diff --git a/docs/README.md b/docs/README.md index 055c015..9ea6375 100644 --- a/docs/README.md +++ b/docs/README.md @@ -62,7 +62,7 @@ - [项目架构模板](./references/project-architecture-template.md) - 常见项目结构、架构设计原则、最低门禁和检查清单。 - [通用 Python 项目骨架](./references/python-project-skeleton.md) - Python 应用、服务、脚本工具和库项目的通用骨架。 - [企业级架构模板](./references/enterprise-architecture-template.md) - 中大型工程组织、平台工程和多产品线参考模型。 -- [现代企业数字化平台架构](./references/modern-enterprise-architecture-template.md) - 面向领域产品网络、微服务容器 GitOps 边界、AI 原生能力、微调治理、AI 事件响应、内部平台、数据产品、供应链安全、FinOps 成本治理、版本治理、版本控制面、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线发布证据、基线兼容性总账、基线采纳总账、基线支持矩阵、基线发布列车、基线符合性声明、外部标准版本锁定、可执行标准、执行控制面、门禁决策、RACI 决策权、可靠性分级、仓库拓扑、迁移弃用、审计证据、联邦治理和行业对标矩阵的完整说明文档。 +- [现代企业数字化平台架构](./references/modern-enterprise-architecture-template.md) - 面向领域产品网络、微服务容器 GitOps 边界、AI 原生能力、微调治理、AI 事件响应、内部平台、数据产品、供应链安全、FinOps 成本治理、版本治理、版本控制面、基线运营韧性与重要业务服务影响容忍总账、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线发布证据、基线兼容性总账、基线采纳总账、基线支持矩阵、基线发布列车、基线符合性声明、外部标准版本锁定、可执行标准、执行控制面、门禁决策、RACI 决策权、可靠性分级、仓库拓扑、迁移弃用、审计证据、联邦治理和行业对标矩阵的完整说明文档。 - [Dataset First 数据服务](./references/dataset-first-data-service.md) - 数据服务模板。 - [代码组织](./references/code-organization.md) - 模块化、命名、注释、格式化、文档和工具。 - [开发经验](./references/development-experience.md) - 编码规范、架构原则和常见基础设施经验。 diff --git a/docs/references/README.md b/docs/references/README.md index 1caf54e..ca9aaad 100644 --- a/docs/references/README.md +++ b/docs/references/README.md @@ -14,7 +14,7 @@ | [项目架构模板](project-architecture-template.md) | 常见项目结构、架构设计原则、最低门禁和检查清单。 | | [通用 Python 项目骨架](python-project-skeleton.md) | Python 应用、服务、脚本工具和库项目的通用骨架。 | | [企业级 Monorepo / Multi-repo 架构模板](enterprise-architecture-template.md) | 中大型工程组织、平台工程和多产品线参考模型。 | -| [现代企业数字化平台架构](modern-enterprise-architecture-template.md) | 面向领域产品网络、微服务容器 GitOps 边界、AI 原生能力、微调治理、AI 事件响应、内部平台、数据产品、供应链安全、FinOps 成本治理、版本治理、版本控制面、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线发布证据、基线兼容性总账、基线采纳总账、基线支持矩阵、基线发布列车、基线符合性声明、外部标准版本锁定、可执行标准、执行控制面、门禁决策、RACI 决策权、可靠性分级、仓库拓扑、迁移弃用、审计证据、联邦治理和行业对标矩阵的完整说明文档。 | +| [现代企业数字化平台架构](modern-enterprise-architecture-template.md) | 面向领域产品网络、微服务容器 GitOps 边界、AI 原生能力、微调治理、AI 事件响应、内部平台、数据产品、供应链安全、FinOps 成本治理、版本治理、版本控制面、基线运营韧性与重要业务服务影响容忍总账、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线发布证据、基线兼容性总账、基线采纳总账、基线支持矩阵、基线发布列车、基线符合性声明、外部标准版本锁定、可执行标准、执行控制面、门禁决策、RACI 决策权、可靠性分级、仓库拓扑、迁移弃用、审计证据、联邦治理和行业对标矩阵的完整说明文档。 | | [Dataset First 数据服务结构](dataset-first-data-service.md) | 以 dataset、contract、registry、runtime 为核心的数据服务模板。 | | [代码组织](code-organization.md) | 模块化、命名、注释、格式化、文档和工具。 | | [开发经验](development-experience.md) | 变量名、文件结构、编码规范、架构原则和常见基础设施经验。 | @@ -33,7 +33,7 @@ - [项目架构模板](project-architecture-template.md) - 常见项目结构、架构设计原则、最低门禁和检查清单。 - [通用 Python 项目骨架](python-project-skeleton.md) - Python 应用、服务、脚本工具和库项目的通用骨架。 - [企业级 Monorepo / Multi-repo 架构模板](enterprise-architecture-template.md) - 中大型工程组织、平台工程和多产品线参考模型。 -- [现代企业数字化平台架构](modern-enterprise-architecture-template.md) - 面向领域产品网络、微服务容器 GitOps 边界、AI 原生能力、微调治理、AI 事件响应、内部平台、数据产品、供应链安全、FinOps 成本治理、版本治理、版本控制面、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线发布证据、基线兼容性总账、基线采纳总账、基线支持矩阵、基线发布列车、基线符合性声明、外部标准版本锁定、可执行标准、执行控制面、门禁决策、RACI 决策权、可靠性分级、仓库拓扑、迁移弃用、审计证据、联邦治理和行业对标矩阵的完整说明文档。 +- [现代企业数字化平台架构](modern-enterprise-architecture-template.md) - 面向领域产品网络、微服务容器 GitOps 边界、AI 原生能力、微调治理、AI 事件响应、内部平台、数据产品、供应链安全、FinOps 成本治理、版本治理、版本控制面、基线运营韧性与重要业务服务影响容忍总账、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线发布证据、基线兼容性总账、基线采纳总账、基线支持矩阵、基线发布列车、基线符合性声明、外部标准版本锁定、可执行标准、执行控制面、门禁决策、RACI 决策权、可靠性分级、仓库拓扑、迁移弃用、审计证据、联邦治理和行业对标矩阵的完整说明文档。 - [Dataset First 数据服务结构](dataset-first-data-service.md) - 以 dataset、contract、registry、runtime 为核心的数据服务模板。 - [代码组织](code-organization.md) - 模块化、命名、注释、格式化、文档和工具。 - [开发经验](development-experience.md) - 变量名、文件结构、编码规范、架构原则和常见基础设施经验。 diff --git a/docs/references/modern-enterprise-architecture-template.md b/docs/references/modern-enterprise-architecture-template.md index 94cc6cb..c1d181d 100644 --- a/docs/references/modern-enterprise-architecture-template.md +++ b/docs/references/modern-enterprise-architecture-template.md @@ -1,10 +1,10 @@ # 现代企业数字化平台架构说明文档 -**文档版本**：V2.67 +**文档版本**：V2.68 **适用对象**：企业管理层、产品负责人、架构师、研发负责人、数据负责人、平台团队、安全合规团队 **适用范围**：中大型企业数字化平台建设、业务系统重构、平台工程建设、数据产品化、组织协同机制设计 **文档定位**：本文件用于说明现代企业数字化平台的总体架构、核心组成、团队职责、治理机制、技术原则和落地路径。 -**专项修订**：V2.67 在 V2.66 基础上新增基线第三方与关键供应商风险总账，把云平台、SaaS、ICT 服务商、模型供应商、数据处理方、外包方和关键子处理方的分级、合同控制、审计权、保证报告、数据类别、集中度、退出计划、替代路径、连续性和失效阻断绑定成可复核证据，避免“供应商已采购，但关键依赖、合同义务和退出能力不可证明”的企业落地断层。 +**专项修订**：V2.68 在 V2.67 基础上新增基线运营韧性与重要业务服务影响容忍总账，把重要业务服务、影响容忍、BIA、依赖映射、严重但合理场景测试、恢复能力、人工替代、沟通计划、第三方依赖、开放韧性缺口和超限升级绑定成可复核证据，避免“有灾备、有 SLO、有供应商台账，但不能证明关键业务服务在真实冲击下仍处于可承受影响范围内”的企业落地断层。 --- @@ -53,7 +53,7 @@ | 版本 | 状态 | 说明 | | ---- | ---- | ---- | -| `V2.67` | `Baseline Candidate` | 用作可执行企业标准起点；包含机器可读版本清单、控制项覆盖清单、100 组 starter kit schema/example、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线符合性声明、基线发布列车、基线支持矩阵、基线采纳总账、基线兼容性总账、基线发布证据包、版本控制面、外部标准版本锁定、企业执行控制面、合规等级、门禁决策、证据新鲜度、例外放行、break-glass、季度复核、仓库变更控制、远端保护漂移整改、控制证据映射、审计导出清单、审计导出自动化、控制评估报告、架构基线变更记录、架构决策记录、AI 证据账本、微调运行证据、AI 事件响应 playbook、OSCAL 交换映射、POA&M 整改计划、企业架构风险登记、审计导出门禁、审计导出完整性清单、审计导出 provenance statement、审计导出签名策略、审计导出签名验签回执、严格 schema 模式、访问复核、密钥轮换、漏洞修复、事故复盘、可靠性、数据治理、AI 运行、GitOps 安全、供应链证据链一致性和自动化校验入口 | +| `V2.68` | `Baseline Candidate` | 用作可执行企业标准起点；包含机器可读版本清单、控制项覆盖清单、101 组 starter kit schema/example、基线运营韧性与重要业务服务影响容忍总账、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线符合性声明、基线发布列车、基线支持矩阵、基线采纳总账、基线兼容性总账、基线发布证据包、版本控制面、外部标准版本锁定、企业执行控制面、合规等级、门禁决策、证据新鲜度、例外放行、break-glass、季度复核、仓库变更控制、远端保护漂移整改、控制证据映射、审计导出清单、审计导出自动化、控制评估报告、架构基线变更记录、架构决策记录、AI 证据账本、微调运行证据、AI 事件响应 playbook、OSCAL 交换映射、POA&M 整改计划、企业架构风险登记、审计导出门禁、审计导出完整性清单、审计导出 provenance statement、审计导出签名策略、审计导出签名验签回执、严格 schema 模式、访问复核、密钥轮换、漏洞修复、事故复盘、可靠性、数据治理、AI 运行、GitOps 安全、供应链证据链一致性和自动化校验入口 | ### 0.3 变更分级 @@ -152,6 +152,8 @@ V2.66 起，企业级基线还必须形成 `baseline-data-residency-transfer-led V2.67 起，企业级基线还必须形成 `baseline-third-party-risk-ledger.yaml`。它不是替代采购台账、供应商清单或合同归档，而是证明关键供应商、ICT 服务商、SaaS、云平台、模型供应商、外包方和子处理方的关键性、服务范围、数据类别、合同控制、DPA / SLA、审计权、保证报告、集中度、退出计划、替代路径、连续性、事件状态和开放发现项均已进入统一阻断证据。 +V2.68 起，企业级基线还必须形成 `baseline-operational-resilience-ledger.yaml`。它不是替代 SLO、RTO/RPO、恢复演练或第三方风险总账，而是证明企业已经识别重要业务服务，定义影响容忍，完成业务影响分析和端到端依赖映射，并通过严重但合理场景测试证明服务、数据、AI、平台、人员、供应商和沟通机制能把实际影响控制在容忍边界内。 + 推荐发布检查： ```bash @@ -212,6 +214,7 @@ git diff --check | 共享责任与继承控制 | `baseline-control-inheritance-ledger.yaml` 必须声明控制来源、控制承担方、继承方、共享责任、消费者义务、继承条件、证据引用、继承有效期、失效条件和审计映射 | 平台公共控制被口头继承、领域团队误以为平台全包、云/第三方责任未映射、消费者配置义务缺失、继承证据过期后仍放行 | | 数据驻留与跨境处理 | `baseline-data-residency-transfer-ledger.yaml` 必须声明数据类别、监管区域、允许区域、实际存储/处理/备份/日志/向量索引/模型供应商区域、传输机制、子处理方、补充保护措施、删除传播和区域漂移证据 | DPIA 通过但实际数据流向未知、日志或备份落到未批准区域、RAG 索引跨区、模型供应商处理位置不明、传输机制或补充措施缺失仍放行 | | 第三方与关键供应商风险 | `baseline-third-party-risk-ledger.yaml` 必须声明供应商分级、服务范围、受影响资产、数据类别、合同控制、DPA/SLA、审计权、保证报告、集中度、退出计划、替代路径、连续性和事件状态 | 关键 SaaS、云、模型供应商、外包方或子处理方未分级、合同和审计权缺失、保证报告过期、集中度超阈值、退出计划不可执行或供应商事故未进入基线阻断 | +| 运营韧性与重要业务服务 | `baseline-operational-resilience-ledger.yaml` 必须声明重要业务服务、影响容忍、BIA、端到端依赖、严重但合理场景、场景测试、恢复能力、人工替代、沟通计划、第三方依赖、超限升级和开放韧性缺口 | 只按系统组件写 RTO/RPO，没有业务服务影响容忍；重要业务服务依赖未知；场景测试未覆盖云、数据、AI、供应商和人员失效；超出影响容忍仍可晋级 | | 发布列车 | `baseline-release-train.yaml` 必须绑定候选窗口、冻结窗口、晋级日期、通知节奏、黑窗、紧急补丁和依赖证据 | 临时发版、绕过冻结窗口、无通知升级、黑窗期间发布非紧急变更 | | 通知确认 | `baseline-notification-ledger.yaml` 必须绑定通知对象、渠道、送达、确认、异议、例外和冻结前完成状态 | 冻结前关键消费者未确认、通知失败无补发、异议未关闭或无风险接受 | | 回滚验证 | `baseline-rollback-verification.yaml` 必须绑定上一基线、回滚目标、Git/tag/GitOps revision、审计导出恢复、烟测结果和验证时效 | 只写回滚计划、上一基线不可检出、GitOps revision 不存在、审计导出无法恢复或验证过期 | @@ -334,8 +337,9 @@ git diff --check | `V2.65` | 2026-06-02 | Minor | 补齐基线共享责任与继承控制总账、继承控制、共享责任、消费者义务、失效条件和审计映射 | | `V2.66` | 2026-06-02 | Minor | 补齐基线数据驻留与跨境处理总账、处理位置、传输机制、子处理方、补充保护措施和区域漂移阻断 | | `V2.67` | 2026-06-02 | Minor | 补齐基线第三方与关键供应商风险总账、供应商分级、合同控制、审计权、保证报告、集中度、退出计划和连续性阻断 | +| `V2.68` | 2026-06-02 | Minor | 补齐基线运营韧性与重要业务服务影响容忍总账、BIA、端到端依赖、场景测试、恢复能力、沟通计划和超限升级阻断 | -### 0.8 V2.67 可执行企业标准路线图 +### 0.8 V2.68 可执行企业标准路线图 V2.0 已将 V1.9 的文档化基线转化为第一批可执行资产。V2.1 继续把字段约束、示例一致性和远程 CI 门禁补强为可执行口径。V2.2 把主文档最小验证包中的 API、事件、AI 工具、RAG、微调、GitOps、catalog 和 scorecard 纳入 schema/example 校验。