From 6fb2ea52716e66ae2bac25a731377ace1a8ed41b Mon Sep 17 00:00:00 2001 From: tradecatlabs <288998340+tradecatlabs@users.noreply.github.com> Date: Tue, 2 Jun 2026 23:39:20 +0800 Subject: [PATCH] docs: architecture - add threat model attack surface ledger --- assets/ai-citation/llms-full.txt | 2 +- docs/README.md | 2 +- docs/references/AGENTS.md | 2 +- docs/references/README.md | 4 +- ...modern-enterprise-architecture-template.md | 440 ++++++++++++++++-- metadata/taxonomy.yml | 2 +- 6 files changed, 415 insertions(+), 37 deletions(-) diff --git a/assets/ai-citation/llms-full.txt b/assets/ai-citation/llms-full.txt index add3b70..cc4a207 100644 --- a/assets/ai-citation/llms-full.txt +++ b/assets/ai-citation/llms-full.txt @@ -67,7 +67,7 @@ GEOFlow 的关键启发是：GEO 不是关键词堆砌，而是内容工程链 - docs/references/project-architecture-template.md：常见项目结构、架构设计原则、最低门禁和检查清单。 - docs/references/python-project-skeleton.md：Python 应用、服务、脚本工具和库项目的通用骨架。 - docs/references/enterprise-architecture-template.md：中大型工程组织、平台工程和多产品线参考模型。 -- docs/references/modern-enterprise-architecture-template.md：面向领域产品网络、微服务容器 GitOps 边界、AI 原生能力、微调治理、AI 事件响应、内部平台、数据产品、供应链安全、FinOps 成本治理、版本治理、版本控制面、基线容量、性能、弹性伸缩与成本效率总账、基线服务可靠性、SLO、错误预算与可观测性总账、基线备份、恢复、灾备与可恢复性验证总账、基线密码材料、密钥、证书与秘密生命周期总账、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、外部标准版本锁定、可执行标准、执行控制面、门禁决策、RACI 决策权、可靠性分级、仓库拓扑、迁移弃用、审计证据、联邦治理和行业对标矩阵的完整说明文档。 +- docs/references/modern-enterprise-architecture-template.md：面向领域产品网络、微服务容器 GitOps 边界、AI 原生能力、微调治理、AI 事件响应、内部平台、数据产品、供应链安全、FinOps 成本治理、版本治理、版本控制面、基线威胁建模、攻击面与安全风险总账、基线容量、性能、弹性伸缩与成本效率总账、基线服务可靠性、SLO、错误预算与可观测性总账、基线备份、恢复、灾备与可恢复性验证总账、基线密码材料、密钥、证书与秘密生命周期总账、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、外部标准版本锁定、可执行标准、执行控制面、门禁决策、RACI 决策权、可靠性分级、仓库拓扑、迁移弃用、审计证据、联邦治理和行业对标矩阵的完整说明文档。 - docs/references/dataset-first-data-service.md：以 dataset、contract、registry、runtime 为核心的数据服务模板。 - docs/references/code-organization.md：模块化、命名、注释、格式化、文档和工具。 - docs/references/development-experience.md：变量名、文件结构、编码规范、架构原则和常见基础设施经验。 diff --git a/docs/README.md b/docs/README.md index 3a2c022..a2c95d7 100644 --- a/docs/README.md +++ b/docs/README.md @@ -62,7 +62,7 @@ - [项目架构模板](./references/project-architecture-template.md) - 常见项目结构、架构设计原则、最低门禁和检查清单。 - [通用 Python 项目骨架](./references/python-project-skeleton.md) - Python 应用、服务、脚本工具和库项目的通用骨架。 - [企业级架构模板](./references/enterprise-architecture-template.md) - 中大型工程组织、平台工程和多产品线参考模型。 -- [现代企业数字化平台架构](./references/modern-enterprise-architecture-template.md) - 面向领域产品网络、微服务容器 GitOps 边界、AI 原生能力、微调治理、AI 事件响应、内部平台、数据产品、供应链安全、FinOps 成本治理、版本治理、版本控制面、基线容量、性能、弹性伸缩与成本效率总账、基线服务可靠性、SLO、错误预算与可观测性总账、基线备份、恢复、灾备与可恢复性验证总账、基线密码材料、密钥、证书与秘密生命周期总账、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、基线运营韧性与重要业务服务影响容忍总账、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线发布证据、基线兼容性总账、基线采纳总账、基线支持矩阵、基线发布列车、基线符合性声明、外部标准版本锁定、可执行标准、执行控制面、门禁决策、RACI 决策权、可靠性分级、仓库拓扑、迁移弃用、审计证据、联邦治理和行业对标矩阵的完整说明文档。 +- [现代企业数字化平台架构](./references/modern-enterprise-architecture-template.md) - 面向领域产品网络、微服务容器 GitOps 边界、AI 原生能力、微调治理、AI 事件响应、内部平台、数据产品、供应链安全、FinOps 成本治理、版本治理、版本控制面、基线威胁建模、攻击面与安全风险总账、基线容量、性能、弹性伸缩与成本效率总账、基线服务可靠性、SLO、错误预算与可观测性总账、基线备份、恢复、灾备与可恢复性验证总账、基线密码材料、密钥、证书与秘密生命周期总账、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、基线运营韧性与重要业务服务影响容忍总账、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线发布证据、基线兼容性总账、基线采纳总账、基线支持矩阵、基线发布列车、基线符合性声明、外部标准版本锁定、可执行标准、执行控制面、门禁决策、RACI 决策权、可靠性分级、仓库拓扑、迁移弃用、审计证据、联邦治理和行业对标矩阵的完整说明文档。 - [Dataset First 数据服务](./references/dataset-first-data-service.md) - 数据服务模板。 - [代码组织](./references/code-organization.md) - 模块化、命名、注释、格式化、文档和工具。 - [开发经验](./references/development-experience.md) - 编码规范、架构原则和常见基础设施经验。 diff --git a/docs/references/AGENTS.md b/docs/references/AGENTS.md index 2702573..22528a3 100644 --- a/docs/references/AGENTS.md +++ b/docs/references/AGENTS.md @@ -19,7 +19,7 @@ references/ ├── project-architecture-template.md ├── python-project-skeleton.md ├── enterprise-architecture-template.md -├── modern-enterprise-architecture-template.md # 现代企业数字化平台、版本治理、版本控制面、基线容量、性能、弹性伸缩与成本效率总账、基线服务可靠性、SLO、错误预算与可观测性总账、基线备份、恢复、灾备与可恢复性验证总账、基线密码材料、密钥、证书与秘密生命周期总账、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、外部标准版本锁定、可执行标准、执行控制面、门禁决策、RACI、可靠性分级、仓库拓扑、迁移弃用、审计证据、微服务容器 GitOps、AI 原生能力、供应链安全和联邦治理蓝图 +├── modern-enterprise-architecture-template.md # 现代企业数字化平台、版本治理、版本控制面、基线威胁建模、攻击面与安全风险总账、基线容量、性能、弹性伸缩与成本效率总账、基线服务可靠性、SLO、错误预算与可观测性总账、基线备份、恢复、灾备与可恢复性验证总账、基线密码材料、密钥、证书与秘密生命周期总账、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、外部标准版本锁定、可执行标准、执行控制面、门禁决策、RACI、可靠性分级、仓库拓扑、迁移弃用、审计证据、微服务容器 GitOps、AI 原生能力、供应链安全和联邦治理蓝图 ├── dataset-first-data-service.md ├── code-organization.md ├── development-experience.md diff --git a/docs/references/README.md b/docs/references/README.md index 2dcdf24..1bb1ba7 100644 --- a/docs/references/README.md +++ b/docs/references/README.md @@ -14,7 +14,7 @@ | [项目架构模板](project-architecture-template.md) | 常见项目结构、架构设计原则、最低门禁和检查清单。 | | [通用 Python 项目骨架](python-project-skeleton.md) | Python 应用、服务、脚本工具和库项目的通用骨架。 | | [企业级 Monorepo / Multi-repo 架构模板](enterprise-architecture-template.md) | 中大型工程组织、平台工程和多产品线参考模型。 | -| [现代企业数字化平台架构](modern-enterprise-architecture-template.md) | 面向领域产品网络、微服务容器 GitOps 边界、AI 原生能力、微调治理、AI 事件响应、内部平台、数据产品、供应链安全、FinOps 成本治理、版本治理、版本控制面、基线容量、性能、弹性伸缩与成本效率总账、基线服务可靠性、SLO、错误预算与可观测性总账、基线备份、恢复、灾备与可恢复性验证总账、基线密码材料、密钥、证书与秘密生命周期总账、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、基线运营韧性与重要业务服务影响容忍总账、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线发布证据、基线兼容性总账、基线采纳总账、基线支持矩阵、基线发布列车、基线符合性声明、外部标准版本锁定、可执行标准、执行控制面、门禁决策、RACI 决策权、可靠性分级、仓库拓扑、迁移弃用、审计证据、联邦治理和行业对标矩阵的完整说明文档。 | +| [现代企业数字化平台架构](modern-enterprise-architecture-template.md) | 面向领域产品网络、微服务容器 GitOps 边界、AI 原生能力、微调治理、AI 事件响应、内部平台、数据产品、供应链安全、FinOps 成本治理、版本治理、版本控制面、基线威胁建模、攻击面与安全风险总账、基线容量、性能、弹性伸缩与成本效率总账、基线服务可靠性、SLO、错误预算与可观测性总账、基线备份、恢复、灾备与可恢复性验证总账、基线密码材料、密钥、证书与秘密生命周期总账、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、基线运营韧性与重要业务服务影响容忍总账、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线发布证据、基线兼容性总账、基线采纳总账、基线支持矩阵、基线发布列车、基线符合性声明、外部标准版本锁定、可执行标准、执行控制面、门禁决策、RACI 决策权、可靠性分级、仓库拓扑、迁移弃用、审计证据、联邦治理和行业对标矩阵的完整说明文档。 | | [Dataset First 数据服务结构](dataset-first-data-service.md) | 以 dataset、contract、registry、runtime 为核心的数据服务模板。 | | [代码组织](code-organization.md) | 模块化、命名、注释、格式化、文档和工具。 | | [开发经验](development-experience.md) | 变量名、文件结构、编码规范、架构原则和常见基础设施经验。 | @@ -33,7 +33,7 @@ - [项目架构模板](project-architecture-template.md) - 常见项目结构、架构设计原则、最低门禁和检查清单。 - [通用 Python 项目骨架](python-project-skeleton.md) - Python 应用、服务、脚本工具和库项目的通用骨架。 - [企业级 Monorepo / Multi-repo 架构模板](enterprise-architecture-template.md) - 中大型工程组织、平台工程和多产品线参考模型。 -- [现代企业数字化平台架构](modern-enterprise-architecture-template.md) - 面向领域产品网络、微服务容器 GitOps 边界、AI 原生能力、微调治理、AI 事件响应、内部平台、数据产品、供应链安全、FinOps 成本治理、版本治理、版本控制面、基线容量、性能、弹性伸缩与成本效率总账、基线服务可靠性、SLO、错误预算与可观测性总账、基线备份、恢复、灾备与可恢复性验证总账、基线密码材料、密钥、证书与秘密生命周期总账、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、基线运营韧性与重要业务服务影响容忍总账、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线发布证据、基线兼容性总账、基线采纳总账、基线支持矩阵、基线发布列车、基线符合性声明、外部标准版本锁定、可执行标准、执行控制面、门禁决策、RACI 决策权、可靠性分级、仓库拓扑、迁移弃用、审计证据、联邦治理和行业对标矩阵的完整说明文档。 +- [现代企业数字化平台架构](modern-enterprise-architecture-template.md) - 面向领域产品网络、微服务容器 GitOps 边界、AI 原生能力、微调治理、AI 事件响应、内部平台、数据产品、供应链安全、FinOps 成本治理、版本治理、版本控制面、基线威胁建模、攻击面与安全风险总账、基线容量、性能、弹性伸缩与成本效率总账、基线服务可靠性、SLO、错误预算与可观测性总账、基线备份、恢复、灾备与可恢复性验证总账、基线密码材料、密钥、证书与秘密生命周期总账、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、基线运营韧性与重要业务服务影响容忍总账、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线发布证据、基线兼容性总账、基线采纳总账、基线支持矩阵、基线发布列车、基线符合性声明、外部标准版本锁定、可执行标准、执行控制面、门禁决策、RACI 决策权、可靠性分级、仓库拓扑、迁移弃用、审计证据、联邦治理和行业对标矩阵的完整说明文档。 - [Dataset First 数据服务结构](dataset-first-data-service.md) - 以 dataset、contract、registry、runtime 为核心的数据服务模板。 - [代码组织](code-organization.md) - 模块化、命名、注释、格式化、文档和工具。 - [开发经验](development-experience.md) - 变量名、文件结构、编码规范、架构原则和常见基础设施经验。 diff --git a/docs/references/modern-enterprise-architecture-template.md b/docs/references/modern-enterprise-architecture-template.md index 08e602f..509be4b 100644 --- a/docs/references/modern-enterprise-architecture-template.md +++ b/docs/references/modern-enterprise-architecture-template.md @@ -1,10 +1,10 @@ # 现代企业数字化平台架构说明文档 -**文档版本**：V2.78 +**文档版本**：V2.79 **适用对象**：企业管理层、产品负责人、架构师、研发负责人、数据负责人、平台团队、安全合规团队 **适用范围**：中大型企业数字化平台建设、业务系统重构、平台工程建设、数据产品化、组织协同机制设计 **文档定位**：本文件用于说明现代企业数字化平台的总体架构、核心组成、团队职责、治理机制、技术原则和落地路径。 -**专项修订**：V2.78 在 V2.77 基础上新增基线容量、性能、弹性伸缩与成本效率总账，把生产服务、关键用户旅程、容量预测、压测、性能基准、资源 requests/limits、HPA/VPA/KEDA、队列积压、数据库容量、缓存命中率、预算、单位经济、成本分摊、异常成本和优化行动统一到 release gate，避免“服务有 SLO、Kubernetes 有资源配置、FinOps 有账单，但无法证明容量性能和成本效率正在被持续运营”的治理断层。 +**专项修订**：V2.79 在 V2.78 基础上新增基线威胁建模、攻击面与安全风险总账，把服务、API、事件、数据产品、AI 产品、GitOps 入口、平台共享能力、信任边界、数据流、滥用场景、控制映射、安全测试、剩余风险和签署状态统一到 release gate，避免“资产有安全评审、漏洞扫描和风险登记，但无法证明关键攻击路径已经被持续建模和治理”的断层。 --- @@ -53,7 +53,7 @@ | 版本 | 状态 | 说明 | | ---- | ---- | ---- | -| `V2.78` | `Baseline Candidate` | 用作可执行企业标准起点；包含机器可读版本清单、控制项覆盖清单、111 组 starter kit schema/example、基线容量、性能、弹性伸缩与成本效率总账、基线服务可靠性、SLO、错误预算与可观测性总账、基线备份、恢复、灾备与可恢复性验证总账、基线密码材料、密钥、证书与秘密生命周期总账、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、基线运营韧性与重要业务服务影响容忍总账、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线符合性声明、基线发布列车、基线支持矩阵、基线采纳总账、基线兼容性总账、基线发布证据包、版本控制面、外部标准版本锁定、企业执行控制面、合规等级、门禁决策、证据新鲜度、例外放行、break-glass、季度复核、仓库变更控制、远端保护漂移整改、控制证据映射、审计导出清单、审计导出自动化、控制评估报告、架构基线变更记录、架构决策记录、AI 证据账本、微调运行证据、AI 事件响应 playbook、OSCAL 交换映射、POA&M 整改计划、企业架构风险登记、审计导出门禁、审计导出完整性清单、审计导出 provenance statement、审计导出签名策略、审计导出签名验签回执、严格 schema 模式、访问复核、密钥轮换、漏洞修复、事故复盘、可靠性、性能、容量、成本效率、数据治理、AI 运行、GitOps 安全、供应链证据链一致性和自动化校验入口 | +| `V2.79` | `Baseline Candidate` | 用作可执行企业标准起点；包含机器可读版本清单、控制项覆盖清单、112 组 starter kit schema/example、基线威胁建模、攻击面与安全风险总账、基线容量、性能、弹性伸缩与成本效率总账、基线服务可靠性、SLO、错误预算与可观测性总账、基线备份、恢复、灾备与可恢复性验证总账、基线密码材料、密钥、证书与秘密生命周期总账、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、基线运营韧性与重要业务服务影响容忍总账、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线符合性声明、基线发布列车、基线支持矩阵、基线采纳总账、基线兼容性总账、基线发布证据包、版本控制面、外部标准版本锁定、企业执行控制面、合规等级、门禁决策、证据新鲜度、例外放行、break-glass、季度复核、仓库变更控制、远端保护漂移整改、控制证据映射、审计导出清单、审计导出自动化、控制评估报告、架构基线变更记录、架构决策记录、AI 证据账本、微调运行证据、AI 事件响应 playbook、OSCAL 交换映射、POA&M 整改计划、企业架构风险登记、审计导出门禁、审计导出完整性清单、审计导出 provenance statement、审计导出签名策略、审计导出签名验签回执、严格 schema 模式、威胁建模、攻击面管理、安全风险治理、访问复核、密钥轮换、漏洞修复、事故复盘、可靠性、性能、容量、成本效率、数据治理、AI 运行、GitOps 安全、供应链证据链一致性和自动化校验入口 | ### 0.3 变更分级 @@ -174,6 +174,8 @@ V2.77 起，企业级基线还必须形成 `baseline-service-reliability-slo-err V2.78 起，企业级基线还必须形成 `baseline-capacity-performance-cost-efficiency-ledger.yaml`。它不是替代压测报告、APM、Kubernetes 配额、自动扩缩容配置、FinOps 报表、OpenCost、FOCUS 数据集或成本分摊证据，而是证明所有 L3/L4 生产服务、关键用户旅程、数据/AI 工作负载、队列、数据库、缓存、批处理和平台共享能力都有 owner、容量预测、性能基准、压测结果、资源 requests/limits、弹性伸缩策略、预算、单位经济、成本分摊、异常成本处置和优化行动；任何关键服务无容量模型、压测过期、p95/p99 退化、资源未声明、HPA/VPA/KEDA 缺失、队列积压不可解释、数据库容量不足、预算超支无审批、单位成本不可解释或成本异常未关闭都必须阻断 baseline/frozen 晋级。 +V2.79 起，企业级基线还必须形成 `baseline-threat-model-attack-surface-risk-ledger.yaml`。它不是替代 AI 威胁模型、漏洞扫描、渗透测试、安全评审、资产分级或风险登记，而是证明所有 L3/L4 服务、API、事件、数据产品、AI 产品、GitOps 入口、平台共享能力和关键第三方接入都有 owner、信任边界、数据流、攻击面、滥用场景、STRIDE/LINDDUN/OWASP 控制映射、安全测试证据、剩余风险、POA&M 或风险接受；任何关键资产无威胁模型、模型过期、互联网暴露未知、信任边界未画清、高风险数据流无缓解、关键滥用场景未关闭、安全测试缺失、剩余风险未签署或威胁模型未进入 release gate 都必须阻断 baseline/frozen 晋级。 + 推荐发布检查： ```bash @@ -235,6 +237,7 @@ git diff --check | 数据驻留与跨境处理 | `baseline-data-residency-transfer-ledger.yaml` 必须声明数据类别、监管区域、允许区域、实际存储/处理/备份/日志/向量索引/模型供应商区域、传输机制、子处理方、补充保护措施、删除传播和区域漂移证据 | DPIA 通过但实际数据流向未知、日志或备份落到未批准区域、RAG 索引跨区、模型供应商处理位置不明、传输机制或补充措施缺失仍放行 | | 第三方与关键供应商风险 | `baseline-third-party-risk-ledger.yaml` 必须声明供应商分级、服务范围、受影响资产、数据类别、合同控制、DPA/SLA、审计权、保证报告、集中度、退出计划、替代路径、连续性和事件状态 | 关键 SaaS、云、模型供应商、外包方或子处理方未分级、合同和审计权缺失、保证报告过期、集中度超阈值、退出计划不可执行或供应商事故未进入基线阻断 | | 运营韧性与重要业务服务 | `baseline-operational-resilience-ledger.yaml` 必须声明重要业务服务、影响容忍、BIA、端到端依赖、严重但合理场景、场景测试、恢复能力、人工替代、沟通计划、第三方依赖、超限升级和开放韧性缺口 | 只按系统组件写 RTO/RPO，没有业务服务影响容忍；重要业务服务依赖未知；场景测试未覆盖云、数据、AI、供应商和人员失效；超出影响容忍仍可晋级 | +| 威胁建模、攻击面与安全风险 | `baseline-threat-model-attack-surface-risk-ledger.yaml` 必须声明关键服务、API、事件、数据产品、AI 产品、GitOps 入口、平台能力、信任边界、数据流、攻击面、滥用场景、控制映射、安全测试、剩余风险、POA&M 和签署状态 | 关键资产无威胁模型、威胁模型过期、互联网暴露未知、信任边界未映射、高风险数据流无缓解、关键滥用场景未关闭、安全测试缺失、剩余风险未签署或未进入 release gate 仍晋级 | | 容量、性能、弹性伸缩与成本效率 | `baseline-capacity-performance-cost-efficiency-ledger.yaml` 必须声明关键服务、关键用户旅程、容量预测、压测窗口、性能基准、资源 requests/limits、HPA/VPA/KEDA、队列和数据库容量、预算、单位经济、成本分摊、异常成本和优化行动 | 关键服务无容量模型、压测过期、p95/p99 退化、资源未声明、自动扩缩容缺失、队列积压不可解释、数据库容量不足、预算超支无审批、单位成本不可解释或成本异常未关闭仍晋级 | | 服务可靠性、SLO、错误预算与可观测性 | `baseline-service-reliability-slo-error-budget-observability-ledger.yaml` 必须声明生产服务、用户旅程、SLI/SLO、错误预算、告警规则、on-call、runbook、指标/日志/链路覆盖、合成探测、降级策略和 owner | 关键服务无 SLO、SLI 不可测、错误预算超支仍放行风险变更、关键告警无人接、runbook 缺失、合成探测未覆盖用户旅程、日志/指标/链路缺口或仪表盘不可用仍晋级 | | 备份、恢复、灾备与可恢复性验证 | `baseline-backup-restore-disaster-recovery-ledger.yaml` 必须声明关键资产、数据存储、备份策略、不可变/离线副本、跨区域/跨账号隔离、RTO/RPO、恢复演练、完整性校验、恢复权限、勒索隔离和 owner | 关键资产无备份、无不可变或离线副本、恢复演练超期、RTO/RPO 失败、备份完整性失败、恢复权限不受控、勒索隔离不可证明或备份与资产分级不一致仍放行 | @@ -378,8 +381,9 @@ git diff --check | `V2.76` | 2026-06-02 | Minor | 补齐基线备份、恢复、灾备与可恢复性验证总账、关键数据存储备份、不可变/离线副本、跨区域隔离、恢复演练、RTO/RPO、完整性校验和勒索隔离阻断 | | `V2.77` | 2026-06-02 | Minor | 补齐基线服务可靠性、SLO、错误预算与可观测性总账、SLI/SLO、错误预算、告警、on-call、runbook、合成探测、日志/指标/链路覆盖和用户旅程可靠性阻断 | | `V2.78` | 2026-06-02 | Minor | 补齐基线容量、性能、弹性伸缩与成本效率总账、容量预测、压测、性能基准、资源 requests/limits、HPA/VPA/KEDA、预算、单位经济和成本异常阻断 | +| `V2.79` | 2026-06-02 | Minor | 补齐基线威胁建模、攻击面与安全风险总账、信任边界、数据流、滥用场景、安全测试、剩余风险和 release gate 阻断 | -### 0.8 V2.78 可执行企业标准路线图 +### 0.8 V2.79 可执行企业标准路线图 V2.0 已将 V1.9 的文档化基线转化为第一批可执行资产。V2.1 继续把字段约束、示例一致性和远程 CI 门禁补强为可执行口径。V2.2 把主文档最小验证包中的 API、事件、AI 工具、RAG、微调、GitOps、catalog 和 scorecard 纳入 schema/example 校验。V2.3 继续把发布证据、供应链证明、治理例外、兼容性报告和 GitOps 漂移报告纳入机器可校验基线。V2.4 把当前版本、发布状态、starter kit pair 清单、pair 数量和索引同步要求固化到机器可读版本清单中。V2.5 把可靠性等级、RTO/RPO、数据保留与访问审计、AI 预算与降级、GitOps 运行安全和供应链 source/vulnerability/scorecard 证据提升为 starter kit 强制字段。V2.6 增加控制项覆盖清单，把关键企业控制要求映射到 schema 字段、example 和 checker 规则，避免“文档说有控制、机器无法证明控制存在”。V2.7 启用严格 schema 模式，要求 starter kit 所有对象节点声明 `additionalProperties=false`，并由 checker 阻断未知字段。V2.8 补齐扩展字段策略、Feature Flag / Kill Switch、AI 威胁模型、运行血缘和平台产品指标。V2.9 继续把隐私工程、租户边界、恢复演练、Policy as Code 测试、GenAI 可观测性和 FinOps 成本分摊补成可执行证据。V2.10 把访问复核、密钥轮换、漏洞修复、事故复盘和证据新鲜度纳入控制目录，避免生产安全运营只停留在“有制度、有人看、事后补”的弱证据状态。V2.11 把每个控制项到证据路径、状态、新鲜度和审计导出包的关系纳入总账，避免审计时只能逐段翻文档、不能一键证明控制覆盖。V2.12 增加审计导出自动化命令，把版本、控制目录、证据映射、导出清单、脚本和关键制品哈希生成可交付审计包。V2.13 增加控制评估报告，把证据包进一步闭环到控制结果、发现项、整改、剩余风险和签署状态。V2.14 增加架构基线变更记录，把基线升级的影响分析、审批、验证命令和回滚路径纳入可执行证据。V2.15 增加 OSCAL 交换映射和导出摘要，把内部控制证据映射到 catalog、component-definition、system-security-plan、assessment-results 和 POA&M 视图。V2.16 增加审计导出门禁，把导出包生成、JSON/Markdown/OSCAL 输出和关键不变量校验纳入 `make test`。V2.17 增加审计导出完整性清单，把生成物 SHA-256、源制品哈希和防篡改校验纳入审计包。V2.18 增加审计导出 provenance statement，把生成物 subject、构建定义、源码提交和源证据依赖纳入可追溯证明。V2.19 增加审计导出签名策略，把 provenance payload 摘要、签名方式、验签命令和外部签名交接纳入门禁。V2.20 增加审计导出签名验签回执，把外部签名完成后的 bundle 摘要、证书身份、OIDC issuer、透明日志和验签结果纳入证据链。V2.21 增加 POA&M 整改计划，把控制发现项、责任人、整改行动、里程碑、证据、签署和 OSCAL POA&M 输出纳入闭环。V2.22 增加企业架构风险登记，把风险、控制项、POA&M、缓解行动、残余风险、复审和审计导出风险视图纳入闭环。V2.23 增加架构决策记录，把 ADR 上下文、备选方案、取舍、决策、关联控制项、风险、POA&M、复审和基线变更绑定纳入闭环。V2.24 增加 AI 事件响应 playbook，把幻觉爆发、工具循环、RAG 索引污染、供应商中断、成本异常、检测、遏制、降级、回滚和复盘纳入闭环。V2.25 增加 AI 证据账本，把模型、Prompt、RAG、工具、评估、威胁模型、观测、事件响应、数据使用、审批、留存和复审纳入 AI 产品级证据闭环。V2.26 增加微调运行证据，把训练数据授权、数据准备、实验追踪、评估、模型登记、审批、灰度发布、监控和退役纳入 AI 微调审计闭环。V2.27 增加仓库变更控制，把 CODEOWNERS、受保护分支、PR 审查、必需检查、签名提交、禁止直推、发布 tag 保护、远端保护状态验证、漂移整改、POA&M 和风险登记纳入版本基线保护。V2.28 增加企业执行控制面，把合规等级、门禁决策、证据新鲜度、例外放行、break-glass、季度复核和退出标准变成统一执行协议。V2.29 增加外部标准版本锁定与升级策略，避免把未稳定标准、实验性语义约定或外部规范变更直接带入生产基线。V2.30 增加版本控制面，把基线 ID、发布通道、tag、源 commit、兼容窗口、冻结策略和回滚入口固化为发布不变量。V2.31 增加基线发布证据包，把晋级决策、冻结复核、漂移检查、不可变引用、审计摘要和回滚验证固化为发布证据。