一步增加基线资产关键性、数据分类与风险分级总账，把 catalog、CMDB、数据目录、AI 产品目录、风险登记、SLO 和 conformance profile 统一绑定到资产 owner、业务关键性、CIA 影响和门禁等级，避免系统已经登记却无法证明“为什么按这个保护强度放行或阻断”。 -V2.74 起点包括： +V2.75 进一步增加基线密码材料、密钥、证书与秘密生命周期总账，把 KMS/HSM、Vault、TLS 证书、签名密钥、API token、数据库凭据、webhook secret、工作负载密钥、轮换、过期、吊销、泄露响应和 owner 统一绑定到基线门禁，避免密码材料散落在工具、配置和流水线里但无法证明生命周期受控。 + +V2.75 起点包括： 1. 真相源字段矩阵：明确 `domain.yaml`、`service.yaml`、`ai-product.yaml`、`data-product.yaml`、catalog、GitOps 和 runtime 的字段权威。 2. 契约模板：提供服务、领域、数据产品、AI 产品、Agent 工具、RAG、微调、GitOps 和生产就绪模板。 @@ -399,7 +405,7 @@ V2.74 起点包括： 6. 可靠性分级：补齐 Tier-1 / Tier-2 / Tier-3、RTO、RPO、灾备演练、错误预算和 on-call 升级路径。 7. 迁移与弃用：定义旧系统绞杀迁移、API 版本弃用、数据产品兼容、AI 模型退役和平台能力下线流程。 8. 验证包：提供 `make test`、schema 校验、示例仓库和审计证据清单，证明标准可以落地执行。 -9. Starter Kit：提供 `内部 starter kit` 下的 107 组 schema/example、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、嵌套字段校验、格式校验、可靠性、数据治理、AI 运行、基线运营韧性与重要业务服务影响容忍总账、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线符合性声明、基线发布列车、基线支持矩阵、基线采纳总账、基线兼容性总账、基线发布证据包、版本控制面、外部标准版本锁定、企业执行控制面、合规等级、门禁决策、仓库变更控制、远端保护漂移整改、AI 证据账本、微调运行证据、AI 事件响应 playbook、GitOps 安全、架构决策记录、风险登记、证据链验真字段和示例跨文件一致性检查。 +9. Starter Kit：提供 `内部 starter kit` 下的 108 组 schema/example、基线密码材料、密钥、证书与秘密生命周期总账、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、嵌套字段校验、格式校验、可靠性、数据治理、AI 运行、基线运营韧性与重要业务服务影响容忍总账、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线符合性声明、基线发布列车、基线支持矩阵、基线采纳总账、基线兼容性总账、基线发布证据包、版本控制面、外部标准版本锁定、企业执行控制面、合规等级、门禁决策、仓库变更控制、远端保护漂移整改、AI 证据账本、微调运行证据、AI 事件响应 playbook、GitOps 安全、架构决策记录、风险登记、证据链验真字段和示例跨文件一致性检查。 10. 版本清单：提供 `内部版本清单`，让当前版本、发布状态、pair 清单和索引同步进入 CI 校验。 11. 控制项覆盖清单：提供 `内部控制项覆盖清单`，让关键控制项到 schema、example 和 checker 的证据链进入 CI 校验。 12. 严格 schema 模式：starter kit 的对象 schema 必须声明 `additionalProperties=false`，新增字段必须先进入契约、示例和 checker 证据链。 @@ -486,6 +492,7 @@ V2.74 起点包括： 93. 基线处理活动、个人数据清单与 RoPA 覆盖总账：新增 `baseline-processing-activity-inventory-ledger.yaml`，把处理活动、数据主体类别、个人数据类别、控制者/处理者角色、接收方、跨境传输、保留映射、合法基础、DPIA、AI/数据产品用途和发现覆盖纳入可执行治理证据。 94. 基线身份权限、特权访问与工作负载身份总账：新增 `baseline-identity-entitlement-access-ledger.yaml`，把人类身份、服务账号、工作负载身份、JML、MFA、PAM/JIT、break-glass、最小权限、孤儿账号、过期权限和运行时身份绑定纳入可执行治理证据。 95. 基线资产关键性、数据分类与风险分级总账：新增 `baseline-asset-criticality-classification-ledger.yaml`，把资产 owner、业务关键性、SLO Tier、L3/L4 合规等级、CIA 影响、数据敏感度、监管暴露、AI 风险等级、互联网暴露、第三方关键性和复核状态纳入可执行治理证据。 +96. 基线密码材料、密钥、证书与秘密生命周期总账：新增 `baseline-cryptographic-secrets-key-certificate-ledger.yaml`，把 KMS/HSM key、TLS 证书、签名密钥、API token、数据库凭据、webhook secret、工作负载密钥、轮换、过期、吊销、泄露响应和 owner 纳入可执行治理证据。 --- @@ -3598,7 +3605,7 @@ runbook: rollback: docs/rollback.md ``` -V2.74 starter kit 还提供以下可执行契约模板： +V2.75 starter kit 还提供以下可执行契约模板： 1. `api-contract.yaml`：API producer、consumer、auth、版本和兼容策略。 2. `event-contract.yaml`：事件 topic、schema、幂等键、投递语义和消费者。 @@ -3696,6 +3703,7 @@ V2.74 starter kit 还提供以下可执行契约模板： 94. `baseline-processing-activity-inventory-ledger.yaml`：基线处理活动、个人数据清单与 RoPA 覆盖总账，覆盖处理活动、数据主体类别、个人数据类别、角色、接收方、跨境传输、保留映射、DPIA、合法基础、AI/数据产品用途和发现覆盖。 95. `baseline-identity-entitlement-access-ledger.yaml`：基线身份权限、特权访问与工作负载身份总账，覆盖人类身份、服务账号、工作负载身份、JML、MFA、PAM/JIT、break-glass、最小权限、孤儿账号、过期权限和运行时身份绑定。 96. `baseline-asset-criticality-classification-ledger.yaml`：基线资产关键性、数据分类与风险分级总账，覆盖资产 owner、业务关键性、SLO Tier、L3/L4 合规等级、CIA 影响、数据敏感度、监管暴露、AI 风险、互联网暴露、第三方关键性和复核状态。 +97. `baseline-cryptographic-secrets-key-certificate-ledger.yaml`：基线密码材料、密钥、证书与秘密生命周期总账，覆盖 KMS/HSM key、TLS 证书、签名密钥、API token、数据库凭据、webhook secret、工作负载密钥、算法强度、托管位置、轮换、过期、吊销、泄露响应和访问边界。 ### 10.10.3 自动化门禁映射 @@ -3733,6 +3741,7 @@ V2.74 starter kit 还提供以下可执行契约模板： | 基线第三方与关键供应商风险 | 供应商分级、服务范围、受影响资产、合同控制、DPA/SLA、审计权、保证报告、数据类别、集中度、退出计划、替代路径、连续性和供应商事件 | `baseline-third-party-risk-ledger.yaml`、supplier register、contract register、DPA/SLA、third-party assurance report、control inheritance ledger、data residency ledger、AI evidence ledger、risk register、POA&M | 关键供应商未批准、合同控制或审计权缺失、保证报告过期、集中度超阈值、退出计划不可执行、供应商事故或开放发现项未阻断 | | 基线运营韧性与重要业务服务 | 重要业务服务、影响容忍、BIA、端到端依赖、严重但合理场景、场景测试、恢复能力、人工替代、沟通计划、第三方依赖和超限升级 | `baseline-operational-resilience-ledger.yaml`、BIA、service catalog、SLO/RTO/RPO、recovery drills、third-party risk ledger、data residency ledger、AI evidence ledger、incident playbook、communications plan、POA&M | 重要业务服务未识别、影响容忍缺失、依赖链不完整、场景测试失败、恢复结果超出容忍、供应商或 AI 依赖未纳入测试、韧性缺口无整改或风险接受 | | 基线监管与合规义务可追溯 | 义务来源、法规版本、司法辖区、适用资产、控制目标、控制项、证据路径、owner、例外、POA&M、监管变更和生效期限 | `baseline-regulatory-obligation-ledger.yaml`、control plane、control evidence map、standards baseline、risk register、POA&M、legal register、contract register、audit evidence index | 强制义务未映射控制、控制项无适用义务来源、义务证据缺失、owner 缺失、监管变更未跟踪、整改超期仍放行 | +| 基线密码材料、密钥、证书与秘密生命周期 | KMS/HSM key、TLS 证书、签名密钥、API token、数据库凭据、webhook secret、工作负载密钥、owner、托管位置、算法、强度、轮换、过期、吊销、泄露响应和访问边界 | `baseline-cryptographic-secrets-key-certificate-ledger.yaml`、KMS/HSM、Vault、Secret Manager、cert-manager、CA、CI signing system、TLS scanner、secret scanning、workload identity、runtime admission ledger、asset classification ledger | 密码材料未入账、无 owner、明文存放、弱算法、证书过期、轮换超期、吊销路径缺失、泄露未关闭、签名密钥托管不清或 Secret 与运行资产无法绑定 | | 基线资产关键性、数据分类与风险分级 | 资产清单、owner、业务关键性、SLO Tier、L3/L4 合规等级、CIA 影响、数据敏感度、监管暴露、AI 风险等级、互联网暴露、第三方关键性和复核状态 | `baseline-asset-criticality-classification-ledger.yaml`、catalog、CMDB、data catalog、AI product catalog、conformance profile、risk register、SLO、privacy impact assessment、AI evidence ledger、third-party risk ledger | 资产未入账、资产无 owner、数据分类未知、CIA 影响缺失、关键资产低估、L3/L4 与 conformance profile 不一致、互联网暴露或 AI 风险未标记、分级复核过期仍放行 | | 基线身份权限、特权访问与工作负载身份 | 人类身份、服务账号、工作负载身份、JML、MFA、PAM/JIT、break-glass、最小权限、访问复核、孤儿账号、过期权限和运行时绑定 | `baseline-identity-entitlement-access-ledger.yaml`、IAM、IdP、PAM、SCIM、HRIS、Kubernetes RBAC、Cloud IAM、SPIFFE/SPIRE、runtime admission ledger、catalog、third-party risk ledger | 生产身份未入账、服务账号无 owner、离职账号仍有效、特权访问无审批或 MFA、break-glass 未关闭、工作负载身份绑定漂移、孤儿账号或过期权限仍放行 | | 基线处理活动、个人数据清单与 RoPA 覆盖 | 处理活动、系统/服务/数据产品/AI 产品、数据主体类别、个人数据类别、控制者/处理者角色、接收方、跨境传输、保留映射、DPIA、合法基础和发现覆盖 | `baseline-processing-activity-inventory-ledger.yaml`、data catalog、CMDB、privacy impact assessment、data product contract、AI evidence ledger、data residency ledger、third-party risk ledger、records retention ledger、privacy rights ledger | 新系统或数据产品未入 RoPA、PII 扫描发现未归类字段、处理活动无 owner、个人数据类别未知、接收方或跨境传输未映射、DPIA/合法基础/留存映射缺失仍放行 | @@ -3890,6 +3899,7 @@ V2.6 起，控制项覆盖清单由以下文件维护；V2.7 起，严格 schema | 文档说证据不能过期继续准入，机器是否能证明 | 控制项要求 `evidence-freshness-policy.schema.json` 和示例包含最大年龄、过期阻断和 CI 执行 | | 文档说每个控制项都必须有可追踪证据，机器是否能证明 | 控制项要求 `control-evidence-map.schema.json` 和示例覆盖全部控制项 ID、证据路径、状态和新鲜度 | | 文档说每条适用监管和合规义务必须映射到控制与证据，机器是否能证明 | 控制项要求 `baseline-regulatory-obligation-ledger.schema.json` 和示例包含义务来源、版本、司法辖区、适用资产、控制目标、控制项、证据路径、owner、例外、POA&M 和监管变更状态 | +| 文档说生产密码材料、密钥、证书和秘密生命周期必须受控，机器是否能证明 | 控制项要求 `baseline-cryptographic-secrets-key-certificate-ledger.schema.json` 和示例包含 KMS/HSM key、TLS 证书、签名密钥、API token、数据库凭据、webhook secret、工作负载密钥、owner、托管位置、算法强度、轮换、过期、吊销、泄露响应和访问边界 | | 文档说资产关键性、数据分类和风险分级必须驱动门禁，机器是否能证明 | 控制项要求 `baseline-asset-criticality-classification-ledger.schema.json` 和示例包含资产 owner、业务关键性、SLO Tier、L3/L4、CIA 影响、数据敏感度、监管暴露、AI 风险、互联网暴露、第三方关键性和复核状态 | | 文档说每个生产身份、特权访问和工作负载身份必须可追踪，机器是否能证明 | 控制项要求 `baseline-identity-entitlement-access-ledger.schema.json` 和示例包含人类身份、服务账号、工作负载身份、JML、MFA、PAM/JIT、break-glass、owner、审批、到期、复核和运行时绑定状态 | | 文档说所有个人数据处理活动必须进入 RoPA 和数据清单覆盖总账，机器是否能证明 | 控制项要求 `baseline-processing-activity-inventory-ledger.schema.json` 和示例包含处理活动、数据主体类别、个人数据类别、角色、接收方、跨境传输、保留映射、DPIA、合法基础、owner 和发现覆盖状态 | @@ -4224,6 +4234,7 @@ versionGovernance: localArtifactBoundary: governance/evidence/baselines/baseline-local-artifact-boundary.yaml auditExportExclusionManifest: governance/evidence/audit-export/audit-export-exclusion-manifest.yaml privateArtifactEscrowManifest: governance/evidence/baselines/private-artifact-escrow-manifest.yaml + cryptographicSecretsKeyCertificateLedger: governance/evidence/baselines/baseline-cryptographic-secrets-key-certificate-ledger.yaml assetCriticalityClassificationLedger: governance/evidence/baselines/baseline-asset-criticality-classification-ledger.yaml identityEntitlementAccessLedger: governance/evidence/baselines/baseline-identity-entitlement-access-ledger.yaml processingActivityInventoryLedger: governance/evidence/baselines/baseline-processing-activity-inventory-ledger.yaml @@ -4257,14 +4268,14 @@ versionGovernance: 1. `documentVersion` 必须等于主文档版本、版本清单版本和审计导出版本。 2. `baselineId` 一经发布不得复用；同一 `baselineId` 不得指向不同 commit。 3. `releaseTag` 必须指向 `sourceCommit`，生产级基线必须使用签名 tag。 -4. `releaseChannel=baseline` 或 `frozen` 时，必须有 `release-gate-decision.yaml`、基线准入执行策略、基线消费锁定文件、基线迁移工作单、基线迁移执行回执、本地私有制品边界、审计导出排除清单、私有制品托管交接清单、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、基线生命周期状态机、基线状态对账报告、基线证据追踪图、基线门禁执行报告、基线发布事务回执、基线撤销与隔离记录、基线验证环境锁、基线制品清单、基线就绪评分卡、基线会审裁决记录、基线例外总账、通知确认总账、回滚验证记录和审计导出清单。 +4. `releaseChannel=baseline` 或 `frozen` 时，必须有 `release-gate-decision.yaml`、基线准入执行策略、基线消费锁定文件、基线迁移工作单、基线迁移执行回执、本地私有制品边界、审计导出排除清单、私有制品托管交接清单、基线密码材料、密钥、证书与秘密生命周期总账、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、基线生命周期状态机、基线状态对账报告、基线证据追踪图、基线门禁执行报告、基线发布事务回执、基线撤销与隔离记录、基线验证环境锁、基线制品清单、基线就绪评分卡、基线会审裁决记录、基线例外总账、通知确认总账、回滚验证记录和审计导出清单。 5. `changeLevel=major` 或 `breaking` 时，必须引用 ADR、迁移计划、弃用策略和消费者影响分析。 6. `compatibilityWindow` 到期后，未迁移消费者必须转入例外、POA&M 或风险接受记录。 7. 回滚不能只写“回退上一版”，必须指向可 checkout 的 commit、tag、GitOps revision 或制品 digest。 可执行验收标准： -1. 任意基线都能从 `version-governance.yaml` 追溯到源 commit、release tag、版本清单、基线准入执行策略、基线消费锁定文件、基线迁移工作单、基线迁移执行回执、本地私有制品边界、审计导出排除清单、私有制品托管交接清单、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、基线生命周期状态机、基线状态对账报告、基线证据追踪图、基线门禁执行报告、基线发布事务回执、基线撤销与隔离记录、基线就绪评分卡、基线会审裁决记录、基线例外总账、通知确认总账、回滚验证记录、验证环境锁、基线制品清单、EOL 退役证书和审计导出。 +1. 任意基线都能从 `version-governance.yaml` 追溯到源 commit、release tag、版本清单、基线准入执行策略、基线消费锁定文件、基线迁移工作单、基线迁移执行回执、本地私有制品边界、审计导出排除清单、私有制品托管交接清单、基线密码材料、密钥、证书与秘密生命周期总账、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、基线生命周期状态机、基线状态对账报告、基线证据追踪图、基线门禁执行报告、基线发布事务回执、基线撤销与隔离记录、基线就绪评分卡、基线会审裁决记录、基线例外总账、通知确认总账、回滚验证记录、验证环境锁、基线制品清单、EOL 退役证书和审计导出。 2. 任意冻结基线都能证明没有被直接修改；后续变更只能通过补丁或新基线替代。 3. 任意 breaking change 都能找到兼容窗口、消费者清单、迁移说明和回滚入口。 4. 任意 emergency patch 都能找到事故或安全编号、补丁范围、事后复盘和补齐证据。 @@ -4313,6 +4324,7 @@ baselineReleaseEvidence: thirdPartyRiskLedgerDigest: sha256: operationalResilienceLedgerDigest: sha256: regulatoryObligationLedgerDigest: sha256: + cryptographicSecretsKeyCertificateLedgerDigest: sha256: assetCriticalityClassificationLedgerDigest: sha256: identityEntitlementAccessLedgerDigest: sha256: processingActivityInventoryLedgerDigest: sha256: @@ -4429,6 +4441,15 @@ baselineReleaseEvidence: noUnownedRegulatoryObligation: true regulatoryChangeMonitoringActive: true noOverdueObligationPoam: true + cryptographicSecretsKeyCertificateLedgerPresent: true + cryptographicMaterialsInventoried: true + cryptographicMaterialOwnersAssigned: true + noPlaintextProductionSecret: true + noExpiredProductionCertificate: true + noOverdueKeyRotation: true + noWeakCryptographicAlgorithm: true + revocationPathsDeclared: true + leakedSecretsClosedOrRevoked: true assetCriticalityClassificationLedgerPresent: true allGovernedAssetsClassified: true assetOwnersAssigned: true @@ -4512,6 +4533,7 @@ baselineReleaseEvidence: - governance/evidence/baselines/baseline-third-party-risk-ledger.yaml - governance/evidence/baselines/baseline-operational-resilience-ledger.yaml - governance/evidence/baselines/baseline-regulatory-obligation-ledger.yaml + - governance/evidence/baselines/baseline-cryptographic-secrets-key-certificate-ledger.yaml - governance/evidence/baselines/baseline-asset-criticality-classification-ledger.yaml - governance/evidence/baselines/baseline-identity-entitlement-access-ledger.yaml - governance/evidence/baselines/baseline-processing-activity-inventory-ledger.yaml @@ -4565,7 +4587,7 @@ baselineReleaseEvidence: | 晋级路径 | 必须证明 | 阻断条件 | | -------- | -------- | -------- | | `draft -> candidate` | 版本号、变更摘要、影响面、索引同步和基础门禁通过 | 文档版本和索引不一致 | -| `candidate -> baseline` | `baseline-lifecycle-state-machine.yaml`、`baseline-state-reconciliation-report.yaml`、`baseline-evidence-trace-graph.yaml`、`baseline-gate-execution-report.yaml`、`baseline-publish-transaction.yaml`、`baseline-release-evidence.yaml`、`baseline-enforcement-policy.yaml`、`baseline-runtime-admission-receipt.yaml`、`baseline-runtime-admission-decision-ledger.yaml`、`baseline-continuous-control-monitoring-ledger.yaml`、`baseline-operational-resilience-ledger.yaml`、`baseline-regulatory-obligation-ledger.yaml`、`baseline-asset-criticality-classification-ledger.yaml`、`baseline-identity-entitlement-access-ledger.yaml`、`baseline-processing-activity-inventory-ledger.yaml`、`baseline-privacy-rights-consent-ledger.yaml`、`baseline-records-retention-legal-hold-ledger.yaml`、`baseline-consumption-lock.yaml`、`baseline-migration-work-order.yaml`、`baseline-migration-execution-receipt.yaml`、基线就绪评分卡、基线会审裁决记录、版本控制面、验证环境锁、审计导出、控制覆盖、远端 ref、push 回执和 tag 验签通过 | 状态机未允许迁移、状态对账失败、证据追踪图断链、门禁执行报告失败或不可重放、发布事务缺失、准入策略未执行、运行时 admission 未启用、准入决策总账缺失、连续控制监测缺失或关键漂移未关闭、运营韧性总账缺失、重要业务服务未识别、影响容忍缺失、场景测试失败或超出影响容忍、监管义务总账缺失、强制义务未映射控制、强制义务缺证据、义务 owner 缺失、监管变更超期、义务 POA&M 超期、资产分级总账缺失、资产无 owner、数据分类未知、CIA 影响缺失、关键资产低估、L3/L4 与 conformance profile 不一致、AI 风险或互联网暴露未标记、分级复核过期、身份权限总账缺失、生产身份未入账、特权访问无 MFA 或审批、工作负载身份漂移、离职账号仍有效、孤儿账号或过期权限未关闭、处理活动总账缺失、个人数据处理活动未入账、处理活动无 owner、个人数据类别未知、RoPA 与运行资产不一致、隐私权利与同意总账缺失、处理目的无合法基础、同意撤回未传播、权利请求逾期、自动化决策复核缺失、记录留存总账缺失、记录类别无留存排期、legal hold 下允许删除、删除传播缺回执、过期记录未处置、超期留存无目的、拒绝样例不生效、消费锁缺失或浮动引用、迁移工单缺失或无验收证据、迁移执行回执缺失或摘要不一致、远端 ref 不匹配、push 失败、缺少证据包、就绪评分卡未通过、会审裁决缺失或未签署、验证环境未锁定、tag 漂移、控制覆盖不一致 | +| `candidate -> baseline` | `baseline-lifecycle-state-machine.yaml`、`baseline-state-reconciliation-report.yaml`、`baseline-evidence-trace-graph.yaml`、`baseline-gate-execution-report.yaml`、`baseline-publish-transaction.yaml`、`baseline-release-evidence.yaml`、`baseline-enforcement-policy.yaml`、`baseline-runtime-admission-receipt.yaml`、`baseline-runtime-admission-decision-ledger.yaml`、`baseline-continuous-control-monitoring-ledger.yaml`、`baseline-operational-resilience-ledger.yaml`、`baseline-regulatory-obligation-ledger.yaml`、`baseline-cryptographic-secrets-key-certificate-ledger.yaml`、`baseline-asset-criticality-classification-ledger.yaml`、`baseline-identity-entitlement-access-ledger.yaml`、`baseline-processing-activity-inventory-ledger.yaml`、`baseline-privacy-rights-consent-ledger.yaml`、`baseline-records-retention-legal-hold-ledger.yaml`、`baseline-consumption-lock.yaml`、`baseline-migration-work-order.yaml`、`baseline-migration-execution-receipt.yaml`、基线就绪评分卡、基线会审裁决记录、版本控制面、验证环境锁、审计导出、控制覆盖、远端 