V2.3 继续把发布证据、供应链证明、治理例外、兼容性报告和 GitOps 漂移报告纳入机器可校验基线。V2.4 把当前版本、发布状态、starter kit pair 清单、pair 数量和索引同步要求固化到机器可读版本清单中。V2.5 把可靠性等级、RTO/RPO、数据保留与访问审计、AI 预算与降级、GitOps 运行安全和供应链 source/vulnerability/scorecard 证据提升为 starter kit 强制字段。V2.6 增加控制项覆盖清单，把关键企业控制要求映射到 schema 字段、example 和 checker 规则，避免“文档说有控制、机器无法证明控制存在”。V2.7 启用严格 schema 模式，要求 starter kit 所有对象节点声明 `additionalProperties=false`，并由 checker 阻断未知字段。V2.8 补齐扩展字段策略、Feature Flag / Kill Switch、AI 威胁模型、运行血缘和平台产品指标。V2.9 继续把隐私工程、租户边界、恢复演练、Policy as Code 测试、GenAI 可观测性和 FinOps 成本分摊补成可执行证据。V2.10 把访问复核、密钥轮换、漏洞修复、事故复盘和证据新鲜度纳入控制目录，避免生产安全运营只停留在“有制度、有人看、事后补”的弱证据状态。V2.11 把每个控制项到证据路径、状态、新鲜度和审计导出包的关系纳入总账，避免审计时只能逐段翻文档、不能一键证明控制覆盖。V2.12 增加审计导出自动化命令，把版本、控制目录、证据映射、导出清单、脚本和关键制品哈希生成可交付审计包。V2.13 增加控制评估报告，把证据包进一步闭环到控制结果、发现项、整改、剩余风险和签署状态。V2.14 增加架构基线变更记录，把基线升级的影响分析、审批、验证命令和回滚路径纳入可执行证据。V2.15 增加 OSCAL 交换映射和导出摘要，把内部控制证据映射到 catalog、component-definition、system-security-plan、assessment-results 和 POA&M 视图。V2.16 增加审计导出门禁，把导出包生成、JSON/Markdown/OSCAL 输出和关键不变量校验纳入 `make test`。V2.17 增加审计导出完整性清单，把生成物 SHA-256、源制品哈希和防篡改校验纳入审计包。V2.18 增加审计导出 provenance statement，把生成物 subject、构建定义、源码提交和源证据依赖纳入可追溯证明。V2.19 增加审计导出签名策略，把 provenance payload 摘要、签名方式、验签命令和外部签名交接纳入门禁。V2.20 增加审计导出签名验签回执，把外部签名完成后的 bundle 摘要、证书身份、OIDC issuer、透明日志和验签结果纳入证据链。V2.21 增加 POA&M 整改计划，把控制发现项、责任人、整改行动、里程碑、证据、签署和 OSCAL POA&M 输出纳入闭环。V2.22 增加企业架构风险登记，把风险、控制项、POA&M、缓解行动、残余风险、复审和审计导出风险视图纳入闭环。V2.23 增加架构决策记录，把 ADR 上下文、备选方案、取舍、决策、关联控制项、风险、POA&M、复审和基线变更绑定纳入闭环。V2.24 增加 AI 事件响应 playbook，把幻觉爆发、工具循环、RAG 索引污染、供应商中断、成本异常、检测、遏制、降级、回滚和复盘纳入闭环。V2.25 增加 AI 证据账本，把模型、Prompt、RAG、工具、评估、威胁模型、观测、事件响应、数据使用、审批、留存和复审纳入 AI 产品级证据闭环。V2.26 增加微调运行证据，把训练数据授权、数据准备、实验追踪、评估、模型登记、审批、灰度发布、监控和退役纳入 AI 微调审计闭环。V2.27 增加仓库变更控制，把 CODEOWNERS、受保护分支、PR 审查、必需检查、签名提交、禁止直推、发布 tag 保护、远端保护状态验证、漂移整改、POA&M 和风险登记纳入版本基线保护。V2.28 增加企业执行控制面，把合规等级、门禁决策、证据新鲜度、例外放行、break-glass、季度复核和退出标准变成统一执行协议。V2.29 增加外部标准版本锁定与升级策略，避免把未稳定标准、实验性语义约定或外部规范变更直接带入生产基线。V2.30 增加版本控制面，把基线 ID、发布通道、tag、源 commit、兼容窗口、冻结策略和回滚入口固化为发布不变量。V2.31 增加基线发布证据包，把晋级决策、冻结复核、漂移检查、不可变引用、审计摘要和回滚验证固化为发布证据。V2.32 增加基线兼容性总账，把消费者影响、迁移窗口、弃用截止、例外状态和未迁移风险固化为版本门禁证据。V2.33 增加基线采纳总账，把领域、平台、数据、AI 和生产资产对基线的采用状态、逾期治理和例外整改固化为组织级版本证据。V2.34 增加基线支持矩阵，把旧基线支持状态、维护窗口、安全补丁窗口、EOL 和最低可接受基线固化为版本生命周期门禁。V2.35 增加基线发布列车，把候选窗口、冻结窗口、晋级日期、通知节奏、黑窗和紧急补丁入口固化为版本发布节奏门禁。V2.36 增加资产级基线符合性声明，把资产自声明、证据绑定、例外、复核和采纳总账回写固化为资产级版本证据。V2.37 增加基线制品清单，把源文档、schema、示例、控制项、证据模板、脚本、生成物和外部引用固化为可摘要、可签名、可复现的版本物料清单。V2.38 增加基线验证环境锁定，把校验命令、工具版本、runner 镜像、策略包、schema validator 和验签工具固化为可复现门禁。V2.39 增加基线通知确认总账，把发布列车中的通知计划升级为可审计的送达、确认、异议和例外证据。V2.40 增加基线回滚验证记录，把上一基线检出、GitOps revision 恢复、审计导出恢复和烟测结果升级为独立证据。V2.41 增加基线例外总账，把分散例外、到期、风险接受、POA&M 和冻结阻断收敛为统一审计证据。V2.42 增加基线就绪评分卡，把硬门禁、评分维度、证据摘要和 baseline/frozen 判定统一到最终准入证据。V2.43 增加基线生命周期状态机，把允许迁移、禁止迁移、状态回写、迁移审批和回滚入口统一到状态转换证据。V2.44 增加基线状态对账报告，把状态机、版本控制面、发布证据、支持矩阵、采纳总账和审计导出的状态字段统一对账。V2.45 增加基线 EOL 退役证书，把旧基线生产引用清零、迁移关闭、例外清零、审计归档和新采用阻断固化为退役证据。V2.46 增加基线会审裁决记录，把会审范围、证据核验、投票签署、反对意见、条件动作和最终裁决固化为独立会审证据。V2.47 增加基线证据追踪图，把跨证据依赖、摘要一致性、下游消费和断链阻断固化为可校验证据图。V2.48 增加基线门禁执行报告，把执行命令、策略包、输入摘要、规则结果、退出码和重放证明固化为 release gate 的可审计运行证据。V2.49 增加基线发布事务回执，把提交、签名 tag、远端 ref、push 回执、保护规则和发布后验证固化为版本发布事实。V2.50 增加基线撤销与隔离记录，把坏基线的隔离、撤销、通知、恢复目标、风险接受和审计归档固化为版本事故控制证据。V2.51 增加基线准入执行策略，把最低基线、撤销/EOL、资产声明、例外到期和运行入口阻断固化为统一策略。V2.52 增加基线消费锁定文件，把资产消费端的基线版本、commit、tag 和关键证据摘要固化为不可变锁。V2.53 增加基线迁移工作单，把目标资产迁移到新基线的步骤、依赖、GitOps 变更、消费锁更新、验收证据和回滚动作固化为执行工单。V2.54 增加基线迁移执行回执，把实际命令、actor、before/after 摘要、GitOps revision、catalog/lock diff、验收日志和回滚验证固化为执行事实。V2.55 增加本地私有制品边界，把内部 starter kit、生成 JSON、校验脚本、禁推原因、摘要留存和远端排除固化为受控证据。V2.56 增加审计导出排除清单，把原文白名单、摘要留存项、强制排除项、签名 payload 排除和导出后验证固化为受控证据。V2.57 增加私有制品托管交接清单，把私有制品库引用、访问控制、留存期限、取回命令、恢复验证和摘要一致性固化为受控证据。V2.58 增加干净环境基线重建回执，把远端 checkout、私有制品取回、摘要校验、审计导出重建、门禁重放和禁推资产复核固化为受控证据。V2.59 增加基线证据不可变归档回执，把关键证据的 WORM 留存、legal hold、访问日志、防删除、归档摘要和恢复演练固化为受控证据。V2.60 增加基线长期验签回执，把签名 bundle、证书链、OIDC 身份、透明日志、signed entry timestamp、RFC3161 TSA、撤销状态和验证工具版本固化为长期验签证据。V2.61 增加基线运行时准入回执，把 Kubernetes admission、策略引擎、镜像 digest、签名、provenance、SBOM、消费锁和拒绝样例固化为生产运行入口证据。V2.62 增加基线运行时准入决策总账，把 Kubernetes audit、admission webhook、PolicyReport、OPA decision log、actor、requestUID、allow/deny 和原始日志摘要固化为逐条运行决策证据。V2.63 增加基线连续控制监测总账，把控制项指标、告警、漂移、处置、证据新鲜度和控制运行 SLO 固化为持续监测证据。后续 `V2.x` 迭代应继续补充示例仓库，并把平台、catalog、GitOps、runtime admission、audit logging、continuous control monitoring 和审计系统连接起来。 @@ -347,7 +351,9 @@ V2.66 进一步增加基线数据驻留与跨境处理总账，把数据产品 V2.67 进一步增加基线第三方与关键供应商风险总账，把云平台、SaaS、ICT 服务商、模型供应商、外包方、数据处理方和关键子处理方纳入统一风险证据，避免采购、法务、隐私、安全和架构各自有台账却无法证明关键依赖可审计、可降级、可退出。 -V2.67 起点包括： +V2.68 进一步增加基线运营韧性与重要业务服务影响容忍总账，把重要业务服务、影响容忍、BIA、端到端依赖、严重但合理场景测试、恢复能力、人工替代、沟通计划和超限升级纳入统一证据，避免只按系统组件证明 RTO/RPO，却无法证明客户、市场、监管和关键业务结果仍处于可承受影响范围内。 + +V2.68 起点包括： 1. 真相源字段矩阵：明确 `domain.yaml`、`service.yaml`、`ai-product.yaml`、`data-product.yaml`、catalog、GitOps 和 runtime 的字段权威。 2. 契约模板：提供服务、领域、数据产品、AI 产品、Agent 工具、RAG、微调、GitOps 和生产就绪模板。 @@ -357,7 +363,7 @@ V2.67 起点包括： 6. 可靠性分级：补齐 Tier-1 / Tier-2 / Tier-3、RTO、RPO、灾备演练、错误预算和 on-call 升级路径。 7. 迁移与弃用：定义旧系统绞杀迁移、API 版本弃用、数据产品兼容、AI 模型退役和平台能力下线流程。 8. 验证包：提供 `make test`、schema 校验、示例仓库和审计证据清单，证明标准可以落地执行。 -9. Starter Kit：提供 `内部 starter kit` 下的 100 组 schema/example、嵌套字段校验、格式校验、可靠性、数据治理、AI 运行、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线符合性声明、基线发布列车、基线支持矩阵、基线采纳总账、基线兼容性总账、基线发布证据包、版本控制面、外部标准版本锁定、企业执行控制面、合规等级、门禁决策、仓库变更控制、远端保护漂移整改、AI 证据账本、微调运行证据、AI 事件响应 playbook、GitOps 安全、架构决策记录、风险登记、证据链验真字段和示例跨文件一致性检查。 +9. Starter Kit：提供 `内部 starter kit` 下的 101 组 schema/example、嵌套字段校验、格式校验、可靠性、数据治理、AI 运行、基线运营韧性与重要业务服务影响容忍总账、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线符合性声明、基线发布列车、基线支持矩阵、基线采纳总账、基线兼容性总账、基线发布证据包、版本控制面、外部标准版本锁定、企业执行控制面、合规等级、门禁决策、仓库变更控制、远端保护漂移整改、AI 证据账本、微调运行证据、AI 事件响应 playbook、GitOps 安全、架构决策记录、风险登记、证据链验真字段和示例跨文件一致性检查。 10. 版本清单：提供 `内部版本清单`，让当前版本、发布状态、pair 清单和索引同步进入 CI 校验。 11. 控制项覆盖清单：提供 `内部控制项覆盖清单`，让关键控制项到 schema、example 和 checker 的证据链进入 CI 校验。 12. 严格 schema 模式：starter kit 的对象 schema 必须声明 `additionalProperties=false`，新增字段必须先进入契约、示例和 checker 证据链。 @@ -437,6 +443,7 @@ V2.67 起点包括： 86. 基线共享责任与继承控制总账：新增 `baseline-control-inheritance-ledger.yaml`，把 inherited、shared、provider-managed、domain-owned 和 consumer-owned 控制责任、继承条件、消费者义务、证据引用和失效阻断纳入可执行治理证据。 87. 基线数据驻留与跨境处理总账：新增 `baseline-data-residency-transfer-ledger.yaml`，把数据类别、监管区域、实际处理位置、跨境传输机制、子处理方、补充保护措施、删除传播和区域漂移阻断纳入可执行治理证据。 88. 基线第三方与关键供应商风险总账：新增 `baseline-third-party-risk-ledger.yaml`，把关键供应商分级、服务范围、合同控制、DPA/SLA、审计权、保证报告、数据类别、集中度、退出计划、替代路径、连续性和供应商事件阻断纳入可执行治理证据。 +89. 基线运营韧性与重要业务服务影响容忍总账：新增 `baseline-operational-resilience-ledger.yaml`，把重要业务服务、影响容忍、BIA、端到端依赖、严重但合理场景测试、恢复能力、人工替代、沟通计划、第三方依赖、韧性缺口和超限升级纳入可执行治理证据。 --- @@ -3549,7 +3556,7 @@ runbook: rollback: docs/rollback.md ``` -V2.67 starter kit 还提供以下可执行契约模板： +V2.68 starter kit 还提供以下可执行契约模板： 1. `api-contract.yaml`：API producer、consumer、auth、版本和兼容策略。 2. `event-contract.yaml`：事件 topic、schema、幂等键、投递语义和消费者。 @@ -3640,6 +3647,7 @@ V2.67 starter kit 还提供以下可执行契约模板： 87. `baseline-control-inheritance-ledger.yaml`：基线共享责任与继承控制总账，覆盖公共控制、继承控制、共享责任、消费者义务、责任边界、继承条件、证据来源、有效期、失效条件和审计映射。 88. `baseline-data-residency-transfer-ledger.yaml`：基线数据驻留与跨境处理总账，覆盖数据类别、监管区域、允许区域、实际存储/处理/备份/日志/向量索引/模型供应商区域、传输机制、子处理方、补充保护措施、删除传播和区域漂移阻断。 89. `baseline-third-party-risk-ledger.yaml`：基线第三方与关键供应商风险总账，覆盖关键供应商分级、服务范围、受影响资产、数据类别、合同控制、DPA/SLA、审计权、保证报告、集中度、退出计划、替代路径、连续性、供应商事件和失效阻断。 +90. `baseline-operational-resilience-ledger.yaml`：基线运营韧性与重要业务服务影响容忍总账，覆盖重要业务服务、影响容忍、BIA、端到端依赖、严重但合理场景、恢复演练、人工替代、沟通计划、第三方依赖、超限升级和韧性缺口阻断。 ### 10.10.3 自动化门禁映射 @@ -3675,6 +3683,7 @@ V2.67 starter kit 还提供以下可执行契约模板： | 基线共享责任与继承控制 | 公共控制、继承控制、共享责任、消费者义务、控制承担方、继承方、证据引用、有效期、失效条件和例外闭环 | `baseline-control-inheritance-ledger.yaml`、control plane、control evidence map、baseline conformance claim、cloud provider attestation、third-party assurance report、POA&M | 公共控制被口头继承、消费者义务未配置、云/第三方责任无人复核、继承证据过期、失效控制仍被资产声明采用 | | 基线数据驻留与跨境处理 | 数据类别、监管区域、存储/处理/备份/日志/向量索引/模型供应商区域、传输机制、子处理方、补充保护措施和删除传播 | `baseline-data-residency-transfer-ledger.yaml`、privacy impact assessment、data product contract、AI evidence ledger、RAG contract、subprocessor register、transfer impact assessment | 数据实际区域不明、备份或日志跨区、RAG 索引跨境、模型供应商处理位置未批准、传输机制缺失、补充措施失效仍放行 | | 基线第三方与关键供应商风险 | 供应商分级、服务范围、受影响资产、合同控制、DPA/SLA、审计权、保证报告、数据类别、集中度、退出计划、替代路径、连续性和供应商事件 | `baseline-third-party-risk-ledger.yaml`、supplier register、contract register、DPA/SLA、third-party assurance report、control inheritance ledger、data residency ledger、AI evidence ledger、risk register、POA&M | 关键供应商未批准、合同控制或审计权缺失、保证报告过期、集中度超阈值、退出计划不可执行、供应商事故或开放发现项未阻断 | +| 基线运营韧性与重要业务服务 | 重要业务服务、影响容忍、BIA、端到端依赖、严重但合理场景、场景测试、恢复能力、人工替代、沟通计划、第三方依赖和超限升级 | `baseline-operational-resilience-ledger.yaml`、BIA、service catalog、SLO/RTO/RPO、recovery drills、third-party risk ledger、data residency ledger、AI evidence ledger、incident playbook、communications plan、POA&M | 重要业务服务未识别、影响容忍缺失、依赖链不完整、场景测试失败、恢复结果超出容忍、供应商或 AI 依赖未纳入测试、韧性缺口无整改或风险接受 | | 基线证据追踪 | 证据节点、依赖边、摘要一致性、下游消费和断链阻断 | `baseline-evidence-trace-graph.yaml`、发布证据、状态对账、审计导出、会审裁决 | 必需节点缺失、摘要不一致、依赖断链、下游引用旧证据或存在未消费关键证据 | | 基线门禁执行 | 门禁命令、runner 镜像、策略包、schema 包、输入摘要、逐条规则结果、退出码、重放结果和最终决策 | `baseline-gate-execution-report.yaml`、`release-gate-decision.yaml`、`control-plane.yaml`、`baseline-verification-lock.yaml` | 规则未执行、输入摘要不一致、策略包漂移、重放失败、退出码异常或最终决策与执行结果不一致 | | 基线兼容 | 消费者影响、迁移窗口、弃用截止、未迁移对象和例外闭环 | `baseline-compatibility-ledger.yaml`、API/Event/Data/AI 兼容性报告、catalog | breaking change 无消费者清单、迁移到期仍未完成、例外无到期或 POA&M | @@ -3753,7 +3762,7 @@ V2.67 starter kit 还提供以下可执行契约模板： 可执行企业标准不能只证明“字段存在”，还要证明关键控制项确实被 schema、example 和 checker 覆盖。 -V2.6 起，控制项覆盖清单由以下文件维护；V2.7 起，严格 schema 控制项进入同一清单；V2.8 起，扩展策略、发布开关、AI 威胁模型、运行血缘和平台产品指标也进入同一清单；V2.9 起，隐私影响评估、租户隔离、恢复演练、策略测试、GenAI 观测和成本分摊证据也进入同一清单；V2.10 起，访问复核、密钥轮换、漏洞修复、事故复盘和证据新鲜度也进入同一清单；V2.11 起，控制证据映射和审计导出清单也进入同一清单；V2.12 起，审计导出自动化命令也进入同一清单；V2.13 起，控制评估报告也进入同一清单；V2.14 起，架构基线变更记录也进入同一清单；V2.15 起，OSCAL 交换映射也进入同一清单；V2.16 起，审计导出门禁也进入同一清单；V2.17 起，审计导出完整性清单也进入同一清单；V2.18 起，审计导出 provenance statement 也进入同一清单；V2.19 起，审计导出签名策略也进入同一清单；V2.20 起，审计导出签名验签回执也进入同一清单；V2.21 起，POA&M 整改计划也进入同一清单；V2.22 起，企业架构风险登记也进入同一清单；V2.23 起，架构决策记录也进入同一清单；V2.24 起，AI 事件响应 playbook 也进入同一清单；V2.25 起，AI 证据账本也进入同一清单；V2.26 起，微调运行证据也进入同一清单；V2.27 起，仓库变更控制和远端保护漂移整改也进入同一清单；V2.28 起，合规等级、执行控制面和门禁决策也进入同一清单；V2.29 起，外部标准版本锁定和升级门禁也进入同一清单；V2.30 起，版本控制面和基线发布不变量也进入同一清单；V2.31 起，基线发布证据包、晋级决策、冻结复核和版本漂移复核也进入同一清单；V2.32 起，基线兼容性总账、消费者迁移和未迁移风险闭环也进入同一清单；V2.33 起，基线采纳总账、组织采纳状态、逾期整改和例外闭环也进入同一清单；V2.34 起，基线支持矩阵、维护窗口、安全补丁、EOL 和最低可接受基线也进入同一清单；V2.35 起，基线发布列车、候选窗口、冻结窗口、晋级日期、通知节奏、黑窗和紧急补丁也进入同一清单；V2.36 起，资产级基线符合性声明、资产自声明、证据绑定、例外和采纳总账回写也进入同一清单；V2.37 起，基线制品清单、源制品摘要、必需性、签名状态、导出关系和未登记制品阻断也进入同一清单；V2.38 起，基线验证环境锁定、校验命令、runner 镜像、工具版本、策略包、validator 和验签工具也进入同一清单；V2.39 起，基线通知确认总账、通知对象、送达回执、影响确认、异议、例外和冻结前完成状态也进入同一清单；V2.40 起，基线回滚验证记录、上一基线检出、GitOps revision 恢复、审计导出恢复、烟测结果和验证时效也进入同一清单；V2.41 起，基线例外总账、例外来源聚合、风险接受、POA&M、过期阻断和冻结准入也进入同一清单；V2.42 起，基线就绪评分卡、硬门禁、评分维度、证据绑定和最终准入判定也进入同一清单；V2.43 起，基线生命周期状态机、允许迁移、禁止迁移、迁移审批、状态回写和迁移审计证据也进入同一清单；V2.44 起，基线状态对账报告、跨账本状态一致性、状态漂移阻断和审计导出状态回写也进入同一清单；V2.45 起，基线 EOL 退役证书、生产引用清零、迁移关闭、例外清零和新采用阻断也进入同一清单；V2.46 起，基线会审裁决记录、证据核验、投票签署、反对意见、条件动作和最终裁决也进入同一清单；V2.47 起，基线证据追踪图、证据节点依赖、摘要一致性、下游消费和断链阻断也进入同一清单；V2.48 起，基线门禁执行报告、门禁命令、runner、策略包、schema 包、输入摘要、规则结果、退出码和重放结果也进入同一清单；V2.49 起，基线发布事务回执、提交前检查、干净工作树、签名 tag、远端 ref、push 回执、保护规则和发布后验证也进入同一清单；V2.50 起，基线撤销与隔离记录、撤销触发、隔离范围、受影响引用、通知确认、恢复目标、风险接受和审计归档也进入同一清单；V2.51 起，基线准入执行策略、最低基线阻断、撤销/EOL 阻断、资产声明校验和例外到期阻断也进入同一清单；V2.52 起，基线消费锁定文件、不可变摘要锁定、浮动版本阻断、锁文件签署和采纳总账回写也进入同一清单；V2.53 起，基线迁移工作单、逐资产迁移步骤、消费锁更新、GitOps 变更、验收证据和回滚动作也进入同一清单；V2.54 起，基线迁移执行回执、实际命令、执行环境、before/after 摘要、GitOps revision、catalog/lock diff、验收日志和回滚验证也进入同一清单；V2.55 起，本地私有制品边界、禁推资产分类、摘要留存、允许用途、远端排除和审计留存也进入同一清单；V2.56 起，审计导出排除清单、原文白名单、摘要留存、签名 payload 排除和导出后验证也进入同一清单；V2.57 起，私有制品托管交接清单、私有制品库引用、访问控制、留存期限、取回命令、恢复验证和摘要一致性也进入同一清单；V2.58 起，干净环境基线重建回执、远端 checkout、私有制品取回、摘要校验、审计导出重建、门禁重放和禁推资产复核也进入同一清单；V2.59 起，基线证据不可变归档回执、归档对象、WORM/对象锁、legal hold、访问日志、删除保护、留存到期和恢复演练也进入同一清单；V2.60 起，基线长期验签回执、证书链、透明日志、signed entry timestamp、RFC3161 TSA、撤销状态、工具版本和归档引用也进入同一清单；V2.61 起，基线运行时准入回执、admission controller、策略引擎、策略 bundle、镜像 digest、签名/provenance/SBOM、消费锁、撤销/EOL 阻断和拒绝样例也进入同一清单；V2.62 起，基线运行时准入决策总账、requestUID、allow/deny、策略规则和原始日志摘要也进入同一清单；V2.63 起，基线连续控制监测总账、关键控制指标、告警、漂移处置和证据新鲜度也进入同一清单；V2.64 起，基线独立控制保证抽样总账、控制总体、样本、设计有效性、运行有效性和 OSCAL Assessment Results 也进入同一清单；V2.65 起，基线共享责任与继承控制总账、公共控制、继承控制、消费者义务和失效阻断也进入同一清单；V2.66 起，基线数据驻留与跨境处理总账、实际处理区域、传输机制、子处理方、补充措施和区域漂移阻断也进入同一清单；V2.67 起，基线第三方与关键供应商风险总账、供应商分级、合同控制、审计权、保证报告、集中度、退出计划和连续性阻断也进入同一清单： +V2.6 起，控制项覆盖清单由以下文件维护；V2.7 起，严格 schema 控制项进入同一清单；V2.8 起，扩展策略、发布开关、AI 威胁模型、运行血缘和平台产品指标也进入同一清单；V2.9 起，隐私影响评估、租户隔离、恢复演练、策略测试、GenAI 观测和成本分摊证据也进入同一清单；V2.10 起，访问复核、密钥轮换、漏洞修复、事故复盘和证据新鲜度也进入同一清单；V2.11 起，控制证据映射和审计导出清单也进入同一清单；V2.12 起，审计导出自动化命令也进入同一清单；V2.13 起，控制评估报告也进入同一清单；V2.14 起，架构基线变更记录也进入同一清单；V2.15 起，OSCAL 交换映射也进入同一清单；V2.16 起，审计导出门禁也进入同一清单；V2.17 起，审计导出完整性清单也进入同一清单；V2.18 起，审计导出 provenance statement 也进入同一清单；V2.19 起，审计导出签名策略也进入同一清单；V2.20 起，审计导出签名验签回执也进入同一清单；V2.21 起，POA&M 整改计划也进入同一清单；V2.22 起，企业架构风险登记也进入同一清单；V2.23 起，架构决策记录也进入同一清单；V2.24 起，AI 事件响应 playbook 也进入同一清单；V2.25 起，AI 证据账本也进入同一清单；V2.26 起，微调运行证据也进入同一清单；V2.27 起，仓库变更控制和远端保护漂移整改也进入同一清单；V2.28 起，合规等级、执行控制面和门禁决策也进入同一清单；V2.29 起，外部标准版本锁定和升级门禁也进入同一清单；V2.30 起，版本控制面和基线发布不变量也进入同一清单；V2.31 起，基线发布证据包、晋级决策、冻结复核和版本漂移复核也进入同一清单；V2.32 起，基线兼容性总账、消费者迁移和未迁移风险闭环也进入同一清单；V2.33 起，基线采纳总账、组织采纳状态、逾期整改和例外闭环也进入同一清单；V2.34 起，基线支持矩阵、维护窗口、安全补丁、EOL 和最低可接受基线也进入同一清单；V2.35 起，基线发布列车、候选窗口、冻结窗口、晋级日期、通知节奏、黑窗和紧急补丁也进入同一清单；V2.36 起，资产级基线符合性声明、资产自声明、证据绑定、例外和采纳总账回写也进入同一清单；V2.37 起，基线制品清单、源制品摘要、必需性、签名状态、导出关系和未登记制品阻断也进入同一清单；V2.38 起，基线验证环境锁定、校验命令、runner 镜像、工具版本、策略包、validator 和验签工具也进入同一清单；V2.39 起，基线通知确认总账、通知对象、送达回执、影响确认、异议、例外和冻结前完成状态也进入同一清单；V2.40 起，基线回滚验证记录、上一基线检出、GitOps revision 恢复、审计导出恢复、烟测结果和验证时效也进入同一清单；V2.41 起，基线例外总账、例外来源聚合、风险接受、POA&M、过期阻断和冻结准入也进入同一清单；V2.42 起，基线就绪评分卡、硬门禁、评分维度、证据绑定和最终准入判定也进入同一清单；V2.43 起，基线生命周期状态机、允许迁移、禁止迁移、迁移审批、状态回写和迁移审计证据也进入同一清单；V2.44 起，基线状态对账报告、跨账本状态一致性、状态漂移阻断和审计导出状态回写也进入同一清单；V2.45 起，基线 EOL 退役证书、生产引用清零、迁移关闭、例外清零和新采用阻断也进入同一清单；V2.46 起，基线会审裁决记录、证据核验、投票签署、反对意见、条件动作和最终裁决也进入同一清单；V2.47 起，基线证据追踪图、证据节点依赖、摘要一致性、下游消费和断链阻断也进入同一清单；V2.48 起，基线门禁执行报告、门禁命令、runner、策略包、schema 包、输入摘要、规则结果、退出码和重放结果也进入同一清单；V2.49 起，基线发布事务回执、提交前检查、干净工作树、签名 tag、远端 ref、push 回执、保护规则和发布后验证也进入同一清单；V2.50 起，基线撤销与隔离记录、撤销触发、隔离范围、受影响引用、通知确认、恢复目标、风险接受和审计归档也进入同一清单；V2.51 起，基线准入执行策略、最低基线阻断、撤销/EOL 阻断、资产声明校验和例外到期阻断也进入同一清单；V2.52 起，基线消费锁定文件、不可变摘要锁定、浮动版本阻断、锁文件签署和采纳总账回写也进入同一清单；V2.53 起，基线迁移工作单、逐资产迁移步骤、消费锁更新、GitOps 变更、验收证据和回滚动作也进入同一清单；V2.54 起，基线迁移执行回执、实际命令、执行环境、before/after 摘要、GitOps revision、catalog/lock diff、验收日志和回滚验证也进入同一清单；V2.55 起，本地私有制品边界、禁推资产分类、摘要留存、允许用途、远端排除和审计留存也进入同一清单；V2.56 起，审计导出排除清单、原文白名单、摘要留存、签名 payload 排除和导出后验证也进入同一清单；V2.57 起，私有制品托管交接清单、私有制品库引用、访问控制、留存期限、取回命令、恢复验证和摘要一致性也进入同一清单；V2.58 起，干净环境基线重建回执、远端 checkout、私有制品取回、摘要校验、审计导出重建、门禁重放和禁推资产复核也进入同一清单；V2.59 起，基线证据不可变归档回执、归档对象、WORM/对象锁、legal hold、访问日志、删除保护、留存到期和恢复演练也进入同一清单；V2.60 起，基线长期验签回执、证书链、透明日志、signed entry timestamp、RFC3161 TSA、撤销状态、工具版本和归档引用也进入同一清单；V2.61 起，基线运行时准入回执、admission controller、策略引擎、策略 bundle、镜像 digest、签名/provenance/SBOM、消费锁、撤销/EOL 阻断和拒绝样例也进入同一清单；V2.62 起，基线运行时准入决策总账、requestUID、allow/deny、策略规则和原始日志摘要也进入同一清单；V2.63 起，基线连续控制监测总账、关键控制指标、告警、漂移处置和证据新鲜度也进入同一清单；V2.64 起，基线独立控制保证抽样总账、控制总体、样本、设计有效性、运行有效性和 OSCAL Assessment Results 也进入同一清单；V2.65 起，基线共享责任与继承控制总账、公共控制、继承控制、消费者义务和失效阻断也进入同一清单；V2.66 起，基线数据驻留与跨境处理总账、实际处理区域、传输机制、子处理方、补充措施和区域漂移阻断也进入同一清单；V2.67 起，基线第三方与关键供应商风险总账、供应商分级、合同控制、审计权、保证报告、集中度、退出计划和连续性阻断也进入同一清单；V2.68 起，基线运营韧性与重要业务服务影响容忍总账、重要业务服务、影响容忍、BIA、端到端依赖、场景测试、恢复能力、沟通计划和超限升级阻断也进入同一清单： ```text 内部控制项覆盖清单 @@ -4236,6 +4245,7 @@ baselineReleaseEvidence: controlInheritanceLedgerDigest: sha256: dataResidencyTransferLedgerDigest: sha256: thirdPartyRiskLedgerDigest: sha256: + operationalResilienceLedgerDigest: sha256: auditExportDigest: sha256: controlCoverageDigest: sha256: lifecycleStateMachineDigest: sha256: @@ -4333,6 +4343,14 @@ baselineReleaseEvidence: criticalSuppliersHaveExitPlans: true supplierConcentrationWithinThreshold: true noUnapprovedCriticalSupplier: true + operationalResilienceLedgerPresent: true + importantBusinessServicesIdentified: true + impactTolerancesDefinedAndApproved: true + endToEndDependenciesMapped: true + severeButPlausibleScenariosTested: true + scenarioResultsWithinImpactTolerance: true + noOpenCriticalResilienceGap: true + toleranceBreachesEscalated: true revocationRecordRequiredWhenRevoked: true revokedBaselineIsBlockedForNewAdoption: true eolRetirementCertificateRequiredWhenEol: true @@ -4374,6 +4392,7 @@ baselineReleaseEvidence: - governance/evidence/baselines/baseline-control-inheritance-ledger.yaml - governance/evidence/baselines/baseline-data-residency-transfer-ledger.yaml - governance/evidence/baselines/baseline-third-party-risk-ledger.yaml + - governance/evidence/baselines/baseline-operational-resilience-ledger.yaml - governance/evidence/baselines/baseline-artifact-inventory.yaml - governance/evidence/release-trains/baseline-release-train.yaml - governance/evidence/communications/baseline-notification-ledger.yaml @@ -4422,7 +4441,7 @@ baselineReleaseEvidence: | 晋级路径 | 必须证明 | 阻断条件 | | -------- | -------- | -------- | | `draft -> candidate` | 版本号、变更摘要、影响面、索引同步和基础门禁通过 | 文档版本和索引不一致 | -| `candidate -> baseline` | `baseline-lifecycle-state-machine.yaml`、`baseline-state-reconciliation-report.yaml`、`baseline-evidence-trace-graph.yaml`、`baseline-gate-execution-report.yaml`、`baseline-publish-transaction.yaml`、`baseline-release-evidence.yaml`、`baseline-enforcement-policy.yaml`、`baseline-runtime-admission-receipt.yaml`、`baseline-runtime-admission-decision-ledger.yaml`、`baseline-continuous-control-monitoring-ledger.yaml`、`baseline-consumption-lock.yaml`、`baseline-migration-work-order.yaml`、`baseline-migration-execution-receipt.yaml`、基线就绪评分卡、基线会审裁决记录、版本控制面、验证环境锁、审计导出、控制覆盖、远端 ref、push 回执和 tag 验签通过 | 状态机未允许迁移、状态对账失败、证据追踪图断链、门禁执行报告失败或不可重放、发布事务缺失、准入策略未执行、运行时 admission 未启用、准入决策总账缺失、连续控制监测缺失或关键漂移未关闭、拒绝样例不生效、消费锁缺失或浮动引用、迁移工单缺失或无验收证据、迁移执行回执缺失或摘要不一致、远端 ref 不匹配、push 失败、缺少证据包、就绪评分卡未通过、会审裁决缺失或未签署、验证环境未锁定、tag 漂移、控制覆盖不一致 | +| `candidate -> baseline` | `baseline-lifecycle-state-machine.yaml`、`baseline-state-reconciliation-report.yaml`、`baseline-evidence-trace-graph.yaml`、`baseline-gate-execution-report.yaml`、`baseline-publish-transaction.yaml`、`baseline-release-evidence.yaml`、`baseline-enforcement-policy.yaml`、`baseline-runtime-admission-receipt.yaml`、`baseline-runtime-admission-decision-ledger.yaml`、`baseline-continuous-control-monitoring-ledger.yaml`、`baseline-operational-resilience-ledger.yaml`、`baseline-consumption-lock.yaml`、`baseline-migration-work-order.yaml`、`baseline-migration-execution-receipt.yaml`、基线就绪评分卡、基线会审裁决记录、版本控制面、验证环境锁、审计导出、控制覆盖、远端 ref、push 回执和 tag 验签通过 | 状态机未允许迁移、状态对账失败、证据追踪图断链、门禁执行报告失败或不可重放、发布事务缺失、准入策略未执行、运行时 admission 未启用、准入决策总账缺失、连续控制监测缺失或关键漂移未关闭、运营韧性总账缺失、重要业务服务未识别、影响容忍缺失、场景测试失败或超出影响容忍、拒绝样例不生效、消费锁缺失或浮动引用、迁移工单缺失或无验收证据、迁移执行回执缺失或摘要不一致、远端 ref 不匹配、push 失败、缺少证据包、就绪评分卡未通过、会审裁决缺失或未签署、验证环境未锁定、tag 漂移、控制覆盖不一致 | | `baseline -> frozen` | 状态机允许迁移、冻结复核、开放关键发现为 0、就绪评分达到 frozen 阈值、会审裁决同意冻结、例外总账无过期阻断、独立回滚验证和审计导出摘要一致 | 状态机禁止迁移、仍有 critical/high 风险、就绪评分不足、会审反对意见未关闭、证据过期、例外过期、阻断例外未关闭、回滚未验证 | | `baseline -> emergency-patch` | 事故或安全编号、补丁范围、最小影响分析、补齐证据期限和复盘 owner | 无事故编号、补丁长期化、事后未补 ADR 或复盘 | | `baseline/frozen -> quarantined` | `baseline-revocation-record.yaml`、撤销触发、隔离范围、受影响引用、通知确认、恢复目标和风险接受 | 无撤销记录、签名或证据污染未隔离、通知对象未知、恢复目标未验证 | @@ -5046,6 +5065,7 @@ baselineArtifactInventory: controlInheritanceLedger: governance/evidence/baselines/baseline-control-inheritance-ledger.yaml dataResidencyTransferLedger: governance/evidence/baselines/baseline-data-residency-transfer-ledger.yaml thirdPartyRiskLedger: governance/evidence/baselines/baseline-third-party-risk-ledger.yaml + operationalResilienceLedger: governance/evidence/baselines/baseline-operational-resilience-ledger.yaml artifacts: - path: docs/references/modern-enterprise-architecture-template.md type: document @@ -5159,6 +5179,14 @@ baselineArtifactInventory: signed: true exportedTo: - build/modern-enterprise-architecture-audit/audit-export.json + - path: governance/evidence/baselines/baseline-operational-resilience-ledger.yaml + type: evidence-template + required: true + owner: operational-resilience-team + digest: sha256: + signed: true + exportedTo: + - build/modern-enterprise-architecture-audit/audit-export.json - path: governance/control-plane/version-governance.yaml type: control required: true @@ -5268,6 +5296,7 @@ baselineArtifactInventory: controlInheritanceLedgerDeclared: true dataResidencyTransferLedgerDeclared: true thirdPartyRiskLedgerDeclared: true + operationalResilienceLedgerDeclared: true generatedOutputsMatchSources: true signaturesVerified: true ``` @@ -5305,6 +5334,7 @@ baselineArtifactInventory: 16. 基线共享责任与继承控制总账属于必需证据模板；缺失时不能证明公共控制、继承控制和消费者义务有明确责任边界，基线不得晋级或冻结。 17. 基线数据驻留与跨境处理总账属于必需证据模板；缺失时不能证明数据实际处理位置、跨境传输机制、子处理方和补充保护措施符合基线，基线不得晋级或冻结。 18. 基线第三方与关键供应商风险总账属于必需证据模板；缺失时不能证明关键供应商合同、审计权、保证报告、集中度、退出计划和连续性符合基线，基线不得晋级或冻结。 +19. 基线运营韧性与重要业务服务影响容忍总账属于必需证据模板；缺失时不能证明重要业务服务、影响容忍、BIA、依赖映射、场景测试和超限升级符合基线，基线不得晋级或冻结。 可执行验收标准： @@ -5323,6 +5353,7 @@ baselineArtifactInventory: 13. 任意生产基线都能从制品清单反查到 `baseline-control-inheritance-ledger.yaml`，证明平台公共控制、云/第三方继承控制、领域责任和消费者义务不会互相覆盖。 14. 任意生产基线都能从制品清单反查到 `baseline-data-residency-transfer-ledger.yaml`，证明数据驻留、跨境处理、子处理方和模型供应商区域不会旁路隐私影响评估和数据契约。 15. 任意生产基线都能从制品清单反查到 `baseline-third-party-risk-ledger.yaml`，证明关键供应商、ICT 服务商、SaaS、云平台、模型供应商、外包方和子处理方具备合同、审计权、保证报告、退出计划、集中度和连续性证据。 +16. 任意生产基线都能从制品清单反查到 `baseline-operational-resilience-ledger.yaml`，证明重要业务服务、影响容忍、BIA、端到端依赖、场景测试、恢复能力、沟通计划和超限升级证据已经闭合。 ### 10.10.16 基线验证环境锁定 @@ -6325,6 +6356,7 @@ baselineLifecycleStateMachine: controlInheritanceLedger: governance/evidence/baselines/baseline-control-inheritance-ledger.yaml dataResidencyTransferLedger: governance/evidence/baselines/baseline-data-residency-transfer-ledger.yaml thirdPartyRiskLedger: governance/evidence/baselines/baseline-third-party-risk-ledger.yaml + operationalResilienceLedger: governance/evidence/baselines/baseline-operational-resilience-ledger.yaml guardResults: transitionAllowed: true requiredEvidencePresent: true @@ -6357,8 +6389,8 @@ baselineLifecycleStateMachine: 2. `forbiddenTransitions` 是硬禁止，即使有人工审批也不能绕过；必须创建新基线或走补丁通道。 3. 每次迁移必须写入 `transitionAttempts`，记录 `from`、`to`、请求人、批准人、证据路径、决策、状态回写和失败原因。 4. `currentState.state` 必须与 `version-governance.yaml` 的 `releaseChannel/status`、`baseline-release-evidence.yaml` 的晋级决策和 `baseline-support-matrix.yaml` 的支持状态一致。 -5. `candidate -> baseline` 不能缺少就绪评分卡、证据追踪图、门禁执行报告、发布事务回执、验证环境锁、制品清单、运行时准入回执、运行时准入决策总账、连续控制监测总账、独立控制保证抽样总账、共享责任与继承控制总账、数据驻留与跨境处理总账、第三方与关键供应商风险总账、例外总账、回滚验证、会审裁决和 release gate 决策。 -6. `baseline -> frozen` 必须证明冻结窗口开启、就绪评分达到 frozen 阈值、证据追踪图闭合、门禁执行报告可重放、发布事务远端 ref 和保护规则已锁定、运行时准入拒绝样例通过、准入 allow/deny 决策可追溯、连续控制监测覆盖关键控制且 open critical drift 为 0、独立控制保证抽样覆盖 critical 控制且 open critical/high finding 为 0、共享责任与继承控制没有 unowned / expired / invalid inheritance，数据驻留与跨境处理没有 unapproved region / missing transfer mechanism / unapproved subprocessor，第三方与关键供应商风险没有 unapproved critical supplier / expired assurance / missing audit rights / missing exit plan / concentration breach，撤销隔离记录没有阻断状态、通知确认完成、过期例外为 0、回滚验证未过期、会审裁决同意冻结且审计导出可验签。 +5. `candidate -> baseline` 不能缺少就绪评分卡、证据追踪图、门禁执行报告、发布事务回执、验证环境锁、制品清单、运行时准入回执、运行时准入决策总账、连续控制监测总账、独立控制保证抽样总账、共享责任与继承控制总账、数据驻留与跨境处理总账、第三方与关键供应商风险总账、运营韧性与重要业务服务影响容忍总账、例外总账、回滚验证、会审裁决和 release gate 决策。 +6. `baseline -> frozen` 必须证明冻结窗口开启、就绪评分达到 frozen 阈值、证据追踪图闭合、门禁执行报告可重放、发布事务远端 ref 和保护规则已锁定、运行时准入拒绝样例通过、准入 allow/deny 决策可追溯、连续控制监测覆盖关键控制且 open critical drift 为 0、独立控制保证抽样覆盖 critical 控制且 open critical/high finding 为 0、共享责任与继承控制没有 unowned / expired / invalid inheritance，数据驻留与跨境处理没有 unapproved region / missing transfer mechanism / unapproved subprocessor，第三方与关键供应商风险没有 unapproved critical supplier / expired assurance / missing audit rights / missing exit plan / concentration breach，运营韧性没有 missing important business service / missing impact tolerance / failed scenario / tolerance breach / unowned critical dependency / open critical resilience gap，撤销隔离记录没有阻断状态、通知确认完成、过期例外为 0、回滚验证未过期、会审裁决同意冻结且审计导出可验签。 7. `emergency-patch` 只能用于安全、合规或生产事故，必须有事故编号、补丁范围、回滚验证、事后复盘 owner 和补证期限。 8. `eol` 为终态，不允许重新进入 `baseline`；需要重新启用时必须生成新 baseline ID、发布证据和状态机。 9. `superseded -> eol` 必须引用 `baseline-eol-retirement-certificate.yaml`、`baseline-review-board-decision.yaml`、`baseline-evidence-trace-graph.yaml`、`baseline-gate-execution-report.yaml` 和 `baseline-publish-transaction.yaml`，证明生产引用清零、迁移关闭、例外清零、审计归档、新采用阻断、退役裁决、门禁执行、发布事实和证据归档链路已经完成。 @@ -6464,7 +6496,7 @@ baselineStateReconciliationReport: baselineId: mea-v2.53-20260602 documentVersion: V2.53 result: pass - rulesExecuted: 27 + rulesExecuted: 28 blockingFailures: 0 replayResult: pass decisionMatchesExecution: true @@ -6731,6 +6763,26 @@ baselineStateReconciliationReport: openSupplierPoamOverdue: 0 supplierIncidentsOpen: 0 status: match + operationalResilienceLedger: + ledgerId: borl-20260602-mea-v268 + importantBusinessServices: 9 + servicesWithApprovedImpactTolerance: 9 + servicesWithCurrentBia: 9 + endToEndDependencyMapsCurrent: 9 + severeButPlausibleScenarios: 18 + scenariosTested: 18 + scenariosWithinImpactTolerance: 18 + scenarioFailures: 0 + toleranceBreaches: 0 + criticalDependenciesUnowned: 0 + thirdPartyDependenciesUntested: 0 + aiDependenciesUntested: 0 + missingManualWorkarounds: 0 + missingCommunicationsPlans: 0 + openCriticalResilienceGaps: 0 + overdueResiliencePoam: 0 + boardOrRiskOwnerSignoff: true + status: match auditExportManifest: documentVersion: V2.53 baselineId: mea-v2.53-20260602 @@ -6760,6 +6812,7 @@ baselineStateReconciliationReport: controlInheritanceLedgerReconciled: true dataResidencyTransferLedgerReconciled: true thirdPartyRiskLedgerReconciled: true + operationalResilienceLedgerReconciled: true releaseEvidenceDigestUpdated: true supportMatrixUpdated: true adoptionLedgerReconciled: true @@ -6793,10 +6846,10 @@ baselineStateReconciliationReport: 执行规则： 1. `baseline-state-reconciliation-report.yaml` 必须在 `candidate -> baseline`、`baseline -> frozen`、`baseline -> emergency-patch`、`baseline -> superseded` 和 `superseded -> eol` 前生成。 -2. 对账输入至少覆盖生命周期状态机、版本控制面、基线准入执行策略、基线运行时准入回执、基线运行时准入决策总账、基线连续控制监测总账、基线独立控制保证抽样总账、基线共享责任与继承控制总账、基线数据驻留与跨境处理总账、基线第三方与关键供应商风险总账、基线消费锁定文件、基线迁移工作单、基线迁移执行回执、本地私有制品边界、审计导出排除清单、私有制品托管交接清单、干净环境基线重建回执、基线证据不可变归档回执、基线长期验签回执、发布证据包、证据追踪图、门禁执行报告、发布事务回执、撤销隔离记录、会审裁决记录、发布列车、支持矩阵、EOL 退役证书、采纳总账、符合性声明、制品清单、验证锁和审计导出清单。 +2. 对账输入至少覆盖生命周期状态机、版本控制面、基线准入执行策略、基线运行时准入回执、基线运行时准入决策总账、基线连续控制监测总账、基线独立控制保证抽样总账、基线共享责任与继承控制总账、基线数据驻留与跨境处理总账、基线第三方与关键供应商风险总账、基线运营韧性与重要业务服务影响容忍总账、基线消费锁定文件、基线迁移工作单、基线迁移执行回执、本地私有制品边界、审计导出排除清单、私有制品托管交接清单、干净环境基线重建回执、基线证据不可变归档回执、基线长期验签回执、发布证据包、证据追踪图、门禁执行报告、发布事务回执、撤销隔离记录、会审裁决记录、发布列车、支持矩阵、EOL 退役证书、采纳总账、符合性声明、制品清单、验证锁和审计导出清单。 3. `baselineId`、`documentVersion`、`releaseTag`、`sourceCommit` 和生命周期状态在任何权威账本中不一致时，必须阻断晋级。 4. `releaseEvidence` 允许声明目标状态，例如 `candidate -> baseline`，但必须同时能证明当前状态仍来自状态机，不能把目标状态误当当前状态。 -5. `writeBack` 必须证明状态迁移后的版本控制面、基线准入执行策略、基线运行时准入回执、基线运行时准入决策总账、基线连续控制监测总账、基线独立控制保证抽样总账、基线共享责任与继承控制总账、基线数据驻留与跨境处理总账、基线第三方与关键供应商风险总账、基线消费锁定文件、基线迁移工作单、基线迁移执行回执、本地私有制品边界、审计导出排除清单、私有制品托管交接清单、干净环境基线重建回执、基线证据不可变归档回执、基线长期验签回执、支持矩阵、EOL 退役证书、发布证据摘要、采纳总账和审计导出清单已经更新。 +5. `writeBack` 必须证明状态迁移后的版本控制面、基线准入执行策略、基线运行时准入回执、基线运行时准入决策总账、基线连续控制监测总账、基线独立控制保证抽样总账、基线共享责任与继承控制总账、基线数据驻留与跨境处理总账、基线第三方与关键供应商风险总账、基线运营韧性与重要业务服务影响容忍总账、基线消费锁定文件、基线迁移工作单、基线迁移执行回执、本地私有制品边界、审计导出排除清单、私有制品托管交接清单、干净环境基线重建回执、基线证据不可变归档回执、基线长期验签回执、支持矩阵、EOL 退役证书、发布证据摘要、采纳总账和审计导出清单已经更新。 6. 对账报告本身必须进入发布证据包摘要和审计导出包，不能只作为临时检查日志。 7. 任何 `conflict`、`missing`、`stale`、准入策略执行失败、证据追踪图断链、门禁执行报告失败、重放失败、发布事务失败、撤销隔离状态冲突、远端 ref 不匹配、保护规则缺失或 critical/high drift 都必须进入 release gate 阻断、POA&M 或风险接受，不能被就绪总分覆盖。 @@ -6824,6 +6877,7 @@ baselineStateReconciliationReport: 20. 任意基线独立控制保证抽样总账都能在状态对账报告中看到独立评估人、抽样方法、critical 控制样本覆盖、设计有效性、运行有效性、open critical/high findings 和 OSCAL Assessment Results 生成状态。 21. 任意基线共享责任与继承控制总账都能在状态对账报告中看到 inherited/shared/provider/domain/consumer 控制数量、无 owner 控制数、过期继承证据数、缺失消费者义务数和无效继承声明数。 22. 任意基线第三方与关键供应商风险总账都能在状态对账报告中看到关键供应商数、批准状态、合同控制、DPA/SLA、审计权、保证报告有效期、退出计划、集中度阈值、开放发现项、供应商事件和 POA&M 逾期状态。 +23. 任意基线运营韧性与重要业务服务影响容忍总账都能在状态对账报告中看到重要业务服务数、影响容忍批准状态、BIA 新鲜度、依赖图新鲜度、场景测试覆盖率、超限次数、未拥有关键依赖、开放 critical 韧性缺口和 POA&M 逾期状态。 ### 10.10.23 基线 EOL 退役证书 @@ -7618,6 +7672,24 @@ baselineEvidenceTraceGraph: - baseline-state-reconciliation-report - audit-export-manifest - baseline-evidence-archive-receipt + - id: baseline-operational-resilience-ledger + type: operational-resilience + path: governance/evidence/baselines/baseline-operational-resilience-ledger.yaml + digest: sha256: + producer: operational-resilience-team + requiredFor: + - candidate-to-baseline + - baseline-to-frozen + - baseline-to-quarantined + - superseded-to-eol + status: present + consumedBy: + - baseline-release-evidence + - baseline-gate-execution-report + - baseline-review-board-decision + - baseline-state-reconciliation-report + - audit-export-manifest + - baseline-evidence-archive-receipt - id: baseline-verification-lock type: verification path: governance/evidence/verification/baseline-verification-lock.yaml @@ -7781,6 +7853,16 @@ baselineEvidenceTraceGraph: relation: records-data-residency-transfer-digest digestReferenceMatches: true blocking: true + - from: baseline-release-evidence + to: baseline-third-party-risk-ledger + relation: records-third-party-risk-digest + digestReferenceMatches: true + blocking: true + - from: baseline-release-evidence + to: baseline-operational-resilience-ledger + relation: records-operational-resilience-digest + digestReferenceMatches: true + blocking: true - from: baseline-release-evidence to: baseline-revocation-record relation: records-revocation-disposition @@ -7881,6 +7963,16 @@ baselineEvidenceTraceGraph: relation: reviews-data-residency-transfer digestReferenceMatches: true blocking: true + - from: baseline-review-board-decision + to: baseline-third-party-risk-ledger + relation: reviews-third-party-risk + digestReferenceMatches: true + blocking: true + - from: baseline-review-board-decision + to: baseline-operational-resilience-ledger + relation: reviews-operational-resilience + digestReferenceMatches: true + blocking: true - from: baseline-review-board-decision to: baseline-revocation-record relation: reviews-revocation-disposition @@ -7981,6 +8073,16 @@ baselineEvidenceTraceGraph: relation: reconciles-data-residency-transfer-state digestReferenceMatches: true blocking: true + - from: baseline-state-reconciliation-report + to: baseline-third-party-risk-ledger + relation: reconciles-third-party-risk-state + digestReferenceMatches: true + blocking: true + - from: baseline-state-reconciliation-report + to: baseline-operational-resilience-ledger + relation: reconciles-operational-resilience-state + digestReferenceMatches: true + blocking: true - from: baseline-state-reconciliation-report to: baseline-revocation-record relation: reconciles-revocation-state @@ -8066,6 +8168,16 @@ baselineEvidenceTraceGraph: relation: exports-data-residency-transfer-summary digestReferenceMatches: true blocking: true + - from: audit-export-manifest + to: baseline-third-party-risk-ledger + relation: exports-third-party-risk-summary + digestReferenceMatches: true + blocking: true + - from: audit-export-manifest + to: baseline-operational-resilience-ledger + relation: exports-operational-resilience-summary + digestReferenceMatches: true + blocking: true - from: audit-export-provenance to: audit-export-manifest relation: records-audit-export-subject @@ -8166,6 +8278,11 @@ baselineEvidenceTraceGraph: relation: archives-third-party-risk-evidence digestReferenceMatches: true blocking: true + - from: baseline-evidence-archive-receipt + to: baseline-operational-resilience-ledger + relation: archives-operational-resilience-evidence + digestReferenceMatches: true + blocking: true coverage: requiredTransitions: candidate-to-baseline: @@ -8194,6 +8311,7 @@ baselineEvidenceTraceGraph: - baseline-control-inheritance-ledger - baseline-data-residency-transfer-ledger - baseline-third-party-risk-ledger + - baseline-operational-resilience-ledger - baseline-readiness-scorecard - baseline-artifact-inventory - baseline-verification-lock @@ -8224,6 +8342,7 @@ baselineEvidenceTraceGraph: - baseline-control-inheritance-ledger - baseline-data-residency-transfer-ledger - baseline-third-party-risk-ledger + - baseline-operational-resilience-ledger - baseline-revocation-record - baseline-readiness-scorecard - baseline-notification-ledger @@ -8343,6 +8462,12 @@ baselineEvidenceTraceGraph: criticalSuppliersHaveAuditRightsAndExitPlans: true thirdPartyRiskNoConcentrationBreach: true thirdPartyRiskNoUnapprovedCriticalSupplier: true + operationalResilienceLedgerPresent: true + operationalResilienceDigestMatchesRelease: true + operationalResilienceImportantServicesCovered: true + operationalResilienceImpactTolerancesApproved: true + operationalResilienceScenariosWithinTolerance: true + operationalResilienceNoOpenCriticalGap: true findings: critical: [] high: [] @@ -8390,7 +8515,8 @@ baselineEvidenceTraceGraph: 17. `baseline-control-inheritance-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明公共控制、继承控制和消费者义务具备清晰责任边界。 