CIS Controls v8.1 全 153 个 Safeguard 落地全解——13,020 条 PRD 需求、证据与边界（2026 年 7 月）

O01目标与决策. 为“企业资产总账”定义用户、业务与风险结果，明确该 Safeguard 保护的决策以及可以被观察到的状态变化。

O02目标与决策. 每条需求都绑定 CIS Safeguard 1.1、官方资产类别“设备”、安全功能“识别”和首次出现的 IG1，并保存来源抓取日期。

O03目标与决策. 以这条原创本地范围判断为起点：“范围包括一切能够存储或处理企业数据的设备：受管与非受管终端、服务器、网络设备、虚机、云实例、容器宿主与控制面、移动设备、IoT/OT、实验设备，以及经常接入的第三方设备。”把其中每类对象转成可查询总体或经过批准的适用性决定。

O04目标与决策. 分别保存规范意图、设计批准、部署、证据新鲜、正向控制、反向控制、例外和实际运行结果状态。

O05目标与决策. 把“企业资产总账”连接到其运营对象——物理、虚拟、云、移动、IoT/OT、实验环境以及经常接入的第三方企业资产——并为每个终态定义安全决策、业务后果和残余风险。

O06目标与决策. 对“企业资产总账”，以 已观测、已批准、未批准、无责任人、陈旧、重复和已退役对象身份 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

O07目标与决策. 对“企业资产总账”的扩展范围，通过显式风险决策解决安全、安全生产、隐私、法律、可用性、客户和运营目标冲突。

P01总体与适用性. 计算覆盖率前先建立权威分母，记录查询、责任人、采集时间、租户、环境、纳入项、排除项和未解决对象。

P02总体与适用性. 只要 Safeguard 所指对象存在，就评估本地、IaaS/PaaS/SaaS 云、移动、远程、IoT/OT、构建、备份、提供商和 AI 场景。

P03总体与适用性. 把空总体、发现失败、平台不支持、提供商证据不可得和经批准不适用分别记录为五种结果。

P04总体与适用性. 执行双向抽样：权威台账到真实环境、真实环境到权威台账；保留缺失、重复、陈旧、孤儿和跨租户结果。

P05总体与适用性. 解决 休眠、短生、离线、未托管、重复、共享地址以及安全关键资产 的适用性；每种边缘情形都获得有证据的适用、不适用、未知或有期限例外结果。

P06总体与适用性. 把 休眠、短生、离线、外部托管、提供商持有、别名、克隆和跨租户对象 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

P07总体与适用性. 按企业、业务服务、租户、环境、平台、对象、身份、数据集和交易定义嵌套范围，禁止父级结果遮蔽失败子级。

W01责任与审批. 为该 Safeguard 指定业务最终责任人、运营责任人、证据责任人、例外审批人、独立复核人和升级接收人。

W02责任与审批. 定义谁能创建、变更、批准、执行、暂停、回滚、续期例外和关闭实施，阻止同一主体独自批准所有阶段。

W03责任与审批. 外包运营仍指定内部最终责任人，并列出提供商操作方、租户管理员、证据提供方、通知路径和合同缺口。

W04责任与审批. 定义委派、备份人员、值班覆盖、事件期间决策权限，以及责任人离职或不可用时的交接测试。

W05责任与审批. 为 资产责任人、平台与网络运营方、采购和安全运营 定义该 Safeguard 的 RACI，并指定解决来源或风险决策冲突的权威方。

W06责任与审批. 明确谁能转换 发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役，谁批准、谁提供证据、谁独立复核。

W07责任与审批. 建模委派权限、必要时的双人或法定人数审批、升级期限、提供商交接、冲突解决和管理层风险接受。

D01数据契约与身份. 定义稳定对象身份、别名、父子关系、租户与环境键、来源、首次/最后观测时间、责任人、状态和墓碑规则。

D02数据契约与身份. 对模式与归一化规则做版本管理；每个关键决策字段保留原始来源标识、采集时间、解析器版本、置信度和旧值。

D03数据契约与身份. 把固定 CAS 变量集合（GV1, GV2, M1, M2, M3, M4, M5, M6, M7, M8）映射到本地字段；不可获得的变量逐项标记为不支持、不适用或未知并说明原因。

D04数据契约与身份. 在仪表盘或自动化消费前，定义空值、零、重复、陈旧、删除、不可达、部分观测和来源冲突语义。

D05数据契约与身份. 把经过多源对账的企业资产权威台账作为受治理当前状态记录，保存身份、责任人、来源、旧/新状态、原因、执行人、时间和例外关联。

D06数据契约与身份. 对生命周期“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

D07数据契约与身份. 对模式和状态转换做版本管理，定义迁移、回填、去重、血缘、历史分母、删除和回滚语义。

I01依赖与集成. 记录 固定 CAS 页面没有列出显式前置项 的前置状态；补充本地必需依赖，并解释每项省略或替代的前置条件。

I02依赖与集成. 每个 API、代理、文件、消息、人工确认或提供商导出都定义认证、授权、模式、分页、限流、重放、幂等和错误处理。

I03依赖与集成. 在每次连接和归一化中保留租户、地域、环境、对象身份、来源事件时间、采集时间和来源健康状态。

I04依赖与集成. 为提供商中断、凭据过期、网络分区、模式漂移、延迟交付、部分结果和人工运行定义回退与对账路径。

I05依赖与集成. 对账 采购、EDR/MDM、虚拟化平台、云清单、DHCP/IPAM、网络发现与报废记录，逐来源暴露健康、延迟、置信度、遗漏和冲突解决结果。

I06依赖与集成. 承载 已观测、已批准、未批准、无责任人、陈旧、重复和已退役对象身份 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

I07依赖与集成. 定义冲突来源的一致性、优先级、置信度、对账队列、死信、重处理和端到端追踪身份。

C01控制流与执行. 以这条实施判断为控制流锚点：“指定一个资产权威台账，持续对账采购、MDM/EDR、虚拟化、云组织与账号、网络发现、DHCP/IPAM 和报废记录。”拆成输入、校验、决策、动作、记录结果和关闭状态。

C02控制流与执行. 明确最近且可靠的策略、流程、配置、身份、网络、应用、数据、提供商或人工决策点，由它真正改变受保护状态。

C03控制流与执行. 按需定义允许、拒绝、遏制、隔离、延后、例外、未知、失败、已回滚和已关闭结果；每种结果都有责任人与下一动作。

C04控制流与执行. 为自动与人工执行定义校验、授权、幂等、重试、去重、并发、事务边界、回滚和补偿动作。

C05控制流与执行. 在经过多源对账的企业资产权威台账中实现状态转换，保存精确运营控制点、策略或程序版本、结果和下游更新。

C06控制流与执行. 实现显式状态机“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

C07控制流与执行. 定义并发决策、部分成功、补偿事务、重复请求、陈旧策略、依赖中断和中途状态转换恢复。

T01时序与生命周期. 保留固定官方描述中的频率术语（bi-annually, annually）；当资产变化、暴露、安全生产或威胁后果要求更快时定义本地 SLO。

T02时序与生命周期. 分别设置发现、摄取、决策、动作、责任人确认、证据新鲜度、例外复核、验证和最终关闭 SLO。

T03时序与生命周期. 保存事件时间、来源时区、采集时间、处理时间、决策时间和到期时间，定义时钟偏移、迟到、回填和夏令时处理。

T04时序与生命周期. 架构、提供商、策略、软件、威胁、法规、责任、数据用途、事件或控制来源发生重大变化时提前复核。

T05时序与生命周期. 根据 物理、虚拟、云、移动、IoT/OT、实验环境以及经常接入的第三方企业资产 的变化速度设置新鲜度和动作 SLO，把来源年龄、队列年龄、例外年龄和关闭年龄分开。

T06时序与生命周期. 为“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

T07时序与生命周期. 把端到端 SLO 预算分配到发现、采集、处理、审批、执行、验证和关闭，并按后果与暴露排列逾期工作。

X01例外与失效模式. 把这条失效边界判断作为强制例外测试：“扫描器没看到不代表资产不存在；休眠笔记本、私网、Serverless、SaaS 租户、隔离 OT 和出差设备要靠别的来源。”其中每种条件都转成可检测状态和响应。

X02例外与失效模式. 例外必须包含范围、精确对象、责任人、原因、威胁与业务后果、补偿控制、证据、起止时间、复核触发器和经过测试的退出。

X03例外与失效模式. 按需定义故障开放、故障关闭、安全失效、部分、未知、陈旧、提供商不支持、安全生产约束、隐私约束和紧急状态。

X04例外与失效模式. 到期或补偿控制减弱的例外回到失败；同一对象或获取路径在关闭后复发时重开根因。

X05例外与失效模式. 把 休眠、短生、离线、未托管、重复、共享地址以及安全关键资产 作为设计内异常路径，每项都有责任人、补偿控制、期限、安全或业务约束和复测。

X06例外与失效模式. 把 休眠、短生、离线、外部托管、提供商持有、别名、克隆和跨租户对象 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

X07例外与失效模式. 演练例外、陈旧来源、提供商中断、责任人不可用和控制降级同时出现的复合故障，明确一条安全指令和一个责任决策。

E01证据与指标. 以这条验证判断作为首份验收回执：“用独立拼出的“应有资产总体”同时检验覆盖率和字段质量。”保留输入、步骤、预期结果、实际结果、执行人、时间和制品身份。

E02证据与指标. 把分子和分母发布为可下钻对象集，包含查询版本、采集时间、排除项、未知项、重复项、陈旧记录和空总体规则。

E03证据与指标. 自动评分前对账固定 CAS 的 2 个指标分支、10 个命名度量或全局变量、假设状态和本地运行有效性证据。

E04证据与指标. 保留配置或程序版本、来源回执、正反向结果、例外证据、复核人身份、完整性哈希、保留类别和重放步骤。

E05证据与指标. 以经过多源对账的企业资产权威台账和独立来源回执计算覆盖与有效性，分别报告未知、陈旧、冲突、失败和例外对象。

E06证据与指标. 发布 匹配、缺失、重复、陈旧、无责任人、未批准、不可评估及无证明退役数量，附查询版本、分母时间、排除项、未知项和下钻回执。

E07证据与指标. 要求独立人员使用来源回执重建决策，并复现总体、状态转换、计算、测试结果、例外和最终关闭。

S01安全、隐私与韧性. 对权威数据、连接器、策略引擎、证据库、例外流程、破窗路径和管理恢复应用最小权限与职责分离。

S02安全、隐私与韧性. 在需求、遥测、测试、截图、导出和公开证据中最小化秘密、个人与受监管数据，并定义脱敏和受控原始证据访问。

S03安全、隐私与韧性. 通过独立保管、必要时的不可变历史和证据路径停用告警，保护策略、状态、时间、日志、测试与审批免受篡改。

S04安全、隐私与韧性. 定义容量、配额、依赖、地域、提供商、离线和灾难行为，并保留经过测试的降级决策与恢复路径。

S05安全、隐私与韧性. 保护经过多源对账的企业资产权威台账的写入与审批权限，监测特权变更、导出、删除、来源停用和恢复。

S06安全、隐私与韧性. 限制改变“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”的权限，记录特权变更，保护证据历史并测试管理恢复。

S07安全、隐私与韧性. 威胁建模实施系统自身：伪造证据、污染清单、权限滥用、跨租户混淆、策略回滚、审计删除、拒绝服务和恢复失陷。

V01验证与对抗测试. 让合法正向控制走完真实或生产等价路径，同时验证业务成功和完整证据回执。

V02验证与对抗测试. 执行未授权或无效反向控制，并加入陈旧、重复、畸形、乱序、跨租户和绕过变体，验证预期拒绝或安全处置。

V03验证与对抗测试. 注入来源、凭据、解析器、策略、网络、提供商、队列、存储、时钟、复核人和回滚故障，验证健康检测与声明的降级状态。

V04验证与对抗测试. 采用风险分层平台样本，覆盖关键、常见、例外、刚变更、提供商托管、安全关键、远程和短生总体。

V05验证与对抗测试. 在代表性平台演练 已批准与未授权的植入资产、突然消失的资产、重复身份和失效的发现源，验证业务行为、控制决策、遥测、案件流程、回滚和最终状态。

V06验证与对抗测试. 运行正向控制“从两个独立来源对账的一项植入已批准对象”，并执行包含“未知对象、重复身份、陈旧记录、突然消失对象、失效来源和跨租户碰撞”的反向、陈旧、重复、绕过和中断控制。

V07验证与对抗测试. 建立平台—故障两两组合矩阵，再加入高后果多因素案例、历史回归、来源替换、红队挑战和评估方重放。

R01运营、变更与收口. 按设计、观察、金丝雀、强制和扩展阶段发布，每阶段都有进入/退出条件、业务正向、反向控制、例外准备和已测试回滚。

R02运营、变更与收口. 监测总体增长、来源健康、证据陈旧、动作失败、积压年龄、例外到期、控制绕过、误报、漏报和复发根因。

R03运营、变更与收口. 来源、解析器、策略、责任人、提供商、架构、软件、数据用途或威胁变化后，使受影响回执失效；保留历史并显示当前为陈旧。

R04运营、变更与收口. 只有受保护状态已改变、证据新鲜、正反向控制通过、下游权威对账、残余风险已记录且复发监测已启用时才关闭。

R05运营、变更与收口. 当 采购、EDR/MDM、虚拟化平台、云清单、DHCP/IPAM、网络发现与报废记录 的责任、模式、覆盖、提供商、策略或平台版本变化时重新对账并重跑受影响测试。

R06运营、变更与收口. 用 匹配、缺失、重复、陈旧、无责任人、未批准、不可评估及无证明退役数量 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

R07运营、变更与收口. 采用金丝雀、停止标准、回滚、积压燃尽、例外缩减、来源质量目标、季度设计复核和可量化退役计划。

O01目标与决策. 为“处置未授权资产”定义用户、业务与风险结果，明确该 Safeguard 保护的决策以及可以被观察到的状态变化。

O02目标与决策. 每条需求都绑定 CIS Safeguard 1.2、官方资产类别“设备”、安全功能“响应”和首次出现的 IG1，并保存来源抓取日期。

O03目标与决策. 以这条原创本地范围判断为起点：“总体是所有未处于批准状态的资产，包括未知硬件、未管虚机、遗留云资源、私接无线设备，以及从未批准路径接入的已批准设备。”把其中每类对象转成可查询总体或经过批准的适用性决定。

O04目标与决策. 分别保存规范意图、设计批准、部署、证据新鲜、正向控制、反向控制、例外和实际运行结果状态。

O05目标与决策. 把“处置未授权资产”连接到其运营对象——物理、虚拟、云、移动、IoT/OT、实验环境以及经常接入的第三方企业资产——并为每个终态定义安全决策、业务后果和残余风险。

O06目标与决策. 对“处置未授权资产”，以 已观测、已批准、未批准、无责任人、陈旧、重复和已退役对象身份 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

P01总体与适用性. 计算覆盖率前先建立权威分母，记录查询、责任人、采集时间、租户、环境、纳入项、排除项和未解决对象。

P02总体与适用性. 只要 Safeguard 所指对象存在，就评估本地、IaaS/PaaS/SaaS 云、移动、远程、IoT/OT、构建、备份、提供商和 AI 场景。

P03总体与适用性. 把空总体、发现失败、平台不支持、提供商证据不可得和经批准不适用分别记录为五种结果。

P04总体与适用性. 执行双向抽样：权威台账到真实环境、真实环境到权威台账；保留缺失、重复、陈旧、孤儿和跨租户结果。

P05总体与适用性. 解决 休眠、短生、离线、未托管、重复、共享地址以及安全关键资产 的适用性；每种边缘情形都获得有证据的适用、不适用、未知或有期限例外结果。

P06总体与适用性. 把 休眠、短生、离线、外部托管、提供商持有、别名、克隆和跨租户对象 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

W01责任与审批. 为该 Safeguard 指定业务最终责任人、运营责任人、证据责任人、例外审批人、独立复核人和升级接收人。

W02责任与审批. 定义谁能创建、变更、批准、执行、暂停、回滚、续期例外和关闭实施，阻止同一主体独自批准所有阶段。

W03责任与审批. 外包运营仍指定内部最终责任人，并列出提供商操作方、租户管理员、证据提供方、通知路径和合同缺口。

W04责任与审批. 定义委派、备份人员、值班覆盖、事件期间决策权限，以及责任人离职或不可用时的交接测试。

W05责任与审批. 为 资产责任人、平台与网络运营方、采购和安全运营 定义该 Safeguard 的 RACI，并指定解决来源或风险决策冲突的权威方。

W06责任与审批. 明确谁能转换 发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役，谁批准、谁提供证据、谁独立复核。

D01数据契约与身份. 定义稳定对象身份、别名、父子关系、租户与环境键、来源、首次/最后观测时间、责任人、状态和墓碑规则。

D02数据契约与身份. 对模式与归一化规则做版本管理；每个关键决策字段保留原始来源标识、采集时间、解析器版本、置信度和旧值。

D03数据契约与身份. 把固定 CAS 变量集合（GV1, GV2, M1, M2, M3, M4, M5）映射到本地字段；不可获得的变量逐项标记为不支持、不适用或未知并说明原因。

D04数据契约与身份. 在仪表盘或自动化消费前，定义空值、零、重复、陈旧、删除、不可达、部分观测和来源冲突语义。

D05数据契约与身份. 把经过多源对账的企业资产权威台账作为受治理当前状态记录，保存身份、责任人、来源、旧/新状态、原因、执行人、时间和例外关联。

D06数据契约与身份. 对生命周期“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

I01依赖与集成. 记录 Safeguard 1.1 的前置状态；补充本地必需依赖，并解释每项省略或替代的前置条件。

I02依赖与集成. 每个 API、代理、文件、消息、人工确认或提供商导出都定义认证、授权、模式、分页、限流、重放、幂等和错误处理。

I03依赖与集成. 在每次连接和归一化中保留租户、地域、环境、对象身份、来源事件时间、采集时间和来源健康状态。

I04依赖与集成. 为提供商中断、凭据过期、网络分区、模式漂移、延迟交付、部分结果和人工运行定义回退与对账路径。

I05依赖与集成. 对账 采购、EDR/MDM、虚拟化平台、云清单、DHCP/IPAM、网络发现与报废记录，逐来源暴露健康、延迟、置信度、遗漏和冲突解决结果。

I06依赖与集成. 承载 已观测、已批准、未批准、无责任人、陈旧、重复和已退役对象身份 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

C01控制流与执行. 以这条实施判断为控制流锚点：“至少每周把资产台账与 NAC、MDM、EDR、云和网络观测合并成处置队列。”拆成输入、校验、决策、动作、记录结果和关闭状态。

C02控制流与执行. 明确最近且可靠的策略、流程、配置、身份、网络、应用、数据、提供商或人工决策点，由它真正改变受保护状态。

C03控制流与执行. 按需定义允许、拒绝、遏制、隔离、延后、例外、未知、失败、已回滚和已关闭结果；每种结果都有责任人与下一动作。

C04控制流与执行. 为自动与人工执行定义校验、授权、幂等、重试、去重、并发、事务边界、回滚和补偿动作。

C05控制流与执行. 在经过多源对账的企业资产权威台账中实现状态转换，保存精确运营控制点、策略或程序版本、结果和下游更新。

C06控制流与执行. 实现显式状态机“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

T01时序与生命周期. 保留固定官方描述中的频率术语（weekly）；当资产变化、暴露、安全生产或威胁后果要求更快时定义本地 SLO。

T02时序与生命周期. 分别设置发现、摄取、决策、动作、责任人确认、证据新鲜度、例外复核、验证和最终关闭 SLO。

T03时序与生命周期. 保存事件时间、来源时区、采集时间、处理时间、决策时间和到期时间，定义时钟偏移、迟到、回填和夏令时处理。

T04时序与生命周期. 架构、提供商、策略、软件、威胁、法规、责任、数据用途、事件或控制来源发生重大变化时提前复核。

T05时序与生命周期. 根据 物理、虚拟、云、移动、IoT/OT、实验环境以及经常接入的第三方企业资产 的变化速度设置新鲜度和动作 SLO，把来源年龄、队列年龄、例外年龄和关闭年龄分开。

T06时序与生命周期. 为“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

X01例外与失效模式. 把这条失效边界判断作为强制例外测试：“休眠、漫游、关机和被分段隔离的设备，在确认保管或强制策略前仍是开放事项。”其中每种条件都转成可检测状态和响应。

X02例外与失效模式. 例外必须包含范围、精确对象、责任人、原因、威胁与业务后果、补偿控制、证据、起止时间、复核触发器和经过测试的退出。

X03例外与失效模式. 按需定义故障开放、故障关闭、安全失效、部分、未知、陈旧、提供商不支持、安全生产约束、隐私约束和紧急状态。

X04例外与失效模式. 到期或补偿控制减弱的例外回到失败；同一对象或获取路径在关闭后复发时重开根因。

X05例外与失效模式. 把 休眠、短生、离线、未托管、重复、共享地址以及安全关键资产 作为设计内异常路径，每项都有责任人、补偿控制、期限、安全或业务约束和复测。

X06例外与失效模式. 把 休眠、短生、离线、外部托管、提供商持有、别名、克隆和跨租户对象 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

E01证据与指标. 以这条验证判断作为首份验收回执：“在测试范围接入未授权设备并创建未授权云实例，验证发现、工单、所有可达路径上的隔离和最终台账更新。”保留输入、步骤、预期结果、实际结果、执行人、时间和制品身份。

E02证据与指标. 把分子和分母发布为可下钻对象集，包含查询版本、采集时间、排除项、未知项、重复项、陈旧记录和空总体规则。

E03证据与指标. 自动评分前对账固定 CAS 的 1 个指标分支、7 个命名度量或全局变量、假设状态和本地运行有效性证据。

E04证据与指标. 保留配置或程序版本、来源回执、正反向结果、例外证据、复核人身份、完整性哈希、保留类别和重放步骤。

E05证据与指标. 以经过多源对账的企业资产权威台账和独立来源回执计算覆盖与有效性，分别报告未知、陈旧、冲突、失败和例外对象。

E06证据与指标. 发布 匹配、缺失、重复、陈旧、无责任人、未批准、不可评估及无证明退役数量，附查询版本、分母时间、排除项、未知项和下钻回执。

S01安全、隐私与韧性. 对权威数据、连接器、策略引擎、证据库、例外流程、破窗路径和管理恢复应用最小权限与职责分离。

S02安全、隐私与韧性. 在需求、遥测、测试、截图、导出和公开证据中最小化秘密、个人与受监管数据，并定义脱敏和受控原始证据访问。

S03安全、隐私与韧性. 通过独立保管、必要时的不可变历史和证据路径停用告警，保护策略、状态、时间、日志、测试与审批免受篡改。

S04安全、隐私与韧性. 定义容量、配额、依赖、地域、提供商、离线和灾难行为，并保留经过测试的降级决策与恢复路径。

S05安全、隐私与韧性. 保护经过多源对账的企业资产权威台账的写入与审批权限，监测特权变更、导出、删除、来源停用和恢复。

S06安全、隐私与韧性. 限制改变“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”的权限，记录特权变更，保护证据历史并测试管理恢复。

V01验证与对抗测试. 让合法正向控制走完真实或生产等价路径，同时验证业务成功和完整证据回执。

V02验证与对抗测试. 执行未授权或无效反向控制，并加入陈旧、重复、畸形、乱序、跨租户和绕过变体，验证预期拒绝或安全处置。

V03验证与对抗测试. 注入来源、凭据、解析器、策略、网络、提供商、队列、存储、时钟、复核人和回滚故障，验证健康检测与声明的降级状态。

V04验证与对抗测试. 采用风险分层平台样本，覆盖关键、常见、例外、刚变更、提供商托管、安全关键、远程和短生总体。

V05验证与对抗测试. 在代表性平台演练 已批准与未授权的植入资产、突然消失的资产、重复身份和失效的发现源，验证业务行为、控制决策、遥测、案件流程、回滚和最终状态。

V06验证与对抗测试. 运行正向控制“从两个独立来源对账的一项植入已批准对象”，并执行包含“未知对象、重复身份、陈旧记录、突然消失对象、失效来源和跨租户碰撞”的反向、陈旧、重复、绕过和中断控制。

R01运营、变更与收口. 按设计、观察、金丝雀、强制和扩展阶段发布，每阶段都有进入/退出条件、业务正向、反向控制、例外准备和已测试回滚。

R02运营、变更与收口. 监测总体增长、来源健康、证据陈旧、动作失败、积压年龄、例外到期、控制绕过、误报、漏报和复发根因。

R03运营、变更与收口. 来源、解析器、策略、责任人、提供商、架构、软件、数据用途或威胁变化后，使受影响回执失效；保留历史并显示当前为陈旧。

R04运营、变更与收口. 只有受保护状态已改变、证据新鲜、正反向控制通过、下游权威对账、残余风险已记录且复发监测已启用时才关闭。

R05运营、变更与收口. 当 采购、EDR/MDM、虚拟化平台、云清单、DHCP/IPAM、网络发现与报废记录 的责任、模式、覆盖、提供商、策略或平台版本变化时重新对账并重跑受影响测试。

R06运营、变更与收口. 用 匹配、缺失、重复、陈旧、无责任人、未批准、不可评估及无证明退役数量 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

O01目标与决策. 为“主动发现”定义用户、业务与风险结果，明确该 Safeguard 保护的决策以及可以被观察到的状态变化。

O02目标与决策. 每条需求都绑定 CIS Safeguard 1.3、官方资产类别“设备”、安全功能“检测”和首次出现的 IG2，并保存来源抓取日期。

O03目标与决策. 以这条原创本地范围判断为起点：“覆盖全部可安全扫描的路由网段、地址族、云网络和远程接入地址段，并明确排除、不可达和因安全原因不能主动扫描的区域。”把其中每类对象转成可查询总体或经过批准的适用性决定。

O04目标与决策. 分别保存规范意图、设计批准、部署、证据新鲜、正向控制、反向控制、例外和实际运行结果状态。

O05目标与决策. 把“主动发现”连接到其运营对象——物理、虚拟、云、移动、IoT/OT、实验环境以及经常接入的第三方企业资产——并为每个终态定义安全决策、业务后果和残余风险。

O06目标与决策. 对“主动发现”，以 已观测、已批准、未批准、无责任人、陈旧、重复和已退役对象身份 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

O07目标与决策. 对“主动发现”，以 所有预期发现视角、来源、任务、解析器和对账路径的覆盖 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

P01总体与适用性. 计算覆盖率前先建立权威分母，记录查询、责任人、采集时间、租户、环境、纳入项、排除项和未解决对象。

P02总体与适用性. 只要 Safeguard 所指对象存在，就评估本地、IaaS/PaaS/SaaS 云、移动、远程、IoT/OT、构建、备份、提供商和 AI 场景。

P03总体与适用性. 把空总体、发现失败、平台不支持、提供商证据不可得和经批准不适用分别记录为五种结果。

P04总体与适用性. 执行双向抽样：权威台账到真实环境、真实环境到权威台账；保留缺失、重复、陈旧、孤儿和跨租户结果。

P05总体与适用性. 解决 休眠、短生、离线、未托管、重复、共享地址以及安全关键资产 的适用性；每种边缘情形都获得有证据的适用、不适用、未知或有期限例外结果。

P06总体与适用性. 把 休眠、短生、离线、外部托管、提供商持有、别名、克隆和跨租户对象 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

P07总体与适用性. 把 不可达区域、短生对象、盲区、限流、凭据失败、加密或专有协议和静默传感器 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

W01责任与审批. 为该 Safeguard 指定业务最终责任人、运营责任人、证据责任人、例外审批人、独立复核人和升级接收人。

W02责任与审批. 定义谁能创建、变更、批准、执行、暂停、回滚、续期例外和关闭实施，阻止同一主体独自批准所有阶段。

W03责任与审批. 外包运营仍指定内部最终责任人，并列出提供商操作方、租户管理员、证据提供方、通知路径和合同缺口。

W04责任与审批. 定义委派、备份人员、值班覆盖、事件期间决策权限，以及责任人离职或不可用时的交接测试。

W05责任与审批. 为 资产责任人、平台与网络运营方、采购和安全运营 定义该 Safeguard 的 RACI，并指定解决来源或风险决策冲突的权威方。

W06责任与审批. 明确谁能转换 发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役，谁批准、谁提供证据、谁独立复核。

W07责任与审批. 明确谁能转换 计划 → 启动 → 观测 → 归一化 → 对账 → 处置，并显式保留部分与失败状态，谁批准、谁提供证据、谁独立复核。

D01数据契约与身份. 定义稳定对象身份、别名、父子关系、租户与环境键、来源、首次/最后观测时间、责任人、状态和墓碑规则。

D02数据契约与身份. 对模式与归一化规则做版本管理；每个关键决策字段保留原始来源标识、采集时间、解析器版本、置信度和旧值。

D03数据契约与身份. 把固定 CAS 变量集合（GV1, GV3, M1, M2, M3, M4, M5, M6, M7）映射到本地字段；不可获得的变量逐项标记为不支持、不适用或未知并说明原因。

D04数据契约与身份. 在仪表盘或自动化消费前，定义空值、零、重复、陈旧、删除、不可达、部分观测和来源冲突语义。

D05数据契约与身份. 把经过多源对账的企业资产权威台账作为受治理当前状态记录，保存身份、责任人、来源、旧/新状态、原因、执行人、时间和例外关联。

D06数据契约与身份. 对生命周期“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

D07数据契约与身份. 对生命周期“计划 → 启动 → 观测 → 归一化 → 对账 → 处置，并显式保留部分与失败状态”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

I01依赖与集成. 记录 Safeguard 4.1 的前置状态；补充本地必需依赖，并解释每项省略或替代的前置条件。

I02依赖与集成. 每个 API、代理、文件、消息、人工确认或提供商导出都定义认证、授权、模式、分页、限流、重放、幂等和错误处理。

I03依赖与集成. 在每次连接和归一化中保留租户、地域、环境、对象身份、来源事件时间、采集时间和来源健康状态。

I04依赖与集成. 为提供商中断、凭据过期、网络分区、模式漂移、延迟交付、部分结果和人工运行定义回退与对账路径。

I05依赖与集成. 对账 采购、EDR/MDM、虚拟化平台、云清单、DHCP/IPAM、网络发现与报废记录，逐来源暴露健康、延迟、置信度、遗漏和冲突解决结果。

I06依赖与集成. 承载 已观测、已批准、未批准、无责任人、陈旧、重复和已退役对象身份 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