ref、push 回执和 tag 验签通过 | 状态机未允许迁移、状态对账失败、证据追踪图断链、门禁执行报告失败或不可重放、发布事务缺失、准入策略未执行、运行时 admission 未启用、准入决策总账缺失、连续控制监测缺失或关键漂移未关闭、运营韧性总账缺失、重要业务服务未识别、影响容忍缺失、场景测试失败或超出影响容忍、监管义务总账缺失、强制义务未映射控制、强制义务缺证据、义务 owner 缺失、监管变更超期、义务 POA&M 超期、密码材料总账缺失、未知密钥或秘密未入账、明文存放、弱算法、证书过期、轮换超期、吊销路径缺失、泄露未关闭、签名密钥托管不清、资产分级总账缺失、资产无 owner、数据分类未知、CIA 影响缺失、关键资产低估、L3/L4 与 conformance profile 不一致、AI 风险或互联网暴露未标记、分级复核过期、身份权限总账缺失、生产身份未入账、特权访问无 MFA 或审批、工作负载身份漂移、离职账号仍有效、孤儿账号或过期权限未关闭、处理活动总账缺失、个人数据处理活动未入账、处理活动无 owner、个人数据类别未知、RoPA 与运行资产不一致、隐私权利与同意总账缺失、处理目的无合法基础、同意撤回未传播、权利请求逾期、自动化决策复核缺失、记录留存总账缺失、记录类别无留存排期、legal hold 下允许删除、删除传播缺回执、过期记录未处置、超期留存无目的、拒绝样例不生效、消费锁缺失或浮动引用、迁移工单缺失或无验收证据、迁移执行回执缺失或摘要不一致、远端 ref 不匹配、push 失败、缺少证据包、就绪评分卡未通过、会审裁决缺失或未签署、验证环境未锁定、tag 漂移、控制覆盖不一致 | | `baseline -> frozen` | 状态机允许迁移、冻结复核、开放关键发现为 0、就绪评分达到 frozen 阈值、会审裁决同意冻结、例外总账无过期阻断、独立回滚验证和审计导出摘要一致 | 状态机禁止迁移、仍有 critical/high 风险、就绪评分不足、会审反对意见未关闭、证据过期、例外过期、阻断例外未关闭、回滚未验证 | | `baseline -> emergency-patch` | 事故或安全编号、补丁范围、最小影响分析、补齐证据期限和复盘 owner | 无事故编号、补丁长期化、事后未补 ADR 或复盘 | | `baseline/frozen -> quarantined` | `baseline-revocation-record.yaml`、撤销触发、隔离范围、受影响引用、通知确认、恢复目标和风险接受 | 无撤销记录、签名或证据污染未隔离、通知对象未知、恢复目标未验证 | @@ -5191,6 +5213,7 @@ baselineArtifactInventory: thirdPartyRiskLedger: governance/evidence/baselines/baseline-third-party-risk-ledger.yaml operationalResilienceLedger: governance/evidence/baselines/baseline-operational-resilience-ledger.yaml regulatoryObligationLedger: governance/evidence/baselines/baseline-regulatory-obligation-ledger.yaml + cryptographicSecretsKeyCertificateLedger: governance/evidence/baselines/baseline-cryptographic-secrets-key-certificate-ledger.yaml assetCriticalityClassificationLedger: governance/evidence/baselines/baseline-asset-criticality-classification-ledger.yaml identityEntitlementAccessLedger: governance/evidence/baselines/baseline-identity-entitlement-access-ledger.yaml processingActivityInventoryLedger: governance/evidence/baselines/baseline-processing-activity-inventory-ledger.yaml @@ -5325,6 +5348,22 @@ baselineArtifactInventory: signed: true exportedTo: - build/modern-enterprise-architecture-audit/audit-export.json + - path: governance/evidence/baselines/baseline-cryptographic-secrets-key-certificate-ledger.yaml + type: evidence-template + required: true + owner: security-cryptography-team + digest: sha256: + signed: true + exportedTo: + - build/modern-enterprise-architecture-audit/audit-export.json + - path: governance/evidence/baselines/baseline-asset-criticality-classification-ledger.yaml + type: evidence-template + required: true + owner: architecture-governance-board + digest: sha256: + signed: true + exportedTo: + - build/modern-enterprise-architecture-audit/audit-export.json - path: governance/evidence/baselines/baseline-identity-entitlement-access-ledger.yaml type: evidence-template required: true @@ -5468,6 +5507,7 @@ baselineArtifactInventory: thirdPartyRiskLedgerDeclared: true operationalResilienceLedgerDeclared: true regulatoryObligationLedgerDeclared: true + cryptographicSecretsKeyCertificateLedgerDeclared: true assetCriticalityClassificationLedgerDeclared: true identityEntitlementAccessLedgerDeclared: true processingActivityInventoryLedgerDeclared: true @@ -5512,11 +5552,12 @@ baselineArtifactInventory: 18. 基线第三方与关键供应商风险总账属于必需证据模板；缺失时不能证明关键供应商合同、审计权、保证报告、集中度、退出计划和连续性符合基线，基线不得晋级或冻结。 19. 基线运营韧性与重要业务服务影响容忍总账属于必需证据模板；缺失时不能证明重要业务服务、影响容忍、BIA、依赖映射、场景测试和超限升级符合基线，基线不得晋级或冻结。 20. 基线监管与合规义务可追溯总账属于必需证据模板；缺失时不能证明适用义务、控制目标、证据路径、owner、监管变更和 POA&M 符合基线，基线不得晋级或冻结。 -21. 基线资产关键性、数据分类与风险分级总账属于必需证据模板；缺失时不能证明资产 owner、业务关键性、SLO Tier、L3/L4、CIA 影响、数据敏感度、AI 风险、互联网暴露和复核状态符合基线，基线不得晋级或冻结。 -22. 基线身份权限、特权访问与工作负载身份总账属于必需证据模板；缺失时不能证明人类身份、服务账号、工作负载身份、特权访问、JML、MFA、PAM/JIT、break-glass、孤儿账号和过期权限符合基线，基线不得晋级或冻结。 -23. 基线处理活动、个人数据清单与 RoPA 覆盖总账属于必需证据模板；缺失时不能证明处理活动、个人数据类别、主体类别、接收方、跨境传输、保留映射、DPIA 和合法基础覆盖完整，基线不得晋级或冻结。 -24. 基线隐私权利请求、同意偏好与合法基础执行总账属于必需证据模板；缺失时不能证明处理目的、合法基础、同意撤回传播、主体权利请求 SLA、自动化决策复核和第三方下游处理限制符合基线，基线不得晋级或冻结。 -25. 基线记录留存、法律保全与可防御删除总账属于必需证据模板；缺失时不能证明记录类别、留存排期、legal hold、删除资格、删除传播和可防御删除回执符合基线，基线不得晋级或冻结。 +21. 基线密码材料、密钥、证书与秘密生命周期总账属于必需证据模板；缺失时不能证明 KMS/HSM key、TLS 证书、签名密钥、API token、数据库凭据、webhook secret、工作负载密钥、轮换、过期、吊销、泄露响应和访问边界符合基线，基线不得晋级或冻结。 +22. 基线资产关键性、数据分类与风险分级总账属于必需证据模板；缺失时不能证明资产 owner、业务关键性、SLO Tier、L3/L4、CIA 影响、数据敏感度、AI 风险、互联网暴露和复核状态符合基线，基线不得晋级或冻结。 +23. 基线身份权限、特权访问与工作负载身份总账属于必需证据模板；缺失时不能证明人类身份、服务账号、工作负载身份、特权访问、JML、MFA、PAM/JIT、break-glass、孤儿账号和过期权限符合基线，基线不得晋级或冻结。 +24. 基线处理活动、个人数据清单与 RoPA 覆盖总账属于必需证据模板；缺失时不能证明处理活动、个人数据类别、主体类别、接收方、跨境传输、保留映射、DPIA 和合法基础覆盖完整，基线不得晋级或冻结。 +25. 基线隐私权利请求、同意偏好与合法基础执行总账属于必需证据模板；缺失时不能证明处理目的、合法基础、同意撤回传播、主体权利请求 SLA、自动化决策复核和第三方下游处理限制符合基线，基线不得晋级或冻结。 +26. 基线记录留存、法律保全与可防御删除总账属于必需证据模板；缺失时不能证明记录类别、留存排期、legal hold、删除资格、删除传播和可防御删除回执符合基线，基线不得晋级或冻结。 可执行验收标准： @@ -5537,11 +5578,12 @@ baselineArtifactInventory: 15. 任意生产基线都能从制品清单反查到 `baseline-third-party-risk-ledger.yaml`，证明关键供应商、ICT 服务商、SaaS、云平台、模型供应商、外包方和子处理方具备合同、审计权、保证报告、退出计划、集中度和连续性证据。 16. 任意生产基线都能从制品清单反查到 `baseline-operational-resilience-ledger.yaml`，证明重要业务服务、影响容忍、BIA、端到端依赖、场景测试、恢复能力、沟通计划和超限升级证据已经闭合。 17. 任意生产基线都能从制品清单反查到 `baseline-regulatory-obligation-ledger.yaml`，证明适用义务、控制目标、控制项、证据路径、owner、监管变更和 POA&M 已经闭合。 -18. 任意生产基线都能从制品清单反查到 `baseline-asset-criticality-classification-ledger.yaml`，证明资产 owner、业务关键性、SLO Tier、L3/L4、CIA 影响、数据敏感度、AI 风险、互联网暴露和复核状态证据已经闭合。 -19. 任意生产基线都能从制品清单反查到 `baseline-identity-entitlement-access-ledger.yaml`，证明人类身份、服务账号、工作负载身份、特权访问、JML、MFA、PAM/JIT、break-glass、孤儿账号、过期权限和运行时身份绑定证据已经闭合。 -20. 任意生产基线都能从制品清单反查到 `baseline-processing-activity-inventory-ledger.yaml`，证明个人数据处理活动、数据主体类别、个人数据类别、接收方、跨境传输、保留映射、DPIA、合法基础和发现覆盖证据已经闭合。 -21. 任意生产基线都能从制品清单反查到 `baseline-privacy-rights-consent-ledger.yaml`，证明处理目的、合法基础、同意偏好、撤回传播、权利请求履约、自动化决策复核和下游处理阻断证据已经闭合。 -22. 任意生产基线都能从制品清单反查到 `baseline-records-retention-legal-hold-ledger.yaml`，证明记录类别、留存排期、legal hold、删除资格、删除传播和可防御删除回执证据已经闭合。 +18. 任意生产基线都能从制品清单反查到 `baseline-cryptographic-secrets-key-certificate-ledger.yaml`，证明 KMS/HSM key、TLS 证书、签名密钥、API token、数据库凭据、webhook secret、工作负载密钥、轮换、过期、吊销、泄露响应和访问边界证据已经闭合。 +19. 任意生产基线都能从制品清单反查到 `baseline-asset-criticality-classification-ledger.yaml`，证明资产 owner、业务关键性、SLO Tier、L3/L4、CIA 影响、数据敏感度、AI 风险、互联网暴露和复核状态证据已经闭合。 +20. 任意生产基线都能从制品清单反查到 `baseline-identity-entitlement-access-ledger.yaml`，证明人类身份、服务账号、工作负载身份、特权访问、JML、MFA、PAM/JIT、break-glass、孤儿账号、过期权限和运行时身份绑定证据已经闭合。 +21. 任意生产基线都能从制品清单反查到 `baseline-processing-activity-inventory-ledger.yaml`，证明个人数据处理活动、数据主体类别、个人数据类别、接收方、跨境传输、保留映射、DPIA、合法基础和发现覆盖证据已经闭合。 +22. 任意生产基线都能从制品清单反查到 `baseline-privacy-rights-consent-ledger.yaml`，证明处理目的、合法基础、同意偏好、撤回传播、权利请求履约、自动化决策复核和下游处理阻断证据已经闭合。 +23. 任意生产基线都能从制品清单反查到 `baseline-records-retention-legal-hold-ledger.yaml`，证明记录类别、留存排期、legal hold、删除资格、删除传播和可防御删除回执证据已经闭合。 ### 10.10.16 基线验证环境锁定 @@ -6646,6 +6688,8 @@ baselineStateReconciliationReport: thirdPartyRiskLedger: governance/evidence/baselines/baseline-third-party-risk-ledger.yaml operationalResilienceLedger: governance/evidence/baselines/baseline-operational-resilience-ledger.yaml regulatoryObligationLedger: governance/evidence/baselines/baseline-regulatory-obligation-ledger.yaml + cryptographicSecretsKeyCertificateLedger: governance/evidence/baselines/baseline-cryptographic-secrets-key-certificate-ledger.yaml + assetCriticalityClassificationLedger: governance/evidence/baselines/baseline-asset-criticality-classification-ledger.yaml identityEntitlementAccessLedger: governance/evidence/baselines/baseline-identity-entitlement-access-ledger.yaml processingActivityInventoryLedger: governance/evidence/baselines/baseline-processing-activity-inventory-ledger.yaml privacyRightsConsentLedger: governance/evidence/baselines/baseline-privacy-rights-consent-ledger.yaml @@ -6690,7 +6734,7 @@ baselineStateReconciliationReport: baselineId: mea-v2.53-20260602 documentVersion: V2.53 result: pass - rulesExecuted: 34 + rulesExecuted: 35 blockingFailures: 0 replayResult: pass decisionMatchesExecution: true @@ -6710,6 +6754,28 @@ baselineStateReconciliationReport: overdueObligationPoam: 0 result: pass status: match + cryptographicSecretsKeyCertificateLedger: + ledgerId: bcskcl-20260602-mea-v275 + baselineId: mea-v2.75-20260602 + documentVersion: V2.75 + cryptographicMaterialsCovered: 312 + kmsKeysCovered: 74 + hsmKeysCovered: 8 + tlsCertificatesCovered: 126 + signingKeysCovered: 18 + apiTokensCovered: 52 + databaseCredentialsCovered: 34 + workloadSecretsCovered: 68 + materialsWithOwners: 312 + plaintextProductionSecrets: 0 + expiredCertificates: 0 + overdueRotations: 0 + weakAlgorithms: 0 + missingRevocationPaths: 0 + openSecretLeaks: 0 + unmanagedSigningKeys: 0 + result: pass + status: match assetCriticalityClassificationLedger: ledgerId: baccl-20260602-mea-v274 baselineId: mea-v2.74-20260602 @@ -7148,10 +7214,10 @@ baselineStateReconciliationReport: 执行规则： 1. `baseline-state-reconciliation-report.yaml` 必须在 `candidate -> baseline`、`baseline -> frozen`、`baseline -> emergency-patch`、`baseline -> superseded` 和 `superseded -> eol` 前生成。 -2. 对账输入至少覆盖生命周期状态机、版本控制面、基线准入执行策略、基线运行时准入回执、基线运行时准入决策总账、基线连续控制监测总账、基线独立控制保证抽样总账、基线共享责任与继承控制总账、基线数据驻留与跨境处理总账、基线第三方与关键供应商风险总账、基线运营韧性与重要业务服务影响容忍总账、基线资产关键性、数据分类与风险分级总账、基线消费锁定文件、基线迁移工作单、基线迁移执行回执、本地私有制品边界、审计导出排除清单、私有制品托管交接清单、干净环境基线重建回执、基线证据不可变归档回执、基线长期验签回执、发布证据包、证据追踪图、门禁执行报告、发布事务回执、撤销隔离记录、会审裁决记录、发布列车、支持矩阵、EOL 退役证书、采纳总账、符合性声明、制品清单、验证锁和审计导出清单。 +2. 对账输入至少覆盖生命周期状态机、版本控制面、基线准入执行策略、基线运行时准入回执、基线运行时准入决策总账、基线连续控制监测总账、基线独立控制保证抽样总账、基线共享责任与继承控制总账、基线数据驻留与跨境处理总账、基线第三方与关键供应商风险总账、基线运营韧性与重要业务服务影响容忍总账、基线密码材料、密钥、证书与秘密生命周期总账、基线资产关键性、数据分类与风险分级总账、基线消费锁定文件、基线迁移工作单、基线迁移执行回执、本地私有制品边界、审计导出排除清单、私有制品托管交接清单、干净环境基线重建回执、基线证据不可变归档回执、基线长期验签回执、发布证据包、证据追踪图、门禁执行报告、发布事务回执、撤销隔离记录、会审裁决记录、发布列车、支持矩阵、EOL 退役证书、采纳总账、符合性声明、制品清单、验证锁和审计导出清单。 3. `baselineId`、`documentVersion`、`releaseTag`、`sourceCommit` 和生命周期状态在任何权威账本中不一致时，必须阻断晋级。 4. `releaseEvidence` 允许声明目标状态，例如 `candidate -> baseline`，但必须同时能证明当前状态仍来自状态机，不能把目标状态误当当前状态。 -5. `writeBack` 必须证明状态迁移后的版本控制面、基线准入执行策略、基线运行时准入回执、基线运行时准入决策总账、基线连续控制监测总账、基线独立控制保证抽样总账、基线共享责任与继承控制总账、基线数据驻留与跨境处理总账、基线第三方与关键供应商风险总账、基线运营韧性与重要业务服务影响容忍总账、基线资产关键性、数据分类与风险分级总账、基线消费锁定文件、基线迁移工作单、基线迁移执行回执、本地私有制品边界、审计导出排除清单、私有制品托管交接清单、干净环境基线重建回执、基线证据不可变归档回执、基线长期验签回执、支持矩阵、EOL 退役证书、发布证据摘要、采纳总账和审计导出清单已经更新。 +5. `writeBack` 必须证明状态迁移后的版本控制面、基线准入执行策略、基线运行时准入回执、基线运行时准入决策总账、基线连续控制监测总账、基线独立控制保证抽样总账、基线共享责任与继承控制总账、基线数据驻留与跨境处理总账、基线第三方与关键供应商风险总账、基线运营韧性与重要业务服务影响容忍总账、基线密码材料、密钥、证书与秘密生命周期总账、基线资产关键性、数据分类与风险分级总账、基线消费锁定文件、基线迁移工作单、基线迁移执行回执、本地私有制品边界、审计导出排除清单、私有制品托管交接清单、干净环境基线重建回执、基线证据不可变归档回执、基线长期验签回执、支持矩阵、EOL 退役证书、发布证据摘要、采纳总账和审计导出清单已经更新。 6. 对账报告本身必须进入发布证据包摘要和审计导出包，不能只作为临时检查日志。 7. 任何 `conflict`、`missing`、`stale`、准入策略执行失败、证据追踪图断链、门禁执行报告失败、重放失败、发布事务失败、撤销隔离状态冲突、远端 ref 不匹配、保护规则缺失或 critical/high drift 都必须进入 release gate 阻断、POA&M 或风险接受，不能被就绪总分覆盖。 @@ -7178,9 +7244,10 @@ baselineStateReconciliationReport: 19. 任意基线连续控制监测总账都能在状态对账报告中看到关键控制覆盖数、告警规则数、open critical/high drift、证据过期数、MTTD/MTTR 和未分配告警数。 20. 任意基线独立控制保证抽样总账都能在状态对账报告中看到独立评估人、抽样方法、critical 控制样本覆盖、设计有效性、运行有效性、open critical/high findings 和 OSCAL Assessment Results 生成状态。 21. 任意基线共享责任与继承控制总账都能在状态对账报告中看到 inherited/shared/provider/domain/consumer 控制数量、无 owner 控制数、过期继承证据数、缺失消费者义务数和无效继承声明数。 -22. 任意基线资产关键性、数据分类与风险分级总账都能在状态对账报告中看到资产覆盖数、无 owner 资产数、L3/L4 资产数、CIA 影响缺失数、未知数据分类数、conformance profile 错配数、关键资产低估数、互联网暴露未分类数和 AI 风险未知数。 -23. 任意基线第三方与关键供应商风险总账都能在状态对账报告中看到关键供应商数、批准状态、合同控制、DPA/SLA、审计权、保证报告有效期、退出计划、集中度阈值、开放发现项、供应商事件和 POA&M 逾期状态。 -24. 任意基线运营韧性与重要业务服务影响容忍总账都能在状态对账报告中看到重要业务服务数、影响容忍批准状态、BIA 新鲜度、依赖图新鲜度、场景测试覆盖率、超限次数、未拥有关键依赖、开放 critical 韧性缺口和 POA&M 逾期状态。 +22. 任意基线密码材料、密钥、证书与秘密生命周期总账都能在状态对账报告中看到密码材料覆盖数、owner 覆盖、明文秘密数、过期证书数、轮换超期数、弱算法数、缺失吊销路径数、开放泄露数和未托管签名密钥数。 +23. 任意基线资产关键性、数据分类与风险分级总账都能在状态对账报告中看到资产覆盖数、无 owner 资产数、L3/L4 资产数、CIA 影响缺失数、未知数据分类数、conformance profile 错配数、关键资产低估数、互联网暴露未分类数和 AI 风险未知数。 +24. 任意基线第三方与关键供应商风险总账都能在状态对账报告中看到关键供应商数、批准状态、合同控制、DPA/SLA、审计权、保证报告有效期、退出计划、集中度阈值、开放发现项、供应商事件和 POA&M 逾期状态。 +25. 任意基线运营韧性与重要业务服务影响容忍总账都能在状态对账报告中看到重要业务服务数、影响容忍批准状态、BIA 新鲜度、依赖图新鲜度、场景测试覆盖率、超限次数、未拥有关键依赖、开放 critical 韧性缺口和 POA&M 逾期状态。 ### 10.10.23 基线 EOL 退役证书 @@ -8011,6 +8078,24 @@ baselineEvidenceTraceGraph: - baseline-state-reconciliation-report - audit-export-manifest - baseline-evidence-archive-receipt + - id: baseline-cryptographic-secrets-key-certificate-ledger + type: cryptographic-secrets-key-certificate + path: governance/evidence/baselines/baseline-cryptographic-secrets-key-certificate-ledger.yaml + digest: sha256: + producer: security-cryptography-team + requiredFor: + - candidate-to-baseline + - baseline-to-frozen + - baseline-to-quarantined + - superseded-to-eol + status: present + consumedBy: + - baseline-release-evidence + - baseline-gate-execution-report + - baseline-review-board-decision + - baseline-state-reconciliation-report + - audit-export-manifest + - baseline-evidence-archive-receipt - id: baseline-asset-criticality-classification-ledger type: asset-criticality-classification path: governance/evidence/baselines/baseline-asset-criticality-classification-ledger.yaml @@ -8294,6 +8379,11 @@ baselineEvidenceTraceGraph: relation: records-regulatory-obligation-digest digestReferenceMatches: true blocking: true + - from: baseline-release-evidence + to: baseline-cryptographic-secrets-key-certificate-ledger + relation: records-cryptographic-secrets-key-certificate-digest + digestReferenceMatches: true + blocking: true - from: baseline-release-evidence to: baseline-asset-criticality-classification-ledger relation: records-asset-criticality-classification-digest @@ -8819,6 +8909,11 @@ baselineEvidenceTraceGraph: relation: archives-regulatory-obligation-evidence digestReferenceMatches: true blocking: true + - from: baseline-evidence-archive-receipt + to: baseline-cryptographic-secrets-key-certificate-ledger + relation: archives-cryptographic-secrets-key-certificate-evidence + digestReferenceMatches: true + blocking: true - from: baseline-evidence-archive-receipt to: baseline-asset-criticality-classification-ledger relation: archives-asset-criticality-classification-evidence @@ -8874,6 +8969,7 @@ baselineEvidenceTraceGraph: - baseline-third-party-risk-ledger - baseline-operational-resilience-ledger - baseline-regulatory-obligation-ledger + - baseline-cryptographic-secrets-key-certificate-ledger - baseline-asset-criticality-classification-ledger - baseline-identity-entitlement-access-ledger - baseline-processing-activity-inventory-ledger @@ -8911,6 +9007,7 @@ baselineEvidenceTraceGraph: - baseline-third-party-risk-ledger - baseline-operational-resilience-ledger - baseline-regulatory-obligation-ledger + - baseline-cryptographic-secrets-key-certificate-ledger - baseline-asset-criticality-classification-ledger - baseline-identity-entitlement-access-ledger - baseline-processing-activity-inventory-ledger @@ -9046,6 +9143,16 @@ baselineEvidenceTraceGraph: regulatoryObligationMandatoryItemsCovered: true regulatoryObligationNoUnownedObligation: true regulatoryObligationNoOverduePoam: true + cryptographicSecretsKeyCertificateLedgerPresent: true + cryptographicSecretsKeyCertificateDigestMatchesRelease: true + cryptographicMaterialsAllInventoried: true + cryptographicMaterialsHaveOwners: true + cryptographicSecretsNoPlaintextProductionSecret: true + cryptographicCertificatesNoExpiredProductionCertificate: true + cryptographicKeysNoOverdueRotation: true + cryptographicAlgorithmsNoWeakAlgorithm: true + cryptographicRevocationPathsDeclared: true + cryptographicSecretLeaksClosedOrRevoked: true assetCriticalityClassificationLedgerPresent: true assetCriticalityClassificationDigestMatchesRelease: true governedAssetsAllClassified: true @@ -9132,12 +9239,13 @@ baselineEvidenceTraceGraph: 19. `baseline-third-party-risk-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明关键供应商的合同控制、审计权、保证报告、退出计划、集中度和连续性具备可复核边界。 20. `baseline-operational-resilience-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明重要业务服务、影响容忍、BIA、端到端依赖、场景测试、恢复能力和超限升级具备可复核边界。 21. `baseline-regulatory-obligation-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明适用监管义务、客户合同义务、标准要求和内部政策要求已经映射到控制、证据、owner、例外和整改。 -22. `baseline-asset-criticality-classification-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明资产 owner、业务关键性、SLO Tier、L3/L4、CIA 影响、数据敏感度、AI 风险、互联网暴露和分级复核已经入账。 -23. `baseline-identity-entitlement-access-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明人类身份、服务账号、工作负载身份、JML、MFA、PAM/JIT、break-glass、孤儿账号、过期权限和运行时身份绑定已经入账。 -24. `baseline-processing-activity-inventory-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明所有个人数据处理活动、数据主体类别、个人数据类别、接收方、跨境传输、保留映射、DPIA、合法基础和发现覆盖已经入账。 -25. `baseline-privacy-rights-consent-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明处理目的合法基础、同意撤回传播、权利请求 SLA、自动化决策复核和第三方下游传播已经闭合。 -26. `baseline-records-retention-legal-hold-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明记录留存排期、legal hold、删除资格、删除传播和可防御删除回执已经闭合。 -27. 条件放行只能降低非阻断节点的处理优先级，不能绕过断链、摘要不一致或必需节点缺失。 +22. `baseline-cryptographic-secrets-key-certificate-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明 KMS/HSM key、TLS 证书、签名密钥、API token、数据库凭据、webhook secret、工作负载密钥、轮换、过期、吊销和泄露响应已经入账。 +23. `baseline-asset-criticality-classification-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明资产 owner、业务关键性、SLO Tier、L3/L4、CIA 影响、数据敏感度、AI 风险、互联网暴露和分级复核已经入账。 +24. `baseline-identity-entitlement-access-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明人类身份、服务账号、工作负载身份、JML、MFA、PAM/JIT、break-glass、孤儿账号、过期权限和运行时身份绑定已经入账。 +25. `baseline-processing-activity-inventory-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明所有个人数据处理活动、数据主体类别、个人数据类别、接收方、跨境传输、保留映射、DPIA、合法基础和发现覆盖已经入账。 +26. `baseline-privacy-rights-consent-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明处理目的合法基础、同意撤回传播、权利请求 SLA、自动化决策复核和第三方下游传播已经闭合。 +27. `baseline-records-retention-legal-hold-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明记录留存排期、legal hold、删除资格、删除传播和可防御删除回执已经闭合。 +28. 条件放行只能降低非阻断节点的处理优先级，不能绕过断链、摘要不一致或必需节点缺失。 可执行验收标准： @@ -9163,11 +9271,12 @@ baselineEvidenceTraceGraph: 20. 任意 baseline 或 frozen 晋级都必须把 `baseline-third-party-risk-ledger.yaml` 作为证据节点，证明关键供应商分级、合同控制、审计权、保证报告、退出计划、集中度、替代路径和供应商事件状态已经闭合。 21. 任意 baseline 或 frozen 晋级都必须把 `baseline-operational-resilience-ledger.yaml` 作为证据节点，证明重要业务服务、影响容忍、BIA、端到端依赖、严重但合理场景测试、恢复结果、沟通计划和超限升级已经闭合。 22. 任意 baseline 或 frozen 晋级都必须把 `baseline-regulatory-obligation-ledger.yaml` 作为证据节点，证明强制义务、适用范围、控制目标、控制项、证据路径、owner、监管变更和 POA&M 已经闭合。 -23. 任意 baseline 或 frozen 晋级都必须把 `baseline-asset-criticality-classification-ledger.yaml` 作为证据节点，证明资产 owner、业务关键性、SLO Tier、L3/L4、CIA 影响、数据敏感度、AI 风险、互联网暴露和分级复核已经闭合。 -24. 任意 baseline 或 frozen 晋级都必须把 `baseline-identity-entitlement-access-ledger.yaml` 作为证据节点，证明人类身份、服务账号、工作负载身份、JML、MFA、PAM/JIT、break-glass、最小权限、孤儿账号、过期权限和运行时身份绑定已经闭合。 -25. 任意 baseline 或 frozen 晋级都必须把 `baseline-processing-activity-inventory-ledger.yaml` 作为证据节点，证明处理活动、数据主体类别、个人数据类别、控制者/处理者角色、接收方、跨境传输、保留映射、DPIA、合法基础、AI/数据产品用途和发现覆盖已经闭合。 -26. 任意 baseline 或 frozen 晋级都必须把 `baseline-privacy-rights-consent-ledger.yaml` 作为证据节点，证明处理目的、合法基础、同意偏好、撤回传播、主体权利请求、自动化决策复核、下游处理限制和第三方传播已经闭合。 -27. 任意 baseline 或 frozen 晋级都必须把 `baseline-records-retention-legal-hold-ledger.yaml` 作为证据节点，证明记录类别、留存排期、义务来源、legal hold、删除资格、删除传播、保全解除和可防御删除回执已经闭合。 +23. 任意 baseline 或 frozen 晋级都必须把 `baseline-cryptographic-secrets-key-certificate-ledger.yaml` 作为证据节点，证明 KMS/HSM key、TLS 证书、签名密钥、API token、数据库凭据、webhook secret、工作负载密钥、轮换、过期、吊销、泄露响应和访问边界已经闭合。 +24. 任意 baseline 或 frozen 晋级都必须把 `baseline-asset-criticality-classification-ledger.yaml` 作为证据节点，证明资产 owner、业务关键性、SLO Tier、L3/L4、CIA 影响、数据敏感度、AI 风险、互联网暴露和分级复核已经闭合。 +25. 任意 baseline 或 frozen 晋级都必须把 `baseline-identity-entitlement-access-ledger.yaml` 作为证据节点，证明人类身份、服务账号、工作负载身份、JML、MFA、PAM/JIT、break-glass、最小权限、孤儿账号、过期权限和运行时身份绑定已经闭合。 +26. 任意 baseline 或 frozen 晋级都必须把 `baseline-processing-activity-inventory-ledger.yaml` 作为证据节点，证明处理活动、数据主体类别、个人数据类别、控制者/处理者角色、接收方、跨境传输、保留映射、DPIA、合法基础、AI/数据产品用途和发现覆盖已经闭合。 +27. 任意 baseline 或 frozen 晋级都必须把 `baseline-privacy-rights-consent-ledger.yaml` 作为证据节点，证明处理目的、合法基础、同意偏好、撤回传播、主体权利请求、自动化决策复核、下游处理限制和第三方传播已经闭合。 +28. 任意 baseline 或 frozen 晋级都必须把 `baseline-records-retention-legal-hold-ledger.yaml` 作为证据节点，证明记录类别、留存排期、义务来源、legal hold、删除资格、删除传播、保全解除和可防御删除回执已经闭合。 ### 10.10.26 基线门禁执行报告 @@ -9258,6 +9367,9 @@ baselineGateExecutionReport: regulatoryObligationLedger: path: governance/evidence/baselines/baseline-regulatory-obligation-ledger.yaml digest: sha256: + cryptographicSecretsKeyCertificateLedger: + path: governance/evidence/baselines/baseline-cryptographic-secrets-key-certificate-ledger.yaml + digest: sha256: assetCriticalityClassificationLedger: path: governance/evidence/baselines/baseline-asset-criticality-classification-ledger.yaml digest: sha256: @@ -9566,6 +9678,20 @@ baselineGateExecutionReport: - evidenceTraceGraph result: pass blocking: true + - id: BGE-027 + title: cryptographic materials, keys, certificates, and secrets lifecycle is governed + source: governance/policies/baseline-gates/cryptographic-secrets-key-certificate.rego + inputRefs: + - cryptographicSecretsKeyCertificateLedger + - assetCriticalityClassificationLedger + - identityEntitlementAccessLedger + - runtimeAdmissionDecisionLedger + - runtimeAdmissionReceipt + - releaseEvidence + - stateReconciliation + - evidenceTraceGraph + result: pass + blocking: true replay: replayCommand: starter kit 校验命令 --replay governance/evidence/baselines/baseline-gate-execution-report.yaml replayedAt: 2026-06-02T18:45:00+08:00 @@ -9604,7 +9730,7 @@ baselineGateExecutionReport: 1. `baseline-gate-execution-report.yaml` 必须在 `release-gate-decision.yaml` 最终落盘前生成，并由门禁决策引用其摘要。 