18. `baseline-data-residency-transfer-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明数据驻留、跨境传输、子处理方和模型供应商处理位置具备可复核边界。 19. `baseline-third-party-risk-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明关键供应商的合同控制、审计权、保证报告、退出计划、集中度和连续性具备可复核边界。 -20. 条件放行只能降低非阻断节点的处理优先级，不能绕过断链、摘要不一致或必需节点缺失。 +20. `baseline-operational-resilience-ledger.yaml` 必须被发布证据、门禁执行报告、状态对账、会审裁决、审计导出和证据归档同时消费；否则不能证明重要业务服务、影响容忍、BIA、端到端依赖、场景测试、恢复能力和超限升级具备可复核边界。 +21. 条件放行只能降低非阻断节点的处理优先级，不能绕过断链、摘要不一致或必需节点缺失。 可执行验收标准： @@ -8414,6 +8540,7 @@ baselineEvidenceTraceGraph: 18. 任意 baseline 或 frozen 晋级都必须把 `baseline-control-inheritance-ledger.yaml` 作为证据节点，证明 inherited/shared/provider/domain/consumer 控制责任、消费者义务、继承条件和失效阻断已经闭合。 19. 任意 baseline 或 frozen 晋级都必须把 `baseline-data-residency-transfer-ledger.yaml` 作为证据节点，证明数据驻留要求、实际处理区域、跨境传输机制、子处理方、补充保护措施和删除传播已经闭合。 20. 任意 baseline 或 frozen 晋级都必须把 `baseline-third-party-risk-ledger.yaml` 作为证据节点，证明关键供应商分级、合同控制、审计权、保证报告、退出计划、集中度、替代路径和供应商事件状态已经闭合。 +21. 任意 baseline 或 frozen 晋级都必须把 `baseline-operational-resilience-ledger.yaml` 作为证据节点，证明重要业务服务、影响容忍、BIA、端到端依赖、严重但合理场景测试、恢复结果、沟通计划和超限升级已经闭合。 ### 10.10.26 基线门禁执行报告 @@ -8498,6 +8625,9 @@ baselineGateExecutionReport: thirdPartyRiskLedger: path: governance/evidence/baselines/baseline-third-party-risk-ledger.yaml digest: sha256: + operationalResilienceLedger: + path: governance/evidence/baselines/baseline-operational-resilience-ledger.yaml + digest: sha256: reviewBoardDecision: path: governance/evidence/baselines/baseline-review-board-decision.yaml digest: sha256: @@ -8684,6 +8814,17 @@ baselineGateExecutionReport: - releaseEvidence result: pass blocking: true + - id: BGE-020 + title: important business services remain within approved impact tolerances + source: governance/policies/baseline-gates/operational-resilience.rego + inputRefs: + - operationalResilienceLedger + - evidenceTraceGraph + - stateReconciliation + - releaseEvidence + - thirdPartyRiskLedger + result: pass + blocking: true replay: replayCommand: starter kit 校验命令 --replay governance/evidence/baselines/baseline-gate-execution-report.yaml replayedAt: 2026-06-02T18:45:00+08:00 @@ -8722,7 +8863,7 @@ baselineGateExecutionReport: 1. `baseline-gate-execution-report.yaml` 必须在 `release-gate-decision.yaml` 最终落盘前生成，并由门禁决策引用其摘要。 2. 所有阻断型控制项必须在 `ruleResults` 中出现；不能只记录总结果。 3. `execution.runnerImage`、`policyBundleDigest`、`schemaBundleDigest` 和 `verificationLock` 必须与 `baseline-verification-lock.yaml` 一致。 -4. `inputs` 中每个摘要必须与发布证据包、基线消费锁定文件、基线迁移工作单、基线迁移执行回执、本地私有制品边界、审计导出排除清单、私有制品托管交接清单、干净环境基线重建回执、基线证据不可变归档回执、基线长期验签回执、基线运行时准入回执、基线连续控制监测总账、基线独立控制保证抽样总账、基线共享责任与继承控制总账、基线数据驻留与跨境处理总账、基线第三方与关键供应商风险总账、状态对账报告和证据追踪图中的摘要一致。 +4. `inputs` 中每个摘要必须与发布证据包、基线消费锁定文件、基线迁移工作单、基线迁移执行回执、本地私有制品边界、审计导出排除清单、私有制品托管交接清单、干净环境基线重建回执、基线证据不可变归档回执、基线长期验签回执、基线运行时准入回执、基线连续控制监测总账、基线独立控制保证抽样总账、基线共享责任与继承控制总账、基线数据驻留与跨境处理总账、基线第三方与关键供应商风险总账、基线运营韧性与重要业务服务影响容忍总账、状态对账报告和证据追踪图中的摘要一致。 5. `exitCode` 非 0、任一阻断规则失败、输入摘要不一致、策略包漂移或重放失败时，`decision.result` 不得为 `pass`。 6. 任何 `exception`、`conditional-pass` 或 `break-glass` 必须引用例外总账、POA&M、风险接受或事故编号，并声明到期动作。 7. 基线进入 `baseline`、`frozen` 或 `eol` 前必须完成重放；重放结果必须进入状态对账、发布证据包、会审裁决和审计导出。 @@ -11730,6 +11871,302 @@ baselineThirdPartyRiskLedger: 4. 任意供应商保证报告过期、审计权缺失、合同控制缺失、集中度超阈值或退出计划缺失都会阻断 baseline/frozen 晋级，直到补证、整改或正式风险接受。 5. 任意正式审计导出都能包含第三方风险摘要，证明供应商清单、合同库、控制继承、数据驻留、AI 证据账本、风险登记和 POA&M 没有互相矛盾。 +### 10.10.46 基线运营韧性与重要业务服务影响容忍总账 + +`baseline-operational-resilience-ledger.yaml` 是企业级基线的运营韧性证据。它不替代 SLO、RTO/RPO、恢复演练、事故复盘、 +第三方风险总账或业务连续性计划；这些证据回答“系统是否可靠、是否能恢复、供应商是否可控”，运营韧性总账回答“哪些重要业务 +服务一旦中断会伤害客户、市场、监管或企业生存；可承受影响边界是多少；在严重但合理冲击下，端到端业务结果是否仍能落在影响 +容忍以内”。没有这张总账，企业容易把韧性退化成组件级灾备，把业务影响、客户影响、数据影响、人员替代、供应商失效、AI 降级 +和监管沟通割裂在不同团队的文件里。 + +```yaml +baselineOperationalResilienceLedger: + ledgerId: borl-20260602-mea-v268 + baselineId: mea-v2.68-20260602 + documentVersion: V2.68 + owner: operational-resilience-team + generatedAt: 2026-06-02T21:20:00+08:00 + linkedEvidence: + businessImpactAnalysis: governance/resilience/bia/ + importantBusinessServiceCatalog: catalog/business-services/ + serviceCatalog: catalog/components/ + dataProducts: catalog/data-products/ + aiProducts: catalog/ai-products/ + recoveryDrills: governance/evidence/recovery/ + thirdPartyRiskLedger: governance/evidence/baselines/baseline-third-party-risk-ledger.yaml + dataResidencyTransferLedger: governance/evidence/baselines/baseline-data-residency-transfer-ledger.yaml + continuousControlMonitoringLedger: governance/evidence/baselines/baseline-continuous-control-monitoring-ledger.yaml + incidentPlaybooks: governance/playbooks/ + communicationsPlans: governance/resilience/communications/ + poamRegister: governance/evidence/poam/poam-record.yaml + riskRegister: governance/evidence/risk/risk-register.yaml + policy: + serviceCriticalityLevels: + - important-business-service + - critical-internal-service + - standard-service + impactDimensions: + - customer-harm + - market-integrity + - regulatory-obligation + - financial-loss + - data-integrity + - safety + - reputational-harm + biaMaxAgeDays: 365 + dependencyMapMaxAgeDays: 180 + scenarioTestMaxAgeDays: 365 + requireBoardOrRiskOwnerApprovalFor: + - important-business-service + blockOnMissingImportantBusinessServiceOwner: true + blockOnMissingImpactTolerance: true + blockOnStaleBia: true + blockOnIncompleteDependencyMap: true + blockOnScenarioNotTested: true + blockOnScenarioResultAboveTolerance: true + blockOnUnownedCriticalDependency: true + blockOnMissingManualWorkaround: true + blockOnMissingCommunicationsPlan: true + blockOnOpenCriticalResilienceGap: true + importantBusinessServices: + - serviceId: ibs-customer-ordering + name: customer ordering + owner: retail-business-owner + accountableExecutive: chief-operating-officer + riskOwner: enterprise-risk-office + serviceCriticality: important-business-service + customerGroups: + - retail-customers + - enterprise-buyers + impactTolerances: + maxTotalUnavailability: PT2H + maxSevereDegradation: PT4H + maxOrdersDelayed: 5000 + maxDataLoss: PT5M + maxCustomerNotificationDelay: PT30M + maxRegulatoryNotificationDelay: PT24H + approvedBy: executive-risk-committee + approvedAt: 2026-05-18 + bia: + biaRef: governance/resilience/bia/customer-ordering-bia-2026.yaml + lastReviewedAt: 2026-05-10 + financialImpactPerHour: high + customerHarmLevel: high + regulatoryImpact: medium + endToEndDependencies: + domainServices: + - domains/order/services/order-command-service/service.yaml + - domains/payment/services/payment-authorization-service/service.yaml + - domains/inventory/services/inventory-reservation-service/service.yaml + dataProducts: + - catalog/data-products/order-facts.yaml + - catalog/data-products/payment-events.yaml + aiProducts: + - catalog/ai-products/customer-support-agent.yaml + platformDependencies: + - platform:api-gateway + - platform:kubernetes-prod + - platform:identity + - platform:observability + thirdPartyDependencies: + - supplier-cloud-platform-primary + - supplier-payment-provider-primary + - supplier-llm-provider-primary + peopleAndProcess: + - on-call:sre-tier-1 + - on-call:order-domain + - manual-order-intake-team + criticalDependenciesUnowned: 0 + recoveryAndContinuity: + rto: PT1H + rpo: PT5M + lastRecoveryDrill: governance/evidence/recovery/customer-ordering-2026-05.yaml + manualWorkaround: + available: true + runbook: governance/resilience/manual-workarounds/customer-ordering.md + maxManualThroughputPerHour: 1200 + communicationsPlan: governance/resilience/communications/customer-ordering-comms.yaml + customerNotificationTemplate: governance/resilience/communications/customer-ordering-customer-notice.md + regulatorNotificationRunbook: governance/resilience/communications/regulator-notification.md + severeButPlausibleScenarios: + - scenarioId: sp-ibs-ordering-cloud-region-loss + description: primary cloud region unavailable with payment provider latency + testedAt: 2026-05-22 + testEvidence: governance/evidence/recovery/customer-ordering-region-loss-2026-05.yaml + dependenciesExercised: + - cloud-region-failover + - payment-provider-fallback + - data-replication + - customer-communications + actualUnavailability: PT1H15M + severeDegradation: PT2H + ordersDelayed: 3200 + dataLoss: PT0M + customerNotificationDelay: PT18M + withinImpactTolerance: true + - scenarioId: sp-ibs-ordering-llm-support-failure + description: LLM provider outage during order incident support surge + testedAt: 2026-05-24 + testEvidence: governance/evidence/recovery/customer-ordering-llm-failure-2026-05.yaml + dependenciesExercised: + - ai-support-agent-fallback + - human-support-surge + - customer-communications + actualUnavailability: PT0M + severeDegradation: PT1H10M + ordersDelayed: 0 + dataLoss: PT0M + customerNotificationDelay: PT20M + withinImpactTolerance: true + currentResilienceGaps: + openCritical: 0 + openHigh: 0 + poamRefs: [] + status: within-tolerance + - serviceId: ibs-regulatory-reporting + name: regulatory reporting + owner: finance-operations-owner + accountableExecutive: chief-financial-officer + riskOwner: enterprise-risk-office + serviceCriticality: important-business-service + impactTolerances: + maxReportSubmissionDelay: PT4H + maxDataReconciliationLag: PT30M + maxDataLoss: PT0M + maxRegulatoryNotificationDelay: PT2H + approvedBy: executive-risk-committee + approvedAt: 2026-05-18 + bia: + biaRef: governance/resilience/bia/regulatory-reporting-bia-2026.yaml + lastReviewedAt: 2026-05-12 + regulatoryImpact: high + financialImpactPerHour: medium + endToEndDependencies: + domainServices: + - domains/finance/services/reporting-service/service.yaml + dataProducts: + - catalog/data-products/general-ledger.yaml + - catalog/data-products/regulatory-reporting-dataset.yaml + platformDependencies: + - platform:lakehouse + - platform:batch-orchestration + - platform:identity + thirdPartyDependencies: + - supplier-cloud-platform-primary + - supplier-regulatory-filing-gateway + criticalDependenciesUnowned: 0 + recoveryAndContinuity: + rto: PT2H + rpo: PT0M + lastRecoveryDrill: governance/evidence/recovery/regulatory-reporting-2026-05.yaml + manualWorkaround: + available: true + runbook: governance/resilience/manual-workarounds/regulatory-reporting.md + communicationsPlan: governance/resilience/communications/regulatory-reporting-comms.yaml + severeButPlausibleScenarios: + - scenarioId: sp-ibs-reporting-lakehouse-corruption + description: lakehouse table corruption before filing window + testedAt: 2026-05-26 + testEvidence: governance/evidence/recovery/regulatory-reporting-lakehouse-corruption-2026-05.yaml + dependenciesExercised: + - backup-restore + - data-reconciliation + - regulator-communications + reportSubmissionDelay: PT2H20M + dataReconciliationLag: PT20M + dataLoss: PT0M + withinImpactTolerance: true + currentResilienceGaps: + openCritical: 0 + openHigh: 0 + poamRefs: [] + status: within-tolerance + summary: + importantBusinessServices: 9 + servicesWithApprovedImpactTolerance: 9 + servicesWithCurrentBia: 9 + endToEndDependencyMapsCurrent: 9 + severeButPlausibleScenarios: 18 + scenariosTested: 18 + scenariosWithinImpactTolerance: 18 + scenarioFailures: 0 + toleranceBreaches: 0 + criticalDependenciesUnowned: 0 + thirdPartyDependenciesUntested: 0 + aiDependenciesUntested: 0 + missingManualWorkarounds: 0 + missingCommunicationsPlans: 0 + openCriticalResilienceGaps: 0 + overdueResiliencePoam: 0 + result: pass + breachAndEscalation: + breachDefinition: + - actual impact exceeds approved impact tolerance + - important business service owner unknown + - severe but plausible scenario not tested within required window + - critical dependency unowned or unmapped + - critical resilience gap open without risk acceptance + escalationPath: + - operational-resilience-team + - enterprise-risk-office + - executive-risk-committee + - regulator-communications-owner + requiredActions: + - create incident or near-miss record + - open POA&M or risk acceptance + - update BIA and dependency map + - rerun affected scenario test + - block baseline or frozen promotion until closure + gates: + blockOnMissingImportantBusinessService: true + blockOnMissingImpactTolerance: true + blockOnStaleBia: true + blockOnIncompleteDependencyMap: true + blockOnScenarioNotTested: true + blockOnScenarioResultAboveTolerance: true + blockOnUnownedCriticalDependency: true + blockOnMissingManualWorkaround: true + blockOnMissingCommunicationsPlan: true + blockOnOpenCriticalResilienceGap: true + blockOnToleranceBreachWithoutEscalation: true +``` + +运营韧性状态只能使用以下值： + +| 状态 | 含义 | 是否阻断 | +| ---- | ---- | -------- | +| `within-tolerance` | 重要业务服务已识别，影响容忍已批准，场景测试结果在容忍边界内 | 否 | +| `dependency-action-required` | 端到端依赖缺 owner、缺证据、缺第三方/数据/AI 关联或依赖图过期 | 是 | +| `bia-stale` | 业务影响分析超过最大有效期，或重大业务变化后未复核 | 是 | +| `impact-tolerance-missing` | 重要业务服务没有批准的影响容忍 | 是 | +| `scenario-test-overdue` | 严重但合理场景未在有效期内测试 | 是 | +| `scenario-failed` | 场景测试失败、恢复超时、数据丢失或沟通延迟超限 | 是 | +| `tolerance-breached` | 实际事故或演练结果超出影响容忍 | 是 | +| `manual-workaround-missing` | 重要业务服务缺少可执行人工替代或业务降级流程 | 是 | +| `communications-plan-missing` | 客户、内部、监管或关键伙伴沟通计划缺失 | 是 | +| `open-critical-gap` | critical 韧性缺口未关闭、未进入 POA&M 或未完成风险接受 | 是 | +| `exception` | 已批准例外，但必须绑定风险接受、POA&M、补偿控制、到期日和重测计划 | 视等级而定 | + +执行规则： + +1. 运营韧性必须按重要业务服务建模，不能只按应用、数据库、集群、供应商或团队建模。 +2. 每个重要业务服务必须绑定业务 owner、accountable executive、risk owner、客户群、影响容忍、BIA、端到端依赖、恢复证据和沟通计划。 +3. 影响容忍必须表达客户、市场、监管、财务、数据完整性、声誉或安全等业务影响边界；不能只写系统 RTO/RPO。 +4. 端到端依赖必须覆盖领域服务、数据产品、AI 产品、平台能力、GitOps/runtime、人员流程、第三方供应商、通信渠道和人工替代。 +5. 严重但合理场景必须覆盖至少一种技术失效、一种数据或完整性失效、一种第三方或云依赖失效，以及高风险 AI 产品的模型/工具降级。 +6. 场景测试必须记录测试时间、证据路径、依赖范围、实际不可用时间、严重降级时间、数据损失、客户通知延迟、监管通知延迟和是否落在影响容忍内。 +7. 任意实际事故、near miss 或演练超出影响容忍时，必须进入事故复盘、风险登记、POA&M、状态对账和证据追踪图。 +8. 运营韧性总账必须与第三方风险总账、数据驻留总账、AI 证据账本、连续控制监测总账和恢复演练证据联动；不能只在业务连续性文档里自证。 +9. 重要业务服务的 open critical resilience gap、未批准影响容忍、过期 BIA、未测场景、超限场景或缺少沟通计划必须阻断 baseline/frozen 晋级。 + +可执行验收标准： + +1. 任意重要业务服务都能列出 owner、影响容忍、BIA、客户群、端到端依赖、恢复证据、人工替代和沟通计划。 +2. 任意 Tier-1 / Tier-2 生产资产都能追溯到它支撑的业务服务，以及该业务服务的影响容忍和场景测试证据。 +3. 任意第三方、云、SaaS、模型供应商或关键子处理方失效场景都能证明是否仍在影响容忍内，或已进入 POA&M / 风险接受 / 超限升级。 +4. 任意 AI 产品参与重要业务服务时，都能证明模型供应商中断、RAG 污染、工具禁用、人工接管和成本异常不会让业务影响越过容忍边界。 +5. 任意正式审计导出都能包含运营韧性摘要，证明 BIA、SLO/RTO/RPO、恢复演练、第三方风险、数据驻留、AI 证据、事故响应和 POA&M 没有互相矛盾。 + ## 10.11 仓库拓扑剖面 目录结构可以按企业规模、团队自治程度和合规要求裁剪，但真相源边界不能裁剪。仓库拓扑的选择应先看 ownership、变更频率、权限隔离、发布节奏和审计要求，而不是看团队偏好的 Git 管理方式。 @@ -11837,7 +12274,7 @@ baselineThirdPartyRiskLedger: starter kit 校验命令 ``` -该命令是仓库内零依赖 starter gate，用于校验版本清单、控制项覆盖清单、100 组示例的 JSON Schema 子集、YAML 示例、嵌套必填字段、格式约束、数值阈值、严格 schema 模式、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线符合性声明、基线发布列车、基线支持矩阵、基线采纳总账、基线兼容性总账、基线发布证据包、版本控制面、外部标准版本锁定、企业执行控制面、合规等级、门禁决策、仓库变更控制、远端保护漂移整改、访问复核、密钥轮换、漏洞修复、事故复盘、证据新鲜度、AI 证据账本、微调运行证据、AI 事件响应 playbook、控制证据映射、审计导出清单、审计导出自动化命令、控制评估报告、架构基线变更记录、架构决策记录、OSCAL 交换映射、POA&M 整改计划、企业架构风险登记、审计导出门禁、审计导出完整性清单、审计导出 provenance statement、审计导出签名策略、审计导出签名验签回执、未知字段阻断、证据链字段和示例间一致性。企业生产落地时应优先接入成熟校验器，例如 JSON Schema draft 2020-12 validator、YAML parser、OpenAPI / AsyncAPI checker、OPA / Cedar / Kyverno policy test、SLSA / Sigstore verifier、OpenTelemetry collector、OpenCost / FOCUS 工具链、IAM / Secret 管理系统、漏洞管理平台、事故管理系统、OSCAL 工具链、GitOps diff 工具、Kubernetes admission policy test、Kubernetes audit log checker、Kyverno PolicyReport checker、OPA decision log checker、Prometheus rule checker 和 Alertmanager route checker；本仓库脚本只作为 starter kit 的最小可执行证明。 +该命令是仓库内零依赖 starter gate，用于校验版本清单、控制项覆盖清单、101 组示例的 JSON Schema 子集、YAML 示例、嵌套必填字段、格式约束、数值阈值、严格 schema 模式、基线运营韧性与重要业务服务影响容忍总账、基线第三方与关键供应商风险总账、基线数据驻留与跨境处理总账、基线共享责任与继承控制总账、基线独立控制保证抽样总账、基线连续控制监测总账、基线运行时准入决策总账、基线运行时准入回执、基线长期验签回执、基线证据不可变归档回执、干净环境基线重建回执、私有制品托管交接清单、审计导出排除清单、本地私有制品边界、基线迁移执行回执、基线迁移工作单、基线消费锁定文件、基线准入执行策略、基线撤销与隔离记录、基线发布事务回执、基线门禁执行报告、基线证据追踪图、基线会审裁决记录、基线 EOL 退役证书、基线状态对账报告、基线生命周期状态机、基线就绪评分卡、基线例外总账、基线回滚验证记录、基线通知确认总账、基线验证环境锁定、基线制品清单、基线符合性声明、基线发布列车、基线支持矩阵、基线采纳总账、基线兼容性总账、基线发布证据包、版本控制面、外部标准版本锁定、企业执行控制面、合规等级、门禁决策、仓库变更控制、远端保护漂移整改、访问复核、密钥轮换、漏洞修复、事故复盘、证据新鲜度、AI 证据账本、微调运行证据、AI 事件响应 playbook、控制证据映射、审计导出清单、审计导出自动化命令、控制评估报告、架构基线变更记录、架构决策记录、OSCAL 交换映射、POA&M 整改计划、企业架构风险登记、审计导出门禁、审计导出完整性清单、审计导出 provenance statement、审计导出签名策略、审计导出签名验签回执、未知字段阻断、证据链字段和示例间一致性。