I07依赖与集成. 承载 所有预期发现视角、来源、任务、解析器和对账路径的覆盖 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

C01控制流与执行. 以这条实施判断为控制流锚点：“从足够多的视角执行有凭据或无凭据发现，跨越分段但不绕过安全限制。”拆成输入、校验、决策、动作、记录结果和关闭状态。

C02控制流与执行. 明确最近且可靠的策略、流程、配置、身份、网络、应用、数据、提供商或人工决策点，由它真正改变受保护状态。

C03控制流与执行. 按需定义允许、拒绝、遏制、隔离、延后、例外、未知、失败、已回滚和已关闭结果；每种结果都有责任人与下一动作。

C04控制流与执行. 为自动与人工执行定义校验、授权、幂等、重试、去重、并发、事务边界、回滚和补偿动作。

C05控制流与执行. 在经过多源对账的企业资产权威台账中实现状态转换，保存精确运营控制点、策略或程序版本、结果和下游更新。

C06控制流与执行. 实现显式状态机“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

C07控制流与执行. 实现显式状态机“计划 → 启动 → 观测 → 归一化 → 对账 → 处置，并显式保留部分与失败状态”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

T01时序与生命周期. 保留固定官方描述中的频率术语（daily）；当资产变化、暴露、安全生产或威胁后果要求更快时定义本地 SLO。

T02时序与生命周期. 分别设置发现、摄取、决策、动作、责任人确认、证据新鲜度、例外复核、验证和最终关闭 SLO。

T03时序与生命周期. 保存事件时间、来源时区、采集时间、处理时间、决策时间和到期时间，定义时钟偏移、迟到、回填和夏令时处理。

T04时序与生命周期. 架构、提供商、策略、软件、威胁、法规、责任、数据用途、事件或控制来源发生重大变化时提前复核。

T05时序与生命周期. 根据 物理、虚拟、云、移动、IoT/OT、实验环境以及经常接入的第三方企业资产 的变化速度设置新鲜度和动作 SLO，把来源年龄、队列年龄、例外年龄和关闭年龄分开。

T06时序与生命周期. 为“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

T07时序与生命周期. 为“计划 → 启动 → 观测 → 归一化 → 对账 → 处置，并显式保留部分与失败状态”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

X01例外与失效模式. 把这条失效边界判断作为强制例外测试：“覆盖率应为成功扫描的范围除以应扫范围，不能用“发现资产数/现有台账数”，后者会因重复而超过 100%。”其中每种条件都转成可检测状态和响应。

X02例外与失效模式. 例外必须包含范围、精确对象、责任人、原因、威胁与业务后果、补偿控制、证据、起止时间、复核触发器和经过测试的退出。

X03例外与失效模式. 按需定义故障开放、故障关闭、安全失效、部分、未知、陈旧、提供商不支持、安全生产约束、隐私约束和紧急状态。

X04例外与失效模式. 到期或补偿控制减弱的例外回到失败；同一对象或获取路径在关闭后复发时重开根因。

X05例外与失效模式. 把 休眠、短生、离线、未托管、重复、共享地址以及安全关键资产 作为设计内异常路径，每项都有责任人、补偿控制、期限、安全或业务约束和复测。

X06例外与失效模式. 把 休眠、短生、离线、外部托管、提供商持有、别名、克隆和跨租户对象 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

X07例外与失效模式. 把 不可达区域、短生对象、盲区、限流、凭据失败、加密或专有协议和静默传感器 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

E01证据与指标. 以这条验证判断作为首份验收回执：“统计计划网段、成功完成网段、尝试地址空间、归一对象和完成对账的发现。”保留输入、步骤、预期结果、实际结果、执行人、时间和制品身份。

E02证据与指标. 把分子和分母发布为可下钻对象集，包含查询版本、采集时间、排除项、未知项、重复项、陈旧记录和空总体规则。

E03证据与指标. 自动评分前对账固定 CAS 的 2 个指标分支、9 个命名度量或全局变量、假设状态和本地运行有效性证据。

E04证据与指标. 保留配置或程序版本、来源回执、正反向结果、例外证据、复核人身份、完整性哈希、保留类别和重放步骤。

E05证据与指标. 以经过多源对账的企业资产权威台账和独立来源回执计算覆盖与有效性，分别报告未知、陈旧、冲突、失败和例外对象。

E06证据与指标. 发布 匹配、缺失、重复、陈旧、无责任人、未批准、不可评估及无证明退役数量，附查询版本、分母时间、排除项、未知项和下钻回执。

E07证据与指标. 发布 计划、成功、部分、失败、陈旧、盲区、新发现、未匹配和已对账观测，附查询版本、分母时间、排除项、未知项和下钻回执。

S01安全、隐私与韧性. 对权威数据、连接器、策略引擎、证据库、例外流程、破窗路径和管理恢复应用最小权限与职责分离。

S02安全、隐私与韧性. 在需求、遥测、测试、截图、导出和公开证据中最小化秘密、个人与受监管数据，并定义脱敏和受控原始证据访问。

S03安全、隐私与韧性. 通过独立保管、必要时的不可变历史和证据路径停用告警，保护策略、状态、时间、日志、测试与审批免受篡改。

S04安全、隐私与韧性. 定义容量、配额、依赖、地域、提供商、离线和灾难行为，并保留经过测试的降级决策与恢复路径。

S05安全、隐私与韧性. 保护经过多源对账的企业资产权威台账的写入与审批权限，监测特权变更、导出、删除、来源停用和恢复。

S06安全、隐私与韧性. 限制改变“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”的权限，记录特权变更，保护证据历史并测试管理恢复。

S07安全、隐私与韧性. 限制改变“计划 → 启动 → 观测 → 归一化 → 对账 → 处置，并显式保留部分与失败状态”的权限，记录特权变更，保护证据历史并测试管理恢复。

V01验证与对抗测试. 让合法正向控制走完真实或生产等价路径，同时验证业务成功和完整证据回执。

V02验证与对抗测试. 执行未授权或无效反向控制，并加入陈旧、重复、畸形、乱序、跨租户和绕过变体，验证预期拒绝或安全处置。

V03验证与对抗测试. 注入来源、凭据、解析器、策略、网络、提供商、队列、存储、时钟、复核人和回滚故障，验证健康检测与声明的降级状态。

V04验证与对抗测试. 采用风险分层平台样本，覆盖关键、常见、例外、刚变更、提供商托管、安全关键、远程和短生总体。

V05验证与对抗测试. 在代表性平台演练 已批准与未授权的植入资产、突然消失的资产、重复身份和失效的发现源，验证业务行为、控制决策、遥测、案件流程、回滚和最终状态。

V06验证与对抗测试. 运行正向控制“从两个独立来源对账的一项植入已批准对象”，并执行包含“未知对象、重复身份、陈旧记录、突然消失对象、失效来源和跨租户碰撞”的反向、陈旧、重复、绕过和中断控制。

V07验证与对抗测试. 运行正向控制“从每个代表性视角可见的一项已知对象”，并执行包含“未知与短生对象、凭据失败、扫描受阻、传感器静默、解析漂移和未覆盖网段”的反向、陈旧、重复、绕过和中断控制。

R01运营、变更与收口. 按设计、观察、金丝雀、强制和扩展阶段发布，每阶段都有进入/退出条件、业务正向、反向控制、例外准备和已测试回滚。

R02运营、变更与收口. 监测总体增长、来源健康、证据陈旧、动作失败、积压年龄、例外到期、控制绕过、误报、漏报和复发根因。

R03运营、变更与收口. 来源、解析器、策略、责任人、提供商、架构、软件、数据用途或威胁变化后，使受影响回执失效；保留历史并显示当前为陈旧。

R04运营、变更与收口. 只有受保护状态已改变、证据新鲜、正反向控制通过、下游权威对账、残余风险已记录且复发监测已启用时才关闭。

R05运营、变更与收口. 当 采购、EDR/MDM、虚拟化平台、云清单、DHCP/IPAM、网络发现与报废记录 的责任、模式、覆盖、提供商、策略或平台版本变化时重新对账并重跑受影响测试。

R06运营、变更与收口. 用 匹配、缺失、重复、陈旧、无责任人、未批准、不可评估及无证明退役数量 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

R07运营、变更与收口. 用 计划、成功、部分、失败、陈旧、盲区、新发现、未匹配和已对账观测 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

O01目标与决策. 为“DHCP 与 IPAM 观测”定义用户、业务与风险结果，明确该 Safeguard 保护的决策以及可以被观察到的状态变化。

O02目标与决策. 每条需求都绑定 CIS Safeguard 1.4、官方资产类别“设备”、安全功能“识别”和首次出现的 IG2，并保存来源抓取日期。

O03目标与决策. 以这条原创本地范围判断为起点：“范围是园区、无线、VPN、IPv4/IPv6、云和虚拟网络中全部企业管理的 DHCP 或等效地址分配器。”把其中每类对象转成可查询总体或经过批准的适用性决定。

O04目标与决策. 分别保存规范意图、设计批准、部署、证据新鲜、正向控制、反向控制、例外和实际运行结果状态。

O05目标与决策. 把“DHCP 与 IPAM 观测”连接到其运营对象——物理、虚拟、云、移动、IoT/OT、实验环境以及经常接入的第三方企业资产——并为每个终态定义安全决策、业务后果和残余风险。

O06目标与决策. 对“DHCP 与 IPAM 观测”，以 已观测、已批准、未批准、无责任人、陈旧、重复和已退役对象身份 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

O07目标与决策. 对“DHCP 与 IPAM 观测”，以 完整、可归因、及时、受保护、可检索、可行动的安全遥测及来源健康 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

P01总体与适用性. 计算覆盖率前先建立权威分母，记录查询、责任人、采集时间、租户、环境、纳入项、排除项和未解决对象。

P02总体与适用性. 只要 Safeguard 所指对象存在，就评估本地、IaaS/PaaS/SaaS 云、移动、远程、IoT/OT、构建、备份、提供商和 AI 场景。

P03总体与适用性. 把空总体、发现失败、平台不支持、提供商证据不可得和经批准不适用分别记录为五种结果。

P04总体与适用性. 执行双向抽样：权威台账到真实环境、真实环境到权威台账；保留缺失、重复、陈旧、孤儿和跨租户结果。

P05总体与适用性. 解决 休眠、短生、离线、未托管、重复、共享地址以及安全关键资产 的适用性；每种边缘情形都获得有证据的适用、不适用、未知或有期限例外结果。

P06总体与适用性. 把 休眠、短生、离线、外部托管、提供商持有、别名、克隆和跨租户对象 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

P07总体与适用性. 把 时钟偏移、行为者丢失、字段截断、解析漂移、事件丢失或重复、隐私脱敏、提供商缺口、加密路径、配额和归档故障 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

W01责任与审批. 为该 Safeguard 指定业务最终责任人、运营责任人、证据责任人、例外审批人、独立复核人和升级接收人。

W02责任与审批. 定义谁能创建、变更、批准、执行、暂停、回滚、续期例外和关闭实施，阻止同一主体独自批准所有阶段。

W03责任与审批. 外包运营仍指定内部最终责任人，并列出提供商操作方、租户管理员、证据提供方、通知路径和合同缺口。

W04责任与审批. 定义委派、备份人员、值班覆盖、事件期间决策权限，以及责任人离职或不可用时的交接测试。

W05责任与审批. 为 资产责任人、平台与网络运营方、采购和安全运营 定义该 Safeguard 的 RACI，并指定解决来源或风险决策冲突的权威方。

W06责任与审批. 明确谁能转换 发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役，谁批准、谁提供证据、谁独立复核。

W07责任与审批. 明确谁能转换 事件产生 → 采集 → 解析 → 丰富 → 存储 → 检测/审阅 → 保全/到期，谁批准、谁提供证据、谁独立复核。

D01数据契约与身份. 定义稳定对象身份、别名、父子关系、租户与环境键、来源、首次/最后观测时间、责任人、状态和墓碑规则。

D02数据契约与身份. 对模式与归一化规则做版本管理；每个关键决策字段保留原始来源标识、采集时间、解析器版本、置信度和旧值。

D03数据契约与身份. 把固定 CAS 变量集合（GV41, M1, M2, M3, M4, M5, M6, M7）映射到本地字段；不可获得的变量逐项标记为不支持、不适用或未知并说明原因。

D04数据契约与身份. 在仪表盘或自动化消费前，定义空值、零、重复、陈旧、删除、不可达、部分观测和来源冲突语义。

D05数据契约与身份. 把经过多源对账的企业资产权威台账作为受治理当前状态记录，保存身份、责任人、来源、旧/新状态、原因、执行人、时间和例外关联。

D06数据契约与身份. 对生命周期“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

D07数据契约与身份. 对生命周期“事件产生 → 采集 → 解析 → 丰富 → 存储 → 检测/审阅 → 保全/到期”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

I01依赖与集成. 记录 Safeguard 1.1 的前置状态；补充本地必需依赖，并解释每项省略或替代的前置条件。

I02依赖与集成. 每个 API、代理、文件、消息、人工确认或提供商导出都定义认证、授权、模式、分页、限流、重放、幂等和错误处理。

I03依赖与集成. 在每次连接和归一化中保留租户、地域、环境、对象身份、来源事件时间、采集时间和来源健康状态。

I04依赖与集成. 为提供商中断、凭据过期、网络分区、模式漂移、延迟交付、部分结果和人工运行定义回退与对账路径。

I05依赖与集成. 对账 采购、EDR/MDM、虚拟化平台、云清单、DHCP/IPAM、网络发现与报废记录，逐来源暴露健康、延迟、置信度、遗漏和冲突解决结果。

I06依赖与集成. 承载 已观测、已批准、未批准、无责任人、陈旧、重复和已退役对象身份 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

I07依赖与集成. 承载 完整、可归因、及时、受保护、可检索、可行动的安全遥测及来源健康 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

C01控制流与执行. 以这条实施判断为控制流锚点：“把权威租约与分配事件送到受保护收集端，保留服务器、租户、MAC 或客户端标识、主机名、地址、租期和网络上下文，至少每周回写资产台账。”拆成输入、校验、决策、动作、记录结果和关闭状态。

C02控制流与执行. 明确最近且可靠的策略、流程、配置、身份、网络、应用、数据、提供商或人工决策点，由它真正改变受保护状态。

C03控制流与执行. 按需定义允许、拒绝、遏制、隔离、延后、例外、未知、失败、已回滚和已关闭结果；每种结果都有责任人与下一动作。

C04控制流与执行. 为自动与人工执行定义校验、授权、幂等、重试、去重、并发、事务边界、回滚和补偿动作。

C05控制流与执行. 在经过多源对账的企业资产权威台账中实现状态转换，保存精确运营控制点、策略或程序版本、结果和下游更新。

C06控制流与执行. 实现显式状态机“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

C07控制流与执行. 实现显式状态机“事件产生 → 采集 → 解析 → 丰富 → 存储 → 检测/审阅 → 保全/到期”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

T01时序与生命周期. 保留固定官方描述中的频率术语（weekly）；当资产变化、暴露、安全生产或威胁后果要求更快时定义本地 SLO。

T02时序与生命周期. 分别设置发现、摄取、决策、动作、责任人确认、证据新鲜度、例外复核、验证和最终关闭 SLO。

T03时序与生命周期. 保存事件时间、来源时区、采集时间、处理时间、决策时间和到期时间，定义时钟偏移、迟到、回填和夏令时处理。

T04时序与生命周期. 架构、提供商、策略、软件、威胁、法规、责任、数据用途、事件或控制来源发生重大变化时提前复核。

T05时序与生命周期. 根据 物理、虚拟、云、移动、IoT/OT、实验环境以及经常接入的第三方企业资产 的变化速度设置新鲜度和动作 SLO，把来源年龄、队列年龄、例外年龄和关闭年龄分开。

T06时序与生命周期. 为“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

T07时序与生命周期. 为“事件产生 → 采集 → 解析 → 丰富 → 存储 → 检测/审阅 → 保全/到期”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

X01例外与失效模式. 把这条失效边界判断作为强制例外测试：“CAS 当前文本把“正确输出日志的服务器数大于零”解释成台账陈旧，正负含义写反。”其中每种条件都转成可检测状态和响应。

X02例外与失效模式. 例外必须包含范围、精确对象、责任人、原因、威胁与业务后果、补偿控制、证据、起止时间、复核触发器和经过测试的退出。

X03例外与失效模式. 按需定义故障开放、故障关闭、安全失效、部分、未知、陈旧、提供商不支持、安全生产约束、隐私约束和紧急状态。

X04例外与失效模式. 到期或补偿控制减弱的例外回到失败；同一对象或获取路径在关闭后复发时重开根因。

X05例外与失效模式. 把 休眠、短生、离线、未托管、重复、共享地址以及安全关键资产 作为设计内异常路径，每项都有责任人、补偿控制、期限、安全或业务约束和复测。

X06例外与失效模式. 把 休眠、短生、离线、外部托管、提供商持有、别名、克隆和跨租户对象 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

X07例外与失效模式. 把 时钟偏移、行为者丢失、字段截断、解析漂移、事件丢失或重复、隐私脱敏、提供商缺口、加密路径、配额和归档故障 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

E01证据与指标. 以这条验证判断作为首份验收回执：“用已知测试客户端申请租约，验证采集、解析、资产匹配和按时过期；再用未知客户端确认其进入未授权队列。”保留输入、步骤、预期结果、实际结果、执行人、时间和制品身份。

E02证据与指标. 把分子和分母发布为可下钻对象集，包含查询版本、采集时间、排除项、未知项、重复项、陈旧记录和空总体规则。

E03证据与指标. 自动评分前对账固定 CAS 的 3 个指标分支、8 个命名度量或全局变量、假设状态和本地运行有效性证据。

E04证据与指标. 保留配置或程序版本、来源回执、正反向结果、例外证据、复核人身份、完整性哈希、保留类别和重放步骤。

E05证据与指标. 以经过多源对账的企业资产权威台账和独立来源回执计算覆盖与有效性，分别报告未知、陈旧、冲突、失败和例外对象。

E06证据与指标. 发布 匹配、缺失、重复、陈旧、无责任人、未批准、不可评估及无证明退役数量，附查询版本、分母时间、排除项、未知项和下钻回执。

E07证据与指标. 发布 健康、静默、部分、迟到、畸形、重复、无责任人、未审阅、已告警、已调查和已归档来源或事件，附查询版本、分母时间、排除项、未知项和下钻回执。

S01安全、隐私与韧性. 对权威数据、连接器、策略引擎、证据库、例外流程、破窗路径和管理恢复应用最小权限与职责分离。

S02安全、隐私与韧性. 在需求、遥测、测试、截图、导出和公开证据中最小化秘密、个人与受监管数据，并定义脱敏和受控原始证据访问。

S03安全、隐私与韧性. 通过独立保管、必要时的不可变历史和证据路径停用告警，保护策略、状态、时间、日志、测试与审批免受篡改。

S04安全、隐私与韧性. 定义容量、配额、依赖、地域、提供商、离线和灾难行为，并保留经过测试的降级决策与恢复路径。

S05安全、隐私与韧性. 保护经过多源对账的企业资产权威台账的写入与审批权限，监测特权变更、导出、删除、来源停用和恢复。

S06安全、隐私与韧性. 限制改变“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”的权限，记录特权变更，保护证据历史并测试管理恢复。

S07安全、隐私与韧性. 限制改变“事件产生 → 采集 → 解析 → 丰富 → 存储 → 检测/审阅 → 保全/到期”的权限，记录特权变更，保护证据历史并测试管理恢复。

V01验证与对抗测试. 让合法正向控制走完真实或生产等价路径，同时验证业务成功和完整证据回执。

V02验证与对抗测试. 执行未授权或无效反向控制，并加入陈旧、重复、畸形、乱序、跨租户和绕过变体，验证预期拒绝或安全处置。

V03验证与对抗测试. 注入来源、凭据、解析器、策略、网络、提供商、队列、存储、时钟、复核人和回滚故障，验证健康检测与声明的降级状态。

V04验证与对抗测试. 采用风险分层平台样本，覆盖关键、常见、例外、刚变更、提供商托管、安全关键、远程和短生总体。

V05验证与对抗测试. 在代表性平台演练 已批准与未授权的植入资产、突然消失的资产、重复身份和失效的发现源，验证业务行为、控制决策、遥测、案件流程、回滚和最终状态。

V06验证与对抗测试. 运行正向控制“从两个独立来源对账的一项植入已批准对象”，并执行包含“未知对象、重复身份、陈旧记录、突然消失对象、失效来源和跨租户碰撞”的反向、陈旧、重复、绕过和中断控制。

V07验证与对抗测试. 运行正向控制“一项允许与拒绝金丝雀事件从来源贯穿到审阅”，并执行包含“来源丢失、解析器/模式变化、时钟偏移、队列溢出、重复投递、提供商导出中断、漏报和归档不可读”的反向、陈旧、重复、绕过和中断控制。

R01运营、变更与收口. 按设计、观察、金丝雀、强制和扩展阶段发布，每阶段都有进入/退出条件、业务正向、反向控制、例外准备和已测试回滚。

R02运营、变更与收口. 监测总体增长、来源健康、证据陈旧、动作失败、积压年龄、例外到期、控制绕过、误报、漏报和复发根因。

R03运营、变更与收口. 来源、解析器、策略、责任人、提供商、架构、软件、数据用途或威胁变化后，使受影响回执失效；保留历史并显示当前为陈旧。

R04运营、变更与收口. 只有受保护状态已改变、证据新鲜、正反向控制通过、下游权威对账、残余风险已记录且复发监测已启用时才关闭。

R05运营、变更与收口. 当 采购、EDR/MDM、虚拟化平台、云清单、DHCP/IPAM、网络发现与报废记录 的责任、模式、覆盖、提供商、策略或平台版本变化时重新对账并重跑受影响测试。

R06运营、变更与收口. 用 匹配、缺失、重复、陈旧、无责任人、未批准、不可评估及无证明退役数量 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

R07运营、变更与收口. 用 健康、静默、部分、迟到、畸形、重复、无责任人、未审阅、已告警、已调查和已归档来源或事件 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

O01目标与决策. 为“被动发现”定义用户、业务与风险结果，明确该 Safeguard 保护的决策以及可以被观察到的状态变化。

O02目标与决策. 每条需求都绑定 CIS Safeguard 1.5、官方资产类别“设备”、安全功能“检测”和首次出现的 IG3，并保存来源抓取日期。

O03目标与决策. 以这条原创本地范围判断为起点：“覆盖适合且允许被动观测资产存在的网段，尤其是非受管、脆弱、IoT 和 OT。”把其中每类对象转成可查询总体或经过批准的适用性决定。

O04目标与决策. 分别保存规范意图、设计批准、部署、证据新鲜、正向控制、反向控制、例外和实际运行结果状态。

O05目标与决策. 把“被动发现”连接到其运营对象——物理、虚拟、云、移动、IoT/OT、实验环境以及经常接入的第三方企业资产——并为每个终态定义安全决策、业务后果和残余风险。

O06目标与决策. 对“被动发现”，以 已观测、已批准、未批准、无责任人、陈旧、重复和已退役对象身份 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

O07目标与决策. 对“被动发现”，以 所有预期发现视角、来源、任务、解析器和对账路径的覆盖 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

P01总体与适用性. 计算覆盖率前先建立权威分母，记录查询、责任人、采集时间、租户、环境、纳入项、排除项和未解决对象。

P02总体与适用性. 只要 Safeguard 所指对象存在，就评估本地、IaaS/PaaS/SaaS 云、移动、远程、IoT/OT、构建、备份、提供商和 AI 场景。

P03总体与适用性. 把空总体、发现失败、平台不支持、提供商证据不可得和经批准不适用分别记录为五种结果。

P04总体与适用性. 执行双向抽样：权威台账到真实环境、真实环境到权威台账；保留缺失、重复、陈旧、孤儿和跨租户结果。

P05总体与适用性. 解决 休眠、短生、离线、未托管、重复、共享地址以及安全关键资产 的适用性；每种边缘情形都获得有证据的适用、不适用、未知或有期限例外结果。

P06总体与适用性. 把 休眠、短生、离线、外部托管、提供商持有、别名、克隆和跨租户对象 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

P07总体与适用性. 把 不可达区域、短生对象、盲区、限流、凭据失败、加密或专有协议和静默传感器 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

W01责任与审批. 为该 Safeguard 指定业务最终责任人、运营责任人、证据责任人、例外审批人、独立复核人和升级接收人。

W02责任与审批. 定义谁能创建、变更、批准、执行、暂停、回滚、续期例外和关闭实施，阻止同一主体独自批准所有阶段。

W03责任与审批. 外包运营仍指定内部最终责任人，并列出提供商操作方、租户管理员、证据提供方、通知路径和合同缺口。

W04责任与审批. 定义委派、备份人员、值班覆盖、事件期间决策权限，以及责任人离职或不可用时的交接测试。

W05责任与审批. 为 资产责任人、平台与网络运营方、采购和安全运营 定义该 Safeguard 的 RACI，并指定解决来源或风险决策冲突的权威方。

W06责任与审批. 明确谁能转换 发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役，谁批准、谁提供证据、谁独立复核。

W07责任与审批. 明确谁能转换 计划 → 启动 → 观测 → 归一化 → 对账 → 处置，并显式保留部分与失败状态，谁批准、谁提供证据、谁独立复核。

D01数据契约与身份. 定义稳定对象身份、别名、父子关系、租户与环境键、来源、首次/最后观测时间、责任人、状态和墓碑规则。

D02数据契约与身份. 对模式与归一化规则做版本管理；每个关键决策字段保留原始来源标识、采集时间、解析器版本、置信度和旧值。

D03数据契约与身份. 把固定 CAS 变量集合（GV3, GV4, M1, M2, M3, M4, M5）映射到本地字段；不可获得的变量逐项标记为不支持、不适用或未知并说明原因。

D04数据契约与身份. 在仪表盘或自动化消费前，定义空值、零、重复、陈旧、删除、不可达、部分观测和来源冲突语义。

D05数据契约与身份. 把经过多源对账的企业资产权威台账作为受治理当前状态记录，保存身份、责任人、来源、旧/新状态、原因、执行人、时间和例外关联。

D06数据契约与身份. 对生命周期“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

D07数据契约与身份. 对生命周期“计划 → 启动 → 观测 → 归一化 → 对账 → 处置，并显式保留部分与失败状态”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

I01依赖与集成. 记录 Safeguard 4.2、Safeguard 12.4 的前置状态；补充本地必需依赖，并解释每项省略或替代的前置条件。

I02依赖与集成. 每个 API、代理、文件、消息、人工确认或提供商导出都定义认证、授权、模式、分页、限流、重放、幂等和错误处理。

I03依赖与集成. 在每次连接和归一化中保留租户、地域、环境、对象身份、来源事件时间、采集时间和来源健康状态。

I04依赖与集成. 为提供商中断、凭据过期、网络分区、模式漂移、延迟交付、部分结果和人工运行定义回退与对账路径。

I05依赖与集成. 对账 采购、EDR/MDM、虚拟化平台、云清单、DHCP/IPAM、网络发现与报废记录，逐来源暴露健康、延迟、置信度、遗漏和冲突解决结果。

I06依赖与集成. 承载 已观测、已批准、未批准、无责任人、陈旧、重复和已退役对象身份 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

I07依赖与集成. 承载 所有预期发现视角、来源、任务、解析器和对账路径的覆盖 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

C01控制流与执行. 以这条实施判断为控制流锚点：“在已记录的关键点放置被动探针，或消费交换机、流日志、无线控制器与云流量遥测；持续监控传感器健康、TAP/SPAN 丢包、时钟、解析器版本和网段映射。”拆成输入、校验、决策、动作、记录结果和关闭状态。

C02控制流与执行. 明确最近且可靠的策略、流程、配置、身份、网络、应用、数据、提供商或人工决策点，由它真正改变受保护状态。

C03控制流与执行. 按需定义允许、拒绝、遏制、隔离、延后、例外、未知、失败、已回滚和已关闭结果；每种结果都有责任人与下一动作。

C04控制流与执行. 为自动与人工执行定义校验、授权、幂等、重试、去重、并发、事务边界、回滚和补偿动作。

C05控制流与执行. 在经过多源对账的企业资产权威台账中实现状态转换，保存精确运营控制点、策略或程序版本、结果和下游更新。

C06控制流与执行. 实现显式状态机“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

C07控制流与执行. 实现显式状态机“计划 → 启动 → 观测 → 归一化 → 对账 → 处置，并显式保留部分与失败状态”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

T01时序与生命周期. 保留固定官方描述中的频率术语（weekly, at least weekly）；当资产变化、暴露、安全生产或威胁后果要求更快时定义本地 SLO。

T02时序与生命周期. 分别设置发现、摄取、决策、动作、责任人确认、证据新鲜度、例外复核、验证和最终关闭 SLO。

T03时序与生命周期. 保存事件时间、来源时区、采集时间、处理时间、决策时间和到期时间，定义时钟偏移、迟到、回填和夏令时处理。

T04时序与生命周期. 架构、提供商、策略、软件、威胁、法规、责任、数据用途、事件或控制来源发生重大变化时提前复核。

T05时序与生命周期. 根据 物理、虚拟、云、移动、IoT/OT、实验环境以及经常接入的第三方企业资产 的变化速度设置新鲜度和动作 SLO，把来源年龄、队列年龄、例外年龄和关闭年龄分开。

T06时序与生命周期. 为“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

T07时序与生命周期. 为“计划 → 启动 → 观测 → 归一化 → 对账 → 处置，并显式保留部分与失败状态”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