2. 所有阻断型控制项必须在 `ruleResults` 中出现；不能只记录总结果。 3. `execution.runnerImage`、`policyBundleDigest`、`schemaBundleDigest` 和 `verificationLock` 必须与 `baseline-verification-lock.yaml` 一致。 -4. `inputs` 中每个摘要必须与发布证据包、基线消费锁定文件、基线迁移工作单、基线迁移执行回执、本地私有制品边界、审计导出排除清单、私有制品托管交接清单、干净环境基线重建回执、基线证据不可变归档回执、基线长期验签回执、基线运行时准入回执、基线连续控制监测总账、基线独立控制保证抽样总账、基线共享责任与继承控制总账、基线数据驻留与跨境处理总账、基线第三方与关键供应商风险总账、基线运营韧性与重要业务服务影响容忍总账、基线监管与合规义务可追溯总账、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、状态对账报告和证据追踪图中的摘要一致。 +4. `inputs` 中每个摘要必须与发布证据包、基线消费锁定文件、基线迁移工作单、基线迁移执行回执、本地私有制品边界、审计导出排除清单、私有制品托管交接清单、干净环境基线重建回执、基线证据不可变归档回执、基线长期验签回执、基线运行时准入回执、基线连续控制监测总账、基线独立控制保证抽样总账、基线共享责任与继承控制总账、基线数据驻留与跨境处理总账、基线第三方与关键供应商风险总账、基线运营韧性与重要业务服务影响容忍总账、基线监管与合规义务可追溯总账、基线密码材料、密钥、证书与秘密生命周期总账、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、状态对账报告和证据追踪图中的摘要一致。 5. `exitCode` 非 0、任一阻断规则失败、输入摘要不一致、策略包漂移或重放失败时，`decision.result` 不得为 `pass`。 6. 任何 `exception`、`conditional-pass` 或 `break-glass` 必须引用例外总账、POA&M、风险接受或事故编号，并声明到期动作。 7. 基线进入 `baseline`、`frozen` 或 `eol` 前必须完成重放；重放结果必须进入状态对账、发布证据包、会审裁决和审计导出。 @@ -9613,7 +9739,7 @@ baselineGateExecutionReport: 可执行验收标准： 1. 任意 release gate 的通过、阻断、条件放行或 break-glass 都能找到对应执行报告。 -2. 任意执行报告都能证明命令、runner、策略包、schema 包、输入摘要、迁移执行回执摘要、本地私有制品边界摘要、审计导出排除清单摘要、私有制品托管交接摘要、干净环境重建摘要、证据不可变归档摘要、长期验签摘要、运行时准入摘要、连续控制监测摘要、独立控制保证抽样摘要、共享责任与继承控制摘要、数据驻留与跨境处理摘要、第三方与关键供应商风险摘要、资产关键性与分类摘要、身份权限与工作负载身份摘要、隐私权利与同意执行摘要、记录留存摘要、规则结果、退出码和最终决策一致。 +2. 任意执行报告都能证明命令、runner、策略包、schema 包、输入摘要、迁移执行回执摘要、本地私有制品边界摘要、审计导出排除清单摘要、私有制品托管交接摘要、干净环境重建摘要、证据不可变归档摘要、长期验签摘要、运行时准入摘要、连续控制监测摘要、独立控制保证抽样摘要、共享责任与继承控制摘要、数据驻留与跨境处理摘要、第三方与关键供应商风险摘要、密码材料与密钥证书生命周期摘要、资产关键性与分类摘要、身份权限与工作负载身份摘要、隐私权利与同意执行摘要、记录留存摘要、规则结果、退出码和最终决策一致。 3. 任意审计人员都能重放同一报告，并得到与初次执行一致的结果。 4. 任意规则失败都能定位到规则 ID、策略来源、输入引用、阻断属性和整改路径。 5. 任意最终决策为 `pass` 的基线都不能存在未运行、未重放或摘要不一致的阻断规则。 @@ -14319,6 +14445,158 @@ baselineAssetCriticalityClassificationLedger: 4. 任意审计导出都能包含资产分级摘要，证明无未知资产、无无主资产、无未知数据分类、无 CIA 缺失、无 conformance profile 错配和无关键资产低估。 5. 任意资产分级变更都能在状态对账和证据追踪图中看到摘要变化、下游消费和 release gate 结果。 +### 10.10.53 基线密码材料、密钥、证书与秘密生命周期总账 + +`baseline-cryptographic-secrets-key-certificate-ledger.yaml` 是企业级基线的密码材料、密钥、证书和秘密生命周期覆盖证据。 +它不替代 KMS、HSM、Vault、Secret Manager、cert-manager、企业 CA、CI 签名系统、TLS 扫描器或密钥轮换记录；这些系统分别 +管理密钥托管、硬件保护、秘密分发、证书签发、签名、扫描和轮换事件。该总账回答的是：“哪些生产密码材料真实存在；谁拥有； +用途是什么；托管在哪里；算法和强度是否满足基线；什么时候轮换、过期、吊销；泄露后如何关闭；这些材料是否绑定到资产、身份、 +运行时准入和发布证据”。它是 NIST SP 800-57 式密钥生命周期管理、NIST SP 800-52 式 TLS 配置要求、CIS Controls 对数据保护 +和企业资产管理要求之间的执行桥梁。 + +```yaml +baselineCryptographicSecretsKeyCertificateLedger: + ledgerId: bcskcl-20260602-mea-v275 + baselineId: mea-v2.75-20260602 + documentVersion: V2.75 + owner: security-cryptography-team + generatedAt: 2026-06-02T23:59:00+08:00 + linkedEvidence: + kms: governance/security/kms-inventory.yaml + hsm: governance/security/hsm-inventory.yaml + secretManager: governance/security/secret-manager-inventory.yaml + certificateAuthority: governance/security/certificate-authority.yaml + certManager: infra/kubernetes/cert-manager/ + tlsScan: governance/evidence/security/tls-scan-report.yaml + secretScan: governance/evidence/security/secret-scan-report.yaml + secretsRotationEvidence: governance/evidence/secrets/secrets-rotation-evidence.yaml + signatureLtvReceipt: governance/evidence/baselines/baseline-signature-ltv-receipt.yaml + runtimeAdmissionDecisionLedger: governance/evidence/baselines/baseline-runtime-admission-decision-ledger.yaml + assetCriticalityClassificationLedger: governance/evidence/baselines/baseline-asset-criticality-classification-ledger.yaml + identityEntitlementAccessLedger: governance/evidence/baselines/baseline-identity-entitlement-access-ledger.yaml + policy: + defaultForUnknownMaterial: block + defaultForPlaintextSecret: block + requireOwner: true + requireAssetBinding: true + requireManagedStorage: true + requireRotationCadence: true + requireRevocationPath: true + maxCertificateTtlDays: 398 + maxTokenTtlDays: 90 + blockWeakAlgorithms: true + materials: + - materialId: tls-customer-api-prod + type: tls-certificate + owner: customer-platform-team + assetRef: catalog/components/customer-profile-service.yaml + storageRef: cert-manager://prod/customer/customer-profile-tls + issuer: company-intermediate-ca + algorithm: ecdsa-p256 + keyLength: 256 + notBefore: 2026-06-01T00:00:00+08:00 + notAfter: 2026-08-30T00:00:00+08:00 + rotationCadenceDays: 60 + lastRotatedAt: 2026-06-01T00:00:00+08:00 + revocationPath: governance/security/certificate-revocation-runbook.md + accessBoundary: + readableBy: + - workload:customer-profile-service + humanAccessAllowed: false + status: crypto-current + - materialId: signing-key-architecture-baseline + type: signing-key + owner: platform-release-engineering + assetRef: catalog/components/architecture-baseline-publisher.yaml + storageRef: kms://prod/signing/architecture-baseline + algorithm: ecdsa-p256 + keyLength: 256 + hardwareBacked: true + rotationCadenceDays: 180 + lastRotatedAt: 2026-05-10T00:00:00+08:00 + revocationPath: governance/security/signing-key-revocation-runbook.md + ltvReceiptRef: governance/evidence/baselines/baseline-signature-ltv-receipt.yaml + status: crypto-current + - materialId: db-customer-profile-prod + type: database-credential + owner: customer-platform-team + assetRef: catalog/components/customer-profile-db.yaml + storageRef: vault://prod/customer/customer-profile-db + rotationCadenceDays: 30 + lastRotatedAt: 2026-05-30T00:00:00+08:00 + expiresAt: 2026-06-29T00:00:00+08:00 + revocationPath: governance/security/database-credential-rotation.md + accessBoundary: + readableBy: + - workload:customer-profile-service + humanAccessAllowed: false + status: crypto-current + summary: + cryptographicMaterialsCovered: 312 + kmsKeysCovered: 74 + hsmKeysCovered: 8 + tlsCertificatesCovered: 126 + signingKeysCovered: 18 + apiTokensCovered: 52 + databaseCredentialsCovered: 34 + workloadSecretsCovered: 68 + plaintextProductionSecrets: 0 + expiredCertificates: 0 + overdueRotations: 0 + weakAlgorithms: 0 + missingRevocationPaths: 0 + openSecretLeaks: 0 + unmanagedSigningKeys: 0 + result: pass + gates: + blockOnUnknownMaterial: true + blockOnMissingOwner: true + blockOnPlaintextSecret: true + blockOnWeakAlgorithm: true + blockOnExpiredCertificate: true + blockOnOverdueRotation: true + blockOnMissingRevocationPath: true + blockOnOpenLeak: true +``` + +密码材料状态只能使用以下值： + +| 状态 | 含义 | 是否阻断 | +| ---- | ---- | -------- | +| `crypto-current` | 密码材料有 owner、资产绑定、托管位置、算法强度、轮换、过期、吊销和访问边界证据 | 否 | +| `owner-required` | 密码材料缺业务 owner、技术 owner 或安全 owner | 是 | +| `asset-binding-required` | 密码材料无法绑定到 catalog、运行资产、身份或发布证据 | 是 | +| `managed-storage-required` | 密码材料不在 KMS、HSM、Vault、Secret Manager、cert-manager 或受控 CA 中 | 是 | +| `plaintext-secret` | 生产秘密明文存在于 Git、镜像、日志、环境变量快照或非托管配置中 | 是 | +| `weak-algorithm` | 算法、密钥长度、TLS 配置或签名参数低于基线要求 | 是 | +| `rotation-overdue` | 密钥、token、凭据或证书超过轮换周期 | 是 | +| `certificate-expired` | TLS、mTLS、代码签名或内部 CA 证书已过期或即将超出准入窗口 | 是 | +| `revocation-path-required` | 缺少吊销、禁用、替换或泄露响应路径 | 是 | +| `leak-open` | 泄露扫描、事故或外部通知发现秘密泄露但未关闭、吊销或轮换 | 是 | +| `retired` | 密码材料已经退役，引用清理、吊销、销毁和审计留存已经完成 | 否 | +| `not-applicable` | 当前资产明确不持有该类密码材料，并有 owner 签署 | 否 | + +执行规则： + +1. 