企业生产落地时应优先接入成熟校验器，例如 JSON Schema draft 2020-12 validator、YAML parser、OpenAPI / AsyncAPI checker、OPA / Cedar / Kyverno policy test、SLSA / Sigstore verifier、OpenTelemetry collector、OpenCost / FOCUS 工具链、IAM / Secret 管理系统、漏洞管理平台、事故管理系统、OSCAL 工具链、GitOps diff 工具、Kubernetes admission policy test、Kubernetes audit log checker、Kyverno PolicyReport checker、OPA decision log checker、Prometheus rule checker 和 Alertmanager route checker；本仓库脚本只作为 starter kit 的最小可执行证明。 审计导出包由以下命令生成： @@ -11912,6 +12349,7 @@ governance/evidence/baselines/{baseline-control-assurance-sampling-ledger}.yaml governance/evidence/baselines/{baseline-control-inheritance-ledger}.yaml governance/evidence/baselines/{baseline-data-residency-transfer-ledger}.yaml governance/evidence/baselines/{baseline-third-party-risk-ledger}.yaml +governance/evidence/baselines/{baseline-operational-resilience-ledger}.yaml governance/evidence/compatibility/{baseline-compatibility-ledger}.yaml governance/evidence/adoption/{baseline-adoption-ledger}.yaml governance/evidence/support/{baseline-support-matrix}.yaml @@ -12018,6 +12456,7 @@ starter kit 校验命令 55. 基线共享责任与继承控制总账、控制责任类型、继承方、提供方证据、消费者义务、继承条件、有效期、无 owner 控制和失效阻断检查。 56. 基线数据驻留与跨境处理总账、数据类别、允许区域、实际处理位置、传输机制、子处理方、补充措施、区域漂移和删除传播检查。 57. 基线第三方与关键供应商风险总账、供应商分级、合同控制、DPA/SLA、审计权、保证报告、数据类别、集中度、退出计划、替代路径、连续性、供应商事件和失效阻断检查。 +58. 基线运营韧性与重要业务服务影响容忍总账、重要业务服务、影响容忍、BIA、端到端依赖、严重但合理场景测试、恢复结果、人工替代、沟通计划、第三方依赖、韧性缺口和超限升级检查。 ### 10.13.2 审计证据索引 @@ -12056,6 +12495,7 @@ starter kit 校验命令 | 基线共享责任与继承控制证据 | 公共控制、继承控制、共享责任、消费者义务、提供方证据、有效期、失效条件、例外和审计映射 | 治理团队、平台团队、领域团队、云平台团队、第三方管理团队、安全团队和审计团队 | 覆盖每次 baseline/frozen 晋级、资产符合性声明、平台公共控制变更、第三方证据到期和正式审计导出 | | 基线数据驻留与跨境处理证据 | 数据类别、监管区域、实际处理区域、备份/日志/RAG/模型供应商位置、传输机制、子处理方、补充保护措施和删除传播 | 隐私治理团队、数据团队、AI 团队、平台团队、安全团队、法务团队和审计团队 | 覆盖每次 baseline/frozen 晋级、数据产品发布、AI 产品发布、RAG 索引变更、供应商变更、子处理方到期和正式审计导出 | | 基线第三方与关键供应商风险证据 | 供应商分级、服务范围、受影响资产、数据类别、合同控制、DPA/SLA、审计权、保证报告、集中度、退出计划、替代路径、连续性和供应商事件状态 | 第三方风险团队、采购团队、法务团队、安全团队、平台团队、数据团队、AI 团队、SRE 和审计团队 | 覆盖每次 baseline/frozen 晋级、关键供应商接入、合同续期、保证报告到期、供应商事件、集中度变化、AI 模型供应商变更和正式审计导出 | +| 基线运营韧性与重要业务服务影响容忍证据 | 重要业务服务、影响容忍、BIA、端到端依赖、严重但合理场景、恢复结果、人工替代、沟通计划、第三方依赖、AI 依赖、韧性缺口和超限升级状态 | 运营韧性团队、业务 owner、SRE、平台团队、数据团队、AI 团队、第三方风险团队、安全团队、法务团队、风险团队和审计团队 | 覆盖每次 baseline/frozen 晋级、重要业务服务变更、重大依赖变更、场景测试、实际事故、near miss、影响容忍超限、韧性缺口关闭和正式审计导出 | | 控制评估证据 | 控制结果、发现项、整改、剩余风险、签署和下次评估日期 | 治理团队和独立评估人 | 覆盖每个基线版本和正式审计周期 | | 基线变更证据 | 版本、前序版本、影响分析、审批、验证命令、回滚和留存复审 | 治理团队和架构组 | 覆盖每次基线升级 | | OSCAL 交换证据 | OSCAL 模型映射、导出摘要、控制目录、评估结果、POA&M 状态和风险登记状态 | 治理团队和安全团队 | 覆盖每次正式审计导出 | @@ -12549,6 +12989,7 @@ governance/evidence/baselines/baseline-control-assurance-sampling-ledger.yaml governance/evidence/baselines/baseline-control-inheritance-ledger.yaml governance/evidence/baselines/baseline-data-residency-transfer-ledger.yaml governance/evidence/baselines/baseline-third-party-risk-ledger.yaml +governance/evidence/baselines/baseline-operational-resilience-ledger.yaml governance/evidence/migrations/baseline-migration-execution-receipt.yaml governance/evidence/migrations/baseline-migration-work-order.yaml governance/evidence/baselines/README.md @@ -12634,6 +13075,7 @@ infra/gitops/environments/prod/example/example-service/kustomization.yaml 49. 所有 L3 / L4 企业级基线都有基线共享责任与继承控制总账，能证明 inherited、shared、provider-managed、domain-owned 和 consumer-owned 控制责任不会互相覆盖。 50. 所有 L3 / L4 企业级基线都有基线数据驻留与跨境处理总账，能证明数据实际处理区域、跨境传输机制、子处理方、模型供应商区域和删除传播不会旁路隐私影响评估。 51. 所有 L3 / L4 企业级基线都有基线第三方与关键供应商风险总账，能证明关键供应商、SaaS、云平台、ICT 服务商、模型供应商、外包方和子处理方具备合同控制、审计权、保证报告、集中度、退出计划、替代路径和连续性证据。 +52. 所有 L3 / L4 企业级基线都有基线运营韧性与重要业务服务影响容忍总账，能证明重要业务服务、影响容忍、BIA、端到端依赖、场景测试、恢复能力、人工替代、沟通计划、第三方和 AI 依赖以及超限升级证据。 --- @@ -12684,6 +13126,7 @@ infra/gitops/environments/prod/example/example-service/kustomization.yaml | 继承控制责任漂移 | 平台公共控制、云/第三方控制或共享控制被资产口头继承，消费者义务缺失，继承证据过期后仍放行 | 用基线共享责任与继承控制总账绑定控制承担方、继承方、消费者义务、继承条件、有效期、失效条件、例外和审计映射 | | 数据驻留事实漂移 | 隐私影响评估通过，但实际备份、日志、RAG 索引、模型供应商或人工支持访问落在未批准区域，跨境传输机制和子处理方证据缺失 | 用基线数据驻留与跨境处理总账绑定数据类别、实际区域、传输机制、子处理方、补充保护措施、删除传播和区域漂移阻断 | | 第三方供应商风险失控 | 关键供应商、SaaS、云平台、ICT 服务商、模型供应商、外包方或子处理方未分级，合同控制、审计权、保证报告、集中度、退出计划、替代路径和事件状态不可证明 | 用基线第三方与关键供应商风险总账绑定供应商关键性、服务范围、合同/DPA/SLA、审计权、保证报告、数据类别、集中度阈值、退出演练、替代路径、供应商事件和 POA&M 阻断 | +| 运营韧性空心化 | 系统有 SLO、RTO/RPO 和恢复演练，但重要业务服务、影响容忍、BIA、端到端依赖、严重但合理场景和超限升级不可证明 | 用基线运营韧性与重要业务服务影响容忍总账绑定业务服务、影响容忍、依赖图、场景测试、恢复结果、人工替代、沟通计划、第三方/AI 依赖和韧性缺口阻断 | | 消费锁缺失 | 资产只声明 `V2.x` 或某个自然语言版本，未锁定 baseline ID、source commit、release tag 和关键证据摘要，导致审计无法证明实际消费的是哪条基线 | 用基线消费锁定文件在资产仓库本地固定不可变引用，并由准入策略、状态对账、证据追踪图、catalog、GitOps 和采纳总账共同校验 | | 迁移工单空心化 | 采纳总账显示要迁移或已迁移，但没有逐资产执行步骤、消费锁更新、GitOps 变更、验收证据和回滚动作 | 用基线迁移工作单驱动迁移执行，并要求 release gate、状态对账、证据追踪图和采纳总账共同校验完成状态 | | 迁移回执空心化 | 迁移工作单显示 completed，但没有实际命令、actor、before/after 摘要、GitOps revision、catalog/lock diff、验收日志或回滚验证 | 用基线迁移执行回执证明真实执行事实，并由准入策略、门禁执行报告、状态对账、证据追踪图和审计导出共同校验 | @@ -12762,6 +13205,7 @@ infra/gitops/environments/prod/example/example-service/kustomization.yaml 48. 任意 L3 / L4 企业级基线都能证明共享控制和继承控制具备明确责任边界，且继承条件、消费者义务、证据有效期、失效阻断、例外和审计映射已经闭环。 49. 任意 L3 / L4 企业级基线都能证明数据驻留和跨境处理具备事实级证据，且存储、处理、备份、日志、向量索引、模型供应商、人工支持访问、子处理方和删除传播没有未批准漂移。 50. 任意 L3 / L4 企业级基线都能证明关键供应商和 ICT / SaaS / 云 / 模型 / 外包 / 子处理方依赖具备合同控制、审计权、保证报告、退出计划、替代路径、集中度阈值、连续性和供应商事件阻断闭环。 +51. 任意 L3 / L4 企业级基线都能证明重要业务服务已经识别，影响容忍已经批准，BIA、端到端依赖、场景测试、恢复能力、人工替代、沟通计划、第三方/AI 依赖和超限升级已经闭环。 --- @@ -12819,6 +13263,7 @@ infra/gitops/environments/prod/example/example-service/kustomization.yaml | NIST SP 800-53A / OSCAL Assessment Results | 控制评估不能只证明证据存在，还必须定义评估目标、测试方法、抽样、发现项、结果和可机读评估输出 | 增加 `baseline-control-assurance-sampling-ledger.yaml`，把独立评估人、控制总体、抽样计划、设计有效性、运行有效性、发现项、POA&M、风险接受和 OSCAL Assessment Results 绑定为基线晋级证据 | | NIST RMF / OSCAL Component Definition / FedRAMP Shared Responsibility | 企业控制不能只声明“已覆盖”，还必须区分公共控制、系统特定控制、继承控制、共享控制、云服务商责任、平台责任和消费者配置义务 | 增加 `baseline-control-inheritance-ledger.yaml`，把 provider-managed、platform-managed、inherited、shared、domain-owned、consumer-owned 和 third-party-managed 控制责任、继承条件、证据有效期、消费者义务、失效条件和审计映射纳入基线晋级证据 | | NIST C-SCRM / CISA ICT SCRM / EU DORA ICT Third-Party Risk | 关键供应商、ICT 服务、云、SaaS、模型供应商和外包依赖不能只停留在采购或合同台账，需要风险分级、合同控制、保证证据、集中度、退出计划和持续监测 | 增加 `baseline-third-party-risk-ledger.yaml`，把供应商分级、服务范围、受影响资产、数据类别、合同/DPA/SLA、审计权、保证报告、集中度阈值、退出计划、替代路径、连续性、供应商事件和 POA&M 阻断纳入基线晋级证据 | +| FCA / PRA Operational Resilience / NIST SP 800-34 / ISO 22301 / EU DORA | 运营韧性不能只停留在系统灾备、SLO 或供应商风险，需要先识别重要业务服务，定义影响容忍，完成 BIA 和依赖映射，并用严重但合理场景测试证明业务影响仍在容忍边界内 | 增加 `baseline-operational-resilience-ledger.yaml`，把重要业务服务、影响容忍、BIA、端到端依赖、场景测试、恢复能力、人工替代、沟通计划、第三方/AI 依赖、韧性缺口、POA&M 和超限升级纳入基线晋级证据 | | Kubernetes Secrets | Kubernetes Secret 需要加密、访问控制、轮换和外部密钥系统配合 | 增加 `secrets-rotation-evidence.yaml`、KMS、轮换和泄露扫描证据 | | CISA KEV Catalog | 已知被利用漏洞需要优先、限期、可证明地处置 | 增加 `vulnerability-remediation-evidence.yaml`、KEV 状态、修复 SLA 和残余风险 | | SLSA / SBOM / Sigstore / RFC 3161 | 现代供应链安全必须证明构建来源、依赖、产物、签名验签链路、长期验签材料、坏基线撤销链路、消费端摘要锁定、迁移执行事实、本地私有制品排除、私有托管取回、干净环境重建、不可变证据留存、签名 payload 排除、发布准入和运行时准入阻断链路 | 增加 SBOM、provenance、签名、验签、基线长期验签回执、基线运行时准入回执、基线准入执行策略、基线消费锁定文件、基线迁移工作单、基线迁移执行回执、本地私有制品边界、审计导出排除清单、私有制品托管交接清单、干净环境基线重建回执、基线证据不可变归档回执、证据追踪图、门禁执行报告、发布事务回执、撤销隔离记录、发布准入和 Kubernetes admission 阻断 | @@ -12966,6 +13411,8 @@ infra/gitops/environments/prod/example/example-service/kustomization.yaml - NIST SP 800-61 Rev. 2: Computer Security Incident Handling Guide +- NIST SP 800-34 Rev. 1: Contingency Planning Guide for Federal Information Systems + - NIST SP 800-37 Rev. 2: Risk Management Framework for Information Systems and Organizations - NIST SP 800-161 Rev. 1: Cybersecurity Supply Chain Risk Management Practices @@ -12992,6 +13439,10 @@ infra/gitops/environments/prod/example/example-service/kustomization.yaml - EBA: DORA Oversight +- Bank of England / PRA: Operational resilience impact tolerances for important business services + +- ISO 22301 Business Continuity Management Systems + - ISO/IEC 42001 Artificial Intelligence Management System - European Commission: AI Act