X01例外与失效模式. 把这条失效边界判断作为强制例外测试：“探针在线却看不到应有心跳也算失败。”其中每种条件都转成可检测状态和响应。

X02例外与失效模式. 例外必须包含范围、精确对象、责任人、原因、威胁与业务后果、补偿控制、证据、起止时间、复核触发器和经过测试的退出。

X03例外与失效模式. 按需定义故障开放、故障关闭、安全失效、部分、未知、陈旧、提供商不支持、安全生产约束、隐私约束和紧急状态。

X04例外与失效模式. 到期或补偿控制减弱的例外回到失败；同一对象或获取路径在关闭后复发时重开根因。

X05例外与失效模式. 把 休眠、短生、离线、未托管、重复、共享地址以及安全关键资产 作为设计内异常路径，每项都有责任人、补偿控制、期限、安全或业务约束和复测。

X06例外与失效模式. 把 休眠、短生、离线、外部托管、提供商持有、别名、克隆和跨租户对象 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

X07例外与失效模式. 把 不可达区域、短生对象、盲区、限流、凭据失败、加密或专有协议和静默传感器 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

E01证据与指标. 以这条验证判断作为首份验收回执：“在各类代表网段回放无害协议并接入未登记设备，验证包或流到达、识别、台账关联和告警时延。”保留输入、步骤、预期结果、实际结果、执行人、时间和制品身份。

E02证据与指标. 把分子和分母发布为可下钻对象集，包含查询版本、采集时间、排除项、未知项、重复项、陈旧记录和空总体规则。

E03证据与指标. 自动评分前对账固定 CAS 的 1 个指标分支、7 个命名度量或全局变量、假设状态和本地运行有效性证据。

E04证据与指标. 保留配置或程序版本、来源回执、正反向结果、例外证据、复核人身份、完整性哈希、保留类别和重放步骤。

E05证据与指标. 以经过多源对账的企业资产权威台账和独立来源回执计算覆盖与有效性，分别报告未知、陈旧、冲突、失败和例外对象。

E06证据与指标. 发布 匹配、缺失、重复、陈旧、无责任人、未批准、不可评估及无证明退役数量，附查询版本、分母时间、排除项、未知项和下钻回执。

E07证据与指标. 发布 计划、成功、部分、失败、陈旧、盲区、新发现、未匹配和已对账观测，附查询版本、分母时间、排除项、未知项和下钻回执。

S01安全、隐私与韧性. 对权威数据、连接器、策略引擎、证据库、例外流程、破窗路径和管理恢复应用最小权限与职责分离。

S02安全、隐私与韧性. 在需求、遥测、测试、截图、导出和公开证据中最小化秘密、个人与受监管数据，并定义脱敏和受控原始证据访问。

S03安全、隐私与韧性. 通过独立保管、必要时的不可变历史和证据路径停用告警，保护策略、状态、时间、日志、测试与审批免受篡改。

S04安全、隐私与韧性. 定义容量、配额、依赖、地域、提供商、离线和灾难行为，并保留经过测试的降级决策与恢复路径。

S05安全、隐私与韧性. 保护经过多源对账的企业资产权威台账的写入与审批权限，监测特权变更、导出、删除、来源停用和恢复。

S06安全、隐私与韧性. 限制改变“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”的权限，记录特权变更，保护证据历史并测试管理恢复。

S07安全、隐私与韧性. 限制改变“计划 → 启动 → 观测 → 归一化 → 对账 → 处置，并显式保留部分与失败状态”的权限，记录特权变更，保护证据历史并测试管理恢复。

V01验证与对抗测试. 让合法正向控制走完真实或生产等价路径，同时验证业务成功和完整证据回执。

V02验证与对抗测试. 执行未授权或无效反向控制，并加入陈旧、重复、畸形、乱序、跨租户和绕过变体，验证预期拒绝或安全处置。

V03验证与对抗测试. 注入来源、凭据、解析器、策略、网络、提供商、队列、存储、时钟、复核人和回滚故障，验证健康检测与声明的降级状态。

V04验证与对抗测试. 采用风险分层平台样本，覆盖关键、常见、例外、刚变更、提供商托管、安全关键、远程和短生总体。

V05验证与对抗测试. 在代表性平台演练 已批准与未授权的植入资产、突然消失的资产、重复身份和失效的发现源，验证业务行为、控制决策、遥测、案件流程、回滚和最终状态。

V06验证与对抗测试. 运行正向控制“从两个独立来源对账的一项植入已批准对象”，并执行包含“未知对象、重复身份、陈旧记录、突然消失对象、失效来源和跨租户碰撞”的反向、陈旧、重复、绕过和中断控制。

V07验证与对抗测试. 运行正向控制“从每个代表性视角可见的一项已知对象”，并执行包含“未知与短生对象、凭据失败、扫描受阻、传感器静默、解析漂移和未覆盖网段”的反向、陈旧、重复、绕过和中断控制。

R01运营、变更与收口. 按设计、观察、金丝雀、强制和扩展阶段发布，每阶段都有进入/退出条件、业务正向、反向控制、例外准备和已测试回滚。

R02运营、变更与收口. 监测总体增长、来源健康、证据陈旧、动作失败、积压年龄、例外到期、控制绕过、误报、漏报和复发根因。

R03运营、变更与收口. 来源、解析器、策略、责任人、提供商、架构、软件、数据用途或威胁变化后，使受影响回执失效；保留历史并显示当前为陈旧。

R04运营、变更与收口. 只有受保护状态已改变、证据新鲜、正反向控制通过、下游权威对账、残余风险已记录且复发监测已启用时才关闭。

R05运营、变更与收口. 当 采购、EDR/MDM、虚拟化平台、云清单、DHCP/IPAM、网络发现与报废记录 的责任、模式、覆盖、提供商、策略或平台版本变化时重新对账并重跑受影响测试。

R06运营、变更与收口. 用 匹配、缺失、重复、陈旧、无责任人、未批准、不可评估及无证明退役数量 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

R07运营、变更与收口. 用 计划、成功、部分、失败、陈旧、盲区、新发现、未匹配和已对账观测 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

O01目标与决策. 为“软件总账”定义用户、业务与风险结果，明确该 Safeguard 保护的决策以及可以被观察到的状态变化。

O02目标与决策. 每条需求都绑定 CIS Safeguard 2.1、官方资产类别“软件”、安全功能“识别”和首次出现的 IG1，并保存来源抓取日期。

O03目标与决策. 以这条原创本地范围判断为起点：“软件总体包括操作系统、安装包、浏览器与办公扩展、移动应用、按软件管理的固件、容器镜像、语言依赖、SaaS、云市场镜像和自研发布物。”把其中每类对象转成可查询总体或经过批准的适用性决定。

O04目标与决策. 分别保存规范意图、设计批准、部署、证据新鲜、正向控制、反向控制、例外和实际运行结果状态。

O05目标与决策. 把“软件总账”连接到其运营对象——操作系统、软件包、固件、扩展、容器镜像、依赖、SaaS 应用和内部构建发布物——并为每个终态定义安全决策、业务后果和残余风险。

O06目标与决策. 对“软件总账”，以 从源码到生产的软件身份、设计不变量、组件信任、构建来源、测试结果、部署状态、运行结果和漏洞响应 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

O07目标与决策. 对“软件总账”，以 已观测、已批准、未批准、无责任人、陈旧、重复和已退役对象身份 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

O08目标与决策. 对“软件总账”的扩展范围，通过显式风险决策解决安全、安全生产、隐私、法律、可用性、客户和运营目标冲突。

P01总体与适用性. 计算覆盖率前先建立权威分母，记录查询、责任人、采集时间、租户、环境、纳入项、排除项和未解决对象。

P02总体与适用性. 只要 Safeguard 所指对象存在，就评估本地、IaaS/PaaS/SaaS 云、移动、远程、IoT/OT、构建、备份、提供商和 AI 场景。

P03总体与适用性. 把空总体、发现失败、平台不支持、提供商证据不可得和经批准不适用分别记录为五种结果。

P04总体与适用性. 执行双向抽样：权威台账到真实环境、真实环境到权威台账；保留缺失、重复、陈旧、孤儿和跨租户结果。

P05总体与适用性. 解决 便携二进制、休眠镜像、静态链接、影子 SaaS、可变软件包、不受支持版本及环境相关授权 的适用性；每种边缘情形都获得有证据的适用、不适用、未知或有期限例外结果。

P06总体与适用性. 把 生成与复制代码、分叉、vendoring、传递依赖、可变标签、构建插件、功能开关、租户逻辑、秘密、紧急发布和提供商组件 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

P07总体与适用性. 把 休眠、短生、离线、外部托管、提供商持有、别名、克隆和跨租户对象 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

P08总体与适用性. 按企业、业务服务、租户、环境、平台、对象、身份、数据集和交易定义嵌套范围，禁止父级结果遮蔽失败子级。

W01责任与审批. 为该 Safeguard 指定业务最终责任人、运营责任人、证据责任人、例外审批人、独立复核人和升级接收人。

W02责任与审批. 定义谁能创建、变更、批准、执行、暂停、回滚、续期例外和关闭实施，阻止同一主体独自批准所有阶段。

W03责任与审批. 外包运营仍指定内部最终责任人，并列出提供商操作方、租户管理员、证据提供方、通知路径和合同缺口。

W04责任与审批. 定义委派、备份人员、值班覆盖、事件期间决策权限，以及责任人离职或不可用时的交接测试。

W05责任与审批. 为 软件与应用责任人、平台工程、开发、采购和安全团队 定义该 Safeguard 的 RACI，并指定解决来源或风险决策冲突的权威方。

W06责任与审批. 明确谁能转换 设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役，谁批准、谁提供证据、谁独立复核。

W07责任与审批. 明确谁能转换 发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役，谁批准、谁提供证据、谁独立复核。

W08责任与审批. 建模委派权限、必要时的双人或法定人数审批、升级期限、提供商交接、冲突解决和管理层风险接受。

D01数据契约与身份. 定义稳定对象身份、别名、父子关系、租户与环境键、来源、首次/最后观测时间、责任人、状态和墓碑规则。

D02数据契约与身份. 对模式与归一化规则做版本管理；每个关键决策字段保留原始来源标识、采集时间、解析器版本、置信度和旧值。

D03数据契约与身份. 把固定 CAS 变量集合（GV5, GV6, M1, M2, M3, M4）映射到本地字段；不可获得的变量逐项标记为不支持、不适用或未知并说明原因。

D04数据契约与身份. 在仪表盘或自动化消费前，定义空值、零、重复、陈旧、删除、不可达、部分观测和来源冲突语义。

D05数据契约与身份. 把经过部署对账的软件权威台账作为受治理当前状态记录，保存身份、责任人、来源、旧/新状态、原因、执行人、时间和例外关联。

D06数据契约与身份. 对生命周期“设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

D07数据契约与身份. 对生命周期“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

D08数据契约与身份. 对模式和状态转换做版本管理，定义迁移、回填、去重、血缘、历史分母、删除和回滚语义。

I01依赖与集成. 记录 固定 CAS 页面没有列出显式前置项 的前置状态；补充本地必需依赖，并解释每项省略或替代的前置条件。

I02依赖与集成. 每个 API、代理、文件、消息、人工确认或提供商导出都定义认证、授权、模式、分页、限流、重放、幂等和错误处理。

I03依赖与集成. 在每次连接和归一化中保留租户、地域、环境、对象身份、来源事件时间、采集时间和来源健康状态。

I04依赖与集成. 为提供商中断、凭据过期、网络分区、模式漂移、延迟交付、部分结果和人工运行定义回退与对账路径。

I05依赖与集成. 对账 终端与包清单、MDM、制品库、SBOM、CI/CD、云目录、SSO、采购和发布方生命周期来源，逐来源暴露健康、延迟、置信度、遗漏和冲突解决结果。

I06依赖与集成. 承载 从源码到生产的软件身份、设计不变量、组件信任、构建来源、测试结果、部署状态、运行结果和漏洞响应 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

I07依赖与集成. 承载 已观测、已批准、未批准、无责任人、陈旧、重复和已退役对象身份 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

I08依赖与集成. 定义冲突来源的一致性、优先级、置信度、对账队列、死信、重处理和端到端追踪身份。

C01控制流与执行. 以这条实施判断为控制流锚点：“把终端/服务器采集、包管理器、MDM、镜像仓库、SBOM、CI/CD、云与 SaaS 管理面统一到软件权威台账，并关联资产和业务责任人。”拆成输入、校验、决策、动作、记录结果和关闭状态。

C02控制流与执行. 明确最近且可靠的策略、流程、配置、身份、网络、应用、数据、提供商或人工决策点，由它真正改变受保护状态。

C03控制流与执行. 按需定义允许、拒绝、遏制、隔离、延后、例外、未知、失败、已回滚和已关闭结果；每种结果都有责任人与下一动作。

C04控制流与执行. 为自动与人工执行定义校验、授权、幂等、重试、去重、并发、事务边界、回滚和补偿动作。

C05控制流与执行. 在经过部署对账的软件权威台账中实现状态转换，保存精确运营控制点、策略或程序版本、结果和下游更新。

C06控制流与执行. 实现显式状态机“设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

C07控制流与执行. 实现显式状态机“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

C08控制流与执行. 定义并发决策、部分成功、补偿事务、重复请求、陈旧策略、依赖中断和中途状态转换恢复。

T01时序与生命周期. 保留固定官方描述中的频率术语（bi-annually, annually）；当资产变化、暴露、安全生产或威胁后果要求更快时定义本地 SLO。

T02时序与生命周期. 分别设置发现、摄取、决策、动作、责任人确认、证据新鲜度、例外复核、验证和最终关闭 SLO。

T03时序与生命周期. 保存事件时间、来源时区、采集时间、处理时间、决策时间和到期时间，定义时钟偏移、迟到、回填和夏令时处理。

T04时序与生命周期. 架构、提供商、策略、软件、威胁、法规、责任、数据用途、事件或控制来源发生重大变化时提前复核。

T05时序与生命周期. 根据 操作系统、软件包、固件、扩展、容器镜像、依赖、SaaS 应用和内部构建发布物 的变化速度设置新鲜度和动作 SLO，把来源年龄、队列年龄、例外年龄和关闭年龄分开。

T06时序与生命周期. 为“设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

T07时序与生命周期. 为“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

T08时序与生命周期. 把端到端 SLO 预算分配到发现、采集、处理、审批、执行、验证和关闭，并按后果与暴露排列逾期工作。

X01例外与失效模式. 把这条失效边界判断作为强制例外测试：“只靠 Agent 会漏掉便携程序、构建依赖、休眠镜像、未接 SSO 的影子 SaaS 和固件。”其中每种条件都转成可检测状态和响应。

X02例外与失效模式. 例外必须包含范围、精确对象、责任人、原因、威胁与业务后果、补偿控制、证据、起止时间、复核触发器和经过测试的退出。

X03例外与失效模式. 按需定义故障开放、故障关闭、安全失效、部分、未知、陈旧、提供商不支持、安全生产约束、隐私约束和紧急状态。

X04例外与失效模式. 到期或补偿控制减弱的例外回到失败；同一对象或获取路径在关闭后复发时重开根因。

X05例外与失效模式. 把 便携二进制、休眠镜像、静态链接、影子 SaaS、可变软件包、不受支持版本及环境相关授权 作为设计内异常路径，每项都有责任人、补偿控制、期限、安全或业务约束和复测。

X06例外与失效模式. 把 生成与复制代码、分叉、vendoring、传递依赖、可变标签、构建插件、功能开关、租户逻辑、秘密、紧急发布和提供商组件 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

X07例外与失效模式. 把 休眠、短生、离线、外部托管、提供商持有、别名、克隆和跨租户对象 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

X08例外与失效模式. 演练例外、陈旧来源、提供商中断、责任人不可用和控制降级同时出现的复合故障，明确一条安全指令和一个责任决策。

E01证据与指标. 以这条验证判断作为首份验收回执：“从终端、集群、仓库、云账号和费用/SSO 目录双向抽样。”保留输入、步骤、预期结果、实际结果、执行人、时间和制品身份。

E02证据与指标. 把分子和分母发布为可下钻对象集，包含查询版本、采集时间、排除项、未知项、重复项、陈旧记录和空总体规则。

E03证据与指标. 自动评分前对账固定 CAS 的 1 个指标分支、6 个命名度量或全局变量、假设状态和本地运行有效性证据。

E04证据与指标. 保留配置或程序版本、来源回执、正反向结果、例外证据、复核人身份、完整性哈希、保留类别和重放步骤。

E05证据与指标. 以经过部署对账的软件权威台账和独立来源回执计算覆盖与有效性，分别报告未知、陈旧、冲突、失败和例外对象。

E06证据与指标. 发布 已评审、未评审、可复现、来源绑定、存在漏洞、测试失败、例外、已部署未验证、漂移、已回滚和受回归保护发布物，附查询版本、分母时间、排除项、未知项和下钻回执。

E07证据与指标. 发布 匹配、缺失、重复、陈旧、无责任人、未批准、不可评估及无证明退役数量，附查询版本、分母时间、排除项、未知项和下钻回执。

E08证据与指标. 要求独立人员使用来源回执重建决策，并复现总体、状态转换、计算、测试结果、例外和最终关闭。

S01安全、隐私与韧性. 对权威数据、连接器、策略引擎、证据库、例外流程、破窗路径和管理恢复应用最小权限与职责分离。

S02安全、隐私与韧性. 在需求、遥测、测试、截图、导出和公开证据中最小化秘密、个人与受监管数据，并定义脱敏和受控原始证据访问。

S03安全、隐私与韧性. 通过独立保管、必要时的不可变历史和证据路径停用告警，保护策略、状态、时间、日志、测试与审批免受篡改。

S04安全、隐私与韧性. 定义容量、配额、依赖、地域、提供商、离线和灾难行为，并保留经过测试的降级决策与恢复路径。

S05安全、隐私与韧性. 保护经过部署对账的软件权威台账的写入与审批权限，监测特权变更、导出、删除、来源停用和恢复。

S06安全、隐私与韧性. 限制改变“设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役”的权限，记录特权变更，保护证据历史并测试管理恢复。

S07安全、隐私与韧性. 限制改变“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”的权限，记录特权变更，保护证据历史并测试管理恢复。

S08安全、隐私与韧性. 威胁建模实施系统自身：伪造证据、污染清单、权限滥用、跨租户混淆、策略回滚、审计删除、拒绝服务和恢复失陷。

V01验证与对抗测试. 让合法正向控制走完真实或生产等价路径，同时验证业务成功和完整证据回执。

V02验证与对抗测试. 执行未授权或无效反向控制，并加入陈旧、重复、畸形、乱序、跨租户和绕过变体，验证预期拒绝或安全处置。

V03验证与对抗测试. 注入来源、凭据、解析器、策略、网络、提供商、队列、存储、时钟、复核人和回滚故障，验证健康检测与声明的降级状态。

V04验证与对抗测试. 采用风险分层平台样本，覆盖关键、常见、例外、刚变更、提供商托管、安全关键、远程和短生总体。

V05验证与对抗测试. 在代表性平台演练 获批发布物、未批准二进制、意外依赖、短生镜像和发布方终止支持事件，验证业务行为、控制决策、遥测、案件流程、回滚和最终状态。

V06验证与对抗测试. 运行正向控制“一个把安全不变量贯穿部署与运行的可信构建”，并执行包含“依赖替换、未评审变更、构建输入污染、安全测试失败、绕过路径、漏洞发布、回滚和回归”的反向、陈旧、重复、绕过和中断控制。

V07验证与对抗测试. 运行正向控制“从两个独立来源对账的一项植入已批准对象”，并执行包含“未知对象、重复身份、陈旧记录、突然消失对象、失效来源和跨租户碰撞”的反向、陈旧、重复、绕过和中断控制。

V08验证与对抗测试. 建立平台—故障两两组合矩阵，再加入高后果多因素案例、历史回归、来源替换、红队挑战和评估方重放。

R01运营、变更与收口. 按设计、观察、金丝雀、强制和扩展阶段发布，每阶段都有进入/退出条件、业务正向、反向控制、例外准备和已测试回滚。

R02运营、变更与收口. 监测总体增长、来源健康、证据陈旧、动作失败、积压年龄、例外到期、控制绕过、误报、漏报和复发根因。

R03运营、变更与收口. 来源、解析器、策略、责任人、提供商、架构、软件、数据用途或威胁变化后，使受影响回执失效；保留历史并显示当前为陈旧。

R04运营、变更与收口. 只有受保护状态已改变、证据新鲜、正反向控制通过、下游权威对账、残余风险已记录且复发监测已启用时才关闭。

R05运营、变更与收口. 当 终端与包清单、MDM、制品库、SBOM、CI/CD、云目录、SSO、采购和发布方生命周期来源 的责任、模式、覆盖、提供商、策略或平台版本变化时重新对账并重跑受影响测试。

R06运营、变更与收口. 用 已评审、未评审、可复现、来源绑定、存在漏洞、测试失败、例外、已部署未验证、漂移、已回滚和受回归保护发布物 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

R07运营、变更与收口. 用 匹配、缺失、重复、陈旧、无责任人、未批准、不可评估及无证明退役数量 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

R08运营、变更与收口. 采用金丝雀、停止标准、回滚、积压燃尽、例外缩减、来源质量目标、季度设计复核和可量化退役计划。

O01目标与决策. 为“支持状态”定义用户、业务与风险结果，明确该 Safeguard 保护的决策以及可以被观察到的状态变化。

O02目标与决策. 每条需求都绑定 CIS Safeguard 2.2、官方资产类别“软件”、安全功能“识别”和首次出现的 IG1，并保存来源抓取日期。

O03目标与决策. 以这条原创本地范围判断为起点：“逐项判断授权产品和版本是否有明确发布者或可问责的内部支持渠道，覆盖 OS 版本线、固件、库、容器基础、设备和 SaaS 功能。”把其中每类对象转成可查询总体或经过批准的适用性决定。

O04目标与决策. 分别保存规范意图、设计批准、部署、证据新鲜、正向控制、反向控制、例外和实际运行结果状态。

O05目标与决策. 把“支持状态”连接到其运营对象——操作系统、软件包、固件、扩展、容器镜像、依赖、SaaS 应用和内部构建发布物——并为每个终态定义安全决策、业务后果和残余风险。

O06目标与决策. 对“支持状态”，以 从源码到生产的软件身份、设计不变量、组件信任、构建来源、测试结果、部署状态、运行结果和漏洞响应 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

O07目标与决策. 对“支持状态”，以 受影响制品身份、可利用性、业务后果、修复选择、已部署修复、补偿控制和残余暴露 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

P01总体与适用性. 计算覆盖率前先建立权威分母，记录查询、责任人、采集时间、租户、环境、纳入项、排除项和未解决对象。

P02总体与适用性. 只要 Safeguard 所指对象存在，就评估本地、IaaS/PaaS/SaaS 云、移动、远程、IoT/OT、构建、备份、提供商和 AI 场景。

P03总体与适用性. 把空总体、发现失败、平台不支持、提供商证据不可得和经批准不适用分别记录为五种结果。

P04总体与适用性. 执行双向抽样：权威台账到真实环境、真实环境到权威台账；保留缺失、重复、陈旧、孤儿和跨租户结果。

P05总体与适用性. 解决 便携二进制、休眠镜像、静态链接、影子 SaaS、可变软件包、不受支持版本及环境相关授权 的适用性；每种边缘情形都获得有证据的适用、不适用、未知或有期限例外结果。

P06总体与适用性. 把 生成与复制代码、分叉、vendoring、传递依赖、可变标签、构建插件、功能开关、租户逻辑、秘密、紧急发布和提供商组件 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

P07总体与适用性. 把 未知版本、误报、无可用修复、厂商滞后、短生工作负载、不可扫描平台、继承依赖、仅缓解状态和复发 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

W01责任与审批. 为该 Safeguard 指定业务最终责任人、运营责任人、证据责任人、例外审批人、独立复核人和升级接收人。

W02责任与审批. 定义谁能创建、变更、批准、执行、暂停、回滚、续期例外和关闭实施，阻止同一主体独自批准所有阶段。

W03责任与审批. 外包运营仍指定内部最终责任人，并列出提供商操作方、租户管理员、证据提供方、通知路径和合同缺口。

W04责任与审批. 定义委派、备份人员、值班覆盖、事件期间决策权限，以及责任人离职或不可用时的交接测试。

W05责任与审批. 为 软件与应用责任人、平台工程、开发、采购和安全团队 定义该 Safeguard 的 RACI，并指定解决来源或风险决策冲突的权威方。

W06责任与审批. 明确谁能转换 设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役，谁批准、谁提供证据、谁独立复核。

W07责任与审批. 明确谁能转换 发现 → 验证 → 定级 → 分派 → 修复/缓解/例外 → 部署 → 复测 → 关闭/重开，谁批准、谁提供证据、谁独立复核。

D01数据契约与身份. 定义稳定对象身份、别名、父子关系、租户与环境键、来源、首次/最后观测时间、责任人、状态和墓碑规则。

D02数据契约与身份. 对模式与归一化规则做版本管理；每个关键决策字段保留原始来源标识、采集时间、解析器版本、置信度和旧值。

D03数据契约与身份. 把固定 CAS 变量集合（GV5, GV6, M1, M2, M3, M4, M5, M6, M7）映射到本地字段；不可获得的变量逐项标记为不支持、不适用或未知并说明原因。

D04数据契约与身份. 在仪表盘或自动化消费前，定义空值、零、重复、陈旧、删除、不可达、部分观测和来源冲突语义。

D05数据契约与身份. 把经过部署对账的软件权威台账作为受治理当前状态记录，保存身份、责任人、来源、旧/新状态、原因、执行人、时间和例外关联。

D06数据契约与身份. 对生命周期“设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

D07数据契约与身份. 对生命周期“发现 → 验证 → 定级 → 分派 → 修复/缓解/例外 → 部署 → 复测 → 关闭/重开”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

I01依赖与集成. 记录 Safeguard 2.1 的前置状态；补充本地必需依赖，并解释每项省略或替代的前置条件。

I02依赖与集成. 每个 API、代理、文件、消息、人工确认或提供商导出都定义认证、授权、模式、分页、限流、重放、幂等和错误处理。

I03依赖与集成. 在每次连接和归一化中保留租户、地域、环境、对象身份、来源事件时间、采集时间和来源健康状态。

I04依赖与集成. 为提供商中断、凭据过期、网络分区、模式漂移、延迟交付、部分结果和人工运行定义回退与对账路径。

I05依赖与集成. 对账 终端与包清单、MDM、制品库、SBOM、CI/CD、云目录、SSO、采购和发布方生命周期来源，逐来源暴露健康、延迟、置信度、遗漏和冲突解决结果。

I06依赖与集成. 承载 从源码到生产的软件身份、设计不变量、组件信任、构建来源、测试结果、部署状态、运行结果和漏洞响应 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

I07依赖与集成. 承载 受影响制品身份、可利用性、业务后果、修复选择、已部署修复、补偿控制和残余暴露 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

C01控制流与执行. 以这条实施判断为控制流锚点：“软件责任人记录停止支持日、更新渠道、当前受支持目标和迁移决定；至少每月或供应商通知时复核。”拆成输入、校验、决策、动作、记录结果和关闭状态。

C02控制流与执行. 明确最近且可靠的策略、流程、配置、身份、网络、应用、数据、提供商或人工决策点，由它真正改变受保护状态。

C03控制流与执行. 按需定义允许、拒绝、遏制、隔离、延后、例外、未知、失败、已回滚和已关闭结果；每种结果都有责任人与下一动作。

C04控制流与执行. 为自动与人工执行定义校验、授权、幂等、重试、去重、并发、事务边界、回滚和补偿动作。

C05控制流与执行. 在经过部署对账的软件权威台账中实现状态转换，保存精确运营控制点、策略或程序版本、结果和下游更新。

C06控制流与执行. 实现显式状态机“设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

C07控制流与执行. 实现显式状态机“发现 → 验证 → 定级 → 分派 → 修复/缓解/例外 → 部署 → 复测 → 关闭/重开”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

T01时序与生命周期. 保留固定官方描述中的频率术语（monthly）；当资产变化、暴露、安全生产或威胁后果要求更快时定义本地 SLO。

T02时序与生命周期. 分别设置发现、摄取、决策、动作、责任人确认、证据新鲜度、例外复核、验证和最终关闭 SLO。

T03时序与生命周期. 保存事件时间、来源时区、采集时间、处理时间、决策时间和到期时间，定义时钟偏移、迟到、回填和夏令时处理。

T04时序与生命周期. 架构、提供商、策略、软件、威胁、法规、责任、数据用途、事件或控制来源发生重大变化时提前复核。

T05时序与生命周期. 根据 操作系统、软件包、固件、扩展、容器镜像、依赖、SaaS 应用和内部构建发布物 的变化速度设置新鲜度和动作 SLO，把来源年龄、队列年龄、例外年龄和关闭年龄分开。

T06时序与生命周期. 为“设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

T07时序与生命周期. 为“发现 → 验证 → 定级 → 分派 → 修复/缓解/例外 → 部署 → 复测 → 关闭/重开”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

X01例外与失效模式. 把这条失效边界判断作为强制例外测试：“CAS 把“有例外”和“无例外”变量写反，必须自建稳定分母。”其中每种条件都转成可检测状态和响应。

X02例外与失效模式. 例外必须包含范围、精确对象、责任人、原因、威胁与业务后果、补偿控制、证据、起止时间、复核触发器和经过测试的退出。

X03例外与失效模式. 按需定义故障开放、故障关闭、安全失效、部分、未知、陈旧、提供商不支持、安全生产约束、隐私约束和紧急状态。

X04例外与失效模式. 到期或补偿控制减弱的例外回到失败；同一对象或获取路径在关闭后复发时重开根因。

X05例外与失效模式. 把 便携二进制、休眠镜像、静态链接、影子 SaaS、可变软件包、不受支持版本及环境相关授权 作为设计内异常路径，每项都有责任人、补偿控制、期限、安全或业务约束和复测。

X06例外与失效模式. 把 生成与复制代码、分叉、vendoring、传递依赖、可变标签、构建插件、功能开关、租户逻辑、秘密、紧急发布和提供商组件 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

X07例外与失效模式. 把 未知版本、误报、无可用修复、厂商滞后、短生工作负载、不可扫描平台、继承依赖、仅缓解状态和复发 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