V2.32 增加基线兼容性总账，把消费者影响、迁移窗口、弃用截止、例外状态和未迁移风险固化为版本门禁证据。V2.33 增加基线采纳总账，把领域、平台、数据、AI 和生产资产对基线的采用状态、逾期治理和例外整改固化为组织级版本证据。V2.34 增加基线支持矩阵，把旧基线支持状态、维护窗口、安全补丁窗口、EOL 和最低可接受基线固化为版本生命周期门禁。V2.35 增加基线发布列车，把候选窗口、冻结窗口、晋级日期、通知节奏、黑窗和紧急补丁入口固化为版本发布节奏门禁。V2.36 增加资产级基线符合性声明，把资产自声明、证据绑定、例外、复核和采纳总账回写固化为资产级版本证据。V2.37 增加基线制品清单，把源文档、schema、示例、控制项、证据模板、脚本、生成物和外部引用固化为可摘要、可签名、可复现的版本物料清单。V2.38 增加基线验证环境锁定，把校验命令、工具版本、runner 镜像、策略包、schema validator 和验签工具固化为可复现门禁。V2.39 增加基线通知确认总账，把发布列车中的通知计划升级为可审计的送达、确认、异议和例外证据。V2.40 增加基线回滚验证记录，把上一基线检出、GitOps revision 恢复、审计导出恢复和烟测结果升级为独立证据。V2.41 增加基线例外总账，把分散例外、到期、风险接受、POA&M 和冻结阻断收敛为统一审计证据。V2.42 增加基线就绪评分卡，把硬门禁、评分维度、证据摘要和 baseline/frozen 判定统一到最终准入证据。V2.43 增加基线生命周期状态机，把允许迁移、禁止迁移、状态回写、迁移审批和回滚入口统一到状态转换证据。V2.44 增加基线状态对账报告，把状态机、版本控制面、发布证据、支持矩阵、采纳总账和审计导出的状态字段统一对账。V2.45 增加基线 EOL 退役证书，把旧基线生产引用清零、迁移关闭、例外清零、审计归档和新采用阻断固化为退役证据。V2.46 增加基线会审裁决记录，把会审范围、证据核验、投票签署、反对意见、条件动作和最终裁决固化为独立会审证据。V2.47 增加基线证据追踪图，把跨证据依赖、摘要一致性、下游消费和断链阻断固化为可校验证据图。V2.48 增加基线门禁执行报告，把执行命令、策略包、输入摘要、规则结果、退出码和重放证明固化为 release gate 的可审计运行证据。V2.49 增加基线发布事务回执，把提交、签名 tag、远端 ref、push 回执、保护规则和发布后验证固化为版本发布事实。V2.50 增加基线撤销与隔离记录，把坏基线的隔离、撤销、通知、恢复目标、风险接受和审计归档固化为版本事故控制证据。V2.51 增加基线准入执行策略，把最低基线、撤销/EOL、资产声明、例外到期和运行入口阻断固化为统一策略。V2.52 增加基线消费锁定文件，把资产消费端的基线版本、commit、tag 和关键证据摘要固化为不可变锁。V2.53 增加基线迁移工作单，把目标资产迁移到新基线的步骤、依赖、GitOps 变更、消费锁更新、验收证据和回滚动作固化为执行工单。V2.54 增加基线迁移执行回执，把实际命令、actor、before/after 摘要、GitOps revision、catalog/lock diff、验收日志和回滚验证固化为执行事实。V2.55 增加本地私有制品边界，把内部 starter kit、生成 JSON、校验脚本、禁推原因、摘要留存和远端排除固化为受控证据。V2.56 增加审计导出排除清单，把原文白名单、摘要留存项、强制排除项、签名 payload 排除和导出后验证固化为受控证据。V2.57 增加私有制品托管交接清单，把私有制品库引用、访问控制、留存期限、取回命令、恢复验证和摘要一致性固化为受控证据。V2.58 增加干净环境基线重建回执，把远端 checkout、私有制品取回、摘要校验、审计导出重建、门禁重放和禁推资产复核固化为受控证据。V2.59 增加基线证据不可变归档回执，把关键证据的 WORM 留存、legal hold、访问日志、防删除、归档摘要和恢复演练固化为受控证据。V2.60 增加基线长期验签回执，把签名 bundle、证书链、OIDC 身份、透明日志、signed entry timestamp、RFC3161 TSA、撤销状态和验证工具版本固化为长期验签证据。V2.61 增加基线运行时准入回执，把 Kubernetes admission、策略引擎、镜像 digest、签名、provenance、SBOM、消费锁和拒绝样例固化为生产运行入口证据。V2.62 增加基线运行时准入决策总账，把 Kubernetes audit、admission webhook、PolicyReport、OPA decision log、actor、requestUID、allow/deny 和原始日志摘要固化为逐条运行决策证据。V2.63 增加基线连续控制监测总账，把控制项指标、告警、漂移、处置、证据新鲜度和控制运行 SLO 固化为持续监测证据。后续 `V2.x` 迭代应继续补充示例仓库，并把平台、catalog、GitOps、runtime admission、audit logging、continuous control monitoring 和审计系统连接起来。 @@ -413,7 +417,9 @@ V2.77 进一步增加基线服务可靠性、SLO、错误预算与可观测性 V2.78 进一步增加基线容量、性能、弹性伸缩与成本效率总账，把容量预测、压测、性能基准、资源 requests/limits、HPA/VPA/KEDA、队列积压、数据库容量、预算、单位经济、成本分摊、异常成本和优化行动统一绑定到基线门禁，避免性能容量治理停留在“上线前压过一次测、资源配置写过一次、账单月底再看”的弱运行证据状态。 -V2.78 起点包括： +V2.79 进一步增加基线威胁建模、攻击面与安全风险总账，把关键服务、API、事件、数据产品、AI 产品、GitOps 入口、平台共享能力、信任边界、数据流、攻击面、滥用场景、安全测试、剩余风险、POA&M 和风险签署统一绑定到基线门禁，避免威胁建模停留在上线前评审或单个 AI 威胁模型里。 + +V2.79 起点包括： 1. 真相源字段矩阵：明确 `domain.yaml`、`service.yaml`、`ai-product.yaml`、`data-product.yaml`、catalog、GitOps 和 runtime 的字段权威。 2. 契约模板：提供服务、领域、数据产品、AI 产品、Agent 工具、RAG、微调、GitOps 和生产就绪模板。 @@ -423,7 +429,7 @@ V2.78 起点包括： 6. 可靠性分级：补齐 Tier-1 / Tier-2 / Tier-3、RTO、RPO、灾备演练、错误预算和 on-call 升级路径。 7. 迁移与弃用：定义旧系统绞杀迁移、API 版本弃用、数据产品兼容、AI 模型退役和平台能力下线流程。 8. 验证包：提供 `make test`、schema 校验、示例仓库和审计证据清单，证明标准可以落地执行。 -9. Starter Kit：提供 `内部 starter kit` 下的 111 组 schema/example、基线容量、性能、弹性伸缩与成本效率总账、基线服务可靠性、SLO、错误预算与可观测性总账、基线备份、恢复、灾备与可恢复性验证总账、基线密码材料、密钥、证书与秘密生命周期总账、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、嵌套字段校验、格式校验、可靠性、性能、容量、成本效率、数据治理、AI 运行、基线运营韧性与重要业务服务影响容忍总账、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线符合性声明、基线发布列车、基线支持矩阵、基线采纳总账、基线兼容性总账、基线发布证据包、版本控制面、外部标准版本锁定、企业执行控制面、合规等级、门禁决策、仓库变更控制、远端保护漂移整改、AI 证据账本、微调运行证据、AI 事件响应 playbook、GitOps 安全、架构决策记录、风险登记、证据链验真字段和示例跨文件一致性检查。 +9. Starter Kit：提供 `内部 starter kit` 下的 112 组 schema/example、基线威胁建模、攻击面与安全风险总账、基线容量、性能、弹性伸缩与成本效率总账、基线服务可靠性、SLO、错误预算与可观测性总账、基线备份、恢复、灾备与可恢复性验证总账、基线密码材料、密钥、证书与秘密生命周期总账、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、嵌套字段校验、格式校验、威胁建模、攻击面管理、安全风险治理、可靠性、性能、容量、成本效率、数据治理、AI 运行、基线运营韧性与重要业务服务影响容忍总账、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线符合性声明、基线发布列车、基线支持矩阵、基线采纳总账、基线兼容性总账、基线发布证据包、版本控制面、外部标准版本锁定、企业执行控制面、合规等级、门禁决策、仓库变更控制、远端保护漂移整改、AI 证据账本、微调运行证据、AI 事件响应 playbook、GitOps 安全、架构决策记录、风险登记、证据链验真字段和示例跨文件一致性检查。 10. 版本清单：提供 `内部版本清单`，让当前版本、发布状态、pair 清单和索引同步进入 CI 校验。 11. 控制项覆盖清单：提供 `内部控制项覆盖清单`，让关键控制项到 schema、example 和 checker 的证据链进入 CI 校验。 12. 严格 schema 模式：starter kit 的对象 schema 必须声明 `additionalProperties=false`，新增字段必须先进入契约、示例和 checker 证据链。 @@ -514,6 +520,7 @@ V2.78 起点包括： 97. 基线备份、恢复、灾备与可恢复性验证总账：新增 `baseline-backup-restore-disaster-recovery-ledger.yaml`，把关键系统、数据库、对象存储、配置、队列、向量索引、审计证据、备份策略、不可变/离线副本、跨区域隔离、恢复演练、RTO/RPO、完整性校验和勒索隔离纳入可执行治理证据。 98. 基线服务可靠性、SLO、错误预算与可观测性总账：新增 `baseline-service-reliability-slo-error-budget-observability-ledger.yaml`，把生产服务、关键用户旅程、SLI/SLO、错误预算、告警路由、on-call、runbook、合成探测、指标/日志/链路覆盖、降级策略和可靠性事件反馈纳入可执行治理证据。 99. 基线容量、性能、弹性伸缩与成本效率总账：新增 `baseline-capacity-performance-cost-efficiency-ledger.yaml`，把容量预测、压测、性能基准、资源 requests/limits、HPA/VPA/KEDA、队列积压、数据库容量、预算、单位经济、成本分摊、异常成本和优化行动纳入可执行治理证据。 +100. 基线威胁建模、攻击面与安全风险总账：新增 `baseline-threat-model-attack-surface-risk-ledger.yaml`，把关键服务、API、事件、数据产品、AI 产品、GitOps 入口、平台共享能力、信任边界、数据流、攻击面、滥用场景、安全测试、剩余风险、POA&M 和签署状态纳入可执行治理证据。 --- @@ -3626,7 +3633,7 @@ runbook: rollback: docs/rollback.md ``` -V2.78 starter kit 还提供以下可执行契约模板： +V2.79 starter kit 还提供以下可执行契约模板： 1. `api-contract.yaml`：API producer、consumer、auth、版本和兼容策略。 2. `event-contract.yaml`：事件 topic、schema、幂等键、投递语义和消费者。 @@ -3728,6 +3735,7 @@ V2.78 starter kit 还提供以下可执行契约模板： 98. `baseline-backup-restore-disaster-recovery-ledger.yaml`：基线备份、恢复、灾备与可恢复性验证总账，覆盖关键系统、数据库、对象存储、配置仓库、消息队列、向量索引、审计证据、备份策略、不可变/离线副本、跨区域隔离、恢复演练、RTO/RPO、完整性校验、勒索隔离和恢复权限。 99. `baseline-service-reliability-slo-error-budget-observability-ledger.yaml`：基线服务可靠性、SLO、错误预算与可观测性总账，覆盖生产服务、关键用户旅程、SLI/SLO、错误预算、告警路由、on-call、runbook、合成探测、遥测覆盖、仪表盘和降级策略。 100. `baseline-capacity-performance-cost-efficiency-ledger.yaml`：基线容量、性能、弹性伸缩与成本效率总账，覆盖关键服务、关键用户旅程、容量预测、压测、性能基准、资源 requests/limits、HPA/VPA/KEDA、队列和数据库容量、预算、单位经济、成本分摊、异常成本和优化行动。 +101. `baseline-threat-model-attack-surface-risk-ledger.yaml`：基线威胁建模、攻击面与安全风险总账，覆盖关键服务、API、事件、数据产品、AI 产品、GitOps 入口、平台共享能力、信任边界、数据流、攻击面、滥用场景、安全测试、剩余风险、POA&M 和签署状态。 ### 10.10.3 自动化门禁映射 @@ -3743,6 +3751,7 @@ V2.78 starter kit 还提供以下可执行契约模板： | 基线验证环境 | 校验命令、runner 镜像、工具版本、策略包、schema validator、验签工具和生成环境 | `baseline-verification-lock.yaml`、CI runner、Makefile、policy bundle、validator | runner 未锁定、工具版本漂移、策略包摘要不一致、验签工具未固定 | | 漏洞修复 | CVE / KEV、修复 SLA、残余风险、发布准入 | `vulnerability-remediation-evidence.yaml`、扫描器、制品库 | 高危漏洞未修复、SLA 超期、残余风险无审批 | | 发布 | GitOps diff、策略准入、资源配额、SLO 和 runbook 校验 | GitOps overlay、catalog、service.yaml、发布证据 | 无 owner、无 runbook、无 digest、资源未声明 | +| 基线威胁建模与攻击面 | 关键服务、API、事件、数据产品、AI 产品、GitOps 入口、信任边界、攻击面、滥用场景、安全测试和剩余风险 | `baseline-threat-model-attack-surface-risk-ledger.yaml`、catalog、API inventory、data flow diagram、security test evidence、risk register | 威胁模型缺失或过期、互联网暴露未知、信任边界未映射、高风险数据流无缓解、关键滥用场景未关闭、安全测试缺失或剩余风险未签署 | | 基线发布 | 晋级决策、冻结复核、漂移检查、不可变引用、签名验签和回滚验证 | `baseline-release-evidence.yaml`、`version-governance.yaml`、审计导出、Git tag | 无晋级证据、tag 与 commit 不一致、漂移复核缺失、回滚未验证 | | 基线发布事务 | 提交前检查、干净工作树、source commit、签名 tag、远端 ref、push 回执、保护规则、禁推资产排除和发布后验证 | `baseline-publish-transaction.yaml`、Git remote refs、repository protection、release evidence、version governance | 未完成 push、远端 ref 不存在、tag 未签名、工作树脏、保护规则失效、禁推资产进入远端或发布后验证失败 | | 基线撤销隔离 | 撤销触发、隔离范围、受影响引用、通知确认、恢复目标、风险接受、状态回写和审计归档 | `baseline-revocation-record.yaml`、support matrix、adoption ledger、publish transaction、release evidence、risk register | 坏基线无法隔离、签名泄露后仍允许采用、禁推资产误入后无通知、恢复目标未验证或审计归档缺失 | @@ -3906,6 +3915,7 @@ V2.6 起，控制项覆盖清单由以下文件维护；V2.7 起，严格 schema | 文档说最低基线、撤销/EOL 和资产声明必须被运行入口阻断，机器是否能证明 | 控制项要求 `baseline-enforcement-policy.schema.json` 和示例包含适用入口、最低基线、阻断条件、例外有效期、策略引擎、决策回写和审计日志 | | 文档说 AI 事件响应必须有专门 playbook，机器是否能证明 | 控制项要求 `ai-incident-playbook.schema.json` 和示例包含触发器、检测、遏制、降级、回滚、RAG 恢复、工具 Kill Switch 和复盘 | | 文档说 GitOps 