所有生产 KMS/HSM key、TLS/mTLS 证书、签名密钥、API token、数据库凭据、webhook secret、OAuth client secret、CI secret、工作负载密钥和第三方访问密钥都必须入账。 +2. 每条记录必须绑定 owner、资产、用途、托管位置、算法、强度、创建时间、轮换周期、最近轮换、过期时间、吊销路径、泄露响应路径和访问边界。 +3. 生产秘密不得以明文进入 Git、镜像、日志、环境变量快照、审计导出原文或签名 payload；必须使用托管秘密系统和摘要留存。 +4. 签名密钥、CA key、生产 KMS key 和 L4 关键资产密钥必须声明硬件保护、双人审批、访问审计和吊销路径。 +5. 证书过期、密钥轮换超期、弱算法、缺 owner、缺资产绑定、缺吊销路径、泄露未关闭或签名密钥托管不清必须形成阻断发现项。 +6. 密码材料退役不能只删除 Secret；必须证明下游引用清零、证书吊销、key disabled/destroy scheduled、凭据轮换和审计证据留存。 +7. 第三方、模型供应商、SaaS、云平台和外包方使用的 token 或凭据必须链接第三方风险总账、合同控制、退出计划和供应商事件流程。 +8. AI 工具、RAG、Agent、CI/CD、GitOps 和 runtime admission 使用的秘密必须绑定到对应 AI 证据、工具契约、发布证据和运行时准入决策。 +9. 任意密码材料变更必须进入状态对账、证据追踪图、门禁执行报告和审计导出；不能只在 KMS 或证书平台本地更新。 +10. 条件放行不能延长过期证书或明文秘密；只能限定补证期限、补偿控制和风险接受范围。 + +可执行验收标准： + +1. 任意生产密码材料都能追到 owner、资产、托管位置、算法强度、用途、访问边界、最近轮换、过期时间和吊销路径。 +2. 任意 L3/L4 资产都能证明密钥、证书、token、凭据和签名材料与资产分级、身份权限、运行时准入和发布证据一致。 +3. 任意签名密钥、CA key、KMS/HSM key 和关键凭据都能证明硬件保护或托管保护、访问审计、轮换、吊销和泄露响应路径。 +4. 任意审计导出都能包含密码材料摘要，证明无未知材料、无明文生产秘密、无弱算法、无过期证书、无轮换超期、无缺失吊销路径和无开放泄露。 +5. 任意密码材料退役都能证明下游引用清零、吊销或禁用完成、替代材料已生效、历史证据已留存。 + ## 10.11 仓库拓扑剖面 目录结构可以按企业规模、团队自治程度和合规要求裁剪，但真相源边界不能裁剪。仓库拓扑的选择应先看 ownership、变更频率、权限隔离、发布节奏和审计要求，而不是看团队偏好的 Git 管理方式。 @@ -14426,7 +14704,7 @@ baselineAssetCriticalityClassificationLedger: starter kit 校验命令 ``` -该命令是仓库内零依赖 starter gate，用于校验版本清单、控制项覆盖清单、107 组示例的 JSON Schema 子集、YAML 示例、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、嵌套必填字段、格式约束、数值阈值、严格 schema 模式、基线运营韧性与重要业务服务影响容忍总账、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线符合性声明、基线发布列车、基线支持矩阵、基线采纳总账、基线兼容性总账、基线发布证据包、版本控制面、外部标准版本锁定、企业执行控制面、合规等级、门禁决策、仓库变更控制、远端保护漂移整改、访问复核、密钥轮换、漏洞修复、事故复盘、证据新鲜度、AI 证据账本、微调运行证据、AI 事件响应 playbook、控制证据映射、审计导出清单、审计导出自动化命令、控制评估报告、架构基线变更记录、架构决策记录、OSCAL 交换映射、POA&M 整改计划、企业架构风险登记、审计导出门禁、审计导出完整性清单、审计导出 provenance statement、审计导出签名策略、审计导出签名验签回执、未知字段阻断、证据链字段和示例间一致性。企业生产落地时应优先接入成熟校验器，例如 JSON Schema draft 2020-12 validator、YAML parser、OpenAPI / AsyncAPI checker、OPA / Cedar / Kyverno policy test、SLSA / Sigstore verifier、OpenTelemetry collector、OpenCost / FOCUS 工具链、IAM / Secret 管理系统、漏洞管理平台、事故管理系统、OSCAL 工具链、GitOps diff 工具、Kubernetes admission policy test、Kubernetes audit log checker、Kyverno PolicyReport checker、OPA decision log checker、Prometheus rule checker 和 Alertmanager route checker；本仓库脚本只作为 starter kit 的最小可执行证明。 +该命令是仓库内零依赖 starter gate，用于校验版本清单、控制项覆盖清单、108 组示例的 JSON Schema 子集、YAML 示例、基线密码材料、密钥、证书与秘密生命周期总账、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、嵌套必填字段、格式约束、数值阈值、严格 schema 模式、基线运营韧性与重要业务服务影响容忍总账、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线符合性声明、基线发布列车、基线支持矩阵、基线采纳总账、基线兼容性总账、基线发布证据包、版本控制面、外部标准版本锁定、企业执行控制面、合规等级、门禁决策、仓库变更控制、远端保护漂移整改、访问复核、密钥轮换、漏洞修复、事故复盘、证据新鲜度、AI 证据账本、微调运行证据、AI 事件响应 playbook、控制证据映射、审计导出清单、审计导出自动化命令、控制评估报告、架构基线变更记录、架构决策记录、OSCAL 交换映射、POA&M 整改计划、企业架构风险登记、审计导出门禁、审计导出完整性清单、审计导出 provenance statement、审计导出签名策略、审计导出签名验签回执、未知字段阻断、证据链字段和示例间一致性。企业生产落地时应优先接入成熟校验器，例如 JSON Schema draft 2020-12 validator、YAML parser、OpenAPI / AsyncAPI checker、OPA / Cedar / Kyverno policy test、SLSA / Sigstore verifier、OpenTelemetry collector、OpenCost / FOCUS 工具链、IAM / Secret 管理系统、漏洞管理平台、事故管理系统、OSCAL 工具链、GitOps diff 工具、Kubernetes admission policy test、Kubernetes audit log checker、Kyverno PolicyReport checker、OPA decision log checker、Prometheus rule checker 和 Alertmanager route checker；本仓库脚本只作为 starter kit 的最小可执行证明。 审计导出包由以下命令生成： @@ -14503,6 +14781,7 @@ governance/evidence/baselines/{baseline-data-residency-transfer-ledger}.yaml governance/evidence/baselines/{baseline-third-party-risk-ledger}.yaml governance/evidence/baselines/{baseline-operational-resilience-ledger}.yaml governance/evidence/baselines/{baseline-regulatory-obligation-ledger}.yaml +governance/evidence/baselines/{baseline-cryptographic-secrets-key-certificate-ledger}.yaml governance/evidence/baselines/{baseline-asset-criticality-classification-ledger}.yaml governance/evidence/baselines/{baseline-identity-entitlement-access-ledger}.yaml governance/evidence/baselines/{baseline-processing-activity-inventory-ledger}.yaml @@ -14616,11 +14895,12 @@ starter kit 校验命令 57. 基线第三方与关键供应商风险总账、供应商分级、合同控制、DPA/SLA、审计权、保证报告、数据类别、集中度、退出计划、替代路径、连续性、供应商事件和失效阻断检查。 58. 基线运营韧性与重要业务服务影响容忍总账、重要业务服务、影响容忍、BIA、端到端依赖、严重但合理场景测试、恢复结果、人工替代、沟通计划、第三方依赖、韧性缺口和超限升级检查。 59. 基线监管与合规义务可追溯总账、义务源、版本、司法辖区、适用资产、控制目标、控制项映射、证据映射、owner、例外、POA&M、监管变更和生效期限检查。 -60. 基线资产关键性、数据分类与风险分级总账、资产 owner、业务关键性、SLO Tier、L3/L4、CIA 影响、数据敏感度、监管暴露、AI 风险、互联网暴露、第三方关键性和复核状态检查。 -61. 基线身份权限、特权访问与工作负载身份总账、人类身份、服务账号、工作负载身份、JML、MFA、PAM/JIT、break-glass、最小权限、孤儿账号、过期权限和运行时身份绑定检查。 -62. 基线处理活动、个人数据清单与 RoPA 覆盖总账、处理活动、数据主体类别、个人数据类别、控制者/处理者角色、接收方、跨境传输、保留映射、DPIA、合法基础、AI/数据产品用途和发现覆盖检查。 -63. 基线隐私权利请求、同意偏好与合法基础执行总账、处理目的、合法基础、同意版本、撤回传播、权利请求 SLA、自动化决策复核、第三方传播和下游处理阻断检查。 -64. 基线记录留存、法律保全与可防御删除总账、记录类别、留存排期、义务来源、legal hold、删除资格、删除传播、备份/日志/向量索引处置和可防御删除回执检查。 +60. 基线密码材料、密钥、证书与秘密生命周期总账、KMS/HSM key、TLS 证书、签名密钥、API token、数据库凭据、webhook secret、工作负载密钥、owner、托管位置、算法强度、轮换、过期、吊销、泄露响应和访问边界检查。 +61. 基线资产关键性、数据分类与风险分级总账、资产 owner、业务关键性、SLO Tier、L3/L4、CIA 影响、数据敏感度、监管暴露、AI 风险、互联网暴露、第三方关键性和复核状态检查。 +62. 基线身份权限、特权访问与工作负载身份总账、人类身份、服务账号、工作负载身份、JML、MFA、PAM/JIT、break-glass、最小权限、孤儿账号、过期权限和运行时身份绑定检查。 +63. 基线处理活动、个人数据清单与 RoPA 覆盖总账、处理活动、数据主体类别、个人数据类别、控制者/处理者角色、接收方、跨境传输、保留映射、DPIA、合法基础、AI/数据产品用途和发现覆盖检查。 +64. 基线隐私权利请求、同意偏好与合法基础执行总账、处理目的、合法基础、同意版本、撤回传播、权利请求 SLA、自动化决策复核、第三方传播和下游处理阻断检查。 +65. 基线记录留存、法律保全与可防御删除总账、记录类别、留存排期、义务来源、legal hold、删除资格、删除传播、备份/日志/向量索引处置和可防御删除回执检查。 ### 10.13.2 审计证据索引 @@ -14661,6 +14941,7 @@ starter kit 校验命令 | 基线第三方与关键供应商风险证据 | 供应商分级、服务范围、受影响资产、数据类别、合同控制、DPA/SLA、审计权、保证报告、集中度、退出计划、替代路径、连续性和供应商事件状态 | 第三方风险团队、采购团队、法务团队、安全团队、平台团队、数据团队、AI 团队、SRE 和审计团队 | 覆盖每次 baseline/frozen 晋级、关键供应商接入、合同续期、保证报告到期、供应商事件、集中度变化、AI 模型供应商变更和正式审计导出 | | 基线运营韧性与重要业务服务影响容忍证据 | 重要业务服务、影响容忍、BIA、端到端依赖、严重但合理场景、恢复结果、人工替代、沟通计划、第三方依赖、AI 依赖、韧性缺口和超限升级状态 | 运营韧性团队、业务 owner、SRE、平台团队、数据团队、AI 团队、第三方风险团队、安全团队、法务团队、风险团队和审计团队 | 覆盖每次 baseline/frozen 晋级、重要业务服务变更、重大依赖变更、场景测试、实际事故、near miss、影响容忍超限、韧性缺口关闭和正式审计导出 | | 基线监管与合规义务可追溯证据 | 义务来源、版本、司法辖区、适用范围、控制目标、控制项、证据路径、owner、例外、POA&M、监管变更和复核状态 | 合规治理团队、法务团队、风险团队、架构组、安全团队、数据团队、AI 团队、第三方风险团队和审计团队 | 覆盖每次 baseline/frozen 晋级、监管变化、客户合同变化、标准升级、重大控制变更、正式审计导出和季度复核 | +| 基线密码材料、密钥、证书与秘密生命周期证据 | KMS/HSM key、TLS 证书、签名密钥、API token、数据库凭据、webhook secret、工作负载密钥、owner、托管位置、算法强度、轮换、过期、吊销、泄露响应和访问边界 | 安全密码学团队、平台团队、SRE、发布工程团队、资产 owner 和审计团队 | 覆盖每次 baseline/frozen 晋级、新生产资产登记、证书签发/续期、密钥轮换、签名密钥变更、Secret 泄露响应、供应商凭据变更和正式审计导出 | | 基线资产关键性、数据分类与风险分级证据 | 资产清单、owner、业务关键性、SLO Tier、L3/L4、CIA 影响、数据敏感度、监管暴露、AI 风险等级、互联网暴露、第三方关键性和复核状态 | 架构组、风险团队、平台团队、安全团队、数据团队、AI 团队、业务 owner 和审计团队 | 覆盖每次 baseline/frozen 晋级、新生产资产登记、L3/L4 变更、AI 产品上线、数据分类变更、互联网暴露变更和正式审计导出 | | 基线身份权限、特权访问与工作负载身份证据 | 人类身份、服务账号、工作负载身份、JML、MFA、PAM/JIT、break-glass、最小权限、访问复核、孤儿账号、过期权限和运行时身份绑定 | 安全身份团队、平台团队、SRE、HR、业务 owner、第三方风险团队和审计团队 | 覆盖每次 baseline/frozen 晋级、生产权限变更、服务账号创建、工作负载上线、特权访问、break-glass、供应商接入和正式审计导出 | | 基线处理活动、个人数据清单与 RoPA 覆盖证据 | 处理活动、数据主体类别、个人数据类别、控制者/处理者角色、接收方、跨境传输、保留映射、DPIA、合法基础、AI/数据产品用途、第三方流和发现覆盖 | 隐私治理团队、数据团队、AI 团队、平台团队、第三方风险团队、业务 owner、法务团队和审计团队 | 覆盖每次 baseline/frozen 晋级、新系统/数据产品/AI 产品上线、个人数据发现、供应商接入、跨境传输变化和正式审计导出 | @@ -15161,6 +15442,7 @@ governance/evidence/baselines/baseline-data-residency-transfer-ledger.yaml governance/evidence/baselines/baseline-third-party-risk-ledger.yaml governance/evidence/baselines/baseline-operational-resilience-ledger.yaml governance/evidence/baselines/baseline-regulatory-obligation-ledger.yaml +governance/evidence/baselines/baseline-cryptographic-secrets-key-certificate-ledger.yaml governance/evidence/baselines/baseline-asset-criticality-classification-ledger.yaml governance/evidence/baselines/baseline-identity-entitlement-access-ledger.yaml governance/evidence/baselines/baseline-processing-activity-inventory-ledger.yaml @@ -15252,11 +15534,12 @@ infra/gitops/environments/prod/example/example-service/kustomization.yaml 51. 