E01证据与指标. 以这条验证判断作为首份验收回执：“在厂商或维护项目的一手来源核验生命周期，并抽查实际部署版本而非台账标签。”保留输入、步骤、预期结果、实际结果、执行人、时间和制品身份。

E02证据与指标. 把分子和分母发布为可下钻对象集，包含查询版本、采集时间、排除项、未知项、重复项、陈旧记录和空总体规则。

E03证据与指标. 自动评分前对账固定 CAS 的 4 个指标分支、9 个命名度量或全局变量、假设状态和本地运行有效性证据。

E04证据与指标. 保留配置或程序版本、来源回执、正反向结果、例外证据、复核人身份、完整性哈希、保留类别和重放步骤。

E05证据与指标. 以经过部署对账的软件权威台账和独立来源回执计算覆盖与有效性，分别报告未知、陈旧、冲突、失败和例外对象。

E06证据与指标. 发布 已评审、未评审、可复现、来源绑定、存在漏洞、测试失败、例外、已部署未验证、漂移、已回滚和受回归保护发布物，附查询版本、分母时间、排除项、未知项和下钻回执。

E07证据与指标. 发布 开放、已验证、误报、逾期、已缓解、例外、已部署未验证、复测失败、重开和暴露加权发现，附查询版本、分母时间、排除项、未知项和下钻回执。

S01安全、隐私与韧性. 对权威数据、连接器、策略引擎、证据库、例外流程、破窗路径和管理恢复应用最小权限与职责分离。

S02安全、隐私与韧性. 在需求、遥测、测试、截图、导出和公开证据中最小化秘密、个人与受监管数据，并定义脱敏和受控原始证据访问。

S03安全、隐私与韧性. 通过独立保管、必要时的不可变历史和证据路径停用告警，保护策略、状态、时间、日志、测试与审批免受篡改。

S04安全、隐私与韧性. 定义容量、配额、依赖、地域、提供商、离线和灾难行为，并保留经过测试的降级决策与恢复路径。

S05安全、隐私与韧性. 保护经过部署对账的软件权威台账的写入与审批权限，监测特权变更、导出、删除、来源停用和恢复。

S06安全、隐私与韧性. 限制改变“设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役”的权限，记录特权变更，保护证据历史并测试管理恢复。

S07安全、隐私与韧性. 限制改变“发现 → 验证 → 定级 → 分派 → 修复/缓解/例外 → 部署 → 复测 → 关闭/重开”的权限，记录特权变更，保护证据历史并测试管理恢复。

V01验证与对抗测试. 让合法正向控制走完真实或生产等价路径，同时验证业务成功和完整证据回执。

V02验证与对抗测试. 执行未授权或无效反向控制，并加入陈旧、重复、畸形、乱序、跨租户和绕过变体，验证预期拒绝或安全处置。

V03验证与对抗测试. 注入来源、凭据、解析器、策略、网络、提供商、队列、存储、时钟、复核人和回滚故障，验证健康检测与声明的降级状态。

V04验证与对抗测试. 采用风险分层平台样本，覆盖关键、常见、例外、刚变更、提供商托管、安全关键、远程和短生总体。

V05验证与对抗测试. 在代表性平台演练 获批发布物、未批准二进制、意外依赖、短生镜像和发布方终止支持事件，验证业务行为、控制决策、遥测、案件流程、回滚和最终状态。

V06验证与对抗测试. 运行正向控制“一个把安全不变量贯穿部署与运行的可信构建”，并执行包含“依赖替换、未评审变更、构建输入污染、安全测试失败、绕过路径、漏洞发布、回滚和回归”的反向、陈旧、重复、绕过和中断控制。

V07验证与对抗测试. 运行正向控制“一项已知漏洞制品完成修复并独立复测”，并执行包含“凭据失败、版本误配、无可用修复、缓解绕过、部署失败、回滚、问题复发和外露无主资产”的反向、陈旧、重复、绕过和中断控制。

R01运营、变更与收口. 按设计、观察、金丝雀、强制和扩展阶段发布，每阶段都有进入/退出条件、业务正向、反向控制、例外准备和已测试回滚。

R02运营、变更与收口. 监测总体增长、来源健康、证据陈旧、动作失败、积压年龄、例外到期、控制绕过、误报、漏报和复发根因。

R03运营、变更与收口. 来源、解析器、策略、责任人、提供商、架构、软件、数据用途或威胁变化后，使受影响回执失效；保留历史并显示当前为陈旧。

R04运营、变更与收口. 只有受保护状态已改变、证据新鲜、正反向控制通过、下游权威对账、残余风险已记录且复发监测已启用时才关闭。

R05运营、变更与收口. 当 终端与包清单、MDM、制品库、SBOM、CI/CD、云目录、SSO、采购和发布方生命周期来源 的责任、模式、覆盖、提供商、策略或平台版本变化时重新对账并重跑受影响测试。

R06运营、变更与收口. 用 已评审、未评审、可复现、来源绑定、存在漏洞、测试失败、例外、已部署未验证、漂移、已回滚和受回归保护发布物 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

R07运营、变更与收口. 用 开放、已验证、误报、逾期、已缓解、例外、已部署未验证、复测失败、重开和暴露加权发现 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

O01目标与决策. 为“未授权软件处置”定义用户、业务与风险结果，明确该 Safeguard 保护的决策以及可以被观察到的状态变化。

O02目标与决策. 每条需求都绑定 CIS Safeguard 2.3、官方资产类别“软件”、安全功能“响应”和首次出现的 IG1，并保存来源抓取日期。

O03目标与决策. 以这条原创本地范围判断为起点：“范围包含以安装、便携、远程执行、侧载、容器和用户授权 SaaS 形式出现，且产品、版本、来源、环境或用途不符合政策的软件。”把其中每类对象转成可查询总体或经过批准的适用性决定。

O04目标与决策. 分别保存规范意图、设计批准、部署、证据新鲜、正向控制、反向控制、例外和实际运行结果状态。

O05目标与决策. 把“未授权软件处置”连接到其运营对象——操作系统、软件包、固件、扩展、容器镜像、依赖、SaaS 应用和内部构建发布物——并为每个终态定义安全决策、业务后果和残余风险。

O06目标与决策. 对“未授权软件处置”，以 从源码到生产的软件身份、设计不变量、组件信任、构建来源、测试结果、部署状态、运行结果和漏洞响应 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

P01总体与适用性. 计算覆盖率前先建立权威分母，记录查询、责任人、采集时间、租户、环境、纳入项、排除项和未解决对象。

P02总体与适用性. 只要 Safeguard 所指对象存在，就评估本地、IaaS/PaaS/SaaS 云、移动、远程、IoT/OT、构建、备份、提供商和 AI 场景。

P03总体与适用性. 把空总体、发现失败、平台不支持、提供商证据不可得和经批准不适用分别记录为五种结果。

P04总体与适用性. 执行双向抽样：权威台账到真实环境、真实环境到权威台账；保留缺失、重复、陈旧、孤儿和跨租户结果。

P05总体与适用性. 解决 便携二进制、休眠镜像、静态链接、影子 SaaS、可变软件包、不受支持版本及环境相关授权 的适用性；每种边缘情形都获得有证据的适用、不适用、未知或有期限例外结果。

P06总体与适用性. 把 生成与复制代码、分叉、vendoring、传递依赖、可变标签、构建插件、功能开关、租户逻辑、秘密、紧急发布和提供商组件 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

W01责任与审批. 为该 Safeguard 指定业务最终责任人、运营责任人、证据责任人、例外审批人、独立复核人和升级接收人。

W02责任与审批. 定义谁能创建、变更、批准、执行、暂停、回滚、续期例外和关闭实施，阻止同一主体独自批准所有阶段。

W03责任与审批. 外包运营仍指定内部最终责任人，并列出提供商操作方、租户管理员、证据提供方、通知路径和合同缺口。

W04责任与审批. 定义委派、备份人员、值班覆盖、事件期间决策权限，以及责任人离职或不可用时的交接测试。

W05责任与审批. 为 软件与应用责任人、平台工程、开发、采购和安全团队 定义该 Safeguard 的 RACI，并指定解决来源或风险决策冲突的权威方。

W06责任与审批. 明确谁能转换 设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役，谁批准、谁提供证据、谁独立复核。

D01数据契约与身份. 定义稳定对象身份、别名、父子关系、租户与环境键、来源、首次/最后观测时间、责任人、状态和墓碑规则。

D02数据契约与身份. 对模式与归一化规则做版本管理；每个关键决策字段保留原始来源标识、采集时间、解析器版本、置信度和旧值。

D03数据契约与身份. 把固定 CAS 变量集合（GV1, GV5, GV7, M1, M2, M3, M4）映射到本地字段；不可获得的变量逐项标记为不支持、不适用或未知并说明原因。

D04数据契约与身份. 在仪表盘或自动化消费前，定义空值、零、重复、陈旧、删除、不可达、部分观测和来源冲突语义。

D05数据契约与身份. 把经过部署对账的软件权威台账作为受治理当前状态记录，保存身份、责任人、来源、旧/新状态、原因、执行人、时间和例外关联。

D06数据契约与身份. 对生命周期“设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

I01依赖与集成. 记录 Safeguard 1.1、Safeguard 2.1 的前置状态；补充本地必需依赖，并解释每项省略或替代的前置条件。

I02依赖与集成. 每个 API、代理、文件、消息、人工确认或提供商导出都定义认证、授权、模式、分页、限流、重放、幂等和错误处理。

I03依赖与集成. 在每次连接和归一化中保留租户、地域、环境、对象身份、来源事件时间、采集时间和来源健康状态。

I04依赖与集成. 为提供商中断、凭据过期、网络分区、模式漂移、延迟交付、部分结果和人工运行定义回退与对账路径。

I05依赖与集成. 对账 终端与包清单、MDM、制品库、SBOM、CI/CD、云目录、SSO、采购和发布方生命周期来源，逐来源暴露健康、延迟、置信度、遗漏和冲突解决结果。

I06依赖与集成. 承载 从源码到生产的软件身份、设计不变量、组件信任、构建来源、测试结果、部署状态、运行结果和漏洞响应 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

C01控制流与执行. 以这条实施判断为控制流锚点：“至少每月把发现结果与授权清单对账，作出移除、拦截、隔离或正式授权决定。”拆成输入、校验、决策、动作、记录结果和关闭状态。

C02控制流与执行. 明确最近且可靠的策略、流程、配置、身份、网络、应用、数据、提供商或人工决策点，由它真正改变受保护状态。

C03控制流与执行. 按需定义允许、拒绝、遏制、隔离、延后、例外、未知、失败、已回滚和已关闭结果；每种结果都有责任人与下一动作。

C04控制流与执行. 为自动与人工执行定义校验、授权、幂等、重试、去重、并发、事务边界、回滚和补偿动作。

C05控制流与执行. 在经过部署对账的软件权威台账中实现状态转换，保存精确运营控制点、策略或程序版本、结果和下游更新。

C06控制流与执行. 实现显式状态机“设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

T01时序与生命周期. 保留固定官方描述中的频率术语（monthly）；当资产变化、暴露、安全生产或威胁后果要求更快时定义本地 SLO。

T02时序与生命周期. 分别设置发现、摄取、决策、动作、责任人确认、证据新鲜度、例外复核、验证和最终关闭 SLO。

T03时序与生命周期. 保存事件时间、来源时区、采集时间、处理时间、决策时间和到期时间，定义时钟偏移、迟到、回填和夏令时处理。

T04时序与生命周期. 架构、提供商、策略、软件、威胁、法规、责任、数据用途、事件或控制来源发生重大变化时提前复核。

T05时序与生命周期. 根据 操作系统、软件包、固件、扩展、容器镜像、依赖、SaaS 应用和内部构建发布物 的变化速度设置新鲜度和动作 SLO，把来源年龄、队列年龄、例外年龄和关闭年龄分开。

T06时序与生命周期. 为“设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

X01例外与失效模式. 把这条失效边界判断作为强制例外测试：“取证保全可以延迟删除，但需阻止执行并记录保管。”其中每种条件都转成可检测状态和响应。

X02例外与失效模式. 例外必须包含范围、精确对象、责任人、原因、威胁与业务后果、补偿控制、证据、起止时间、复核触发器和经过测试的退出。

X03例外与失效模式. 按需定义故障开放、故障关闭、安全失效、部分、未知、陈旧、提供商不支持、安全生产约束、隐私约束和紧急状态。

X04例外与失效模式. 到期或补偿控制减弱的例外回到失败；同一对象或获取路径在关闭后复发时重开根因。

X05例外与失效模式. 把 便携二进制、休眠镜像、静态链接、影子 SaaS、可变软件包、不受支持版本及环境相关授权 作为设计内异常路径，每项都有责任人、补偿控制、期限、安全或业务约束和复测。

X06例外与失效模式. 把 生成与复制代码、分叉、vendoring、传递依赖、可变标签、构建插件、功能开关、租户逻辑、秘密、紧急发布和提供商组件 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

E01证据与指标. 以这条验证判断作为首份验收回执：“在测试范围安装无害未批准二进制、扩展和容器，验证发现、控制、工单证据和不能再次安装。”保留输入、步骤、预期结果、实际结果、执行人、时间和制品身份。

E02证据与指标. 把分子和分母发布为可下钻对象集，包含查询版本、采集时间、排除项、未知项、重复项、陈旧记录和空总体规则。

E03证据与指标. 自动评分前对账固定 CAS 的 2 个指标分支、7 个命名度量或全局变量、假设状态和本地运行有效性证据。

E04证据与指标. 保留配置或程序版本、来源回执、正反向结果、例外证据、复核人身份、完整性哈希、保留类别和重放步骤。

E05证据与指标. 以经过部署对账的软件权威台账和独立来源回执计算覆盖与有效性，分别报告未知、陈旧、冲突、失败和例外对象。

E06证据与指标. 发布 已评审、未评审、可复现、来源绑定、存在漏洞、测试失败、例外、已部署未验证、漂移、已回滚和受回归保护发布物，附查询版本、分母时间、排除项、未知项和下钻回执。

S01安全、隐私与韧性. 对权威数据、连接器、策略引擎、证据库、例外流程、破窗路径和管理恢复应用最小权限与职责分离。

S02安全、隐私与韧性. 在需求、遥测、测试、截图、导出和公开证据中最小化秘密、个人与受监管数据，并定义脱敏和受控原始证据访问。

S03安全、隐私与韧性. 通过独立保管、必要时的不可变历史和证据路径停用告警，保护策略、状态、时间、日志、测试与审批免受篡改。

S04安全、隐私与韧性. 定义容量、配额、依赖、地域、提供商、离线和灾难行为，并保留经过测试的降级决策与恢复路径。

S05安全、隐私与韧性. 保护经过部署对账的软件权威台账的写入与审批权限，监测特权变更、导出、删除、来源停用和恢复。

S06安全、隐私与韧性. 限制改变“设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役”的权限，记录特权变更，保护证据历史并测试管理恢复。

V01验证与对抗测试. 让合法正向控制走完真实或生产等价路径，同时验证业务成功和完整证据回执。

V02验证与对抗测试. 执行未授权或无效反向控制，并加入陈旧、重复、畸形、乱序、跨租户和绕过变体，验证预期拒绝或安全处置。

V03验证与对抗测试. 注入来源、凭据、解析器、策略、网络、提供商、队列、存储、时钟、复核人和回滚故障，验证健康检测与声明的降级状态。

V04验证与对抗测试. 采用风险分层平台样本，覆盖关键、常见、例外、刚变更、提供商托管、安全关键、远程和短生总体。

V05验证与对抗测试. 在代表性平台演练 获批发布物、未批准二进制、意外依赖、短生镜像和发布方终止支持事件，验证业务行为、控制决策、遥测、案件流程、回滚和最终状态。

V06验证与对抗测试. 运行正向控制“一个把安全不变量贯穿部署与运行的可信构建”，并执行包含“依赖替换、未评审变更、构建输入污染、安全测试失败、绕过路径、漏洞发布、回滚和回归”的反向、陈旧、重复、绕过和中断控制。

R01运营、变更与收口. 按设计、观察、金丝雀、强制和扩展阶段发布，每阶段都有进入/退出条件、业务正向、反向控制、例外准备和已测试回滚。

R02运营、变更与收口. 监测总体增长、来源健康、证据陈旧、动作失败、积压年龄、例外到期、控制绕过、误报、漏报和复发根因。

R03运营、变更与收口. 来源、解析器、策略、责任人、提供商、架构、软件、数据用途或威胁变化后，使受影响回执失效；保留历史并显示当前为陈旧。

R04运营、变更与收口. 只有受保护状态已改变、证据新鲜、正反向控制通过、下游权威对账、残余风险已记录且复发监测已启用时才关闭。

R05运营、变更与收口. 当 终端与包清单、MDM、制品库、SBOM、CI/CD、云目录、SSO、采购和发布方生命周期来源 的责任、模式、覆盖、提供商、策略或平台版本变化时重新对账并重跑受影响测试。

R06运营、变更与收口. 用 已评审、未评审、可复现、来源绑定、存在漏洞、测试失败、例外、已部署未验证、漂移、已回滚和受回归保护发布物 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

O01目标与决策. 为“自动化软件发现”定义用户、业务与风险结果，明确该 Safeguard 保护的决策以及可以被观察到的状态变化。

O02目标与决策. 每条需求都绑定 CIS Safeguard 2.4、官方资产类别“软件”、安全功能“检测”和首次出现的 IG2，并保存来源抓取日期。

O03目标与决策. 以这条原创本地范围判断为起点：“覆盖所有能自动采集的平台，并说明使用 Agent、API、仓库扫描、包查询还是镜像分析。”把其中每类对象转成可查询总体或经过批准的适用性决定。

O04目标与决策. 分别保存规范意图、设计批准、部署、证据新鲜、正向控制、反向控制、例外和实际运行结果状态。

O05目标与决策. 把“自动化软件发现”连接到其运营对象——操作系统、软件包、固件、扩展、容器镜像、依赖、SaaS 应用和内部构建发布物——并为每个终态定义安全决策、业务后果和残余风险。

O06目标与决策. 对“自动化软件发现”，以 从源码到生产的软件身份、设计不变量、组件信任、构建来源、测试结果、部署状态、运行结果和漏洞响应 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

O07目标与决策. 对“自动化软件发现”，以 已观测、已批准、未批准、无责任人、陈旧、重复和已退役对象身份 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

P01总体与适用性. 计算覆盖率前先建立权威分母，记录查询、责任人、采集时间、租户、环境、纳入项、排除项和未解决对象。

P02总体与适用性. 只要 Safeguard 所指对象存在，就评估本地、IaaS/PaaS/SaaS 云、移动、远程、IoT/OT、构建、备份、提供商和 AI 场景。

P03总体与适用性. 把空总体、发现失败、平台不支持、提供商证据不可得和经批准不适用分别记录为五种结果。

P04总体与适用性. 执行双向抽样：权威台账到真实环境、真实环境到权威台账；保留缺失、重复、陈旧、孤儿和跨租户结果。

P05总体与适用性. 解决 便携二进制、休眠镜像、静态链接、影子 SaaS、可变软件包、不受支持版本及环境相关授权 的适用性；每种边缘情形都获得有证据的适用、不适用、未知或有期限例外结果。

P06总体与适用性. 把 生成与复制代码、分叉、vendoring、传递依赖、可变标签、构建插件、功能开关、租户逻辑、秘密、紧急发布和提供商组件 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

P07总体与适用性. 把 休眠、短生、离线、外部托管、提供商持有、别名、克隆和跨租户对象 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

W01责任与审批. 为该 Safeguard 指定业务最终责任人、运营责任人、证据责任人、例外审批人、独立复核人和升级接收人。

W02责任与审批. 定义谁能创建、变更、批准、执行、暂停、回滚、续期例外和关闭实施，阻止同一主体独自批准所有阶段。

W03责任与审批. 外包运营仍指定内部最终责任人，并列出提供商操作方、租户管理员、证据提供方、通知路径和合同缺口。

W04责任与审批. 定义委派、备份人员、值班覆盖、事件期间决策权限，以及责任人离职或不可用时的交接测试。

W05责任与审批. 为 软件与应用责任人、平台工程、开发、采购和安全团队 定义该 Safeguard 的 RACI，并指定解决来源或风险决策冲突的权威方。

W06责任与审批. 明确谁能转换 设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役，谁批准、谁提供证据、谁独立复核。

W07责任与审批. 明确谁能转换 发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役，谁批准、谁提供证据、谁独立复核。

D01数据契约与身份. 定义稳定对象身份、别名、父子关系、租户与环境键、来源、首次/最后观测时间、责任人、状态和墓碑规则。

D02数据契约与身份. 对模式与归一化规则做版本管理；每个关键决策字段保留原始来源标识、采集时间、解析器版本、置信度和旧值。

D03数据契约与身份. 把固定 CAS 变量集合（GV1, GV7, M1, M2, M3, M4, M5）映射到本地字段；不可获得的变量逐项标记为不支持、不适用或未知并说明原因。

D04数据契约与身份. 在仪表盘或自动化消费前，定义空值、零、重复、陈旧、删除、不可达、部分观测和来源冲突语义。

D05数据契约与身份. 把经过部署对账的软件权威台账作为受治理当前状态记录，保存身份、责任人、来源、旧/新状态、原因、执行人、时间和例外关联。

D06数据契约与身份. 对生命周期“设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

D07数据契约与身份. 对生命周期“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

I01依赖与集成. 记录 Safeguard 1.1、Safeguard 2.3 的前置状态；补充本地必需依赖，并解释每项省略或替代的前置条件。

I02依赖与集成. 每个 API、代理、文件、消息、人工确认或提供商导出都定义认证、授权、模式、分页、限流、重放、幂等和错误处理。

I03依赖与集成. 在每次连接和归一化中保留租户、地域、环境、对象身份、来源事件时间、采集时间和来源健康状态。

I04依赖与集成. 为提供商中断、凭据过期、网络分区、模式漂移、延迟交付、部分结果和人工运行定义回退与对账路径。

I05依赖与集成. 对账 终端与包清单、MDM、制品库、SBOM、CI/CD、云目录、SSO、采购和发布方生命周期来源，逐来源暴露健康、延迟、置信度、遗漏和冲突解决结果。

I06依赖与集成. 承载 从源码到生产的软件身份、设计不变量、组件信任、构建来源、测试结果、部署状态、运行结果和漏洞响应 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

I07依赖与集成. 承载 已观测、已批准、未批准、无责任人、陈旧、重复和已退役对象身份 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

C01控制流与执行. 以这条实施判断为控制流锚点：“按固定周期运行工具，监测采集年龄和失败，归一产品/版本身份，并同时与资产、软件台账对账。”拆成输入、校验、决策、动作、记录结果和关闭状态。

C02控制流与执行. 明确最近且可靠的策略、流程、配置、身份、网络、应用、数据、提供商或人工决策点，由它真正改变受保护状态。

C03控制流与执行. 按需定义允许、拒绝、遏制、隔离、延后、例外、未知、失败、已回滚和已关闭结果；每种结果都有责任人与下一动作。

C04控制流与执行. 为自动与人工执行定义校验、授权、幂等、重试、去重、并发、事务边界、回滚和补偿动作。

C05控制流与执行. 在经过部署对账的软件权威台账中实现状态转换，保存精确运营控制点、策略或程序版本、结果和下游更新。

C06控制流与执行. 实现显式状态机“设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

C07控制流与执行. 实现显式状态机“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

T01时序与生命周期. 保留固定官方描述中的频率术语（event- and risk-defined local cadence）；当资产变化、暴露、安全生产或威胁后果要求更快时定义本地 SLO。

T02时序与生命周期. 分别设置发现、摄取、决策、动作、责任人确认、证据新鲜度、例外复核、验证和最终关闭 SLO。

T03时序与生命周期. 保存事件时间、来源时区、采集时间、处理时间、决策时间和到期时间，定义时钟偏移、迟到、回填和夏令时处理。

T04时序与生命周期. 架构、提供商、策略、软件、威胁、法规、责任、数据用途、事件或控制来源发生重大变化时提前复核。

T05时序与生命周期. 根据 操作系统、软件包、固件、扩展、容器镜像、依赖、SaaS 应用和内部构建发布物 的变化速度设置新鲜度和动作 SLO，把来源年龄、队列年龄、例外年龄和关闭年龄分开。

T06时序与生命周期. 为“设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

T07时序与生命周期. 为“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

X01例外与失效模式. 把这条失效边界判断作为强制例外测试：“不支持的平台和隐私约束要有具名替代来源。”其中每种条件都转成可检测状态和响应。

X02例外与失效模式. 例外必须包含范围、精确对象、责任人、原因、威胁与业务后果、补偿控制、证据、起止时间、复核触发器和经过测试的退出。

X03例外与失效模式. 按需定义故障开放、故障关闭、安全失效、部分、未知、陈旧、提供商不支持、安全生产约束、隐私约束和紧急状态。

X04例外与失效模式. 到期或补偿控制减弱的例外回到失败；同一对象或获取路径在关闭后复发时重开根因。

X05例外与失效模式. 把 便携二进制、休眠镜像、静态链接、影子 SaaS、可变软件包、不受支持版本及环境相关授权 作为设计内异常路径，每项都有责任人、补偿控制、期限、安全或业务约束和复测。

X06例外与失效模式. 把 生成与复制代码、分叉、vendoring、传递依赖、可变标签、构建插件、功能开关、租户逻辑、秘密、紧急发布和提供商组件 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

X07例外与失效模式. 把 休眠、短生、离线、外部托管、提供商持有、别名、克隆和跨租户对象 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

E01证据与指标. 以这条验证判断作为首份验收回执：“以“成功且新鲜、信息足够的结果/符合条件的资产”为覆盖率，再把原始证据抽回归一台账核验。”保留输入、步骤、预期结果、实际结果、执行人、时间和制品身份。

E02证据与指标. 把分子和分母发布为可下钻对象集，包含查询版本、采集时间、排除项、未知项、重复项、陈旧记录和空总体规则。

E03证据与指标. 自动评分前对账固定 CAS 的 1 个指标分支、7 个命名度量或全局变量、假设状态和本地运行有效性证据。

E04证据与指标. 保留配置或程序版本、来源回执、正反向结果、例外证据、复核人身份、完整性哈希、保留类别和重放步骤。

E05证据与指标. 以经过部署对账的软件权威台账和独立来源回执计算覆盖与有效性，分别报告未知、陈旧、冲突、失败和例外对象。

E06证据与指标. 发布 已评审、未评审、可复现、来源绑定、存在漏洞、测试失败、例外、已部署未验证、漂移、已回滚和受回归保护发布物，附查询版本、分母时间、排除项、未知项和下钻回执。

E07证据与指标. 发布 匹配、缺失、重复、陈旧、无责任人、未批准、不可评估及无证明退役数量，附查询版本、分母时间、排除项、未知项和下钻回执。

S01安全、隐私与韧性. 对权威数据、连接器、策略引擎、证据库、例外流程、破窗路径和管理恢复应用最小权限与职责分离。

S02安全、隐私与韧性. 在需求、遥测、测试、截图、导出和公开证据中最小化秘密、个人与受监管数据，并定义脱敏和受控原始证据访问。

S03安全、隐私与韧性. 通过独立保管、必要时的不可变历史和证据路径停用告警，保护策略、状态、时间、日志、测试与审批免受篡改。

S04安全、隐私与韧性. 定义容量、配额、依赖、地域、提供商、离线和灾难行为，并保留经过测试的降级决策与恢复路径。

S05安全、隐私与韧性. 保护经过部署对账的软件权威台账的写入与审批权限，监测特权变更、导出、删除、来源停用和恢复。

S06安全、隐私与韧性. 限制改变“设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役”的权限，记录特权变更，保护证据历史并测试管理恢复。

S07安全、隐私与韧性. 限制改变“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”的权限，记录特权变更，保护证据历史并测试管理恢复。

V01验证与对抗测试. 让合法正向控制走完真实或生产等价路径，同时验证业务成功和完整证据回执。

V02验证与对抗测试. 执行未授权或无效反向控制，并加入陈旧、重复、畸形、乱序、跨租户和绕过变体，验证预期拒绝或安全处置。

V03验证与对抗测试. 注入来源、凭据、解析器、策略、网络、提供商、队列、存储、时钟、复核人和回滚故障，验证健康检测与声明的降级状态。

V04验证与对抗测试. 采用风险分层平台样本，覆盖关键、常见、例外、刚变更、提供商托管、安全关键、远程和短生总体。

V05验证与对抗测试. 在代表性平台演练 获批发布物、未批准二进制、意外依赖、短生镜像和发布方终止支持事件，验证业务行为、控制决策、遥测、案件流程、回滚和最终状态。

V06验证与对抗测试. 运行正向控制“一个把安全不变量贯穿部署与运行的可信构建”，并执行包含“依赖替换、未评审变更、构建输入污染、安全测试失败、绕过路径、漏洞发布、回滚和回归”的反向、陈旧、重复、绕过和中断控制。

V07验证与对抗测试. 运行正向控制“从两个独立来源对账的一项植入已批准对象”，并执行包含“未知对象、重复身份、陈旧记录、突然消失对象、失效来源和跨租户碰撞”的反向、陈旧、重复、绕过和中断控制。

R01运营、变更与收口. 按设计、观察、金丝雀、强制和扩展阶段发布，每阶段都有进入/退出条件、业务正向、反向控制、例外准备和已测试回滚。

R02运营、变更与收口. 监测总体增长、来源健康、证据陈旧、动作失败、积压年龄、例外到期、控制绕过、误报、漏报和复发根因。

R03运营、变更与收口. 来源、解析器、策略、责任人、提供商、架构、软件、数据用途或威胁变化后，使受影响回执失效；保留历史并显示当前为陈旧。

R04运营、变更与收口. 只有受保护状态已改变、证据新鲜、正反向控制通过、下游权威对账、残余风险已记录且复发监测已启用时才关闭。

R05运营、变更与收口. 当 终端与包清单、MDM、制品库、SBOM、CI/CD、云目录、SSO、采购和发布方生命周期来源 的责任、模式、覆盖、提供商、策略或平台版本变化时重新对账并重跑受影响测试。