必须有运行安全，机器是否能证明 | 控制项要求 `gitops-deployment.schema.json` 和示例包含 `serviceAccount`、`security`、`scaling` | +| 文档说关键资产必须完成威胁建模、攻击面和剩余风险治理，机器是否能证明 | 控制项要求 `baseline-threat-model-attack-surface-risk-ledger.schema.json` 和示例包含资产范围、信任边界、数据流、攻击面、滥用场景、控制映射、安全测试、剩余风险、POA&M、签署和过期阻断 | | 文档说供应链必须有漏洞和 Scorecard 证据，机器是否能证明 | 控制项要求 `supply-chain-attestation.schema.json` 和示例包含 `vulnerability`、`scorecard` | | 文档说 starter kit 必须拒绝未知字段，机器是否能证明 | 控制项要求 checker 包含 `additionalProperties must be false` 和 `unexpected field` 证据 | | 文档说严格 schema 必须有扩展出口，机器是否能证明 | 控制项要求 `extension-policy.schema.json` 和示例包含受控前缀、审批和默认拒绝策略 | @@ -4264,6 +4274,7 @@ versionGovernance: localArtifactBoundary: governance/evidence/baselines/baseline-local-artifact-boundary.yaml auditExportExclusionManifest: governance/evidence/audit-export/audit-export-exclusion-manifest.yaml privateArtifactEscrowManifest: governance/evidence/baselines/private-artifact-escrow-manifest.yaml + threatModelAttackSurfaceRiskLedger: governance/evidence/baselines/baseline-threat-model-attack-surface-risk-ledger.yaml capacityPerformanceCostEfficiencyLedger: governance/evidence/baselines/baseline-capacity-performance-cost-efficiency-ledger.yaml serviceReliabilitySloErrorBudgetObservabilityLedger: governance/evidence/baselines/baseline-service-reliability-slo-error-budget-observability-ledger.yaml backupRestoreDisasterRecoveryLedger: governance/evidence/baselines/baseline-backup-restore-disaster-recovery-ledger.yaml @@ -4356,6 +4367,7 @@ baselineReleaseEvidence: dataResidencyTransferLedgerDigest: sha256: thirdPartyRiskLedgerDigest: sha256: operationalResilienceLedgerDigest: sha256: + threatModelAttackSurfaceRiskLedgerDigest: sha256: capacityPerformanceCostEfficiencyLedgerDigest: sha256: serviceReliabilitySloErrorBudgetObservabilityLedgerDigest: sha256: regulatoryObligationLedgerDigest: sha256: @@ -4471,6 +4483,17 @@ baselineReleaseEvidence: scenarioResultsWithinImpactTolerance: true noOpenCriticalResilienceGap: true toleranceBreachesEscalated: true + threatModelAttackSurfaceRiskLedgerPresent: true + threatModelAttackSurfaceRiskDigestMatchesRelease: true + criticalAssetsHaveThreatModels: true + threatModelsFreshForCriticalAssets: true + attackSurfacesInventoried: true + trustBoundariesAndDataFlowsMapped: true + highRiskDataFlowsMitigated: true + criticalAbuseCasesClosedOrAccepted: true + securityTestsLinkedToThreats: true + residualRisksSignedOrPoamTracked: true + releaseGateConsumesThreatModelLedger: true capacityPerformanceCostEfficiencyLedgerPresent: true capacityPerformanceCostEfficiencyDigestMatchesRelease: true criticalServicesHaveCapacityForecasts: true @@ -4597,6 +4620,7 @@ baselineReleaseEvidence: - governance/evidence/baselines/baseline-data-residency-transfer-ledger.yaml - governance/evidence/baselines/baseline-third-party-risk-ledger.yaml - governance/evidence/baselines/baseline-operational-resilience-ledger.yaml + - governance/evidence/baselines/baseline-threat-model-attack-surface-risk-ledger.yaml - governance/evidence/baselines/baseline-capacity-performance-cost-efficiency-ledger.yaml - governance/evidence/baselines/baseline-service-reliability-slo-error-budget-observability-ledger.yaml - governance/evidence/baselines/baseline-regulatory-obligation-ledger.yaml @@ -4666,6 +4690,7 @@ baselineReleaseEvidence: 1. `baseline-release-evidence.yaml` 必须追加写入，不得覆盖历史基线证据。 2. `immutableRefs.sourceCommit`、`releaseTag`、发布事务摘要、准入策略摘要、消费锁摘要、迁移工作单摘要、迁移执行回执摘要、撤销隔离摘要、生命周期状态机摘要、状态对账报告摘要、证据追踪图摘要、门禁执行报告摘要、EOL 退役证书摘要、会审裁决摘要、服务可靠性与可观测性总账摘要、备份恢复与灾备总账摘要、资产关键性与分类摘要、验证环境锁摘要、基线制品清单摘要、基线就绪评分卡摘要、基线例外总账摘要、审计导出摘要和控制覆盖摘要必须来自同一基线。 +3. `candidate -> baseline` 和 `baseline -> frozen` 前必须消费 `baseline-threat-model-attack-surface-risk-ledger.yaml`，并证明关键威胁模型、攻击面、安全测试和剩余风险摘要进入同一发布证据包。 3. 任意禁推本地资产出现在远端树中，`forbiddenLocalAssetsAbsentFromRemote` 必须为 `false`，并阻断基线晋级。 4. `frozen` 晋级必须先完成状态对账、漂移复核、基线就绪评分卡、基线会审裁决和基线例外总账复核；如果存在状态冲突、关键漂移、评分不足、未关闭反对意见、过期例外或阻断例外，只能创建 POA&M 或风险接受，不能冻结。 5. 回滚验证必须指向 `baseline-rollback-verification.yaml`，并证明上一基线 tag、commit、GitOps revision、审计导出和烟测结果有效，不能只写自然语言说明。 @@ -5280,6 +5305,7 @@ baselineArtifactInventory: dataResidencyTransferLedger: governance/evidence/baselines/baseline-data-residency-transfer-ledger.yaml thirdPartyRiskLedger: governance/evidence/baselines/baseline-third-party-risk-ledger.yaml operationalResilienceLedger: governance/evidence/baselines/baseline-operational-resilience-ledger.yaml + threatModelAttackSurfaceRiskLedger: governance/evidence/baselines/baseline-threat-model-attack-surface-risk-ledger.yaml capacityPerformanceCostEfficiencyLedger: governance/evidence/baselines/baseline-capacity-performance-cost-efficiency-ledger.yaml serviceReliabilitySloErrorBudgetObservabilityLedger: governance/evidence/baselines/baseline-service-reliability-slo-error-budget-observability-ledger.yaml regulatoryObligationLedger: governance/evidence/baselines/baseline-regulatory-obligation-ledger.yaml @@ -5411,6 +5437,14 @@ baselineArtifactInventory: signed: true exportedTo: - build/modern-enterprise-architecture-audit/audit-export.json + - path: governance/evidence/baselines/baseline-threat-model-attack-surface-risk-ledger.yaml + type: evidence-template + required: true + owner: application-security-team + digest: sha256: + signed: true + exportedTo: + - build/modern-enterprise-architecture-audit/audit-export.json - path: governance/evidence/baselines/baseline-capacity-performance-cost-efficiency-ledger.yaml type: evidence-template required: true @@ -6839,7 +6873,7 @@ baselineStateReconciliationReport: baselineId: mea-v2.53-20260602 documentVersion: V2.53 result: pass - rulesExecuted: 37 + rulesExecuted: 38 blockingFailures: 0 replayResult: pass decisionMatchesExecution: true @@ -7250,6 +7284,21 @@ baselineStateReconciliationReport: overdueResiliencePoam: 0 boardOrRiskOwnerSignoff: true status: match + threatModelAttackSurfaceRiskLedger: + ledgerId: btmasr-20260602-mea-v279 + criticalAssetsCovered: 92 + criticalAssetsWithThreatModels: 92 + freshThreatModels: 92 + attackSurfacesInventoried: 92 + trustBoundariesMapped: 92 + dataFlowsMapped: 214 + highRiskDataFlowsWithoutMitigation: 0 + openCriticalAbuseCases: 0 + securityTestsLinkedToThreats: 92 + unsignedResidualRisks: 0 + overdueThreatModelReviews: 0 + releaseGateReferences: 92 + status: match capacityPerformanceCostEfficiencyLedger: ledgerId: bcpce-20260602-mea-v278 criticalServicesCovered: 64 @@ -7325,6 +7374,7 @@ baselineStateReconciliationReport: dataResidencyTransferLedgerReconciled: true thirdPartyRiskLedgerReconciled: true operationalResilienceLedgerReconciled: true + threatModelAttackSurfaceRiskLedgerReconciled: true capacityPerformanceCostEfficiencyLedgerReconciled: true serviceReliabilitySloErrorBudgetObservabilityLedgerReconciled: true backupRestoreDisasterRecoveryLedgerReconciled: true @@ -8213,6 +8263,24 @@ baselineEvidenceTraceGraph: - baseline-state-reconciliation-report - audit-export-manifest - baseline-evidence-archive-receipt + - id: baseline-threat-model-attack-surface-risk-ledger + type: threat-model-attack-surface-risk + path: governance/evidence/baselines/baseline-threat-model-attack-surface-risk-ledger.yaml + digest: sha256: + producer: application-security-team + requiredFor: + - candidate-to-baseline + - baseline-to-frozen + - baseline-to-quarantined + - superseded-to-eol + status: present + consumedBy: + - baseline-release-evidence + - baseline-gate-execution-report + - baseline-review-board-decision + - baseline-state-reconciliation-report + - audit-export-manifest + - baseline-evidence-archive-receipt - id: baseline-capacity-performance-cost-efficiency-ledger type: capacity-performance-cost-efficiency path: governance/evidence/baselines/baseline-capacity-performance-cost-efficiency-ledger.yaml @@ -8581,6 +8649,11 @@ baselineEvidenceTraceGraph: relation: records-operational-resilience-digest digestReferenceMatches: true blocking: true + - from: baseline-release-evidence + to: baseline-threat-model-attack-surface-risk-ledger + relation: records-threat-model-attack-surface-risk-digest + digestReferenceMatches: true + blocking: true - from: baseline-release-evidence to: baseline-capacity-performance-cost-efficiency-ledger relation: records-capacity-performance-cost-efficiency-digest @@ -8726,6 +8799,11 @@ baselineEvidenceTraceGraph: relation: reviews-operational-resilience digestReferenceMatches: true blocking: true + - from: baseline-review-board-decision + to: baseline-threat-model-attack-surface-risk-ledger + relation: reviews-threat-model-attack-surface-risk + digestReferenceMatches: true + blocking: true - from: baseline-review-board-decision to: baseline-capacity-performance-cost-efficiency-ledger relation: reviews-capacity-performance-cost-efficiency @@ -9171,6 +9249,11 @@ baselineEvidenceTraceGraph: relation: archives-operational-resilience-evidence digestReferenceMatches: true blocking: true + - from: baseline-evidence-archive-receipt + to: baseline-threat-model-attack-surface-risk-ledger + relation: archives-threat-model-attack-surface-risk-evidence + digestReferenceMatches: true + blocking: true - from: baseline-evidence-archive-receipt to: baseline-capacity-performance-cost-efficiency-ledger relation: archives-capacity-performance-cost-efficiency-evidence @@ -9250,6 +9333,7 @@ baselineEvidenceTraceGraph: - baseline-data-residency-transfer-ledger - baseline-third-party-risk-ledger - baseline-operational-resilience-ledger + - baseline-threat-model-attack-surface-risk-ledger - baseline-capacity-performance-cost-efficiency-ledger - baseline-service-reliability-slo-error-budget-observability-ledger - baseline-backup-restore-disaster-recovery-ledger @@ -9291,6 +9375,7 @@ baselineEvidenceTraceGraph: - baseline-data-residency-transfer-ledger - baseline-third-party-risk-ledger - baseline-operational-resilience-ledger + - baseline-threat-model-attack-surface-risk-ledger - baseline-capacity-performance-cost-efficiency-ledger - baseline-service-reliability-slo-error-budget-observability-ledger - baseline-backup-restore-disaster-recovery-ledger @@ -9426,6 +9511,14 @@ baselineEvidenceTraceGraph: operationalResilienceImpactTolerancesApproved: true operationalResilienceScenariosWithinTolerance: true operationalResilienceNoOpenCriticalGap: true + threatModelAttackSurfaceRiskLedgerPresent: true + threatModelAttackSurfaceRiskDigestMatchesRelease: true + threatModelCriticalAssetsCovered: true + threatModelReviewsFresh: true + threatModelAttackSurfacesInventoried: true + threatModelTrustBoundariesAndDataFlowsMapped: true + threatModelCriticalAbuseCasesClosedOrAccepted: true + threatModelResidualRisksSignedOrTracked: true capacityPerformanceCostEfficiencyLedgerPresent: true capacityPerformanceCostEfficiencyDigestMatchesRelease: true capacityPerformanceCriticalServicesCovered: true @@ -9553,17 +9646,18 @@ baselineEvidenceTraceGraph: 18. `baseline-data-residency-transfer-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明数据驻留、跨境传输、子处理方和模型供应商处理位置具备可复核边界。 19. `baseline-third-party-risk-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明关键供应商的合同控制、审计权、保证报告、退出计划、集中度和连续性具备可复核边界。 20. `baseline-operational-resilience-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明重要业务服务、影响容忍、BIA、端到端依赖、场景测试、恢复能力和超限升级具备可复核边界。 -21. `baseline-capacity-performance-cost-efficiency-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明容量预测、压测、性能基准、资源 requests/limits、弹性伸缩、预算、单位经济、异常成本和优化行动已经入账。 -22. `baseline-service-reliability-slo-error-budget-observability-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明生产服务、关键用户旅程、SLI/SLO、错误预算、告警路由、on-call、runbook、合成探测、遥测覆盖和降级策略已经入账。 -23. `baseline-backup-restore-disaster-recovery-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明关键系统、关键数据存储、不可变/离线副本、恢复演练、RTO/RPO、完整性校验、勒索隔离和恢复权限已经入账。 -24. `baseline-regulatory-obligation-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明适用监管义务、客户合同义务、标准要求和内部政策要求已经映射到控制、证据、owner、例外和整改。 -25. `baseline-cryptographic-secrets-key-certificate-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明 KMS/HSM key、TLS 证书、签名密钥、API token、数据库凭据、webhook secret、工作负载密钥、轮换、过期、吊销和泄露响应已经入账。 -26. `baseline-asset-criticality-classification-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明资产 owner、业务关键性、SLO Tier、L3/L4、CIA 影响、数据敏感度、AI 风险、互联网暴露和分级复核已经入账。 -27. `baseline-identity-entitlement-access-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明人类身份、服务账号、工作负载身份、JML、MFA、PAM/JIT、break-glass、孤儿账号、过期权限和运行时身份绑定已经入账。 -28. `baseline-processing-activity-inventory-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明所有个人数据处理活动、数据主体类别、个人数据类别、接收方、跨境传输、保留映射、DPIA、合法基础和发现覆盖已经入账。 -29. `baseline-privacy-rights-consent-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明处理目的合法基础、同意撤回传播、权利请求 SLA、自动化决策复核和第三方下游传播已经闭合。 -30. `baseline-records-retention-legal-hold-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明记录留存排期、legal hold、删除资格、删除传播和可防御删除回执已经闭合。 -31. 条件放行只能降低非阻断节点的处理优先级，不能绕过断链、摘要不一致或必需节点缺失。 +21. `baseline-threat-model-attack-surface-risk-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明威胁模型、攻击面、滥用场景、安全测试和剩余风险已经入账。 +22. `baseline-capacity-performance-cost-efficiency-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明容量预测、压测、性能基准、资源 requests/limits、弹性伸缩、预算、单位经济、异常成本和优化行动已经入账。 +23. `baseline-service-reliability-slo-error-budget-observability-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明生产服务、关键用户旅程、SLI/SLO、错误预算、告警路由、on-call、runbook、合成探测、遥测覆盖和降级策略已经入账。 +24. `baseline-backup-restore-disaster-recovery-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明关键系统、关键数据存储、不可变/离线副本、恢复演练、RTO/RPO、完整性校验、勒索隔离和恢复权限已经入账。 +25. `baseline-regulatory-obligation-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明适用监管义务、客户合同义务、标准要求和内部政策要求已经映射到控制、证据、owner、例外和整改。 +26. `baseline-cryptographic-secrets-key-certificate-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明 KMS/HSM key、TLS 证书、签名密钥、API token、数据库凭据、webhook secret、工作负载密钥、轮换、过期、吊销和泄露响应已经入账。 +27. `baseline-asset-criticality-classification-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明资产 owner、业务关键性、SLO Tier、L3/L4、CIA 影响、数据敏感度、AI 风险、互联网暴露和分级复核已经入账。 +28. `baseline-identity-entitlement-access-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明人类身份、服务账号、工作负载身份、JML、MFA、PAM/JIT、break-glass、孤儿账号、过期权限和运行时身份绑定已经入账。 +29. `baseline-processing-activity-inventory-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明所有个人数据处理活动、数据主体类别、个人数据类别、接收方、跨境传输、保留映射、DPIA、合法基础和发现覆盖已经入账。 +30. `baseline-privacy-rights-consent-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明处理目的合法基础、同意撤回传播、权利请求 SLA、自动化决策复核和第三方下游传播已经闭合。 +31. `baseline-records-retention-legal-hold-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明记录留存排期、legal hold、删除资格、删除传播和可防御删除回执已经闭合。 +32. 条件放行只能降低非阻断节点的处理优先级，不能绕过断链、摘要不一致或必需节点缺失。 可执行验收标准： @@ -9588,16 +9682,17 @@ baselineEvidenceTraceGraph: 19. 任意 baseline 或 frozen 晋级都必须把 `baseline-data-residency-transfer-ledger.yaml` 作为证据节点，证明数据驻留要求、实际处理区域、跨境传输机制、子处理方、补充保护措施和删除传播已经闭合。 20. 任意 baseline 或 frozen 晋级都必须把 `baseline-third-party-risk-ledger.yaml` 作为证据节点，证明关键供应商分级、合同控制、审计权、保证报告、退出计划、集中度、替代路径和供应商事件状态已经闭合。 21. 任意 baseline 或 frozen 晋级都必须把 `baseline-operational-resilience-ledger.yaml` 作为证据节点，证明重要业务服务、影响容忍、BIA、端到端依赖、严重但合理场景测试、恢复结果、沟通计划和超限升级已经闭合。 -22. 任意 baseline 或 frozen 晋级都必须把 `baseline-capacity-performance-cost-efficiency-ledger.yaml` 作为证据节点，证明容量预测、压测、性能基准、资源 requests/limits、HPA/VPA/KEDA、预算、单位经济、成本分摊、异常成本和优化行动已经闭合。 -23. 