所有 L3 / L4 企业级基线都有基线第三方与关键供应商风险总账，能证明关键供应商、SaaS、云平台、ICT 服务商、模型供应商、外包方和子处理方具备合同控制、审计权、保证报告、集中度、退出计划、替代路径和连续性证据。 52. 所有 L3 / L4 企业级基线都有基线运营韧性与重要业务服务影响容忍总账，能证明重要业务服务、影响容忍、BIA、端到端依赖、场景测试、恢复能力、人工替代、沟通计划、第三方和 AI 依赖以及超限升级证据。 53. 所有 L3 / L4 企业级基线都有基线监管与合规义务可追溯总账，能证明适用义务源、控制目标、控制项、证据、owner、监管变更、例外和 POA&M 已经闭合。 -54. 所有 L3 / L4 企业级基线都有基线资产关键性、数据分类与风险分级总账，能证明资产 owner、业务关键性、SLO Tier、L3/L4、CIA 影响、数据敏感度、监管暴露、AI 风险、互联网暴露、第三方关键性和复核状态已经闭合。 -55. 所有 L3 / L4 企业级基线都有基线身份权限、特权访问与工作负载身份总账，能证明人类身份、服务账号、工作负载身份、JML、MFA、PAM/JIT、break-glass、孤儿账号、过期权限和运行时身份绑定已经闭合。 -56. 所有 L3 / L4 企业级基线都有基线处理活动、个人数据清单与 RoPA 覆盖总账，能证明处理活动、数据主体类别、个人数据类别、控制者/处理者角色、接收方、跨境传输、保留映射、DPIA、合法基础、AI/数据产品用途和发现覆盖已经闭合。 -57. 所有 L3 / L4 企业级基线都有基线隐私权利请求、同意偏好与合法基础执行总账，能证明处理目的合法基础、同意偏好、撤回传播、主体权利请求、自动化决策复核、第三方传播和下游处理阻断已经闭合。 -58. 所有 L3 / L4 企业级基线都有基线记录留存、法律保全与可防御删除总账，能证明记录类别、留存排期、义务来源、legal hold、删除资格、删除传播、备份/日志/向量索引处置和可防御删除回执已经闭合。 +54. 所有 L3 / L4 企业级基线都有基线密码材料、密钥、证书与秘密生命周期总账，能证明 KMS/HSM key、TLS 证书、签名密钥、API token、数据库凭据、webhook secret、工作负载密钥、轮换、过期、吊销、泄露响应和访问边界已经闭合。 +55. 所有 L3 / L4 企业级基线都有基线资产关键性、数据分类与风险分级总账，能证明资产 owner、业务关键性、SLO Tier、L3/L4、CIA 影响、数据敏感度、监管暴露、AI 风险、互联网暴露、第三方关键性和复核状态已经闭合。 +56. 所有 L3 / L4 企业级基线都有基线身份权限、特权访问与工作负载身份总账，能证明人类身份、服务账号、工作负载身份、JML、MFA、PAM/JIT、break-glass、孤儿账号、过期权限和运行时身份绑定已经闭合。 +57. 所有 L3 / L4 企业级基线都有基线处理活动、个人数据清单与 RoPA 覆盖总账，能证明处理活动、数据主体类别、个人数据类别、控制者/处理者角色、接收方、跨境传输、保留映射、DPIA、合法基础、AI/数据产品用途和发现覆盖已经闭合。 +58. 所有 L3 / L4 企业级基线都有基线隐私权利请求、同意偏好与合法基础执行总账，能证明处理目的合法基础、同意偏好、撤回传播、主体权利请求、自动化决策复核、第三方传播和下游处理阻断已经闭合。 +59. 所有 L3 / L4 企业级基线都有基线记录留存、法律保全与可防御删除总账，能证明记录类别、留存排期、义务来源、legal hold、删除资格、删除传播、备份/日志/向量索引处置和可防御删除回执已经闭合。 --- @@ -15309,6 +15592,7 @@ infra/gitops/environments/prod/example/example-service/kustomization.yaml | 第三方供应商风险失控 | 关键供应商、SaaS、云平台、ICT 服务商、模型供应商、外包方或子处理方未分级，合同控制、审计权、保证报告、集中度、退出计划、替代路径和事件状态不可证明 | 用基线第三方与关键供应商风险总账绑定供应商关键性、服务范围、合同/DPA/SLA、审计权、保证报告、数据类别、集中度阈值、退出演练、替代路径、供应商事件和 POA&M 阻断 | | 运营韧性空心化 | 系统有 SLO、RTO/RPO 和恢复演练，但重要业务服务、影响容忍、BIA、端到端依赖、严重但合理场景和超限升级不可证明 | 用基线运营韧性与重要业务服务影响容忍总账绑定业务服务、影响容忍、依赖图、场景测试、恢复结果、人工替代、沟通计划、第三方/AI 依赖和韧性缺口阻断 | | 监管义务追溯断层 | 控制面、证据映射和审计导出都存在，但无法说明每个控制覆盖哪些适用法规、监管规则、合同义务或内部政策 | 用基线监管与合规义务可追溯总账绑定义务源、适用范围、控制目标、控制项、证据路径、owner、监管变更、例外和 POA&M 阻断 | +| 密码材料生命周期断层 | Secret 扫描、KMS、HSM、证书平台、CI 签名、Vault 和应用配置各自存在，但无法证明密钥、证书、token、凭据、轮换、过期、吊销和泄露响应一致受控 | 用基线密码材料、密钥、证书与秘密生命周期总账绑定 KMS/HSM key、TLS 证书、签名密钥、API token、数据库凭据、webhook secret、工作负载密钥、owner、托管位置、算法强度、轮换、过期、吊销、泄露响应和访问边界 | | 资产分级证据断层 | catalog、CMDB、conformance profile、风险登记、数据目录和 AI 产品目录各自存在，但无法证明资产 owner、CIA 影响、数据分类和 L3/L4 门禁等级一致 | 用基线资产关键性、数据分类与风险分级总账绑定资产 owner、业务关键性、SLO Tier、L3/L4、CIA 影响、数据敏感度、监管暴露、AI 风险、互联网暴露、第三方关键性和复核状态 | | 身份权限证据断层 | IAM、IdP、PAM、Kubernetes RBAC、Cloud IAM 和访问复核各自存在，但无法证明生产身份权限、工作负载身份和准入策略一致 | 用基线身份权限、特权访问与工作负载身份总账绑定身份、角色、JML、MFA、PAM/JIT、break-glass、服务账号、工作负载身份、孤儿账号和过期权限阻断 | | 处理活动覆盖缺口 | RoPA、数据目录、CMDB、DPIA、数据产品、AI 产品和第三方流分散维护，无法证明所有个人数据处理活动都已入账 | 用基线处理活动、个人数据清单与 RoPA 覆盖总账绑定处理活动、数据主体、个人数据类别、接收方、跨境传输、保留、合法基础、DPIA、owner 和发现覆盖 | @@ -15446,6 +15730,7 @@ infra/gitops/environments/prod/example/example-service/kustomization.yaml | CNCF Platforms White Paper | 平台应作为产品服务业务团队，降低认知负载并提高自助交付能力 | 增加 Platform PM、Golden Path、开发者满意度、认知负载和平台产品指标 | | NIST Privacy Framework | 隐私风险需要围绕数据处理目的、主体权利、控制、沟通和保护形成管理闭环 | 增加 `privacy-impact-assessment.yaml`、DPIA、删除传播和 AI 使用限制 | | NIST FIPS 199 / NIST SP 800-60 / NIST CSF 2.0 ID.AM / CIS Controls v8 Control 1 | 企业必须先识别、分类和定级信息与资产，并按保密性、完整性、可用性影响和业务关键性决定保护强度 | 增加 `baseline-asset-criticality-classification-ledger.yaml`，把资产 owner、业务关键性、SLO Tier、L3/L4、CIA 影响、数据敏感度、AI 风险、互联网暴露和复核状态纳入基线晋级证据 | +| NIST SP 800-57 / NIST SP 800-52 / CIS Controls v8 / OWASP Secrets Management | 企业必须用生命周期方式管理密码材料、密钥、证书和秘密，证明生成、托管、使用、轮换、过期、吊销和泄露响应全链路受控 | 增加 `baseline-cryptographic-secrets-key-certificate-ledger.yaml`，把 KMS/HSM key、TLS 证书、签名密钥、API token、数据库凭据、webhook secret、工作负载密钥、owner、算法强度、轮换、过期、吊销和泄露响应纳入基线晋级证据 | | NIST SP 800-207 / CISA Zero Trust Maturity Model / NIST SP 800-53 AC 与 IA 控制族 / SPIFFE | Zero Trust 和企业访问控制要求以身份、设备、上下文、最小权限、持续验证和非人类身份为核心进行访问决策 | 增加 `baseline-identity-entitlement-access-ledger.yaml`，把人类身份、服务账号、工作负载身份、JML、MFA、PAM/JIT、break-glass、运行时绑定、孤儿账号和过期权限纳入基线晋级证据 | | GDPR Article 30 / NIST Privacy Framework Inventory and Mapping / California Consumer Privacy Rights | 企业必须先知道哪些处理活动、个人数据类别、数据主体类别、接收方、跨境传输和下游处理真实存在，才能证明主体权利、同意撤回、删除、留存、出境、第三方传播和 AI 使用限制覆盖完整 | 增加 `baseline-processing-activity-inventory-ledger.yaml`，把处理活动、个人数据清单、RoPA 覆盖、运行资产映射、DPIA、合法基础、保留映射、AI/数据产品用途和发现扫描闭环纳入基线晋级证据 | | GDPR / EDPB Data Subject Rights / NIST Privacy Framework / California Consumer Privacy Rights | 隐私治理不能只停留在 DPIA 和政策文本，需要把处理目的合法基础、同意撤回、主体权利请求、自动化决策复核和 opt-out/第三方传播转成可执行证据 | 增加 `baseline-privacy-rights-consent-ledger.yaml`，把处理目的、合法基础、同意版本、撤回传播、DSAR/消费者请求 SLA、自动化决策复核、AI/数据产品用途限制和第三方传播阻断纳入基线晋级证据 | @@ -15601,8 +15886,14 @@ infra/gitops/environments/prod/example/example-service/kustomization.yaml - NIST SP 800-60 Rev. 1: Guide for Mapping Types of Information and Information Systems to Security Categories +- NIST SP 800-57 Part 1 Rev. 5: Recommendation for Key Management + +- NIST SP 800-52 Rev. 2: Guidelines for the Selection, Configuration, and Use of TLS Implementations + - CIS Controls v8 +- OWASP Secrets Management Cheat Sheet + - European Commission: International data transfers - European Data Protection Board: Recommendations 01/2020 on supplementary measures diff --git a/metadata/taxonomy.yml b/metadata/taxonomy.yml index a0ede4b..3b99426 100644 --- a/metadata/taxonomy.yml +++ b/metadata/taxonomy.yml @@ -141,7 +141,7 @@ documents: role: 中大型工程组织、平台工程和多产品线参考模型 - path: docs/references/modern-enterprise-architecture-template.md title: 现代企业数字化平台架构 - role: 面向领域产品网络、微服务容器 GitOps 边界、AI 原生能力、微调治理、AI 事件响应、内部平台、数据产品、供应链安全、FinOps 成本治理、版本治理、版本控制面、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、外部标准版本锁定、可执行标准、执行控制面、门禁决策、RACI 决策权、可靠性分级、仓库拓扑、迁移弃用、审计证据、联邦治理和行业对标矩阵的完整说明文档 + role: 面向领域产品网络、微服务容器 GitOps 边界、AI 原生能力、微调治理、AI 事件响应、内部平台、数据产品、供应链安全、FinOps 成本治理、版本治理、版本控制面、基线密码材料、密钥、证书与秘密生命周期总账、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、外部标准版本锁定、可执行标准、执行控制面、门禁决策、RACI 决策权、可靠性分级、仓库拓扑、迁移弃用、审计证据、联邦治理和行业对标矩阵的完整说明文档 - path: docs/references/dataset-first-data-service.md title: Dataset First 数据服务结构