R06运营、变更与收口. 用 已评审、未评审、可复现、来源绑定、存在漏洞、测试失败、例外、已部署未验证、漂移、已回滚和受回归保护发布物 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

R07运营、变更与收口. 用 匹配、缺失、重复、陈旧、无责任人、未批准、不可评估及无证明退役数量 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

O01目标与决策. 为“应用允许清单”定义用户、业务与风险结果，明确该 Safeguard 保护的决策以及可以被观察到的状态变化。

O02目标与决策. 每条需求都绑定 CIS Safeguard 2.5、官方资产类别“软件”、安全功能“保护”和首次出现的 IG2，并保存来源抓取日期。

O03目标与决策. 以这条原创本地范围判断为起点：“执行总体包括受保护环境里的二进制、安装器、解释器和应用启动路径。”把其中每类对象转成可查询总体或经过批准的适用性决定。

O04目标与决策. 分别保存规范意图、设计批准、部署、证据新鲜、正向控制、反向控制、例外和实际运行结果状态。

O05目标与决策. 把“应用允许清单”连接到其运营对象——操作系统、软件包、固件、扩展、容器镜像、依赖、SaaS 应用和内部构建发布物——并为每个终态定义安全决策、业务后果和残余风险。

O06目标与决策. 对“应用允许清单”，以 从源码到生产的软件身份、设计不变量、组件信任、构建来源、测试结果、部署状态、运行结果和漏洞响应 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

O07目标与决策. 对“应用允许清单”，以 在最近可靠控制点执行允许、拒绝、遏制、隔离、强制、移除或转换决策 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

P01总体与适用性. 计算覆盖率前先建立权威分母，记录查询、责任人、采集时间、租户、环境、纳入项、排除项和未解决对象。

P02总体与适用性. 只要 Safeguard 所指对象存在，就评估本地、IaaS/PaaS/SaaS 云、移动、远程、IoT/OT、构建、备份、提供商和 AI 场景。

P03总体与适用性. 把空总体、发现失败、平台不支持、提供商证据不可得和经批准不适用分别记录为五种结果。

P04总体与适用性. 执行双向抽样：权威台账到真实环境、真实环境到权威台账；保留缺失、重复、陈旧、孤儿和跨租户结果。

P05总体与适用性. 解决 便携二进制、休眠镜像、静态链接、影子 SaaS、可变软件包、不受支持版本及环境相关授权 的适用性；每种边缘情形都获得有证据的适用、不适用、未知或有期限例外结果。

P06总体与适用性. 把 生成与复制代码、分叉、vendoring、传递依赖、可变标签、构建插件、功能开关、租户逻辑、秘密、紧急发布和提供商组件 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

P07总体与适用性. 把 仅审计模式、不支持平台、本地覆盖、竞态、缓存状态、替代路径、故障开放和紧急绕过 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

W01责任与审批. 为该 Safeguard 指定业务最终责任人、运营责任人、证据责任人、例外审批人、独立复核人和升级接收人。

W02责任与审批. 定义谁能创建、变更、批准、执行、暂停、回滚、续期例外和关闭实施，阻止同一主体独自批准所有阶段。

W03责任与审批. 外包运营仍指定内部最终责任人，并列出提供商操作方、租户管理员、证据提供方、通知路径和合同缺口。

W04责任与审批. 定义委派、备份人员、值班覆盖、事件期间决策权限，以及责任人离职或不可用时的交接测试。

W05责任与审批. 为 软件与应用责任人、平台工程、开发、采购和安全团队 定义该 Safeguard 的 RACI，并指定解决来源或风险决策冲突的权威方。

W06责任与审批. 明确谁能转换 设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役，谁批准、谁提供证据、谁独立复核。

W07责任与审批. 明确谁能转换 观察 → 评估 → 决策 → 执行 → 验证结果 → 回滚/关闭，谁批准、谁提供证据、谁独立复核。

D01数据契约与身份. 定义稳定对象身份、别名、父子关系、租户与环境键、来源、首次/最后观测时间、责任人、状态和墓碑规则。

D02数据契约与身份. 对模式与归一化规则做版本管理；每个关键决策字段保留原始来源标识、采集时间、解析器版本、置信度和旧值。

D03数据契约与身份. 把固定 CAS 变量集合（GV3, GV5, GV7, GV8, GV9, M1, M2, M3, M4, M5, M6）映射到本地字段；不可获得的变量逐项标记为不支持、不适用或未知并说明原因。

D04数据契约与身份. 在仪表盘或自动化消费前，定义空值、零、重复、陈旧、删除、不可达、部分观测和来源冲突语义。

D05数据契约与身份. 把经过部署对账的软件权威台账作为受治理当前状态记录，保存身份、责任人、来源、旧/新状态、原因、执行人、时间和例外关联。

D06数据契约与身份. 对生命周期“设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

D07数据契约与身份. 对生命周期“观察 → 评估 → 决策 → 执行 → 验证结果 → 回滚/关闭”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

I01依赖与集成. 记录 Safeguard 1.1、Safeguard 2.1、Safeguard 2.3、Safeguard 4.1 的前置状态；补充本地必需依赖，并解释每项省略或替代的前置条件。

I02依赖与集成. 每个 API、代理、文件、消息、人工确认或提供商导出都定义认证、授权、模式、分页、限流、重放、幂等和错误处理。

I03依赖与集成. 在每次连接和归一化中保留租户、地域、环境、对象身份、来源事件时间、采集时间和来源健康状态。

I04依赖与集成. 为提供商中断、凭据过期、网络分区、模式漂移、延迟交付、部分结果和人工运行定义回退与对账路径。

I05依赖与集成. 对账 终端与包清单、MDM、制品库、SBOM、CI/CD、云目录、SSO、采购和发布方生命周期来源，逐来源暴露健康、延迟、置信度、遗漏和冲突解决结果。

I06依赖与集成. 承载 从源码到生产的软件身份、设计不变量、组件信任、构建来源、测试结果、部署状态、运行结果和漏洞响应 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

I07依赖与集成. 承载 在最近可靠控制点执行允许、拒绝、遏制、隔离、强制、移除或转换决策 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

C01控制流与执行. 以这条实施判断为控制流锚点：“从已知业务流程和可信分发建立策略，在 OS、终端、容器准入或应用控制层执行，并保留应急与更新通道。”拆成输入、校验、决策、动作、记录结果和关闭状态。

C02控制流与执行. 明确最近且可靠的策略、流程、配置、身份、网络、应用、数据、提供商或人工决策点，由它真正改变受保护状态。

C03控制流与执行. 按需定义允许、拒绝、遏制、隔离、延后、例外、未知、失败、已回滚和已关闭结果；每种结果都有责任人与下一动作。

C04控制流与执行. 为自动与人工执行定义校验、授权、幂等、重试、去重、并发、事务边界、回滚和补偿动作。

C05控制流与执行. 在经过部署对账的软件权威台账中实现状态转换，保存精确运营控制点、策略或程序版本、结果和下游更新。

C06控制流与执行. 实现显式状态机“设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

C07控制流与执行. 实现显式状态机“观察 → 评估 → 决策 → 执行 → 验证结果 → 回滚/关闭”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

T01时序与生命周期. 保留固定官方描述中的频率术语（bi-annually, annually）；当资产变化、暴露、安全生产或威胁后果要求更快时定义本地 SLO。

T02时序与生命周期. 分别设置发现、摄取、决策、动作、责任人确认、证据新鲜度、例外复核、验证和最终关闭 SLO。

T03时序与生命周期. 保存事件时间、来源时区、采集时间、处理时间、决策时间和到期时间，定义时钟偏移、迟到、回填和夏令时处理。

T04时序与生命周期. 架构、提供商、策略、软件、威胁、法规、责任、数据用途、事件或控制来源发生重大变化时提前复核。

T05时序与生命周期. 根据 操作系统、软件包、固件、扩展、容器镜像、依赖、SaaS 应用和内部构建发布物 的变化速度设置新鲜度和动作 SLO，把来源年龄、队列年龄、例外年龄和关闭年龄分开。

T06时序与生命周期. 为“设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

T07时序与生命周期. 为“观察 → 评估 → 决策 → 执行 → 验证结果 → 回滚/关闭”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

X01例外与失效模式. 把这条失效边界判断作为强制例外测试：“允许清单不判断行为安全，不能替代漏洞和恶意软件控制。”其中每种条件都转成可检测状态和响应。

X02例外与失效模式. 例外必须包含范围、精确对象、责任人、原因、威胁与业务后果、补偿控制、证据、起止时间、复核触发器和经过测试的退出。

X03例外与失效模式. 按需定义故障开放、故障关闭、安全失效、部分、未知、陈旧、提供商不支持、安全生产约束、隐私约束和紧急状态。

X04例外与失效模式. 到期或补偿控制减弱的例外回到失败；同一对象或获取路径在关闭后复发时重开根因。

X05例外与失效模式. 把 便携二进制、休眠镜像、静态链接、影子 SaaS、可变软件包、不受支持版本及环境相关授权 作为设计内异常路径，每项都有责任人、补偿控制、期限、安全或业务约束和复测。

X06例外与失效模式. 把 生成与复制代码、分叉、vendoring、传递依赖、可变标签、构建插件、功能开关、租户逻辑、秘密、紧急发布和提供商组件 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

X07例外与失效模式. 把 仅审计模式、不支持平台、本地覆盖、竞态、缓存状态、替代路径、故障开放和紧急绕过 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

E01证据与指标. 以这条验证判断作为首份验收回执：“以获批应用和更新作正控，以未签名、改名、复制到可写路径以及“已签名但未批准”二进制作负控。”保留输入、步骤、预期结果、实际结果、执行人、时间和制品身份。

E02证据与指标. 把分子和分母发布为可下钻对象集，包含查询版本、采集时间、排除项、未知项、重复项、陈旧记录和空总体规则。

E03证据与指标. 自动评分前对账固定 CAS 的 2 个指标分支、11 个命名度量或全局变量、假设状态和本地运行有效性证据。

E04证据与指标. 保留配置或程序版本、来源回执、正反向结果、例外证据、复核人身份、完整性哈希、保留类别和重放步骤。

E05证据与指标. 以经过部署对账的软件权威台账和独立来源回执计算覆盖与有效性，分别报告未知、陈旧、冲突、失败和例外对象。

E06证据与指标. 发布 已评审、未评审、可复现、来源绑定、存在漏洞、测试失败、例外、已部署未验证、漂移、已回滚和受回归保护发布物，附查询版本、分母时间、排除项、未知项和下钻回执。

E07证据与指标. 发布 适用、已执行、仅审计、失败、被绕过、例外、已回滚和结果已验证总体，附查询版本、分母时间、排除项、未知项和下钻回执。

S01安全、隐私与韧性. 对权威数据、连接器、策略引擎、证据库、例外流程、破窗路径和管理恢复应用最小权限与职责分离。

S02安全、隐私与韧性. 在需求、遥测、测试、截图、导出和公开证据中最小化秘密、个人与受监管数据，并定义脱敏和受控原始证据访问。

S03安全、隐私与韧性. 通过独立保管、必要时的不可变历史和证据路径停用告警，保护策略、状态、时间、日志、测试与审批免受篡改。

S04安全、隐私与韧性. 定义容量、配额、依赖、地域、提供商、离线和灾难行为，并保留经过测试的降级决策与恢复路径。

S05安全、隐私与韧性. 保护经过部署对账的软件权威台账的写入与审批权限，监测特权变更、导出、删除、来源停用和恢复。

S06安全、隐私与韧性. 限制改变“设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役”的权限，记录特权变更，保护证据历史并测试管理恢复。

S07安全、隐私与韧性. 限制改变“观察 → 评估 → 决策 → 执行 → 验证结果 → 回滚/关闭”的权限，记录特权变更，保护证据历史并测试管理恢复。

V01验证与对抗测试. 让合法正向控制走完真实或生产等价路径，同时验证业务成功和完整证据回执。

V02验证与对抗测试. 执行未授权或无效反向控制，并加入陈旧、重复、畸形、乱序、跨租户和绕过变体，验证预期拒绝或安全处置。

V03验证与对抗测试. 注入来源、凭据、解析器、策略、网络、提供商、队列、存储、时钟、复核人和回滚故障，验证健康检测与声明的降级状态。

V04验证与对抗测试. 采用风险分层平台样本，覆盖关键、常见、例外、刚变更、提供商托管、安全关键、远程和短生总体。

V05验证与对抗测试. 在代表性平台演练 获批发布物、未批准二进制、意外依赖、短生镜像和发布方终止支持事件，验证业务行为、控制决策、遥测、案件流程、回滚和最终状态。

V06验证与对抗测试. 运行正向控制“一个把安全不变量贯穿部署与运行的可信构建”，并执行包含“依赖替换、未评审变更、构建输入污染、安全测试失败、绕过路径、漏洞发布、回滚和回归”的反向、陈旧、重复、绕过和中断控制。

V07验证与对抗测试. 运行正向控制“通过受控路径完成的一项获批业务动作”，并执行包含“禁止动作、替代路径、本地覆盖、陈旧策略、控制中断、紧急绕过和回滚失败”的反向、陈旧、重复、绕过和中断控制。

R01运营、变更与收口. 按设计、观察、金丝雀、强制和扩展阶段发布，每阶段都有进入/退出条件、业务正向、反向控制、例外准备和已测试回滚。

R02运营、变更与收口. 监测总体增长、来源健康、证据陈旧、动作失败、积压年龄、例外到期、控制绕过、误报、漏报和复发根因。

R03运营、变更与收口. 来源、解析器、策略、责任人、提供商、架构、软件、数据用途或威胁变化后，使受影响回执失效；保留历史并显示当前为陈旧。

R04运营、变更与收口. 只有受保护状态已改变、证据新鲜、正反向控制通过、下游权威对账、残余风险已记录且复发监测已启用时才关闭。

R05运营、变更与收口. 当 终端与包清单、MDM、制品库、SBOM、CI/CD、云目录、SSO、采购和发布方生命周期来源 的责任、模式、覆盖、提供商、策略或平台版本变化时重新对账并重跑受影响测试。

R06运营、变更与收口. 用 已评审、未评审、可复现、来源绑定、存在漏洞、测试失败、例外、已部署未验证、漂移、已回滚和受回归保护发布物 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

R07运营、变更与收口. 用 适用、已执行、仅审计、失败、被绕过、例外、已回滚和结果已验证总体 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

O01目标与决策. 为“库允许清单”定义用户、业务与风险结果，明确该 Safeguard 保护的决策以及可以被观察到的状态变化。

O02目标与决策. 每条需求都绑定 CIS Safeguard 2.6、官方资产类别“软件”、安全功能“保护”和首次出现的 IG2，并保存来源抓取日期。

O03目标与决策. 以这条原创本地范围判断为起点：“总体是构建或运行时直接、传递、动态或静态引入的库、框架、包、插件和共享对象，也包括容器层。”把其中每类对象转成可查询总体或经过批准的适用性决定。

O04目标与决策. 分别保存规范意图、设计批准、部署、证据新鲜、正向控制、反向控制、例外和实际运行结果状态。

O05目标与决策. 把“库允许清单”连接到其运营对象——操作系统、软件包、固件、扩展、容器镜像、依赖、SaaS 应用和内部构建发布物——并为每个终态定义安全决策、业务后果和残余风险。

O06目标与决策. 对“库允许清单”，以 从源码到生产的软件身份、设计不变量、组件信任、构建来源、测试结果、部署状态、运行结果和漏洞响应 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

O07目标与决策. 对“库允许清单”，以 在最近可靠控制点执行允许、拒绝、遏制、隔离、强制、移除或转换决策 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

P01总体与适用性. 计算覆盖率前先建立权威分母，记录查询、责任人、采集时间、租户、环境、纳入项、排除项和未解决对象。

P02总体与适用性. 只要 Safeguard 所指对象存在，就评估本地、IaaS/PaaS/SaaS 云、移动、远程、IoT/OT、构建、备份、提供商和 AI 场景。

P03总体与适用性. 把空总体、发现失败、平台不支持、提供商证据不可得和经批准不适用分别记录为五种结果。

P04总体与适用性. 执行双向抽样：权威台账到真实环境、真实环境到权威台账；保留缺失、重复、陈旧、孤儿和跨租户结果。

P05总体与适用性. 解决 便携二进制、休眠镜像、静态链接、影子 SaaS、可变软件包、不受支持版本及环境相关授权 的适用性；每种边缘情形都获得有证据的适用、不适用、未知或有期限例外结果。

P06总体与适用性. 把 生成与复制代码、分叉、vendoring、传递依赖、可变标签、构建插件、功能开关、租户逻辑、秘密、紧急发布和提供商组件 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

P07总体与适用性. 把 仅审计模式、不支持平台、本地覆盖、竞态、缓存状态、替代路径、故障开放和紧急绕过 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

W01责任与审批. 为该 Safeguard 指定业务最终责任人、运营责任人、证据责任人、例外审批人、独立复核人和升级接收人。

W02责任与审批. 定义谁能创建、变更、批准、执行、暂停、回滚、续期例外和关闭实施，阻止同一主体独自批准所有阶段。

W03责任与审批. 外包运营仍指定内部最终责任人，并列出提供商操作方、租户管理员、证据提供方、通知路径和合同缺口。

W04责任与审批. 定义委派、备份人员、值班覆盖、事件期间决策权限，以及责任人离职或不可用时的交接测试。

W05责任与审批. 为 软件与应用责任人、平台工程、开发、采购和安全团队 定义该 Safeguard 的 RACI，并指定解决来源或风险决策冲突的权威方。

W06责任与审批. 明确谁能转换 设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役，谁批准、谁提供证据、谁独立复核。

W07责任与审批. 明确谁能转换 观察 → 评估 → 决策 → 执行 → 验证结果 → 回滚/关闭，谁批准、谁提供证据、谁独立复核。

D01数据契约与身份. 定义稳定对象身份、别名、父子关系、租户与环境键、来源、首次/最后观测时间、责任人、状态和墓碑规则。

D02数据契约与身份. 对模式与归一化规则做版本管理；每个关键决策字段保留原始来源标识、采集时间、解析器版本、置信度和旧值。

D03数据契约与身份. 把固定 CAS 变量集合（GV8, GV9, M1, M2, M3, M4）映射到本地字段；不可获得的变量逐项标记为不支持、不适用或未知并说明原因。

D04数据契约与身份. 在仪表盘或自动化消费前，定义空值、零、重复、陈旧、删除、不可达、部分观测和来源冲突语义。

D05数据契约与身份. 把经过部署对账的软件权威台账作为受治理当前状态记录，保存身份、责任人、来源、旧/新状态、原因、执行人、时间和例外关联。

D06数据契约与身份. 对生命周期“设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

D07数据契约与身份. 对生命周期“观察 → 评估 → 决策 → 执行 → 验证结果 → 回滚/关闭”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

I01依赖与集成. 记录 Safeguard 2.1、Safeguard 2.5、Safeguard 4.2 的前置状态；补充本地必需依赖，并解释每项省略或替代的前置条件。

I02依赖与集成. 每个 API、代理、文件、消息、人工确认或提供商导出都定义认证、授权、模式、分页、限流、重放、幂等和错误处理。

I03依赖与集成. 在每次连接和归一化中保留租户、地域、环境、对象身份、来源事件时间、采集时间和来源健康状态。

I04依赖与集成. 为提供商中断、凭据过期、网络分区、模式漂移、延迟交付、部分结果和人工运行定义回退与对账路径。

I05依赖与集成. 对账 终端与包清单、MDM、制品库、SBOM、CI/CD、云目录、SSO、采购和发布方生命周期来源，逐来源暴露健康、延迟、置信度、遗漏和冲突解决结果。

I06依赖与集成. 承载 从源码到生产的软件身份、设计不变量、组件信任、构建来源、测试结果、部署状态、运行结果和漏洞响应 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

I07依赖与集成. 承载 在最近可靠控制点执行允许、拒绝、遏制、隔离、强制、移除或转换决策 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

C01控制流与执行. 以这条实施判断为控制流锚点：“在锁文件、制品仓库、构建策略和可支持的运行时加载控制中，固定组件身份、版本或窄范围、来源、完整性摘要和允许的应用/环境；阻断公共仓库回退和未审查插件目录，并设置责任人与紧急更新通道。”拆成输入、校验、决策、动作、记录结果和关闭状态。

C02控制流与执行. 明确最近且可靠的策略、流程、配置、身份、网络、应用、数据、提供商或人工决策点，由它真正改变受保护状态。

C03控制流与执行. 按需定义允许、拒绝、遏制、隔离、延后、例外、未知、失败、已回滚和已关闭结果；每种结果都有责任人与下一动作。

C04控制流与执行. 为自动与人工执行定义校验、授权、幂等、重试、去重、并发、事务边界、回滚和补偿动作。

C05控制流与执行. 在经过部署对账的软件权威台账中实现状态转换，保存精确运营控制点、策略或程序版本、结果和下游更新。

C06控制流与执行. 实现显式状态机“设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

C07控制流与执行. 实现显式状态机“观察 → 评估 → 决策 → 执行 → 验证结果 → 回滚/关闭”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

T01时序与生命周期. 保留固定官方描述中的频率术语（bi-annually, annually）；当资产变化、暴露、安全生产或威胁后果要求更快时定义本地 SLO。

T02时序与生命周期. 分别设置发现、摄取、决策、动作、责任人确认、证据新鲜度、例外复核、验证和最终关闭 SLO。

T03时序与生命周期. 保存事件时间、来源时区、采集时间、处理时间、决策时间和到期时间，定义时钟偏移、迟到、回填和夏令时处理。

T04时序与生命周期. 架构、提供商、策略、软件、威胁、法规、责任、数据用途、事件或控制来源发生重大变化时提前复核。

T05时序与生命周期. 根据 操作系统、软件包、固件、扩展、容器镜像、依赖、SaaS 应用和内部构建发布物 的变化速度设置新鲜度和动作 SLO，把来源年龄、队列年龄、例外年龄和关闭年龄分开。

T06时序与生命周期. 为“设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

T07时序与生命周期. 为“观察 → 评估 → 决策 → 执行 → 验证结果 → 回滚/关闭”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

X01例外与失效模式. 把这条失效边界判断作为强制例外测试：“静态链接和 Vendoring 会躲过运行时包查询；动态生成代码与客户插件需要单独信任边界。”其中每种条件都转成可检测状态和响应。

X02例外与失效模式. 例外必须包含范围、精确对象、责任人、原因、威胁与业务后果、补偿控制、证据、起止时间、复核触发器和经过测试的退出。

X03例外与失效模式. 按需定义故障开放、故障关闭、安全失效、部分、未知、陈旧、提供商不支持、安全生产约束、隐私约束和紧急状态。

X04例外与失效模式. 到期或补偿控制减弱的例外回到失败；同一对象或获取路径在关闭后复发时重开根因。

X05例外与失效模式. 把 便携二进制、休眠镜像、静态链接、影子 SaaS、可变软件包、不受支持版本及环境相关授权 作为设计内异常路径，每项都有责任人、补偿控制、期限、安全或业务约束和复测。

X06例外与失效模式. 把 生成与复制代码、分叉、vendoring、传递依赖、可变标签、构建插件、功能开关、租户逻辑、秘密、紧急发布和提供商组件 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

X07例外与失效模式. 把 仅审计模式、不支持平台、本地覆盖、竞态、缓存状态、替代路径、故障开放和紧急绕过 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

E01证据与指标. 以这条验证判断作为首份验收回执：“用获批组件、意外传递依赖、依赖混淆名称和被修改摘要分别构建同一应用，验证拒绝或显式评审、制品/SBOM 关联和抽样运行一致。”保留输入、步骤、预期结果、实际结果、执行人、时间和制品身份。

E02证据与指标. 把分子和分母发布为可下钻对象集，包含查询版本、采集时间、排除项、未知项、重复项、陈旧记录和空总体规则。

E03证据与指标. 自动评分前对账固定 CAS 的 1 个指标分支、6 个命名度量或全局变量、假设状态和本地运行有效性证据。

E04证据与指标. 保留配置或程序版本、来源回执、正反向结果、例外证据、复核人身份、完整性哈希、保留类别和重放步骤。

E05证据与指标. 以经过部署对账的软件权威台账和独立来源回执计算覆盖与有效性，分别报告未知、陈旧、冲突、失败和例外对象。

E06证据与指标. 发布 已评审、未评审、可复现、来源绑定、存在漏洞、测试失败、例外、已部署未验证、漂移、已回滚和受回归保护发布物，附查询版本、分母时间、排除项、未知项和下钻回执。

E07证据与指标. 发布 适用、已执行、仅审计、失败、被绕过、例外、已回滚和结果已验证总体，附查询版本、分母时间、排除项、未知项和下钻回执。

S01安全、隐私与韧性. 对权威数据、连接器、策略引擎、证据库、例外流程、破窗路径和管理恢复应用最小权限与职责分离。

S02安全、隐私与韧性. 在需求、遥测、测试、截图、导出和公开证据中最小化秘密、个人与受监管数据，并定义脱敏和受控原始证据访问。

S03安全、隐私与韧性. 通过独立保管、必要时的不可变历史和证据路径停用告警，保护策略、状态、时间、日志、测试与审批免受篡改。

S04安全、隐私与韧性. 定义容量、配额、依赖、地域、提供商、离线和灾难行为，并保留经过测试的降级决策与恢复路径。

S05安全、隐私与韧性. 保护经过部署对账的软件权威台账的写入与审批权限，监测特权变更、导出、删除、来源停用和恢复。

S06安全、隐私与韧性. 限制改变“设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役”的权限，记录特权变更，保护证据历史并测试管理恢复。

S07安全、隐私与韧性. 限制改变“观察 → 评估 → 决策 → 执行 → 验证结果 → 回滚/关闭”的权限，记录特权变更，保护证据历史并测试管理恢复。

V01验证与对抗测试. 让合法正向控制走完真实或生产等价路径，同时验证业务成功和完整证据回执。

V02验证与对抗测试. 执行未授权或无效反向控制，并加入陈旧、重复、畸形、乱序、跨租户和绕过变体，验证预期拒绝或安全处置。

V03验证与对抗测试. 注入来源、凭据、解析器、策略、网络、提供商、队列、存储、时钟、复核人和回滚故障，验证健康检测与声明的降级状态。

V04验证与对抗测试. 采用风险分层平台样本，覆盖关键、常见、例外、刚变更、提供商托管、安全关键、远程和短生总体。

V05验证与对抗测试. 在代表性平台演练 获批发布物、未批准二进制、意外依赖、短生镜像和发布方终止支持事件，验证业务行为、控制决策、遥测、案件流程、回滚和最终状态。

V06验证与对抗测试. 运行正向控制“一个把安全不变量贯穿部署与运行的可信构建”，并执行包含“依赖替换、未评审变更、构建输入污染、安全测试失败、绕过路径、漏洞发布、回滚和回归”的反向、陈旧、重复、绕过和中断控制。

V07验证与对抗测试. 运行正向控制“通过受控路径完成的一项获批业务动作”，并执行包含“禁止动作、替代路径、本地覆盖、陈旧策略、控制中断、紧急绕过和回滚失败”的反向、陈旧、重复、绕过和中断控制。

R01运营、变更与收口. 按设计、观察、金丝雀、强制和扩展阶段发布，每阶段都有进入/退出条件、业务正向、反向控制、例外准备和已测试回滚。

R02运营、变更与收口. 监测总体增长、来源健康、证据陈旧、动作失败、积压年龄、例外到期、控制绕过、误报、漏报和复发根因。

R03运营、变更与收口. 来源、解析器、策略、责任人、提供商、架构、软件、数据用途或威胁变化后，使受影响回执失效；保留历史并显示当前为陈旧。

R04运营、变更与收口. 只有受保护状态已改变、证据新鲜、正反向控制通过、下游权威对账、残余风险已记录且复发监测已启用时才关闭。

R05运营、变更与收口. 当 终端与包清单、MDM、制品库、SBOM、CI/CD、云目录、SSO、采购和发布方生命周期来源 的责任、模式、覆盖、提供商、策略或平台版本变化时重新对账并重跑受影响测试。

R06运营、变更与收口. 用 已评审、未评审、可复现、来源绑定、存在漏洞、测试失败、例外、已部署未验证、漂移、已回滚和受回归保护发布物 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

R07运营、变更与收口. 用 适用、已执行、仅审计、失败、被绕过、例外、已回滚和结果已验证总体 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

O01目标与决策. 为“脚本允许清单”定义用户、业务与风险结果，明确该 Safeguard 保护的决策以及可以被观察到的状态变化。

O02目标与决策. 每条需求都绑定 CIS Safeguard 2.7、官方资产类别“软件”、安全功能“保护”和首次出现的 IG3，并保存来源抓取日期。

O03目标与决策. 以这条原创本地范围判断为起点：“包括 Shell、PowerShell、Python、JavaScript、办公宏、CI/CD 定义、基础设施代码钩子，以及所有可改变企业状态的解释执行内容。”把其中每类对象转成可查询总体或经过批准的适用性决定。

O04目标与决策. 分别保存规范意图、设计批准、部署、证据新鲜、正向控制、反向控制、例外和实际运行结果状态。

O05目标与决策. 把“脚本允许清单”连接到其运营对象——操作系统、软件包、固件、扩展、容器镜像、依赖、SaaS 应用和内部构建发布物——并为每个终态定义安全决策、业务后果和残余风险。

O06目标与决策. 对“脚本允许清单”，以 从源码到生产的软件身份、设计不变量、组件信任、构建来源、测试结果、部署状态、运行结果和漏洞响应 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

O07目标与决策. 对“脚本允许清单”，以 在最近可靠控制点执行允许、拒绝、遏制、隔离、强制、移除或转换决策 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

P01总体与适用性. 计算覆盖率前先建立权威分母，记录查询、责任人、采集时间、租户、环境、纳入项、排除项和未解决对象。

P02总体与适用性. 只要 Safeguard 所指对象存在，就评估本地、IaaS/PaaS/SaaS 云、移动、远程、IoT/OT、构建、备份、提供商和 AI 场景。