任意 baseline 或 frozen 晋级都必须把 `baseline-service-reliability-slo-error-budget-observability-ledger.yaml` 作为证据节点，证明生产服务、关键用户旅程、SLI/SLO、错误预算、告警路由、on-call、runbook、合成探测、遥测覆盖、仪表盘和降级策略已经闭合。 -24. 任意 baseline 或 frozen 晋级都必须把 `baseline-backup-restore-disaster-recovery-ledger.yaml` 作为证据节点，证明关键系统、关键数据存储、备份策略、不可变/离线副本、恢复演练、RTO/RPO、完整性校验、勒索隔离和恢复权限已经闭合。 -25. 任意 baseline 或 frozen 晋级都必须把 `baseline-regulatory-obligation-ledger.yaml` 作为证据节点，证明强制义务、适用范围、控制目标、控制项、证据路径、owner、监管变更和 POA&M 已经闭合。 -26. 任意 baseline 或 frozen 晋级都必须把 `baseline-cryptographic-secrets-key-certificate-ledger.yaml` 作为证据节点，证明 KMS/HSM key、TLS 证书、签名密钥、API token、数据库凭据、webhook secret、工作负载密钥、轮换、过期、吊销、泄露响应和访问边界已经闭合。 -27. 任意 baseline 或 frozen 晋级都必须把 `baseline-asset-criticality-classification-ledger.yaml` 作为证据节点，证明资产 owner、业务关键性、SLO Tier、L3/L4、CIA 影响、数据敏感度、AI 风险、互联网暴露和分级复核已经闭合。 -28. 任意 baseline 或 frozen 晋级都必须把 `baseline-identity-entitlement-access-ledger.yaml` 作为证据节点，证明人类身份、服务账号、工作负载身份、JML、MFA、PAM/JIT、break-glass、最小权限、孤儿账号、过期权限和运行时身份绑定已经闭合。 -29. 任意 baseline 或 frozen 晋级都必须把 `baseline-processing-activity-inventory-ledger.yaml` 作为证据节点，证明处理活动、数据主体类别、个人数据类别、控制者/处理者角色、接收方、跨境传输、保留映射、DPIA、合法基础、AI/数据产品用途和发现覆盖已经闭合。 -30. 任意 baseline 或 frozen 晋级都必须把 `baseline-privacy-rights-consent-ledger.yaml` 作为证据节点，证明处理目的、合法基础、同意偏好、撤回传播、主体权利请求、自动化决策复核、下游处理限制和第三方传播已经闭合。 -31. 任意 baseline 或 frozen 晋级都必须把 `baseline-records-retention-legal-hold-ledger.yaml` 作为证据节点，证明记录类别、留存排期、义务来源、legal hold、删除资格、删除传播、保全解除和可防御删除回执已经闭合。 +22. 任意 baseline 或 frozen 晋级都必须把 `baseline-threat-model-attack-surface-risk-ledger.yaml` 作为证据节点，证明威胁模型、攻击面、滥用场景、安全测试、剩余风险、POA&M 和签署状态已经闭合。 +23. 任意 baseline 或 frozen 晋级都必须把 `baseline-capacity-performance-cost-efficiency-ledger.yaml` 作为证据节点，证明容量预测、压测、性能基准、资源 requests/limits、HPA/VPA/KEDA、预算、单位经济、成本分摊、异常成本和优化行动已经闭合。 +24. 任意 baseline 或 frozen 晋级都必须把 `baseline-service-reliability-slo-error-budget-observability-ledger.yaml` 作为证据节点，证明生产服务、关键用户旅程、SLI/SLO、错误预算、告警路由、on-call、runbook、合成探测、遥测覆盖、仪表盘和降级策略已经闭合。 +25. 任意 baseline 或 frozen 晋级都必须把 `baseline-backup-restore-disaster-recovery-ledger.yaml` 作为证据节点，证明关键系统、关键数据存储、备份策略、不可变/离线副本、恢复演练、RTO/RPO、完整性校验、勒索隔离和恢复权限已经闭合。 +26. 任意 baseline 或 frozen 晋级都必须把 `baseline-regulatory-obligation-ledger.yaml` 作为证据节点，证明强制义务、适用范围、控制目标、控制项、证据路径、owner、监管变更和 POA&M 已经闭合。 +27. 任意 baseline 或 frozen 晋级都必须把 `baseline-cryptographic-secrets-key-certificate-ledger.yaml` 作为证据节点，证明 KMS/HSM key、TLS 证书、签名密钥、API token、数据库凭据、webhook secret、工作负载密钥、轮换、过期、吊销、泄露响应和访问边界已经闭合。 +28. 任意 baseline 或 frozen 晋级都必须把 `baseline-asset-criticality-classification-ledger.yaml` 作为证据节点，证明资产 owner、业务关键性、SLO Tier、L3/L4、CIA 影响、数据敏感度、AI 风险、互联网暴露和分级复核已经闭合。 +29. 任意 baseline 或 frozen 晋级都必须把 `baseline-identity-entitlement-access-ledger.yaml` 作为证据节点，证明人类身份、服务账号、工作负载身份、JML、MFA、PAM/JIT、break-glass、最小权限、孤儿账号、过期权限和运行时身份绑定已经闭合。 +30. 任意 baseline 或 frozen 晋级都必须把 `baseline-processing-activity-inventory-ledger.yaml` 作为证据节点，证明处理活动、数据主体类别、个人数据类别、控制者/处理者角色、接收方、跨境传输、保留映射、DPIA、合法基础、AI/数据产品用途和发现覆盖已经闭合。 +31. 任意 baseline 或 frozen 晋级都必须把 `baseline-privacy-rights-consent-ledger.yaml` 作为证据节点，证明处理目的、合法基础、同意偏好、撤回传播、主体权利请求、自动化决策复核、下游处理限制和第三方传播已经闭合。 +32. 任意 baseline 或 frozen 晋级都必须把 `baseline-records-retention-legal-hold-ledger.yaml` 作为证据节点，证明记录类别、留存排期、义务来源、legal hold、删除资格、删除传播、保全解除和可防御删除回执已经闭合。 ### 10.10.26 基线门禁执行报告 @@ -9685,6 +9780,9 @@ baselineGateExecutionReport: operationalResilienceLedger: path: governance/evidence/baselines/baseline-operational-resilience-ledger.yaml digest: sha256: + threatModelAttackSurfaceRiskLedger: + path: governance/evidence/baselines/baseline-threat-model-attack-surface-risk-ledger.yaml + digest: sha256: capacityPerformanceCostEfficiencyLedger: path: governance/evidence/baselines/baseline-capacity-performance-cost-efficiency-ledger.yaml digest: sha256: @@ -10037,6 +10135,21 @@ baselineGateExecutionReport: result: pass blocking: true - id: BGE-029 + title: critical assets have fresh threat models, attack surfaces, tests, and signed residual risks + source: governance/policies/baseline-gates/threat-model-attack-surface-risk.rego + inputRefs: + - threatModelAttackSurfaceRiskLedger + - assetCriticalityClassificationLedger + - identityEntitlementAccessLedger + - dataResidencyTransferLedger + - thirdPartyRiskLedger + - aiEvidenceLedger + - evidenceTraceGraph + - stateReconciliation + - releaseEvidence + result: pass + blocking: true + - id: BGE-030 title: critical services have capacity forecasts, fresh load tests, autoscaling, and cost controls source: governance/policies/baseline-gates/capacity-performance-cost-efficiency.rego inputRefs: @@ -10049,7 +10162,7 @@ baselineGateExecutionReport: - releaseEvidence result: pass blocking: true - - id: BGE-030 + - id: BGE-031 title: critical services have measurable SLOs, error budgets, alerts, and observability source: governance/policies/baseline-gates/service-reliability-slo-error-budget-observability.rego inputRefs: @@ -15625,6 +15738,256 @@ baselineCapacityPerformanceCostEfficiencyLedger: 4. 任意 AI 或高成本工作负载都能证明单位经济、预算上限、模型成本、异常成本处置和优化行动已经闭合。 5. 任意审计导出都能证明无关键容量模型缺口、无过期压测、无开放性能退化、无未声明资源、无未审批预算超支、无未解释单位成本和无开放异常成本。 +### 10.10.57 基线威胁建模、攻击面与安全风险总账 + +`baseline-threat-model-attack-surface-risk-ledger.yaml` 是企业级基线的威胁建模与攻击面治理证据。 +它不替代 `ai-threat-model.yaml`、漏洞扫描、渗透测试、ASVS/API 安全评估、风险登记或 POA&M；这些证据分别覆盖 +AI 产品、已知漏洞、测试执行、验证标准和风险整改。该总账回答的是：“哪些关键资产必须建模；信任边界和数据流是否清楚； +攻击面和滥用场景是否已被识别；缓解控制、安全测试、剩余风险和签署是否已经进入同一条 release gate 证据链”。它对齐 +OWASP Threat Modeling Cheat Sheet、OWASP ASVS、OWASP API Security Top 10、OWASP SAMM、NIST SSDF 和 +CISA Secure by Design 的共同要求：安全不能只靠发布前扫描和上线后修漏洞，必须在架构、设计、实现、测试和发布门禁中持续建模。 + +```yaml +baselineThreatModelAttackSurfaceRiskLedger: + ledgerId: btmasr-20260602-mea-v279 + baselineId: mea-v2.79-20260602 + documentVersion: V2.79 + owner: application-security-team + generatedAt: 2026-06-02T23:59:00+08:00 + linkedEvidence: + assetCriticalityClassificationLedger: governance/evidence/baselines/baseline-asset-criticality-classification-ledger.yaml + identityEntitlementAccessLedger: governance/evidence/baselines/baseline-identity-entitlement-access-ledger.yaml + dataResidencyTransferLedger: governance/evidence/baselines/baseline-data-residency-transfer-ledger.yaml + thirdPartyRiskLedger: governance/evidence/baselines/baseline-third-party-risk-ledger.yaml + aiEvidenceLedger: governance/evidence/ai/ai-evidence.yaml + aiThreatModels: governance/evidence/ai/ai-threat-model.yaml + apiInventory: catalog/apis/ + eventInventory: catalog/events/ + dataFlowDiagrams: governance/evidence/security/data-flows/ + securityTestEvidence: governance/evidence/security/tests/ + riskRegister: governance/evidence/risk/risk-register.yaml + poam: governance/evidence/poam/poam-record.yaml + policy: + defaultForUnknownCriticalAsset: block + requireOwner: true + requireThreatModelForLevels: + - L3 + - L4 + requireThreatModelRefreshDays: 180 + requireInternetExposureReview: true + requireTrustBoundaryMap: true + requireDataFlowMap: true + requireAbuseCasesForExternalEntryPoints: true + requireSecurityTestsLinkedToThreats: true + requireResidualRiskSignoff: true + blockOnUnsignedHighResidualRisk: true + blockOnOpenCriticalAbuseCase: true + assets: + - assetId: customer-profile-service + assetType: service + owner: customer-platform-team + catalogRef: catalog/components/customer-profile-service.yaml + sourceRoot: domains/customer/services/customer-profile-service + businessCriticality: high + conformanceLevel: L4 + exposure: + internetFacing: true + entryPoints: + - api: contracts/apis/customer-profile.openapi.yaml + - event: contracts/events/customer.profile.updated.yaml + authentication: + method: oauth2-oidc + workloadIdentity: kubernetes-service-account + privilegedOperations: + - profile-merge + - gdpr-export + threatModel: + method: + - STRIDE + - OWASP-ASVS + - OWASP-API-Top-10 + modelRef: governance/evidence/security/threat-models/customer-profile-service.yaml + reviewedAt: 2026-06-01T16:00:00+08:00 + nextReviewDue: 2026-11-28 + trustBoundaries: + - browser-to-api-gateway + - api-gateway-to-service-mesh + - service-to-database + - service-to-third-party-kyc + dataFlows: + - flowId: customer-profile-read + dataClass: personal-data + encryptionInTransit: true + authorizationControl: relationship-based-access + - flowId: customer-profile-export + dataClass: regulated-personal-data + encryptionInTransit: true + approvalRequired: true + abuseCases: + - abuseCaseId: account-enumeration + risk: high + mitigation: rate-limit-plus-privacy-preserving-errors + testRef: governance/evidence/security/tests/customer-profile-api-abuse.yaml + status: closed + - abuseCaseId: unauthorized-profile-export + risk: critical + mitigation: step-up-auth-plus-dual-control + testRef: governance/evidence/security/tests/customer-profile-export-authz.yaml + status: accepted-by-risk-owner + residualRisk: + level: medium + acceptedBy: customer-risk-owner + acceptedUntil: 2026-09-30 + poamRef: governance/evidence/poam/poam-customer-profile-202606.yaml + status: threat-model-current + - assetId: payment-webhook-consumer + assetType: event-consumer + owner: payments-platform-team + catalogRef: catalog/components/payment-webhook-consumer.yaml + conformanceLevel: L4 + exposure: + internetFacing: false + entryPoints: + - event: contracts/events/payment.webhook.received.yaml + authentication: + method: signed-webhook-plus-mtls + threatModel: + method: + - STRIDE + - OWASP-API-Top-10 + modelRef: governance/evidence/security/threat-models/payment-webhook-consumer.yaml + reviewedAt: 2026-05-30T12:00:00+08:00 + trustBoundaries: + - payment-provider-to-edge-ingress + - ingress-to-event-bus + - consumer-to-ledger-service + dataFlows: + - flowId: payment-event-ingest + dataClass: financial-transaction-data + replayProtection: idempotency-key-plus-signature-timestamp + abuseCases: + - abuseCaseId: replayed-payment-event + risk: critical + mitigation: signature-timestamp-window-plus-idempotency-store + testRef: governance/evidence/security/tests/payment-webhook-replay.yaml + status: closed + residualRisk: + level: low + acceptedBy: payments-risk-owner + acceptedUntil: 2026-12-31 + status: threat-model-current + - assetId: support-ai-assistant + assetType: ai-product + owner: team-support-ai + catalogRef: catalog/components/support-ai-assistant.yaml + conformanceLevel: L3 + exposure: + internetFacing: true + entryPoints: + - ui: apps/support-ai-assistant + - tool: contracts/ai/tools/customer-case-lookup.yaml + authentication: + method: workforce-sso-plus-tool-approval + threatModel: + method: + - STRIDE + - LINDDUN + - OWASP-LLM-Top-10 + modelRef: governance/evidence/security/threat-models/support-ai-assistant.yaml + reviewedAt: 2026-06-01T10:00:00+08:00 + trustBoundaries: + - user-to-agent-runtime + - agent-runtime-to-llm-gateway + - llm-gateway-to-rag-index + - agent-runtime-to-tools + dataFlows: + - flowId: support-rag-query + dataClass: customer-support-data + accessControl: case-owner-or-approved-support-role + - flowId: tool-case-lookup + dataClass: personal-data + humanApprovalRequired: true + abuseCases: + - abuseCaseId: prompt-injection-tool-exfiltration + risk: critical + mitigation: llm-gateway-policy-plus-tool-allowlist-plus-output-filter + testRef: governance/evidence/security/tests/support-ai-prompt-injection.yaml + status: closed + - abuseCaseId: unauthorized-rag-retrieval + risk: high + mitigation: document-level-acl-plus-retrieval-audit + testRef: governance/evidence/security/tests/support-ai-rag-acl.yaml + status: closed + residualRisk: + level: medium + acceptedBy: support-ai-risk-owner + acceptedUntil: 2026-09-30 + poamRef: governance/evidence/poam/poam-support-ai-202606.yaml + status: threat-model-current + summary: + criticalAssetsCovered: 92 + criticalAssetsWithThreatModels: 92 + freshThreatModels: 92 + attackSurfacesInventoried: 92 + trustBoundariesMapped: 92 + dataFlowsMapped: 214 + highRiskDataFlowsWithoutMitigation: 0 + openCriticalAbuseCases: 0 + securityTestsLinkedToThreats: 92 + unsignedResidualRisks: 0 + overdueThreatModelReviews: 0 + releaseGateReferences: 92 + result: pass + gates: + blockOnMissingThreatModel: true + blockOnStaleThreatModel: true + blockOnUnknownInternetExposure: true + blockOnMissingTrustBoundary: true + blockOnMissingDataFlow: true + blockOnUnmitigatedHighRiskDataFlow: true + blockOnOpenCriticalAbuseCase: true + blockOnMissingSecurityTest: true + blockOnUnsignedResidualRisk: true + blockOnMissingReleaseGateReference: true +``` + +威胁建模与攻击面状态只能使用以下值： + +| 状态 | 含义 | 是否阻断 | +| ---- | ---- | -------- | +| `threat-model-current` | 威胁模型、攻击面、信任边界、数据流、滥用场景、安全测试和剩余风险均在策略内 | 否 | +| `threat-model-required` | L3/L4、互联网暴露、关键数据或关键业务资产缺威胁模型 | 是 | +| `threat-model-stale` | 威胁模型超过复核窗口，或未覆盖当前版本、入口、数据流和依赖 | 是 | +| `exposure-unknown` | 互联网暴露、第三方入口、AI 工具入口或 GitOps 入口未被明确分类 | 是 | +| `trust-boundary-unmapped` | 信任边界、跨域调用、身份转换或第三方边界未映射 | 是 | +| `data-flow-unmapped` | 关键数据流、个人数据流、支付/交易流、RAG 检索流或模型工具流未映射 | 是 | +| `unmitigated-high-risk-flow` | 高风险数据流或权限流没有控制映射、测试或补偿控制 | 是 | +| `abuse-case-open` | critical/high 滥用场景未关闭、未接受或未进入 POA&M | 是 | +| `security-test-required` | 威胁、滥用场景或控制没有对应安全测试证据 | 是 | +| `residual-risk-unsigned` | 剩余风险没有 risk owner 签署、到期日或整改计划 | 是 | +| `retired` | 资产已退役，入口、数据流和风险登记引用已清理 | 否 | +| `not-applicable` | 明确非生产、非关键、无敏感数据、无外部入口，并有 owner 签署 | 否 | + +执行规则： + +1. 所有 L3/L4 资产、互联网暴露资产、处理个人/支付/监管数据的资产、AI 产品、GitOps 入口、平台共享能力和关键第三方接入必须入账。 +2. 每条资产记录必须绑定 owner、catalogRef、sourceRoot 或契约路径、conformance level、暴露面、认证方式、入口、信任边界、数据流、滥用场景、安全测试和剩余风险。 +3. 威胁模型必须覆盖当前版本的真实入口、身份边界、数据流、第三方依赖、事件链路、AI 工具链和运行环境；不能只保留一次性评审纪要。 +4. STRIDE 可用于服务/API/事件边界，LINDDUN 可用于隐私数据流，OWASP ASVS/API/LLM 可用于验证要求映射；具体方法可以裁剪，但必须记录方法和适用理由。 +5. 滥用场景必须绑定缓解控制和安全测试；测试可以来自 SAST/DAST/IAST、API fuzzing、契约测试、策略测试、红队、LLM 攻击评估或手工渗透测试，但必须能回放到证据路径。 +6. AI 产品不得只依赖 `ai-threat-model.yaml`；还必须在本总账中说明 AI 工具、RAG、模型供应商、数据授权、人工审批和越权检索如何进入企业攻击面。 +7. 剩余风险必须由 risk owner 签署，带有效期、POA&M 或风险接受；high/critical 剩余风险未签署时不得进入 baseline/frozen。 +8. 总账必须进入发布证据、状态对账、证据追踪图、门禁执行报告、会审裁决、审计导出和证据归档；不能只留在安全评审系统、白板图或漏洞平台。 +9. 条件放行不能绕过缺失威胁模型、过期威胁模型、未知互联网暴露、未映射信任边界、未缓解高风险数据流、开放 critical 滥用场景、安全测试缺失或剩余风险未签署。 + +可执行验收标准： + +1. 任意关键资产都能追到 owner、catalog/source、入口、信任边界、数据流、威胁模型、滥用场景、安全测试、剩余风险、POA&M 和风险签署。 +2. 任意互联网暴露、第三方接入、AI 工具入口、GitOps 入口或关键数据流都能证明攻击面已登记，且有适用控制和测试证据。 +3. 任意 high/critical 滥用场景都能证明已关闭、已接受或进入 POA&M，并且风险接受有 owner、到期日和复核入口。 +4. 任意安全测试失败都能证明是否阻断发布、进入整改、风险接受或例外，并能回写到风险登记和门禁执行报告。 +5. 任意审计导出都能证明无关键威胁模型缺失、无过期威胁模型、无未知暴露面、无未映射信任边界、无未缓解高风险数据流、无开放 critical 滥用场景和无未签署剩余风险。 + ## 10.11 仓库拓扑剖面 目录结构可以按企业规模、团队自治程度和合规要求裁剪，但真相源边界不能裁剪。仓库拓扑的选择应先看 ownership、变更频率、权限隔离、发布节奏和审计要求，而不是看团队偏好的 Git 管理方式。 @@ -15732,7 +16095,7 @@ baselineCapacityPerformanceCostEfficiencyLedger: starter kit 校验命令 ``` -该命令是仓库内零依赖 starter gate，用于校验版本清单、控制项覆盖清单、111 组示例的 JSON Schema 子集、YAML 示例、基线容量、性能、弹性伸缩与成本效率总账、基线服务可靠性、SLO、错误预算与可观测性总账、基线备份、恢复、灾备与可恢复性验证总账、基线密码材料、密钥、证书与秘密生命周期总账、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、嵌套必填字段、格式约束、数值阈值、严格 schema 模式、基线运营韧性与重要业务服务影响容忍总账、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线符合性声明、基线发布列车、基线支持矩阵、基线采纳总账、基线兼容性总账、基线发布证据包、版本控制面、外部标准版本锁定、企业执行控制面、合规等级、门禁决策、仓库变更控制、远端保护漂移整改、访问复核、密钥轮换、漏洞修复、事故复盘、证据新鲜度、AI 证据账本、微调运行证据、AI 事件响应 playbook、控制证据映射、审计导出清单、审计导出自动化命令、控制评估报告、架构基线变更记录、架构决策记录、OSCAL 交换映射、POA&M 整改计划、企业架构风险登记、审计导出门禁、审计导出完整性清单、审计导出 provenance statement、审计导出签名策略、审计导出签名验签回执、未知字段阻断、证据链字段和示例间一致性。企业生产落地时应优先接入成熟校验器，例如 JSON Schema draft 2020-12 validator、YAML parser、OpenAPI / AsyncAPI checker、OPA / Cedar / Kyverno policy test、SLSA / Sigstore verifier、OpenTelemetry collector、OpenCost / FOCUS 工具链、IAM / Secret 管理系统、漏洞管理平台、事故管理系统、OSCAL 工具链、GitOps diff 工具、Kubernetes admission policy test、Kubernetes audit log checker、Kyverno PolicyReport checker、OPA decision log checker、Prometheus rule checker 和 Alertmanager route checker；本仓库脚本只作为 starter kit 的最小可执行证明。 +该命令是仓库内零依赖 starter gate，用于校验版本清单、控制项覆盖清单、112 组示例的 JSON Schema 子集、YAML 示例、基线威胁建模、攻击面与安全风险总账、基线容量、性能、弹性伸缩与成本效率总账、基线服务可靠性、SLO、错误预算与可观测性总账、基线备份、恢复、灾备与可恢复性验证总账、基线密码材料、密钥、证书与秘密生命周期总账、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、嵌套必填字段、格式约束、数值阈值、严格 schema 模式、威胁建模、攻击面管理、安全风险治理、基线运营韧性与重要业务服务影响容忍总账、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线符合性声明、基线发布列车、基线支持矩阵、基线采纳总账、基线兼容性总账、基线发布证据包、版本控制面、外部标准版本锁定、企业执行控制面、合规等级、门禁决策、仓库变更控制、远端保护漂移整改、访问复核、密钥轮换、漏洞修复、事故复盘、证据新鲜度、AI 证据账本、微调运行证据、AI 事件响应 playbook、控制证据映射、审计导出清单、审计导出自动化命令、控制评估报告、架构基线变更记录、架构决策记录、OSCAL 交换映射、POA&M 整改计划、企业架构风险登记、审计导出门禁、审计导出完整性清单、审计导出 provenance statement、审计导出签名策略、审计导出签名验签回执、未知字段阻断、证据链字段和示例间一致性。企业生产落地时应优先接入成熟校验器，例如 JSON Schema draft 2020-12 validator、YAML parser、OpenAPI / AsyncAPI checker、OPA / Cedar / Kyverno policy test、SLSA / Sigstore verifier、OpenTelemetry collector、OpenCost / FOCUS 工具链、IAM / Secret 管理系统、漏洞管理平台、事故管理系统、OSCAL 工具链、GitOps diff 工具、Kubernetes admission policy test、Kubernetes audit log checker、Kyverno PolicyReport checker、OPA decision log checker、Prometheus rule checker 和 Alertmanager route checker；本仓库脚本只作为 starter kit 的最小可执行证明。 审计导出包由以下命令生成： @@ -15808,6 +16171,7 @@ governance/evidence/baselines/{baseline-control-inheritance-ledger}.yaml governance/evidence/baselines/{baseline-data-residency-transfer-ledger}.yaml governance/evidence/baselines/{baseline-third-party-risk-ledger}.yaml governance/evidence/baselines/{baseline-operational-resilience-ledger}.yaml +governance/evidence/baselines/{baseline-threat-model-attack-surface-risk-ledger}.yaml governance/evidence/baselines/{baseline-capacity-performance-cost-efficiency-ledger}.yaml governance/evidence/baselines/{baseline-service-reliability-slo-error-budget-observability-ledger}.yaml governance/evidence/baselines/{baseline-backup-restore-disaster-recovery-ledger}.yaml @@ -15949,6 +16313,7 @@ starter kit 校验命令 | 访问证据 | IAM / RBAC、权限复核、break-glass、MFA 审计 | 安全团队、SRE 和服务 owner | 覆盖每个访问复核周期 | | 密钥证据 | Secret provider、KMS、轮换记录、泄露扫描 | 平台团队和安全团队 | 覆盖每个轮换周期 | | 漏洞证据 | 扫描结果、KEV、修复 SLA、残余风险和发布准入 | 安全团队和服务 owner | 覆盖每个高危发现 | +| 威胁建模与攻击面证据 | 威胁模型、信任边界、数据流、攻击面、滥用场景、安全测试、剩余风险和风险签署 | 安全团队、架构组、资产 owner 和风险 owner | 覆盖每个 L3 / L4 资产、互联网暴露资产、AI 产品、GitOps 入口和关键第三方接入 | | 事故证据 | 事故时间线、根因、行动项、runbook 和门禁更新 | SRE 和服务 owner | 事故关闭后继续保留一个审计周期 | | 控制映射证据 | 控制目录、证据路径、状态、新鲜度和阻断属性 | 治理团队和平台团队 | 覆盖每个基线版本 | | 审计导出证据 | 导出范围、内容清单、验证结果、签名和留存复审 | 治理团队和安全团队 | 覆盖每次正式审计导出 | @@ -15971,6 +16336,7 @@ starter kit 校验命令 | 基线数据驻留与跨境处理证据 | 数据类别、监管区域、实际处理区域、备份/日志/RAG/模型供应商位置、传输机制、子处理方、补充保护措施和删除传播 | 隐私治理团队、数据团队、AI 团队、平台团队、安全团队、法务团队和审计团队 | 覆盖每次 baseline/frozen 晋级、数据产品发布、AI 产品发布、RAG 索引变更、供应商变更、子处理方到期和正式审计导出 | | 基线第三方与关键供应商风险证据 | 供应商分级、服务范围、受影响资产、数据类别、合同控制、DPA/SLA、审计权、保证报告、集中度、退出计划、替代路径、连续性和供应商事件状态 | 第三方风险团队、采购团队、法务团队、安全团队、平台团队、数据团队、AI 团队、SRE 和审计团队 | 覆盖每次 baseline/frozen 晋级、关键供应商接入、合同续期、保证报告到期、供应商事件、集中度变化、AI 模型供应商变更和正式审计导出 | | 基线运营韧性与重要业务服务影响容忍证据 | 重要业务服务、影响容忍、BIA、端到端依赖、严重但合理场景、恢复结果、人工替代、沟通计划、第三方依赖、AI 依赖、韧性缺口和超限升级状态 | 运营韧性团队、业务 owner、SRE、平台团队、数据团队、AI 团队、第三方风险团队、安全团队、法务团队、风险团队和审计团队 | 覆盖每次 baseline/frozen 晋级、重要业务服务变更、重大依赖变更、场景测试、实际事故、near miss、影响容忍超限、韧性缺口关闭和正式审计导出 | +| 基线威胁建模、攻击面与安全风险证据 | 关键资产、信任边界、数据流、攻击面、滥用场景、控制映射、安全测试、剩余风险、POA&M、签署和过期阻断状态 | 安全团队、架构组、平台团队、数据团队、AI 团队、SRE、风险团队和审计团队 | 覆盖每次 baseline/frozen 晋级、新 L3 / L4 资产上线、互联网暴露变更、AI 产品上线、关键第三方接入和正式审计导出 | | 基线监管与合规义务可追溯证据 | 义务来源、版本、司法辖区、适用范围、控制目标、控制项、证据路径、owner、例外、POA&M、监管变更和复核状态 | 合规治理团队、法务团队、风险团队、架构组、安全团队、数据团队、AI 团队、第三方风险团队和审计团队 | 覆盖每次 baseline/frozen 晋级、监管变化、客户合同变化、标准升级、重大控制变更、正式审计导出和季度复核 | | 基线密码材料、密钥、证书与秘密生命周期证据 | KMS/HSM key、TLS 证书、签名密钥、API token、数据库凭据、webhook secret、工作负载密钥、owner、托管位置、算法强度、轮换、过期、吊销、泄露响应和访问边界 | 安全密码学团队、平台团队、SRE、发布工程团队、资产 owner 和审计团队 | 覆盖每次 baseline/frozen 晋级、新生产资产登记、证书签发/续期、密钥轮换、签名密钥变更、Secret 泄露响应、供应商凭据变更和正式审计导出 | | 基线资产关键性、数据分类与风险分级证据 | 资产清单、owner、业务关键性、SLO Tier、L3/L4、CIA 影响、数据敏感度、监管暴露、AI 风险等级、互联网暴露、第三方关键性和复核状态 | 架构组、风险团队、平台团队、安全团队、数据团队、AI 团队、业务 owner 和审计团队 | 覆盖每次 baseline/frozen 晋级、新生产资产登记、L3/L4 变更、AI 产品上线、数据分类变更、互联网暴露变更和正式审计导出 | @@ -16473,6 +16839,7 @@ governance/evidence/baselines/baseline-data-residency-transfer-ledger.yaml governance/evidence/baselines/baseline-third-party-risk-ledger.yaml governance/evidence/baselines/baseline-operational-resilience-ledger.yaml governance/evidence/baselines/baseline-capacity-performance-cost-efficiency-ledger.yaml +governance/evidence/baselines/baseline-threat-model-attack-surface-risk-ledger.yaml governance/evidence/baselines/baseline-service-reliability-slo-error-budget-observability-ledger.yaml governance/evidence/baselines/baseline-backup-restore-disaster-recovery-ledger.yaml governance/evidence/baselines/baseline-regulatory-obligation-ledger.yaml @@ -16786,6 +17153,7 @@ infra/gitops/environments/prod/example/example-service/kustomization.yaml | CISA KEV Catalog | 已知被利用漏洞需要优先、限期、可证明地处置 | 增加 `vulnerability-remediation-evidence.yaml`、KEV 状态、修复 SLA 和残余风险 | | SLSA / SBOM / Sigstore / RFC 3161 | 现代供应链安全必须证明构建来源、依赖、产物、签名验签链路、长期验签材料、坏基线撤销链路、消费端摘要锁定、迁移执行事实、本地私有制品排除、私有托管取回、干净环境重建、不可变证据留存、签名 payload 排除、发布准入和运行时准入阻断链路 | 增加 SBOM、provenance、签名、验签、基线长期验签回执、基线运行时准入回执、基线准入执行策略、基线消费锁定文件、基线迁移工作单、基线迁移执行回执、本地私有制品边界、审计导出排除清单、私有制品托管交接清单、干净环境基线重建回执、基线证据不可变归档回执、证据追踪图、门禁执行报告、发布事务回执、撤销隔离记录、发布准入和 Kubernetes admission 阻断 | | NIST SSDF / CISA Secure by Design | 安全应前移到需求、设计、编码、构建、测试、发布和响应全链路 | 增加安全开发证据、威胁建模和安全准入材料 | +| OWASP Threat Modeling / ASVS / API Security / SAMM / NIST SSDF / CISA Secure by Design | 威胁建模、安全需求、安全验证和安全设计应进入软件生命周期与发布门禁，不能只靠漏洞扫描或上线前评审 | 增加 `baseline-threat-model-attack-surface-risk-ledger.yaml`，把关键资产、信任边界、数据流、攻击面、滥用场景、控制映射、安全测试、剩余风险、POA&M 和签署状态纳入基线晋级证据 | | NIST AI RMF Critical Infrastructure Profile Concept Note | 高风险、关键基础设施相关 AI 场景需要更强的生命周期风险管理和可追溯实践 | 将关键基础设施 AI 相关资料纳入标准基线观察项，不直接当作稳定强制门禁 | | FinOps Framework / FOCUS / OpenCost | 成本治理需要统一成本语义、分摊、优化和持续运营 | 增加 `cost-allocation-evidence.yaml`、FinOps 运行机制、成本分摊证据和 AI 单任务成本指标 | | Open Data Contract | 数据产品需要机器可读契约来约束 Schema、语义、质量、权限和变更 | 增加数据契约最低字段和 CI 校验要求 | @@ -16917,6 +17285,16 @@ infra/gitops/environments/prod/example/example-service/kustomization.yaml - NIST SP 800-218: Secure Software Development Framework +- OWASP Threat Modeling Cheat Sheet + +- OWASP Application Security Verification Standard + +- OWASP API Security Top 10 + +- OWASP Software Assurance Maturity Model + +- LINDDUN Privacy Threat Modeling + - NIST Privacy Framework - NIST FIPS 199: Standards for Security Categorization of Federal Information and Information Systems diff --git a/metadata/taxonomy.yml b/metadata/taxonomy.yml index 092306b..8a3880b 100644 --- a/metadata/taxonomy.yml +++ b/metadata/taxonomy.yml @@ -141,7 +141,7 @@ documents: role: 中大型工程组织、平台工程和多产品线参考模型 - path: docs/references/modern-enterprise-architecture-template.md title: 现代企业数字化平台架构 - role: 面向领域产品网络、微服务容器 GitOps 边界、AI 原生能力、微调治理、AI 事件响应、内部平台、数据产品、供应链安全、FinOps 成本治理、版本治理、版本控制面、基线容量、性能、弹性伸缩与成本效率总账、基线服务可靠性、SLO、错误预算与可观测性总账、基线备份、恢复、灾备与可恢复性验证总账、基线密码材料、密钥、证书与秘密生命周期总账、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、外部标准版本锁定、可执行标准、执行控制面、门禁决策、RACI 决策权、可靠性分级、仓库拓扑、迁移弃用、审计证据、联邦治理和行业对标矩阵的完整说明文档 + role: 面向领域产品网络、微服务容器 GitOps 边界、AI 原生能力、微调治理、AI 事件响应、内部平台、数据产品、供应链安全、FinOps 成本治理、版本治理、版本控制面、基线威胁建模、攻击面与安全风险总账、基线容量、性能、弹性伸缩与成本效率总账、基线服务可靠性、SLO、错误预算与可观测性总账、基线备份、恢复、灾备与可恢复性验证总账、基线密码材料、密钥、证书与秘密生命周期总账、基线资产关键性、数据分类与风险分级总账、基线身份权限、特权访问与工作负载身份总账、基线处理活动、个人数据清单与 RoPA 覆盖总账、基线隐私权利请求、同意偏好与合法基础执行总账、基线记录留存、法律保全与可防御删除总账、基线监管与合规义务可追溯总账、外部标准版本锁定、可执行标准、执行控制面、门禁决策、RACI 决策权、可靠性分级、仓库拓扑、迁移弃用、审计证据、联邦治理和行业对标矩阵的完整说明文档 - path: docs/references/dataset-first-data-service.md title: Dataset First 数据服务结构