P03总体与适用性. 把空总体、发现失败、平台不支持、提供商证据不可得和经批准不适用分别记录为五种结果。

P04总体与适用性. 执行双向抽样：权威台账到真实环境、真实环境到权威台账；保留缺失、重复、陈旧、孤儿和跨租户结果。

P05总体与适用性. 解决 便携二进制、休眠镜像、静态链接、影子 SaaS、可变软件包、不受支持版本及环境相关授权 的适用性；每种边缘情形都获得有证据的适用、不适用、未知或有期限例外结果。

P06总体与适用性. 把 生成与复制代码、分叉、vendoring、传递依赖、可变标签、构建插件、功能开关、租户逻辑、秘密、紧急发布和提供商组件 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

P07总体与适用性. 把 仅审计模式、不支持平台、本地覆盖、竞态、缓存状态、替代路径、故障开放和紧急绕过 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

W01责任与审批. 为该 Safeguard 指定业务最终责任人、运营责任人、证据责任人、例外审批人、独立复核人和升级接收人。

W02责任与审批. 定义谁能创建、变更、批准、执行、暂停、回滚、续期例外和关闭实施，阻止同一主体独自批准所有阶段。

W03责任与审批. 外包运营仍指定内部最终责任人，并列出提供商操作方、租户管理员、证据提供方、通知路径和合同缺口。

W04责任与审批. 定义委派、备份人员、值班覆盖、事件期间决策权限，以及责任人离职或不可用时的交接测试。

W05责任与审批. 为 软件与应用责任人、平台工程、开发、采购和安全团队 定义该 Safeguard 的 RACI，并指定解决来源或风险决策冲突的权威方。

W06责任与审批. 明确谁能转换 设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役，谁批准、谁提供证据、谁独立复核。

W07责任与审批. 明确谁能转换 观察 → 评估 → 决策 → 执行 → 验证结果 → 回滚/关闭，谁批准、谁提供证据、谁独立复核。

D01数据契约与身份. 定义稳定对象身份、别名、父子关系、租户与环境键、来源、首次/最后观测时间、责任人、状态和墓碑规则。

D02数据契约与身份. 对模式与归一化规则做版本管理；每个关键决策字段保留原始来源标识、采集时间、解析器版本、置信度和旧值。

D03数据契约与身份. 把固定 CAS 变量集合（GV3, GV8, M1, M2, M3, M4）映射到本地字段；不可获得的变量逐项标记为不支持、不适用或未知并说明原因。

D04数据契约与身份. 在仪表盘或自动化消费前，定义空值、零、重复、陈旧、删除、不可达、部分观测和来源冲突语义。

D05数据契约与身份. 把经过部署对账的软件权威台账作为受治理当前状态记录，保存身份、责任人、来源、旧/新状态、原因、执行人、时间和例外关联。

D06数据契约与身份. 对生命周期“设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

D07数据契约与身份. 对生命周期“观察 → 评估 → 决策 → 执行 → 验证结果 → 回滚/关闭”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

I01依赖与集成. 记录 Safeguard 2.1、Safeguard 4.1 的前置状态；补充本地必需依赖，并解释每项省略或替代的前置条件。

I02依赖与集成. 每个 API、代理、文件、消息、人工确认或提供商导出都定义认证、授权、模式、分页、限流、重放、幂等和错误处理。

I03依赖与集成. 在每次连接和归一化中保留租户、地域、环境、对象身份、来源事件时间、采集时间和来源健康状态。

I04依赖与集成. 为提供商中断、凭据过期、网络分区、模式漂移、延迟交付、部分结果和人工运行定义回退与对账路径。

I05依赖与集成. 对账 终端与包清单、MDM、制品库、SBOM、CI/CD、云目录、SSO、采购和发布方生命周期来源，逐来源暴露健康、延迟、置信度、遗漏和冲突解决结果。

I06依赖与集成. 承载 从源码到生产的软件身份、设计不变量、组件信任、构建来源、测试结果、部署状态、运行结果和漏洞响应 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

I07依赖与集成. 承载 在最近可靠控制点执行允许、拒绝、遏制、隔离、强制、移除或转换决策 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

C01控制流与执行. 以这条实施判断为控制流锚点：“按平台使用脚本签名、内容哈希、受控仓库、受限解释器和批准路径；把开发编写与生产执行分开，保护签名密钥，记录签署者与评审，并提供有日志、限时的运维破窗渠道。”拆成输入、校验、决策、动作、记录结果和关闭状态。

C02控制流与执行. 明确最近且可靠的策略、流程、配置、身份、网络、应用、数据、提供商或人工决策点，由它真正改变受保护状态。

C03控制流与执行. 按需定义允许、拒绝、遏制、隔离、延后、例外、未知、失败、已回滚和已关闭结果；每种结果都有责任人与下一动作。

C04控制流与执行. 为自动与人工执行定义校验、授权、幂等、重试、去重、并发、事务边界、回滚和补偿动作。

C05控制流与执行. 在经过部署对账的软件权威台账中实现状态转换，保存精确运营控制点、策略或程序版本、结果和下游更新。

C06控制流与执行. 实现显式状态机“设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

C07控制流与执行. 实现显式状态机“观察 → 评估 → 决策 → 执行 → 验证结果 → 回滚/关闭”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

T01时序与生命周期. 保留固定官方描述中的频率术语（bi-annually, annually）；当资产变化、暴露、安全生产或威胁后果要求更快时定义本地 SLO。

T02时序与生命周期. 分别设置发现、摄取、决策、动作、责任人确认、证据新鲜度、例外复核、验证和最终关闭 SLO。

T03时序与生命周期. 保存事件时间、来源时区、采集时间、处理时间、决策时间和到期时间，定义时钟偏移、迟到、回填和夏令时处理。

T04时序与生命周期. 架构、提供商、策略、软件、威胁、法规、责任、数据用途、事件或控制来源发生重大变化时提前复核。

T05时序与生命周期. 根据 操作系统、软件包、固件、扩展、容器镜像、依赖、SaaS 应用和内部构建发布物 的变化速度设置新鲜度和动作 SLO，把来源年龄、队列年龄、例外年龄和关闭年龄分开。

T06时序与生命周期. 为“设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

T07时序与生命周期. 为“观察 → 评估 → 决策 → 执行 → 验证结果 → 回滚/关闭”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

X01例外与失效模式. 把这条失效边界判断作为强制例外测试：“可写网络共享、生成脚本、Notebook 和 CI 变量能在文件名不变时改变行为。”其中每种条件都转成可检测状态和响应。

X02例外与失效模式. 例外必须包含范围、精确对象、责任人、原因、威胁与业务后果、补偿控制、证据、起止时间、复核触发器和经过测试的退出。

X03例外与失效模式. 按需定义故障开放、故障关闭、安全失效、部分、未知、陈旧、提供商不支持、安全生产约束、隐私约束和紧急状态。

X04例外与失效模式. 到期或补偿控制减弱的例外回到失败；同一对象或获取路径在关闭后复发时重开根因。

X05例外与失效模式. 把 便携二进制、休眠镜像、静态链接、影子 SaaS、可变软件包、不受支持版本及环境相关授权 作为设计内异常路径，每项都有责任人、补偿控制、期限、安全或业务约束和复测。

X06例外与失效模式. 把 生成与复制代码、分叉、vendoring、传递依赖、可变标签、构建插件、功能开关、租户逻辑、秘密、紧急发布和提供商组件 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

X07例外与失效模式. 把 仅审计模式、不支持平台、本地覆盖、竞态、缓存状态、替代路径、故障开放和紧急绕过 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

E01证据与指标. 以这条验证判断作为首份验收回执：“执行批准脚本、一字节修改副本、内联命令、编码命令和从不可信路径运行的可信脚本，验证阻断/隔离与能保留内容身份、父进程的持久日志；测试密钥撤销和策略回滚。”保留输入、步骤、预期结果、实际结果、执行人、时间和制品身份。

E02证据与指标. 把分子和分母发布为可下钻对象集，包含查询版本、采集时间、排除项、未知项、重复项、陈旧记录和空总体规则。

E03证据与指标. 自动评分前对账固定 CAS 的 1 个指标分支、6 个命名度量或全局变量、假设状态和本地运行有效性证据。

E04证据与指标. 保留配置或程序版本、来源回执、正反向结果、例外证据、复核人身份、完整性哈希、保留类别和重放步骤。

E05证据与指标. 以经过部署对账的软件权威台账和独立来源回执计算覆盖与有效性，分别报告未知、陈旧、冲突、失败和例外对象。

E06证据与指标. 发布 已评审、未评审、可复现、来源绑定、存在漏洞、测试失败、例外、已部署未验证、漂移、已回滚和受回归保护发布物，附查询版本、分母时间、排除项、未知项和下钻回执。

E07证据与指标. 发布 适用、已执行、仅审计、失败、被绕过、例外、已回滚和结果已验证总体，附查询版本、分母时间、排除项、未知项和下钻回执。

S01安全、隐私与韧性. 对权威数据、连接器、策略引擎、证据库、例外流程、破窗路径和管理恢复应用最小权限与职责分离。

S02安全、隐私与韧性. 在需求、遥测、测试、截图、导出和公开证据中最小化秘密、个人与受监管数据，并定义脱敏和受控原始证据访问。

S03安全、隐私与韧性. 通过独立保管、必要时的不可变历史和证据路径停用告警，保护策略、状态、时间、日志、测试与审批免受篡改。

S04安全、隐私与韧性. 定义容量、配额、依赖、地域、提供商、离线和灾难行为，并保留经过测试的降级决策与恢复路径。

S05安全、隐私与韧性. 保护经过部署对账的软件权威台账的写入与审批权限，监测特权变更、导出、删除、来源停用和恢复。

S06安全、隐私与韧性. 限制改变“设计 → 评审 → 使用固定输入构建 → 测试 → 批准 → 部署 → 观察 → 修复/回滚 → 退役”的权限，记录特权变更，保护证据历史并测试管理恢复。

S07安全、隐私与韧性. 限制改变“观察 → 评估 → 决策 → 执行 → 验证结果 → 回滚/关闭”的权限，记录特权变更，保护证据历史并测试管理恢复。

V01验证与对抗测试. 让合法正向控制走完真实或生产等价路径，同时验证业务成功和完整证据回执。

V02验证与对抗测试. 执行未授权或无效反向控制，并加入陈旧、重复、畸形、乱序、跨租户和绕过变体，验证预期拒绝或安全处置。

V03验证与对抗测试. 注入来源、凭据、解析器、策略、网络、提供商、队列、存储、时钟、复核人和回滚故障，验证健康检测与声明的降级状态。

V04验证与对抗测试. 采用风险分层平台样本，覆盖关键、常见、例外、刚变更、提供商托管、安全关键、远程和短生总体。

V05验证与对抗测试. 在代表性平台演练 获批发布物、未批准二进制、意外依赖、短生镜像和发布方终止支持事件，验证业务行为、控制决策、遥测、案件流程、回滚和最终状态。

V06验证与对抗测试. 运行正向控制“一个把安全不变量贯穿部署与运行的可信构建”，并执行包含“依赖替换、未评审变更、构建输入污染、安全测试失败、绕过路径、漏洞发布、回滚和回归”的反向、陈旧、重复、绕过和中断控制。

V07验证与对抗测试. 运行正向控制“通过受控路径完成的一项获批业务动作”，并执行包含“禁止动作、替代路径、本地覆盖、陈旧策略、控制中断、紧急绕过和回滚失败”的反向、陈旧、重复、绕过和中断控制。

R01运营、变更与收口. 按设计、观察、金丝雀、强制和扩展阶段发布，每阶段都有进入/退出条件、业务正向、反向控制、例外准备和已测试回滚。

R02运营、变更与收口. 监测总体增长、来源健康、证据陈旧、动作失败、积压年龄、例外到期、控制绕过、误报、漏报和复发根因。

R03运营、变更与收口. 来源、解析器、策略、责任人、提供商、架构、软件、数据用途或威胁变化后，使受影响回执失效；保留历史并显示当前为陈旧。

R04运营、变更与收口. 只有受保护状态已改变、证据新鲜、正反向控制通过、下游权威对账、残余风险已记录且复发监测已启用时才关闭。

R05运营、变更与收口. 当 终端与包清单、MDM、制品库、SBOM、CI/CD、云目录、SSO、采购和发布方生命周期来源 的责任、模式、覆盖、提供商、策略或平台版本变化时重新对账并重跑受影响测试。

R06运营、变更与收口. 用 已评审、未评审、可复现、来源绑定、存在漏洞、测试失败、例外、已部署未验证、漂移、已回滚和受回归保护发布物 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

R07运营、变更与收口. 用 适用、已执行、仅审计、失败、被绕过、例外、已回滚和结果已验证总体 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

O01目标与决策. 为“数据管理流程”定义用户、业务与风险结果，明确该 Safeguard 保护的决策以及可以被观察到的状态变化。

O02目标与决策. 每条需求都绑定 CIS Safeguard 3.1、官方资产类别“数据”、安全功能“治理”和首次出现的 IG1，并保存来源抓取日期。

O03目标与决策. 以这条原创本地范围判断为起点：“流程覆盖数据从收集、创建、使用、共享、归档到销毁的全生命周期，横跨终端、服务器、数据库、云、SaaS、备份、分析、AI 和服务商。”把其中每类对象转成可查询总体或经过批准的适用性决定。

O04目标与决策. 分别保存规范意图、设计批准、部署、证据新鲜、正向控制、反向控制、例外和实际运行结果状态。

O05目标与决策. 把“数据管理流程”连接到其运营对象——敏感与业务数据、副本、日志、备份、导出、派生数据、AI 语料、密钥和数据流——并为每个终态定义安全决策、业务后果和残余风险。

O06目标与决策. 对“数据管理流程”，以 数据身份、敏感度、责任人、目的、位置、流向、访问、保留、副本、派生与销毁状态 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

O07目标与决策. 对“数据管理流程”，以 包含策略、流程、程序、责任人、审批和复核的文档化决策系统 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

O08目标与决策. 对“数据管理流程”的扩展范围，通过显式风险决策解决安全、安全生产、隐私、法律、可用性、客户和运营目标冲突。

P01总体与适用性. 计算覆盖率前先建立权威分母，记录查询、责任人、采集时间、租户、环境、纳入项、排除项和未解决对象。

P02总体与适用性. 只要 Safeguard 所指对象存在，就评估本地、IaaS/PaaS/SaaS 云、移动、远程、IoT/OT、构建、备份、提供商和 AI 场景。

P03总体与适用性. 把空总体、发现失败、平台不支持、提供商证据不可得和经批准不适用分别记录为五种结果。

P04总体与适用性. 执行双向抽样：权威台账到真实环境、真实环境到权威台账；保留缺失、重复、陈旧、孤儿和跨租户结果。

P05总体与适用性. 解决 未知分类、加密或令牌化副本、跨地域副本、不可变备份、派生数据、诉讼保全及提供商删除限制 的适用性；每种边缘情形都获得有证据的适用、不适用、未知或有期限例外结果。

P06总体与适用性. 把 非结构化与派生数据、日志、缓存、备份、导出、客户端副本、跨地域处理、AI 语料、保全和提供商残留 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

P07总体与适用性. 把 策略条款缺失、权限冲突、本地偏离、文档过期及绕过治理流程的决策 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

P08总体与适用性. 按企业、业务服务、租户、环境、平台、对象、身份、数据集和交易定义嵌套范围，禁止父级结果遮蔽失败子级。

W01责任与审批. 为该 Safeguard 指定业务最终责任人、运营责任人、证据责任人、例外审批人、独立复核人和升级接收人。

W02责任与审批. 定义谁能创建、变更、批准、执行、暂停、回滚、续期例外和关闭实施，阻止同一主体独自批准所有阶段。

W03责任与审批. 外包运营仍指定内部最终责任人，并列出提供商操作方、租户管理员、证据提供方、通知路径和合同缺口。

W04责任与审批. 定义委派、备份人员、值班覆盖、事件期间决策权限，以及责任人离职或不可用时的交接测试。

W05责任与审批. 为 数据责任人与托管方、产品团队、隐私、法务、安全、档案管理和服务提供商 定义该 Safeguard 的 RACI，并指定解决来源或风险决策冲突的权威方。

W06责任与审批. 明确谁能转换 创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁，谁批准、谁提供证据、谁独立复核。

W07责任与审批. 明确谁能转换 草拟 → 评审 → 批准 → 生效 → 例外/撤回 → 被取代，谁批准、谁提供证据、谁独立复核。

W08责任与审批. 建模委派权限、必要时的双人或法定人数审批、升级期限、提供商交接、冲突解决和管理层风险接受。

D01数据契约与身份. 定义稳定对象身份、别名、父子关系、租户与环境键、来源、首次/最后观测时间、责任人、状态和墓碑规则。

D02数据契约与身份. 对模式与归一化规则做版本管理；每个关键决策字段保留原始来源标识、采集时间、解析器版本、置信度和旧值。

D03数据契约与身份. 把固定 CAS 变量集合（GV10, GV11, GV13, GV14, GV15, GV16, M1, M2, M3, M4, M5, M6）映射到本地字段；不可获得的变量逐项标记为不支持、不适用或未知并说明原因。

D04数据契约与身份. 在仪表盘或自动化消费前，定义空值、零、重复、陈旧、删除、不可达、部分观测和来源冲突语义。

D05数据契约与身份. 把数据清单、分类、所有权与生命周期权威记录作为受治理当前状态记录，保存身份、责任人、来源、旧/新状态、原因、执行人、时间和例外关联。

D06数据契约与身份. 对生命周期“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

D07数据契约与身份. 对生命周期“草拟 → 评审 → 批准 → 生效 → 例外/撤回 → 被取代”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

D08数据契约与身份. 对模式和状态转换做版本管理，定义迁移、回填、去重、血缘、历史分母、删除和回滚语义。

I01依赖与集成. 记录 固定 CAS 页面没有列出显式前置项 的前置状态；补充本地必需依赖，并解释每项省略或替代的前置条件。

I02依赖与集成. 每个 API、代理、文件、消息、人工确认或提供商导出都定义认证、授权、模式、分页、限流、重放、幂等和错误处理。

I03依赖与集成. 在每次连接和归一化中保留租户、地域、环境、对象身份、来源事件时间、采集时间和来源健康状态。

I04依赖与集成. 为提供商中断、凭据过期、网络分区、模式漂移、延迟交付、部分结果和人工运行定义回退与对账路径。

I05依赖与集成. 对账 数据目录、模式、DLP 发现、云/SaaS API、责任人确认、流向记录、备份目录及法律与隐私期限，逐来源暴露健康、延迟、置信度、遗漏和冲突解决结果。

I06依赖与集成. 承载 数据身份、敏感度、责任人、目的、位置、流向、访问、保留、副本、派生与销毁状态 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

I07依赖与集成. 承载 包含策略、流程、程序、责任人、审批和复核的文档化决策系统 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

I08依赖与集成. 定义冲突来源的一致性、优先级、置信度、对账队列、死信、重处理和端到端追踪身份。

C01控制流与执行. 以这条实施判断为控制流锚点：“明确数据所有者与托管者、敏感度标准、处理规则、最短和最长保留、销毁方法、批准的传输位置及例外权。”拆成输入、校验、决策、动作、记录结果和关闭状态。

C02控制流与执行. 明确最近且可靠的策略、流程、配置、身份、网络、应用、数据、提供商或人工决策点，由它真正改变受保护状态。

C03控制流与执行. 按需定义允许、拒绝、遏制、隔离、延后、例外、未知、失败、已回滚和已关闭结果；每种结果都有责任人与下一动作。

C04控制流与执行. 为自动与人工执行定义校验、授权、幂等、重试、去重、并发、事务边界、回滚和补偿动作。

C05控制流与执行. 在数据清单、分类、所有权与生命周期权威记录中实现状态转换，保存精确运营控制点、策略或程序版本、结果和下游更新。

C06控制流与执行. 实现显式状态机“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

C07控制流与执行. 实现显式状态机“草拟 → 评审 → 批准 → 生效 → 例外/撤回 → 被取代”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

C08控制流与执行. 定义并发决策、部分成功、补偿事务、重复请求、陈旧策略、依赖中断和中途状态转换恢复。

T01时序与生命周期. 保留固定官方描述中的频率术语（annually）；当资产变化、暴露、安全生产或威胁后果要求更快时定义本地 SLO。

T02时序与生命周期. 分别设置发现、摄取、决策、动作、责任人确认、证据新鲜度、例外复核、验证和最终关闭 SLO。

T03时序与生命周期. 保存事件时间、来源时区、采集时间、处理时间、决策时间和到期时间，定义时钟偏移、迟到、回填和夏令时处理。

T04时序与生命周期. 架构、提供商、策略、软件、威胁、法规、责任、数据用途、事件或控制来源发生重大变化时提前复核。

T05时序与生命周期. 根据 敏感与业务数据、副本、日志、备份、导出、派生数据、AI 语料、密钥和数据流 的变化速度设置新鲜度和动作 SLO，把来源年龄、队列年龄、例外年龄和关闭年龄分开。

T06时序与生命周期. 为“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

T07时序与生命周期. 为“草拟 → 评审 → 批准 → 生效 → 例外/撤回 → 被取代”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

T08时序与生命周期. 把端到端 SLO 预算分配到发现、采集、处理、审批、执行、验证和关闭，并按后果与暴露排列逾期工作。

X01例外与失效模式. 把这条失效边界判断作为强制例外测试：“未知数据先按保守等级处理。”其中每种条件都转成可检测状态和响应。

X02例外与失效模式. 例外必须包含范围、精确对象、责任人、原因、威胁与业务后果、补偿控制、证据、起止时间、复核触发器和经过测试的退出。

X03例外与失效模式. 按需定义故障开放、故障关闭、安全失效、部分、未知、陈旧、提供商不支持、安全生产约束、隐私约束和紧急状态。

X04例外与失效模式. 到期或补偿控制减弱的例外回到失败；同一对象或获取路径在关闭后复发时重开根因。

X05例外与失效模式. 把 未知分类、加密或令牌化副本、跨地域副本、不可变备份、派生数据、诉讼保全及提供商删除限制 作为设计内异常路径，每项都有责任人、补偿控制、期限、安全或业务约束和复测。

X06例外与失效模式. 把 非结构化与派生数据、日志、缓存、备份、导出、客户端副本、跨地域处理、AI 语料、保全和提供商残留 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

X07例外与失效模式. 把 策略条款缺失、权限冲突、本地偏离、文档过期及绕过治理流程的决策 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

X08例外与失效模式. 演练例外、陈旧来源、提供商中断、责任人不可用和控制降级同时出现的复合故障，明确一条安全指令和一个责任决策。

E01证据与指标. 以这条验证判断作为首份验收回执：“挑选代表数据类型，把每条规则追到真实系统配置和生命周期事件，检查责任人确认、保留/删除任务、传输限制与例外决定。”保留输入、步骤、预期结果、实际结果、执行人、时间和制品身份。

E02证据与指标. 把分子和分母发布为可下钻对象集，包含查询版本、采集时间、排除项、未知项、重复项、陈旧记录和空总体规则。

E03证据与指标. 自动评分前对账固定 CAS 的 1 个指标分支、12 个命名度量或全局变量、假设状态和本地运行有效性证据。

E04证据与指标. 保留配置或程序版本、来源回执、正反向结果、例外证据、复核人身份、完整性哈希、保留类别和重放步骤。

E05证据与指标. 以数据清单、分类、所有权与生命周期权威记录和独立来源回执计算覆盖与有效性，分别报告未知、陈旧、冲突、失败和例外对象。

E06证据与指标. 发布 已知、未知、已分类、无责任人、超期保留、过早删除、未批准副本、被阻断流、保全及销毁已验证数据集，附查询版本、分母时间、排除项、未知项和下钻回执。

E07证据与指标. 发布 条款覆盖、责任人与复核人完整性、批准年龄、触发式复核、偏离、逾期行动及仍在使用的旧版本，附查询版本、分母时间、排除项、未知项和下钻回执。

E08证据与指标. 要求独立人员使用来源回执重建决策，并复现总体、状态转换、计算、测试结果、例外和最终关闭。

S01安全、隐私与韧性. 对权威数据、连接器、策略引擎、证据库、例外流程、破窗路径和管理恢复应用最小权限与职责分离。

S02安全、隐私与韧性. 在需求、遥测、测试、截图、导出和公开证据中最小化秘密、个人与受监管数据，并定义脱敏和受控原始证据访问。

S03安全、隐私与韧性. 通过独立保管、必要时的不可变历史和证据路径停用告警，保护策略、状态、时间、日志、测试与审批免受篡改。

S04安全、隐私与韧性. 定义容量、配额、依赖、地域、提供商、离线和灾难行为，并保留经过测试的降级决策与恢复路径。

S05安全、隐私与韧性. 保护数据清单、分类、所有权与生命周期权威记录的写入与审批权限，监测特权变更、导出、删除、来源停用和恢复。

S06安全、隐私与韧性. 限制改变“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”的权限，记录特权变更，保护证据历史并测试管理恢复。

S07安全、隐私与韧性. 限制改变“草拟 → 评审 → 批准 → 生效 → 例外/撤回 → 被取代”的权限，记录特权变更，保护证据历史并测试管理恢复。

S08安全、隐私与韧性. 威胁建模实施系统自身：伪造证据、污染清单、权限滥用、跨租户混淆、策略回滚、审计删除、拒绝服务和恢复失陷。

V01验证与对抗测试. 让合法正向控制走完真实或生产等价路径，同时验证业务成功和完整证据回执。

V02验证与对抗测试. 执行未授权或无效反向控制，并加入陈旧、重复、畸形、乱序、跨租户和绕过变体，验证预期拒绝或安全处置。

V03验证与对抗测试. 注入来源、凭据、解析器、策略、网络、提供商、队列、存储、时钟、复核人和回滚故障，验证健康检测与声明的降级状态。

V04验证与对抗测试. 采用风险分层平台样本，覆盖关键、常见、例外、刚变更、提供商托管、安全关键、远程和短生总体。

V05验证与对抗测试. 在代表性平台演练 获批与未批准副本、允许与拒绝读取、保留边界、删除验证、密钥丢失和跨边界传输，验证业务行为、控制决策、遥测、案件流程、回滚和最终状态。

V06验证与对抗测试. 运行正向控制“按声明用途、访问、传输、保留和销毁路径流转的获批数据集”，并执行包含“未知或误分类副本、禁止读取者或流向、过早删除、保留过期、销毁失败和提供商残留”的反向、陈旧、重复、绕过和中断控制。

V07验证与对抗测试. 运行正向控制“使用当前获批流程完成一项代表性决策”，并执行包含“旧版本、审批人缺失、未记录偏离、逾期复核和绕过流程”的反向、陈旧、重复、绕过和中断控制。

V08验证与对抗测试. 建立平台—故障两两组合矩阵，再加入高后果多因素案例、历史回归、来源替换、红队挑战和评估方重放。

R01运营、变更与收口. 按设计、观察、金丝雀、强制和扩展阶段发布，每阶段都有进入/退出条件、业务正向、反向控制、例外准备和已测试回滚。

R02运营、变更与收口. 监测总体增长、来源健康、证据陈旧、动作失败、积压年龄、例外到期、控制绕过、误报、漏报和复发根因。

R03运营、变更与收口. 来源、解析器、策略、责任人、提供商、架构、软件、数据用途或威胁变化后，使受影响回执失效；保留历史并显示当前为陈旧。

R04运营、变更与收口. 只有受保护状态已改变、证据新鲜、正反向控制通过、下游权威对账、残余风险已记录且复发监测已启用时才关闭。

R05运营、变更与收口. 当 数据目录、模式、DLP 发现、云/SaaS API、责任人确认、流向记录、备份目录及法律与隐私期限 的责任、模式、覆盖、提供商、策略或平台版本变化时重新对账并重跑受影响测试。

R06运营、变更与收口. 用 已知、未知、已分类、无责任人、超期保留、过早删除、未批准副本、被阻断流、保全及销毁已验证数据集 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

R07运营、变更与收口. 用 条款覆盖、责任人与复核人完整性、批准年龄、触发式复核、偏离、逾期行动及仍在使用的旧版本 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

R08运营、变更与收口. 采用金丝雀、停止标准、回滚、积压燃尽、例外缩减、来源质量目标、季度设计复核和可量化退役计划。

O01目标与决策. 为“数据清单”定义用户、业务与风险结果，明确该 Safeguard 保护的决策以及可以被观察到的状态变化。

O02目标与决策. 每条需求都绑定 CIS Safeguard 3.2、官方资产类别“数据”、安全功能“识别”和首次出现的 IG1，并保存来源抓取日期。

O03目标与决策. 以这条原创本地范围判断为起点：“清点敏感数据集和存储位置、责任人、目的、分类、系统、地区、流向、处理方、保留与删除状态；用稳定的数据集或处理活动身份，不逐行逐文件凑数。”把其中每类对象转成可查询总体或经过批准的适用性决定。

O04目标与决策. 分别保存规范意图、设计批准、部署、证据新鲜、正向控制、反向控制、例外和实际运行结果状态。

O05目标与决策. 把“数据清单”连接到其运营对象——敏感与业务数据、副本、日志、备份、导出、派生数据、AI 语料、密钥和数据流——并为每个终态定义安全决策、业务后果和残余风险。

O06目标与决策. 对“数据清单”，以 数据身份、敏感度、责任人、目的、位置、流向、访问、保留、副本、派生与销毁状态 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

O07目标与决策. 对“数据清单”，以 已观测、已批准、未批准、无责任人、陈旧、重复和已退役对象身份 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

O08目标与决策. 对“数据清单”的扩展范围，通过显式风险决策解决安全、安全生产、隐私、法律、可用性、客户和运营目标冲突。

P01总体与适用性. 计算覆盖率前先建立权威分母，记录查询、责任人、采集时间、租户、环境、纳入项、排除项和未解决对象。

P02总体与适用性. 只要 Safeguard 所指对象存在，就评估本地、IaaS/PaaS/SaaS 云、移动、远程、IoT/OT、构建、备份、提供商和 AI 场景。

P03总体与适用性. 把空总体、发现失败、平台不支持、提供商证据不可得和经批准不适用分别记录为五种结果。

P04总体与适用性. 执行双向抽样：权威台账到真实环境、真实环境到权威台账；保留缺失、重复、陈旧、孤儿和跨租户结果。

P05总体与适用性. 解决 未知分类、加密或令牌化副本、跨地域副本、不可变备份、派生数据、诉讼保全及提供商删除限制 的适用性；每种边缘情形都获得有证据的适用、不适用、未知或有期限例外结果。

P06总体与适用性. 把 非结构化与派生数据、日志、缓存、备份、导出、客户端副本、跨地域处理、AI 语料、保全和提供商残留 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

P07总体与适用性. 把 休眠、短生、离线、外部托管、提供商持有、别名、克隆和跨租户对象 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

P08总体与适用性. 按企业、业务服务、租户、环境、平台、对象、身份、数据集和交易定义嵌套范围，禁止父级结果遮蔽失败子级。

W01责任与审批. 为该 Safeguard 指定业务最终责任人、运营责任人、证据责任人、例外审批人、独立复核人和升级接收人。

W02责任与审批. 定义谁能创建、变更、批准、执行、暂停、回滚、续期例外和关闭实施，阻止同一主体独自批准所有阶段。

W03责任与审批. 外包运营仍指定内部最终责任人，并列出提供商操作方、租户管理员、证据提供方、通知路径和合同缺口。

W04责任与审批. 定义委派、备份人员、值班覆盖、事件期间决策权限，以及责任人离职或不可用时的交接测试。

W05责任与审批. 为 数据责任人与托管方、产品团队、隐私、法务、安全、档案管理和服务提供商 定义该 Safeguard 的 RACI，并指定解决来源或风险决策冲突的权威方。

W06责任与审批. 明确谁能转换 创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁，谁批准、谁提供证据、谁独立复核。

W07责任与审批. 明确谁能转换 发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役，谁批准、谁提供证据、谁独立复核。

W08责任与审批. 建模委派权限、必要时的双人或法定人数审批、升级期限、提供商交接、冲突解决和管理层风险接受。

D01数据契约与身份. 定义稳定对象身份、别名、父子关系、租户与环境键、来源、首次/最后观测时间、责任人、状态和墓碑规则。

D02数据契约与身份. 对模式与归一化规则做版本管理；每个关键决策字段保留原始来源标识、采集时间、解析器版本、置信度和旧值。

D03数据契约与身份. 把固定 CAS 变量集合（GV1, GV11, GV12, M1, M2, M3, M4, M5, M6, M7, M8, M9）映射到本地字段；不可获得的变量逐项标记为不支持、不适用或未知并说明原因。

D04数据契约与身份. 在仪表盘或自动化消费前，定义空值、零、重复、陈旧、删除、不可达、部分观测和来源冲突语义。

D05数据契约与身份. 把数据清单、分类、所有权与生命周期权威记录作为受治理当前状态记录，保存身份、责任人、来源、旧/新状态、原因、执行人、时间和例外关联。

D06数据契约与身份. 对生命周期“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

D07数据契约与身份. 对生命周期“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

D08数据契约与身份. 对模式和状态转换做版本管理，定义迁移、回填、去重、血缘、历史分母、删除和回滚语义。

I01依赖与集成. 记录 Safeguard 1.1 的前置状态；补充本地必需依赖，并解释每项省略或替代的前置条件。

I02依赖与集成. 每个 API、代理、文件、消息、人工确认或提供商导出都定义认证、授权、模式、分页、限流、重放、幂等和错误处理。

I03依赖与集成. 在每次连接和归一化中保留租户、地域、环境、对象身份、来源事件时间、采集时间和来源健康状态。

I04依赖与集成. 为提供商中断、凭据过期、网络分区、模式漂移、延迟交付、部分结果和人工运行定义回退与对账路径。

I05依赖与集成. 对账 数据目录、模式、DLP 发现、云/SaaS API、责任人确认、流向记录、备份目录及法律与隐私期限，逐来源暴露健康、延迟、置信度、遗漏和冲突解决结果。

I06依赖与集成. 承载 数据身份、敏感度、责任人、目的、位置、流向、访问、保留、副本、派生与销毁状态 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

I07依赖与集成. 承载 已观测、已批准、未批准、无责任人、陈旧、重复和已退役对象身份 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

I08依赖与集成. 定义冲突来源的一致性、优先级、置信度、对账队列、死信、重处理和端到端追踪身份。

C01控制流与执行. 以这条实施判断为控制流锚点：“把责任人声明与数据库/目录扫描、云和 SaaS API、DLP、Schema 和数据流记录结合，关联资产/服务台账与管理流程，优先敏感数据；创建、移动时更新，至少每年全量对账。”拆成输入、校验、决策、动作、记录结果和关闭状态。

C02控制流与执行. 明确最近且可靠的策略、流程、配置、身份、网络、应用、数据、提供商或人工决策点，由它真正改变受保护状态。

C03控制流与执行. 按需定义允许、拒绝、遏制、隔离、延后、例外、未知、失败、已回滚和已关闭结果；每种结果都有责任人与下一动作。

C04控制流与执行. 为自动与人工执行定义校验、授权、幂等、重试、去重、并发、事务边界、回滚和补偿动作。

C05控制流与执行. 在数据清单、分类、所有权与生命周期权威记录中实现状态转换，保存精确运营控制点、策略或程序版本、结果和下游更新。

C06控制流与执行. 实现显式状态机“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

C07控制流与执行. 实现显式状态机“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

C08控制流与执行. 定义并发决策、部分成功、补偿事务、重复请求、陈旧策略、依赖中断和中途状态转换恢复。

T01时序与生命周期. 保留固定官方描述中的频率术语（annually）；当资产变化、暴露、安全生产或威胁后果要求更快时定义本地 SLO。

T02时序与生命周期. 分别设置发现、摄取、决策、动作、责任人确认、证据新鲜度、例外复核、验证和最终关闭 SLO。

T03时序与生命周期. 保存事件时间、来源时区、采集时间、处理时间、决策时间和到期时间，定义时钟偏移、迟到、回填和夏令时处理。

T04时序与生命周期. 架构、提供商、策略、软件、威胁、法规、责任、数据用途、事件或控制来源发生重大变化时提前复核。

T05时序与生命周期. 根据 敏感与业务数据、副本、日志、备份、导出、派生数据、AI 语料、密钥和数据流 的变化速度设置新鲜度和动作 SLO，把来源年龄、队列年龄、例外年龄和关闭年龄分开。

T06时序与生命周期. 为“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

T07时序与生命周期. 为“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

T08时序与生命周期. 把端到端 SLO 预算分配到发现、采集、处理、审批、执行、验证和关闭，并按后果与暴露排列逾期工作。

X01例外与失效模式. 把这条失效边界判断作为强制例外测试：“加密或 Token 化后，只要能用密钥、关联或业务用途重新识别，仍在范围。”其中每种条件都转成可检测状态和响应。

X02例外与失效模式. 例外必须包含范围、精确对象、责任人、原因、威胁与业务后果、补偿控制、证据、起止时间、复核触发器和经过测试的退出。

X03例外与失效模式. 按需定义故障开放、故障关闭、安全失效、部分、未知、陈旧、提供商不支持、安全生产约束、隐私约束和紧急状态。

X04例外与失效模式. 到期或补偿控制减弱的例外回到失败；同一对象或获取路径在关闭后复发时重开根因。

X05例外与失效模式. 把 未知分类、加密或令牌化副本、跨地域副本、不可变备份、派生数据、诉讼保全及提供商删除限制 作为设计内异常路径，每项都有责任人、补偿控制、期限、安全或业务约束和复测。

X06例外与失效模式. 把 非结构化与派生数据、日志、缓存、备份、导出、客户端副本、跨地域处理、AI 语料、保全和提供商残留 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

X07例外与失效模式. 把 休眠、短生、离线、外部托管、提供商持有、别名、克隆和跨租户对象 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

X08例外与失效模式. 演练例外、陈旧来源、提供商中断、责任人不可用和控制降级同时出现的复合故障，明确一条安全指令和一个责任决策。

E01证据与指标. 以这条验证判断作为首份验收回执：“在批准存储和未批准副本各放一份有标签的敏感测试数据，验证发现、分类、路由责任人和清理。”保留输入、步骤、预期结果、实际结果、执行人、时间和制品身份。

E02证据与指标. 把分子和分母发布为可下钻对象集，包含查询版本、采集时间、排除项、未知项、重复项、陈旧记录和空总体规则。

E03证据与指标. 自动评分前对账固定 CAS 的 2 个指标分支、12 个命名度量或全局变量、假设状态和本地运行有效性证据。

E04证据与指标. 保留配置或程序版本、来源回执、正反向结果、例外证据、复核人身份、完整性哈希、保留类别和重放步骤。

E05证据与指标. 以数据清单、分类、所有权与生命周期权威记录和独立来源回执计算覆盖与有效性，分别报告未知、陈旧、冲突、失败和例外对象。

E06证据与指标. 发布 已知、未知、已分类、无责任人、超期保留、过早删除、未批准副本、被阻断流、保全及销毁已验证数据集，附查询版本、分母时间、排除项、未知项和下钻回执。

E07证据与指标. 发布 匹配、缺失、重复、陈旧、无责任人、未批准、不可评估及无证明退役数量，附查询版本、分母时间、排除项、未知项和下钻回执。

E08证据与指标. 要求独立人员使用来源回执重建决策，并复现总体、状态转换、计算、测试结果、例外和最终关闭。

S01安全、隐私与韧性. 对权威数据、连接器、策略引擎、证据库、例外流程、破窗路径和管理恢复应用最小权限与职责分离。

S02安全、隐私与韧性. 在需求、遥测、测试、截图、导出和公开证据中最小化秘密、个人与受监管数据，并定义脱敏和受控原始证据访问。

S03安全、隐私与韧性. 通过独立保管、必要时的不可变历史和证据路径停用告警，保护策略、状态、时间、日志、测试与审批免受篡改。

S04安全、隐私与韧性. 定义容量、配额、依赖、地域、提供商、离线和灾难行为，并保留经过测试的降级决策与恢复路径。

S05安全、隐私与韧性. 保护数据清单、分类、所有权与生命周期权威记录的写入与审批权限，监测特权变更、导出、删除、来源停用和恢复。

S06安全、隐私与韧性. 限制改变“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”的权限，记录特权变更，保护证据历史并测试管理恢复。

S07安全、隐私与韧性. 限制改变“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”的权限，记录特权变更，保护证据历史并测试管理恢复。

S08安全、隐私与韧性. 威胁建模实施系统自身：伪造证据、污染清单、权限滥用、跨租户混淆、策略回滚、审计删除、拒绝服务和恢复失陷。

V01验证与对抗测试. 让合法正向控制走完真实或生产等价路径，同时验证业务成功和完整证据回执。

V02验证与对抗测试. 执行未授权或无效反向控制，并加入陈旧、重复、畸形、乱序、跨租户和绕过变体，验证预期拒绝或安全处置。

V03验证与对抗测试. 注入来源、凭据、解析器、策略、网络、提供商、队列、存储、时钟、复核人和回滚故障，验证健康检测与声明的降级状态。

V04验证与对抗测试. 采用风险分层平台样本，覆盖关键、常见、例外、刚变更、提供商托管、安全关键、远程和短生总体。

V05验证与对抗测试. 在代表性平台演练 获批与未批准副本、允许与拒绝读取、保留边界、删除验证、密钥丢失和跨边界传输，验证业务行为、控制决策、遥测、案件流程、回滚和最终状态。

V06验证与对抗测试. 运行正向控制“按声明用途、访问、传输、保留和销毁路径流转的获批数据集”，并执行包含“未知或误分类副本、禁止读取者或流向、过早删除、保留过期、销毁失败和提供商残留”的反向、陈旧、重复、绕过和中断控制。

V07验证与对抗测试. 运行正向控制“从两个独立来源对账的一项植入已批准对象”，并执行包含“未知对象、重复身份、陈旧记录、突然消失对象、失效来源和跨租户碰撞”的反向、陈旧、重复、绕过和中断控制。

V08验证与对抗测试. 建立平台—故障两两组合矩阵，再加入高后果多因素案例、历史回归、来源替换、红队挑战和评估方重放。

R01运营、变更与收口. 按设计、观察、金丝雀、强制和扩展阶段发布，每阶段都有进入/退出条件、业务正向、反向控制、例外准备和已测试回滚。

R02运营、变更与收口. 监测总体增长、来源健康、证据陈旧、动作失败、积压年龄、例外到期、控制绕过、误报、漏报和复发根因。

R03运营、变更与收口. 来源、解析器、策略、责任人、提供商、架构、软件、数据用途或威胁变化后，使受影响回执失效；保留历史并显示当前为陈旧。

R04运营、变更与收口. 只有受保护状态已改变、证据新鲜、正反向控制通过、下游权威对账、残余风险已记录且复发监测已启用时才关闭。

R05运营、变更与收口. 当 数据目录、模式、DLP 发现、云/SaaS API、责任人确认、流向记录、备份目录及法律与隐私期限 的责任、模式、覆盖、提供商、策略或平台版本变化时重新对账并重跑受影响测试。

R06运营、变更与收口. 用 已知、未知、已分类、无责任人、超期保留、过早删除、未批准副本、被阻断流、保全及销毁已验证数据集 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

R07运营、变更与收口. 用 匹配、缺失、重复、陈旧、无责任人、未批准、不可评估及无证明退役数量 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

R08运营、变更与收口. 采用金丝雀、停止标准、回滚、积压燃尽、例外缩减、来源质量目标、季度设计复核和可量化退役计划。

O01目标与决策. 为“数据访问权限”定义用户、业务与风险结果，明确该 Safeguard 保护的决策以及可以被观察到的状态变化。

O02目标与决策. 每条需求都绑定 CIS Safeguard 3.3、官方资产类别“数据”、安全功能“保护”和首次出现的 IG1，并保存来源抓取日期。

O03目标与决策. 以这条原创本地范围判断为起点：“访问总体包含通过文件、数据库、API、应用、分析、备份和管理面接触敏感数据的人、服务、工作负载、支持和服务商身份。”把其中每类对象转成可查询总体或经过批准的适用性决定。

O04目标与决策. 分别保存规范意图、设计批准、部署、证据新鲜、正向控制、反向控制、例外和实际运行结果状态。

O05目标与决策. 把“数据访问权限”连接到其运营对象——敏感与业务数据、副本、日志、备份、导出、派生数据、AI 语料、密钥和数据流——并为每个终态定义安全决策、业务后果和残余风险。

O06目标与决策. 对“数据访问权限”，以 数据身份、敏感度、责任人、目的、位置、流向、访问、保留、副本、派生与销毁状态 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

O07目标与决策. 对“数据访问权限”，以 所有访问路径上的实际身份、认证、授权、权限、会话和撤销状态 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

O08目标与决策. 对“数据访问权限”，以 在最近可靠控制点执行允许、拒绝、遏制、隔离、强制、移除或转换决策 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

P01总体与适用性. 计算覆盖率前先建立权威分母，记录查询、责任人、采集时间、租户、环境、纳入项、排除项和未解决对象。

P02总体与适用性. 只要 Safeguard 所指对象存在，就评估本地、IaaS/PaaS/SaaS 云、移动、远程、IoT/OT、构建、备份、提供商和 AI 场景。

P03总体与适用性. 把空总体、发现失败、平台不支持、提供商证据不可得和经批准不适用分别记录为五种结果。

P04总体与适用性. 执行双向抽样：权威台账到真实环境、真实环境到权威台账；保留缺失、重复、陈旧、孤儿和跨租户结果。

P05总体与适用性. 解决 未知分类、加密或令牌化副本、跨地域副本、不可变备份、派生数据、诉讼保全及提供商删除限制 的适用性；每种边缘情形都获得有证据的适用、不适用、未知或有期限例外结果。

P06总体与适用性. 把 非结构化与派生数据、日志、缓存、备份、导出、客户端副本、跨地域处理、AI 语料、保全和提供商残留 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

P07总体与适用性. 把 共享与服务身份、嵌套组、直接授权、缓存会话、联邦缺口、恢复通道、API 密钥、紧急访问和提供商支持 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

P08总体与适用性. 把 仅审计模式、不支持平台、本地覆盖、竞态、缓存状态、替代路径、故障开放和紧急绕过 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

W01责任与审批. 为该 Safeguard 指定业务最终责任人、运营责任人、证据责任人、例外审批人、独立复核人和升级接收人。

W02责任与审批. 定义谁能创建、变更、批准、执行、暂停、回滚、续期例外和关闭实施，阻止同一主体独自批准所有阶段。

W03责任与审批. 外包运营仍指定内部最终责任人，并列出提供商操作方、租户管理员、证据提供方、通知路径和合同缺口。

W04责任与审批. 定义委派、备份人员、值班覆盖、事件期间决策权限，以及责任人离职或不可用时的交接测试。

W05责任与审批. 为 数据责任人与托管方、产品团队、隐私、法务、安全、档案管理和服务提供商 定义该 Safeguard 的 RACI，并指定解决来源或风险决策冲突的权威方。

W06责任与审批. 明确谁能转换 创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁，谁批准、谁提供证据、谁独立复核。

W07责任与审批. 明确谁能转换 申请 → 批准 → 开通 → 使用 → 复核 → 变更/撤销 → 会话与令牌失效，谁批准、谁提供证据、谁独立复核。

W08责任与审批. 明确谁能转换 观察 → 评估 → 决策 → 执行 → 验证结果 → 回滚/关闭，谁批准、谁提供证据、谁独立复核。

D01数据契约与身份. 定义稳定对象身份、别名、父子关系、租户与环境键、来源、首次/最后观测时间、责任人、状态和墓碑规则。

D02数据契约与身份. 对模式与归一化规则做版本管理；每个关键决策字段保留原始来源标识、采集时间、解析器版本、置信度和旧值。

D03数据契约与身份. 把固定 CAS 变量集合（GV1, GV3, GV12, GV13, GV14, GV17, GV22, M1, M2, M3, M4, M5, and 3 more）映射到本地字段；不可获得的变量逐项标记为不支持、不适用或未知并说明原因。

D04数据契约与身份. 在仪表盘或自动化消费前，定义空值、零、重复、陈旧、删除、不可达、部分观测和来源冲突语义。

D05数据契约与身份. 把数据清单、分类、所有权与生命周期权威记录作为受治理当前状态记录，保存身份、责任人、来源、旧/新状态、原因、执行人、时间和例外关联。

D06数据契约与身份. 对生命周期“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

D07数据契约与身份. 对生命周期“申请 → 批准 → 开通 → 使用 → 复核 → 变更/撤销 → 会话与令牌失效”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

D08数据契约与身份. 对生命周期“观察 → 评估 → 决策 → 执行 → 验证结果 → 回滚/关闭”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

I01依赖与集成. 记录 Safeguard 3.2、Safeguard 4.1、Safeguard 5.1 的前置状态；补充本地必需依赖，并解释每项省略或替代的前置条件。

I02依赖与集成. 每个 API、代理、文件、消息、人工确认或提供商导出都定义认证、授权、模式、分页、限流、重放、幂等和错误处理。

I03依赖与集成. 在每次连接和归一化中保留租户、地域、环境、对象身份、来源事件时间、采集时间和来源健康状态。

I04依赖与集成. 为提供商中断、凭据过期、网络分区、模式漂移、延迟交付、部分结果和人工运行定义回退与对账路径。

I05依赖与集成. 对账 数据目录、模式、DLP 发现、云/SaaS API、责任人确认、流向记录、备份目录及法律与隐私期限，逐来源暴露健康、延迟、置信度、遗漏和冲突解决结果。

I06依赖与集成. 承载 数据身份、敏感度、责任人、目的、位置、流向、访问、保留、副本、派生与销毁状态 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

I07依赖与集成. 承载 所有访问路径上的实际身份、认证、授权、权限、会话和撤销状态 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

I08依赖与集成. 承载 在最近可靠控制点执行允许、拒绝、遏制、隔离、强制、移除或转换决策 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

C01控制流与执行. 以这条实施判断为控制流锚点：“把数据所有者批准的知情需要，落实为组、角色、ACL、行列、对象和密钥策略；清除直接授权，分开系统管理与数据使用，审查继承/公开访问，使入转离与应急访问同步更新每一层。”拆成输入、校验、决策、动作、记录结果和关闭状态。

C02控制流与执行. 明确最近且可靠的策略、流程、配置、身份、网络、应用、数据、提供商或人工决策点，由它真正改变受保护状态。

C03控制流与执行. 按需定义允许、拒绝、遏制、隔离、延后、例外、未知、失败、已回滚和已关闭结果；每种结果都有责任人与下一动作。

C04控制流与执行. 为自动与人工执行定义校验、授权、幂等、重试、去重、并发、事务边界、回滚和补偿动作。

C05控制流与执行. 在数据清单、分类、所有权与生命周期权威记录中实现状态转换，保存精确运营控制点、策略或程序版本、结果和下游更新。

C06控制流与执行. 实现显式状态机“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

C07控制流与执行. 实现显式状态机“申请 → 批准 → 开通 → 使用 → 复核 → 变更/撤销 → 会话与令牌失效”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

C08控制流与执行. 实现显式状态机“观察 → 评估 → 决策 → 执行 → 验证结果 → 回滚/关闭”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

T01时序与生命周期. 保留固定官方描述中的频率术语（event- and risk-defined local cadence）；当资产变化、暴露、安全生产或威胁后果要求更快时定义本地 SLO。

T02时序与生命周期. 分别设置发现、摄取、决策、动作、责任人确认、证据新鲜度、例外复核、验证和最终关闭 SLO。

T03时序与生命周期. 保存事件时间、来源时区、采集时间、处理时间、决策时间和到期时间，定义时钟偏移、迟到、回填和夏令时处理。

T04时序与生命周期. 架构、提供商、策略、软件、威胁、法规、责任、数据用途、事件或控制来源发生重大变化时提前复核。

T05时序与生命周期. 根据 敏感与业务数据、副本、日志、备份、导出、派生数据、AI 语料、密钥和数据流 的变化速度设置新鲜度和动作 SLO，把来源年龄、队列年龄、例外年龄和关闭年龄分开。

T06时序与生命周期. 为“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

T07时序与生命周期. 为“申请 → 批准 → 开通 → 使用 → 复核 → 变更/撤销 → 会话与令牌失效”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

T08时序与生命周期. 为“观察 → 评估 → 决策 → 执行 → 验证结果 → 回滚/关闭”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

X01例外与失效模式. 把这条失效边界判断作为强制例外测试：“CAS 把“映射数据数”和“账户类型数”相除，量纲不同。”其中每种条件都转成可检测状态和响应。

X02例外与失效模式. 例外必须包含范围、精确对象、责任人、原因、威胁与业务后果、补偿控制、证据、起止时间、复核触发器和经过测试的退出。

X03例外与失效模式. 按需定义故障开放、故障关闭、安全失效、部分、未知、陈旧、提供商不支持、安全生产约束、隐私约束和紧急状态。

X04例外与失效模式. 到期或补偿控制减弱的例外回到失败；同一对象或获取路径在关闭后复发时重开根因。

X05例外与失效模式. 把 未知分类、加密或令牌化副本、跨地域副本、不可变备份、派生数据、诉讼保全及提供商删除限制 作为设计内异常路径，每项都有责任人、补偿控制、期限、安全或业务约束和复测。

X06例外与失效模式. 把 非结构化与派生数据、日志、缓存、备份、导出、客户端副本、跨地域处理、AI 语料、保全和提供商残留 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

X07例外与失效模式. 把 共享与服务身份、嵌套组、直接授权、缓存会话、联邦缺口、恢复通道、API 密钥、紧急访问和提供商支持 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

X08例外与失效模式. 把 仅审计模式、不支持平台、本地覆盖、竞态、缓存状态、替代路径、故障开放和紧急绕过 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

E01证据与指标. 以这条验证判断作为首份验收回执：“对抽样数据集枚举有效权限，并与批准身份对账。”保留输入、步骤、预期结果、实际结果、执行人、时间和制品身份。

E02证据与指标. 把分子和分母发布为可下钻对象集，包含查询版本、采集时间、排除项、未知项、重复项、陈旧记录和空总体规则。

E03证据与指标. 自动评分前对账固定 CAS 的 2 个指标分支、15 个命名度量或全局变量、假设状态和本地运行有效性证据。

E04证据与指标. 保留配置或程序版本、来源回执、正反向结果、例外证据、复核人身份、完整性哈希、保留类别和重放步骤。

E05证据与指标. 以数据清单、分类、所有权与生命周期权威记录和独立来源回执计算覆盖与有效性，分别报告未知、陈旧、冲突、失败和例外对象。

E06证据与指标. 发布 已知、未知、已分类、无责任人、超期保留、过早删除、未批准副本、被阻断流、保全及销毁已验证数据集，附查询版本、分母时间、排除项、未知项和下钻回执。

E07证据与指标. 发布 申请、批准、实际、过度、孤儿、陈旧、紧急、已撤销仍活跃及独立复核权限，附查询版本、分母时间、排除项、未知项和下钻回执。

E08证据与指标. 发布 适用、已执行、仅审计、失败、被绕过、例外、已回滚和结果已验证总体，附查询版本、分母时间、排除项、未知项和下钻回执。

S01安全、隐私与韧性. 对权威数据、连接器、策略引擎、证据库、例外流程、破窗路径和管理恢复应用最小权限与职责分离。

S02安全、隐私与韧性. 在需求、遥测、测试、截图、导出和公开证据中最小化秘密、个人与受监管数据，并定义脱敏和受控原始证据访问。

S03安全、隐私与韧性. 通过独立保管、必要时的不可变历史和证据路径停用告警，保护策略、状态、时间、日志、测试与审批免受篡改。

S04安全、隐私与韧性. 定义容量、配额、依赖、地域、提供商、离线和灾难行为，并保留经过测试的降级决策与恢复路径。

S05安全、隐私与韧性. 保护数据清单、分类、所有权与生命周期权威记录的写入与审批权限，监测特权变更、导出、删除、来源停用和恢复。

S06安全、隐私与韧性. 限制改变“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”的权限，记录特权变更，保护证据历史并测试管理恢复。

S07安全、隐私与韧性. 限制改变“申请 → 批准 → 开通 → 使用 → 复核 → 变更/撤销 → 会话与令牌失效”的权限，记录特权变更，保护证据历史并测试管理恢复。

S08安全、隐私与韧性. 限制改变“观察 → 评估 → 决策 → 执行 → 验证结果 → 回滚/关闭”的权限，记录特权变更，保护证据历史并测试管理恢复。

V01验证与对抗测试. 让合法正向控制走完真实或生产等价路径，同时验证业务成功和完整证据回执。

V02验证与对抗测试. 执行未授权或无效反向控制，并加入陈旧、重复、畸形、乱序、跨租户和绕过变体，验证预期拒绝或安全处置。

V03验证与对抗测试. 注入来源、凭据、解析器、策略、网络、提供商、队列、存储、时钟、复核人和回滚故障，验证健康检测与声明的降级状态。

V04验证与对抗测试. 采用风险分层平台样本，覆盖关键、常见、例外、刚变更、提供商托管、安全关键、远程和短生总体。

V05验证与对抗测试. 在代表性平台演练 获批与未批准副本、允许与拒绝读取、保留边界、删除验证、密钥丢失和跨边界传输，验证业务行为、控制决策、遥测、案件流程、回滚和最终状态。

V06验证与对抗测试. 运行正向控制“按声明用途、访问、传输、保留和销毁路径流转的获批数据集”，并执行包含“未知或误分类副本、禁止读取者或流向、过早删除、保留过期、销毁失败和提供商残留”的反向、陈旧、重复、绕过和中断控制。

V07验证与对抗测试. 运行正向控制“使用所需保证级别和最小权限的授权身份”，并执行包含“未授权身份、缺失认证因子、陈旧会话、直接授权、继承过权、已撤销令牌和恢复绕过”的反向、陈旧、重复、绕过和中断控制。

V08验证与对抗测试. 运行正向控制“通过受控路径完成的一项获批业务动作”，并执行包含“禁止动作、替代路径、本地覆盖、陈旧策略、控制中断、紧急绕过和回滚失败”的反向、陈旧、重复、绕过和中断控制。

R01运营、变更与收口. 按设计、观察、金丝雀、强制和扩展阶段发布，每阶段都有进入/退出条件、业务正向、反向控制、例外准备和已测试回滚。

R02运营、变更与收口. 监测总体增长、来源健康、证据陈旧、动作失败、积压年龄、例外到期、控制绕过、误报、漏报和复发根因。

R03运营、变更与收口. 来源、解析器、策略、责任人、提供商、架构、软件、数据用途或威胁变化后，使受影响回执失效；保留历史并显示当前为陈旧。

R04运营、变更与收口. 只有受保护状态已改变、证据新鲜、正反向控制通过、下游权威对账、残余风险已记录且复发监测已启用时才关闭。

R05运营、变更与收口. 当 数据目录、模式、DLP 发现、云/SaaS API、责任人确认、流向记录、备份目录及法律与隐私期限 的责任、模式、覆盖、提供商、策略或平台版本变化时重新对账并重跑受影响测试。

R06运营、变更与收口. 用 已知、未知、已分类、无责任人、超期保留、过早删除、未批准副本、被阻断流、保全及销毁已验证数据集 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

R07运营、变更与收口. 用 申请、批准、实际、过度、孤儿、陈旧、紧急、已撤销仍活跃及独立复核权限 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

R08运营、变更与收口. 用 适用、已执行、仅审计、失败、被绕过、例外、已回滚和结果已验证总体 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

O01目标与决策. 为“保留期限执行”定义用户、业务与风险结果，明确该 Safeguard 保护的决策以及可以被观察到的状态变化。

O02目标与决策. 每条需求都绑定 CIS Safeguard 3.4、官方资产类别“数据”、安全功能“保护”和首次出现的 IG1，并保存来源抓取日期。

O03目标与决策. 以这条原创本地范围判断为起点：“范围包括主存储、副本、队列、日志、搜索索引、终端、导出、备份和服务商副本。”把其中每类对象转成可查询总体或经过批准的适用性决定。

O04目标与决策. 分别保存规范意图、设计批准、部署、证据新鲜、正向控制、反向控制、例外和实际运行结果状态。

O05目标与决策. 把“保留期限执行”连接到其运营对象——敏感与业务数据、副本、日志、备份、导出、派生数据、AI 语料、密钥和数据流——并为每个终态定义安全决策、业务后果和残余风险。

O06目标与决策. 对“保留期限执行”，以 数据身份、敏感度、责任人、目的、位置、流向、访问、保留、副本、派生与销毁状态 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

O07目标与决策. 对“保留期限执行”，以 在最近可靠控制点执行允许、拒绝、遏制、隔离、强制、移除或转换决策 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

P01总体与适用性. 计算覆盖率前先建立权威分母，记录查询、责任人、采集时间、租户、环境、纳入项、排除项和未解决对象。

P02总体与适用性. 只要 Safeguard 所指对象存在，就评估本地、IaaS/PaaS/SaaS 云、移动、远程、IoT/OT、构建、备份、提供商和 AI 场景。

P03总体与适用性. 把空总体、发现失败、平台不支持、提供商证据不可得和经批准不适用分别记录为五种结果。

P04总体与适用性. 执行双向抽样：权威台账到真实环境、真实环境到权威台账；保留缺失、重复、陈旧、孤儿和跨租户结果。

P05总体与适用性. 解决 未知分类、加密或令牌化副本、跨地域副本、不可变备份、派生数据、诉讼保全及提供商删除限制 的适用性；每种边缘情形都获得有证据的适用、不适用、未知或有期限例外结果。

P06总体与适用性. 把 非结构化与派生数据、日志、缓存、备份、导出、客户端副本、跨地域处理、AI 语料、保全和提供商残留 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

P07总体与适用性. 把 仅审计模式、不支持平台、本地覆盖、竞态、缓存状态、替代路径、故障开放和紧急绕过 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

W01责任与审批. 为该 Safeguard 指定业务最终责任人、运营责任人、证据责任人、例外审批人、独立复核人和升级接收人。

W02责任与审批. 定义谁能创建、变更、批准、执行、暂停、回滚、续期例外和关闭实施，阻止同一主体独自批准所有阶段。

W03责任与审批. 外包运营仍指定内部最终责任人，并列出提供商操作方、租户管理员、证据提供方、通知路径和合同缺口。

W04责任与审批. 定义委派、备份人员、值班覆盖、事件期间决策权限，以及责任人离职或不可用时的交接测试。

W05责任与审批. 为 数据责任人与托管方、产品团队、隐私、法务、安全、档案管理和服务提供商 定义该 Safeguard 的 RACI，并指定解决来源或风险决策冲突的权威方。

W06责任与审批. 明确谁能转换 创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁，谁批准、谁提供证据、谁独立复核。

W07责任与审批. 明确谁能转换 观察 → 评估 → 决策 → 执行 → 验证结果 → 回滚/关闭，谁批准、谁提供证据、谁独立复核。

D01数据契约与身份. 定义稳定对象身份、别名、父子关系、租户与环境键、来源、首次/最后观测时间、责任人、状态和墓碑规则。

D02数据契约与身份. 对模式与归一化规则做版本管理；每个关键决策字段保留原始来源标识、采集时间、解析器版本、置信度和旧值。

D03数据契约与身份. 把固定 CAS 变量集合（GV11, GV12, GV15, GV17, M1, M2, M3, M4, M5, M6）映射到本地字段；不可获得的变量逐项标记为不支持、不适用或未知并说明原因。

D04数据契约与身份. 在仪表盘或自动化消费前，定义空值、零、重复、陈旧、删除、不可达、部分观测和来源冲突语义。

D05数据契约与身份. 把数据清单、分类、所有权与生命周期权威记录作为受治理当前状态记录，保存身份、责任人、来源、旧/新状态、原因、执行人、时间和例外关联。

D06数据契约与身份. 对生命周期“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

D07数据契约与身份. 对生命周期“观察 → 评估 → 决策 → 执行 → 验证结果 → 回滚/关闭”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

I01依赖与集成. 记录 Safeguard 3.1、Safeguard 3.2 的前置状态；补充本地必需依赖，并解释每项省略或替代的前置条件。

I02依赖与集成. 每个 API、代理、文件、消息、人工确认或提供商导出都定义认证、授权、模式、分页、限流、重放、幂等和错误处理。

I03依赖与集成. 在每次连接和归一化中保留租户、地域、环境、对象身份、来源事件时间、采集时间和来源健康状态。

I04依赖与集成. 为提供商中断、凭据过期、网络分区、模式漂移、延迟交付、部分结果和人工运行定义回退与对账路径。

I05依赖与集成. 对账 数据目录、模式、DLP 发现、云/SaaS API、责任人确认、流向记录、备份目录及法律与隐私期限，逐来源暴露健康、延迟、置信度、遗漏和冲突解决结果。

I06依赖与集成. 承载 数据身份、敏感度、责任人、目的、位置、流向、访问、保留、副本、派生与销毁状态 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

I07依赖与集成. 承载 在最近可靠控制点执行允许、拒绝、遏制、隔离、强制、移除或转换决策 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

C01控制流与执行. 以这条实施判断为控制流锚点：“把规则落实为删除、归档、诉讼保全和备份到期任务，由数据与平台团队负责；把触发事件、司法辖区、政策版本和保全状态与记录或数据集绑定，监控失败/延迟并向下游传播删除。”拆成输入、校验、决策、动作、记录结果和关闭状态。

C02控制流与执行. 明确最近且可靠的策略、流程、配置、身份、网络、应用、数据、提供商或人工决策点，由它真正改变受保护状态。

C03控制流与执行. 按需定义允许、拒绝、遏制、隔离、延后、例外、未知、失败、已回滚和已关闭结果；每种结果都有责任人与下一动作。

C04控制流与执行. 为自动与人工执行定义校验、授权、幂等、重试、去重、并发、事务边界、回滚和补偿动作。

C05控制流与执行. 在数据清单、分类、所有权与生命周期权威记录中实现状态转换，保存精确运营控制点、策略或程序版本、结果和下游更新。

C06控制流与执行. 实现显式状态机“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

C07控制流与执行. 实现显式状态机“观察 → 评估 → 决策 → 执行 → 验证结果 → 回滚/关闭”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

T01时序与生命周期. 保留固定官方描述中的频率术语（event- and risk-defined local cadence）；当资产变化、暴露、安全生产或威胁后果要求更快时定义本地 SLO。

T02时序与生命周期. 分别设置发现、摄取、决策、动作、责任人确认、证据新鲜度、例外复核、验证和最终关闭 SLO。

T03时序与生命周期. 保存事件时间、来源时区、采集时间、处理时间、决策时间和到期时间，定义时钟偏移、迟到、回填和夏令时处理。

T04时序与生命周期. 架构、提供商、策略、软件、威胁、法规、责任、数据用途、事件或控制来源发生重大变化时提前复核。

T05时序与生命周期. 根据 敏感与业务数据、副本、日志、备份、导出、派生数据、AI 语料、密钥和数据流 的变化速度设置新鲜度和动作 SLO，把来源年龄、队列年龄、例外年龄和关闭年龄分开。

T06时序与生命周期. 为“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

T07时序与生命周期. 为“观察 → 评估 → 决策 → 执行 → 验证结果 → 回滚/关闭”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

X01例外与失效模式. 把这条失效边界判断作为强制例外测试：“不可变备份可把物理删除推迟到介质到期，此时隔离访问和明确最长周期构成补偿边界。”其中每种条件都转成可检测状态和响应。

X02例外与失效模式. 例外必须包含范围、精确对象、责任人、原因、威胁与业务后果、补偿控制、证据、起止时间、复核触发器和经过测试的退出。

X03例外与失效模式. 按需定义故障开放、故障关闭、安全失效、部分、未知、陈旧、提供商不支持、安全生产约束、隐私约束和紧急状态。

X04例外与失效模式. 到期或补偿控制减弱的例外回到失败；同一对象或获取路径在关闭后复发时重开根因。

X05例外与失效模式. 把 未知分类、加密或令牌化副本、跨地域副本、不可变备份、派生数据、诉讼保全及提供商删除限制 作为设计内异常路径，每项都有责任人、补偿控制、期限、安全或业务约束和复测。

X06例外与失效模式. 把 非结构化与派生数据、日志、缓存、备份、导出、客户端副本、跨地域处理、AI 语料、保全和提供商残留 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

X07例外与失效模式. 把 仅审计模式、不支持平台、本地覆盖、竞态、缓存状态、替代路径、故障开放和紧急绕过 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

E01证据与指标. 以这条验证判断作为首份验收回执：“创建短到期和被保全的测试记录，推进时间，验证最短期前保留、最长期后删除、对副本/索引/缓存传播以及保全释放可审计。”保留输入、步骤、预期结果、实际结果、执行人、时间和制品身份。

E02证据与指标. 把分子和分母发布为可下钻对象集，包含查询版本、采集时间、排除项、未知项、重复项、陈旧记录和空总体规则。

E03证据与指标. 自动评分前对账固定 CAS 的 2 个指标分支、10 个命名度量或全局变量、假设状态和本地运行有效性证据。

E04证据与指标. 保留配置或程序版本、来源回执、正反向结果、例外证据、复核人身份、完整性哈希、保留类别和重放步骤。

E05证据与指标. 以数据清单、分类、所有权与生命周期权威记录和独立来源回执计算覆盖与有效性，分别报告未知、陈旧、冲突、失败和例外对象。

E06证据与指标. 发布 已知、未知、已分类、无责任人、超期保留、过早删除、未批准副本、被阻断流、保全及销毁已验证数据集，附查询版本、分母时间、排除项、未知项和下钻回执。

E07证据与指标. 发布 适用、已执行、仅审计、失败、被绕过、例外、已回滚和结果已验证总体，附查询版本、分母时间、排除项、未知项和下钻回执。

S01安全、隐私与韧性. 对权威数据、连接器、策略引擎、证据库、例外流程、破窗路径和管理恢复应用最小权限与职责分离。

S02安全、隐私与韧性. 在需求、遥测、测试、截图、导出和公开证据中最小化秘密、个人与受监管数据，并定义脱敏和受控原始证据访问。

S03安全、隐私与韧性. 通过独立保管、必要时的不可变历史和证据路径停用告警，保护策略、状态、时间、日志、测试与审批免受篡改。

S04安全、隐私与韧性. 定义容量、配额、依赖、地域、提供商、离线和灾难行为，并保留经过测试的降级决策与恢复路径。

S05安全、隐私与韧性. 保护数据清单、分类、所有权与生命周期权威记录的写入与审批权限，监测特权变更、导出、删除、来源停用和恢复。

S06安全、隐私与韧性. 限制改变“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”的权限，记录特权变更，保护证据历史并测试管理恢复。

S07安全、隐私与韧性. 限制改变“观察 → 评估 → 决策 → 执行 → 验证结果 → 回滚/关闭”的权限，记录特权变更，保护证据历史并测试管理恢复。

V01验证与对抗测试. 让合法正向控制走完真实或生产等价路径，同时验证业务成功和完整证据回执。

V02验证与对抗测试. 执行未授权或无效反向控制，并加入陈旧、重复、畸形、乱序、跨租户和绕过变体，验证预期拒绝或安全处置。

V03验证与对抗测试. 注入来源、凭据、解析器、策略、网络、提供商、队列、存储、时钟、复核人和回滚故障，验证健康检测与声明的降级状态。

V04验证与对抗测试. 采用风险分层平台样本，覆盖关键、常见、例外、刚变更、提供商托管、安全关键、远程和短生总体。

V05验证与对抗测试. 在代表性平台演练 获批与未批准副本、允许与拒绝读取、保留边界、删除验证、密钥丢失和跨边界传输，验证业务行为、控制决策、遥测、案件流程、回滚和最终状态。

V06验证与对抗测试. 运行正向控制“按声明用途、访问、传输、保留和销毁路径流转的获批数据集”，并执行包含“未知或误分类副本、禁止读取者或流向、过早删除、保留过期、销毁失败和提供商残留”的反向、陈旧、重复、绕过和中断控制。

V07验证与对抗测试. 运行正向控制“通过受控路径完成的一项获批业务动作”，并执行包含“禁止动作、替代路径、本地覆盖、陈旧策略、控制中断、紧急绕过和回滚失败”的反向、陈旧、重复、绕过和中断控制。

R01运营、变更与收口. 按设计、观察、金丝雀、强制和扩展阶段发布，每阶段都有进入/退出条件、业务正向、反向控制、例外准备和已测试回滚。

R02运营、变更与收口. 监测总体增长、来源健康、证据陈旧、动作失败、积压年龄、例外到期、控制绕过、误报、漏报和复发根因。

R03运营、变更与收口. 来源、解析器、策略、责任人、提供商、架构、软件、数据用途或威胁变化后，使受影响回执失效；保留历史并显示当前为陈旧。

R04运营、变更与收口. 只有受保护状态已改变、证据新鲜、正反向控制通过、下游权威对账、残余风险已记录且复发监测已启用时才关闭。

R05运营、变更与收口. 当 数据目录、模式、DLP 发现、云/SaaS API、责任人确认、流向记录、备份目录及法律与隐私期限 的责任、模式、覆盖、提供商、策略或平台版本变化时重新对账并重跑受影响测试。

R06运营、变更与收口. 用 已知、未知、已分类、无责任人、超期保留、过早删除、未批准副本、被阻断流、保全及销毁已验证数据集 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

R07运营、变更与收口. 用 适用、已执行、仅审计、失败、被绕过、例外、已回滚和结果已验证总体 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

O01目标与决策. 为“安全处置”定义用户、业务与风险结果，明确该 Safeguard 保护的决策以及可以被观察到的状态变化。

O02目标与决策. 每条需求都绑定 CIS Safeguard 3.5、官方资产类别“数据”、安全功能“保护”和首次出现的 IG1，并保存来源抓取日期。

O03目标与决策. 以这条原创本地范围判断为起点：“覆盖逻辑记录、文件、加密密钥、可移动介质、故障硬盘、云卷、快照、备份、纸张和服务商持有数据。”把其中每类对象转成可查询总体或经过批准的适用性决定。

O04目标与决策. 分别保存规范意图、设计批准、部署、证据新鲜、正向控制、反向控制、例外和实际运行结果状态。

O05目标与决策. 把“安全处置”连接到其运营对象——敏感与业务数据、副本、日志、备份、导出、派生数据、AI 语料、密钥和数据流——并为每个终态定义安全决策、业务后果和残余风险。

O06目标与决策. 对“安全处置”，以 数据身份、敏感度、责任人、目的、位置、流向、访问、保留、副本、派生与销毁状态 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

P01总体与适用性. 计算覆盖率前先建立权威分母，记录查询、责任人、采集时间、租户、环境、纳入项、排除项和未解决对象。

P02总体与适用性. 只要 Safeguard 所指对象存在，就评估本地、IaaS/PaaS/SaaS 云、移动、远程、IoT/OT、构建、备份、提供商和 AI 场景。

P03总体与适用性. 把空总体、发现失败、平台不支持、提供商证据不可得和经批准不适用分别记录为五种结果。

P04总体与适用性. 执行双向抽样：权威台账到真实环境、真实环境到权威台账；保留缺失、重复、陈旧、孤儿和跨租户结果。

P05总体与适用性. 解决 未知分类、加密或令牌化副本、跨地域副本、不可变备份、派生数据、诉讼保全及提供商删除限制 的适用性；每种边缘情形都获得有证据的适用、不适用、未知或有期限例外结果。

P06总体与适用性. 把 非结构化与派生数据、日志、缓存、备份、导出、客户端副本、跨地域处理、AI 语料、保全和提供商残留 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

W01责任与审批. 为该 Safeguard 指定业务最终责任人、运营责任人、证据责任人、例外审批人、独立复核人和升级接收人。

W02责任与审批. 定义谁能创建、变更、批准、执行、暂停、回滚、续期例外和关闭实施，阻止同一主体独自批准所有阶段。

W03责任与审批. 外包运营仍指定内部最终责任人，并列出提供商操作方、租户管理员、证据提供方、通知路径和合同缺口。

W04责任与审批. 定义委派、备份人员、值班覆盖、事件期间决策权限，以及责任人离职或不可用时的交接测试。

W05责任与审批. 为 数据责任人与托管方、产品团队、隐私、法务、安全、档案管理和服务提供商 定义该 Safeguard 的 RACI，并指定解决来源或风险决策冲突的权威方。

W06责任与审批. 明确谁能转换 创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁，谁批准、谁提供证据、谁独立复核。

D01数据契约与身份. 定义稳定对象身份、别名、父子关系、租户与环境键、来源、首次/最后观测时间、责任人、状态和墓碑规则。

D02数据契约与身份. 对模式与归一化规则做版本管理；每个关键决策字段保留原始来源标识、采集时间、解析器版本、置信度和旧值。

D03数据契约与身份. 把固定 CAS 变量集合（GV11, GV12, GV16, GV17, M1, M2, M3, M4, M5, M6）映射到本地字段；不可获得的变量逐项标记为不支持、不适用或未知并说明原因。

D04数据契约与身份. 在仪表盘或自动化消费前，定义空值、零、重复、陈旧、删除、不可达、部分观测和来源冲突语义。

D05数据契约与身份. 把数据清单、分类、所有权与生命周期权威记录作为受治理当前状态记录，保存身份、责任人、来源、旧/新状态、原因、执行人、时间和例外关联。

D06数据契约与身份. 对生命周期“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

I01依赖与集成. 记录 Safeguard 3.1、Safeguard 3.2 的前置状态；补充本地必需依赖，并解释每项省略或替代的前置条件。

I02依赖与集成. 每个 API、代理、文件、消息、人工确认或提供商导出都定义认证、授权、模式、分页、限流、重放、幂等和错误处理。

I03依赖与集成. 在每次连接和归一化中保留租户、地域、环境、对象身份、来源事件时间、采集时间和来源健康状态。

I04依赖与集成. 为提供商中断、凭据过期、网络分区、模式漂移、延迟交付、部分结果和人工运行定义回退与对账路径。

I05依赖与集成. 对账 数据目录、模式、DLP 发现、云/SaaS API、责任人确认、流向记录、备份目录及法律与隐私期限，逐来源暴露健康、延迟、置信度、遗漏和冲突解决结果。

I06依赖与集成. 承载 数据身份、敏感度、责任人、目的、位置、流向、访问、保留、副本、派生与销毁状态 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

C01控制流与执行. 以这条实施判断为控制流锚点：“按敏感度和介质选择删除、密码擦除、覆写、物理销毁或服务商流程；授权与执行分离，维护保管链，验证销毁供应商，并处理副本、索引、密钥和保留锁。”拆成输入、校验、决策、动作、记录结果和关闭状态。

C02控制流与执行. 明确最近且可靠的策略、流程、配置、身份、网络、应用、数据、提供商或人工决策点，由它真正改变受保护状态。

C03控制流与执行. 按需定义允许、拒绝、遏制、隔离、延后、例外、未知、失败、已回滚和已关闭结果；每种结果都有责任人与下一动作。

C04控制流与执行. 为自动与人工执行定义校验、授权、幂等、重试、去重、并发、事务边界、回滚和补偿动作。

C05控制流与执行. 在数据清单、分类、所有权与生命周期权威记录中实现状态转换，保存精确运营控制点、策略或程序版本、结果和下游更新。

C06控制流与执行. 实现显式状态机“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

T01时序与生命周期. 保留固定官方描述中的频率术语（event- and risk-defined local cadence）；当资产变化、暴露、安全生产或威胁后果要求更快时定义本地 SLO。

T02时序与生命周期. 分别设置发现、摄取、决策、动作、责任人确认、证据新鲜度、例外复核、验证和最终关闭 SLO。

T03时序与生命周期. 保存事件时间、来源时区、采集时间、处理时间、决策时间和到期时间，定义时钟偏移、迟到、回填和夏令时处理。

T04时序与生命周期. 架构、提供商、策略、软件、威胁、法规、责任、数据用途、事件或控制来源发生重大变化时提前复核。

T05时序与生命周期. 根据 敏感与业务数据、副本、日志、备份、导出、派生数据、AI 语料、密钥和数据流 的变化速度设置新鲜度和动作 SLO，把来源年龄、队列年龄、例外年龄和关闭年龄分开。

T06时序与生命周期. 为“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

X01例外与失效模式. 把这条失效边界判断作为强制例外测试：“闪存磨损均衡、快照、不可变存储和 SaaS 删除窗口会限制即时擦除。”其中每种条件都转成可检测状态和响应。

X02例外与失效模式. 例外必须包含范围、精确对象、责任人、原因、威胁与业务后果、补偿控制、证据、起止时间、复核触发器和经过测试的退出。

X03例外与失效模式. 按需定义故障开放、故障关闭、安全失效、部分、未知、陈旧、提供商不支持、安全生产约束、隐私约束和紧急状态。

X04例外与失效模式. 到期或补偿控制减弱的例外回到失败；同一对象或获取路径在关闭后复发时重开根因。

X05例外与失效模式. 把 未知分类、加密或令牌化副本、跨地域副本、不可变备份、派生数据、诉讼保全及提供商删除限制 作为设计内异常路径，每项都有责任人、补偿控制、期限、安全或业务约束和复测。

X06例外与失效模式. 把 非结构化与派生数据、日志、缓存、备份、导出、客户端副本、跨地域处理、AI 语料、保全和提供商残留 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

E01证据与指标. 以这条验证判断作为首份验收回执：“每条销毁路径走一份受控数据，在承诺完成时间后检查存储、备份、搜索、API 和恢复行为。”保留输入、步骤、预期结果、实际结果、执行人、时间和制品身份。

E02证据与指标. 把分子和分母发布为可下钻对象集，包含查询版本、采集时间、排除项、未知项、重复项、陈旧记录和空总体规则。

E03证据与指标. 自动评分前对账固定 CAS 的 2 个指标分支、10 个命名度量或全局变量、假设状态和本地运行有效性证据。

E04证据与指标. 保留配置或程序版本、来源回执、正反向结果、例外证据、复核人身份、完整性哈希、保留类别和重放步骤。

E05证据与指标. 以数据清单、分类、所有权与生命周期权威记录和独立来源回执计算覆盖与有效性，分别报告未知、陈旧、冲突、失败和例外对象。

E06证据与指标. 发布 已知、未知、已分类、无责任人、超期保留、过早删除、未批准副本、被阻断流、保全及销毁已验证数据集，附查询版本、分母时间、排除项、未知项和下钻回执。

S01安全、隐私与韧性. 对权威数据、连接器、策略引擎、证据库、例外流程、破窗路径和管理恢复应用最小权限与职责分离。

S02安全、隐私与韧性. 在需求、遥测、测试、截图、导出和公开证据中最小化秘密、个人与受监管数据，并定义脱敏和受控原始证据访问。

S03安全、隐私与韧性. 通过独立保管、必要时的不可变历史和证据路径停用告警，保护策略、状态、时间、日志、测试与审批免受篡改。

S04安全、隐私与韧性. 定义容量、配额、依赖、地域、提供商、离线和灾难行为，并保留经过测试的降级决策与恢复路径。

S05安全、隐私与韧性. 保护数据清单、分类、所有权与生命周期权威记录的写入与审批权限，监测特权变更、导出、删除、来源停用和恢复。

S06安全、隐私与韧性. 限制改变“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”的权限，记录特权变更，保护证据历史并测试管理恢复。

V01验证与对抗测试. 让合法正向控制走完真实或生产等价路径，同时验证业务成功和完整证据回执。

V02验证与对抗测试. 执行未授权或无效反向控制，并加入陈旧、重复、畸形、乱序、跨租户和绕过变体，验证预期拒绝或安全处置。

V03验证与对抗测试. 注入来源、凭据、解析器、策略、网络、提供商、队列、存储、时钟、复核人和回滚故障，验证健康检测与声明的降级状态。

V04验证与对抗测试. 采用风险分层平台样本，覆盖关键、常见、例外、刚变更、提供商托管、安全关键、远程和短生总体。

V05验证与对抗测试. 在代表性平台演练 获批与未批准副本、允许与拒绝读取、保留边界、删除验证、密钥丢失和跨边界传输，验证业务行为、控制决策、遥测、案件流程、回滚和最终状态。

V06验证与对抗测试. 运行正向控制“按声明用途、访问、传输、保留和销毁路径流转的获批数据集”，并执行包含“未知或误分类副本、禁止读取者或流向、过早删除、保留过期、销毁失败和提供商残留”的反向、陈旧、重复、绕过和中断控制。

R01运营、变更与收口. 按设计、观察、金丝雀、强制和扩展阶段发布，每阶段都有进入/退出条件、业务正向、反向控制、例外准备和已测试回滚。

R02运营、变更与收口. 监测总体增长、来源健康、证据陈旧、动作失败、积压年龄、例外到期、控制绕过、误报、漏报和复发根因。

R03运营、变更与收口. 来源、解析器、策略、责任人、提供商、架构、软件、数据用途或威胁变化后，使受影响回执失效；保留历史并显示当前为陈旧。

R04运营、变更与收口. 只有受保护状态已改变、证据新鲜、正反向控制通过、下游权威对账、残余风险已记录且复发监测已启用时才关闭。

R05运营、变更与收口. 当 数据目录、模式、DLP 发现、云/SaaS API、责任人确认、流向记录、备份目录及法律与隐私期限 的责任、模式、覆盖、提供商、策略或平台版本变化时重新对账并重跑受影响测试。

R06运营、变更与收口. 用 已知、未知、已分类、无责任人、超期保留、过早删除、未批准副本、被阻断流、保全及销毁已验证数据集 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

O01目标与决策. 为“终端全盘与数据加密”定义用户、业务与风险结果，明确该 Safeguard 保护的决策以及可以被观察到的状态变化。

O02目标与决策. 每条需求都绑定 CIS Safeguard 3.6、官方资产类别“数据”、安全功能“保护”和首次出现的 IG1，并保存来源抓取日期。

O03目标与决策. 以这条原创本地范围判断为起点：“包括笔记本、台式机和受管移动设备上的企业数据，以及本地缓存、交换区、休眠、可移动存储和离线档案。”把其中每类对象转成可查询总体或经过批准的适用性决定。

O04目标与决策. 分别保存规范意图、设计批准、部署、证据新鲜、正向控制、反向控制、例外和实际运行结果状态。

O05目标与决策. 把“终端全盘与数据加密”连接到其运营对象——敏感与业务数据、副本、日志、备份、导出、派生数据、AI 语料、密钥和数据流——并为每个终态定义安全决策、业务后果和残余风险。

O06目标与决策. 对“终端全盘与数据加密”，以 数据身份、敏感度、责任人、目的、位置、流向、访问、保留、副本、派生与销毁状态 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

O07目标与决策. 对“终端全盘与数据加密”，以 针对丢失、盗窃、截获、存储管理员、提供商或跨租户威胁的明文暴露 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

P01总体与适用性. 计算覆盖率前先建立权威分母，记录查询、责任人、采集时间、租户、环境、纳入项、排除项和未解决对象。

P02总体与适用性. 只要 Safeguard 所指对象存在，就评估本地、IaaS/PaaS/SaaS 云、移动、远程、IoT/OT、构建、备份、提供商和 AI 场景。

P03总体与适用性. 把空总体、发现失败、平台不支持、提供商证据不可得和经批准不适用分别记录为五种结果。

P04总体与适用性. 执行双向抽样：权威台账到真实环境、真实环境到权威台账；保留缺失、重复、陈旧、孤儿和跨租户结果。

P05总体与适用性. 解决 未知分类、加密或令牌化副本、跨地域副本、不可变备份、派生数据、诉讼保全及提供商删除限制 的适用性；每种边缘情形都获得有证据的适用、不适用、未知或有期限例外结果。

P06总体与适用性. 把 非结构化与派生数据、日志、缓存、备份、导出、客户端副本、跨地域处理、AI 语料、保全和提供商残留 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

P07总体与适用性. 把 不支持终端、启动与解锁状态、替代协议、降级、数据副本、密钥导出、共享密钥、备份、日志和恢复 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

W01责任与审批. 为该 Safeguard 指定业务最终责任人、运营责任人、证据责任人、例外审批人、独立复核人和升级接收人。

W02责任与审批. 定义谁能创建、变更、批准、执行、暂停、回滚、续期例外和关闭实施，阻止同一主体独自批准所有阶段。

W03责任与审批. 外包运营仍指定内部最终责任人，并列出提供商操作方、租户管理员、证据提供方、通知路径和合同缺口。

W04责任与审批. 定义委派、备份人员、值班覆盖、事件期间决策权限，以及责任人离职或不可用时的交接测试。

W05责任与审批. 为 数据责任人与托管方、产品团队、隐私、法务、安全、档案管理和服务提供商 定义该 Safeguard 的 RACI，并指定解决来源或风险决策冲突的权威方。

W06责任与审批. 明确谁能转换 创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁，谁批准、谁提供证据、谁独立复核。

W07责任与审批. 明确谁能转换 识别数据 → 选择策略 → 配发密钥 → 强制加密 → 授权使用/解密 → 轮换/撤销密钥 → 退役数据，谁批准、谁提供证据、谁独立复核。

D01数据契约与身份. 定义稳定对象身份、别名、父子关系、租户与环境键、来源、首次/最后观测时间、责任人、状态和墓碑规则。

D02数据契约与身份. 对模式与归一化规则做版本管理；每个关键决策字段保留原始来源标识、采集时间、解析器版本、置信度和旧值。

D03数据契约与身份. 把固定 CAS 变量集合（GV1, GV3, GV5, M1, M2, M3, M4, M5）映射到本地字段；不可获得的变量逐项标记为不支持、不适用或未知并说明原因。

D04数据契约与身份. 在仪表盘或自动化消费前，定义空值、零、重复、陈旧、删除、不可达、部分观测和来源冲突语义。

D05数据契约与身份. 把数据清单、分类、所有权与生命周期权威记录作为受治理当前状态记录，保存身份、责任人、来源、旧/新状态、原因、执行人、时间和例外关联。

D06数据契约与身份. 对生命周期“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

D07数据契约与身份. 对生命周期“识别数据 → 选择策略 → 配发密钥 → 强制加密 → 授权使用/解密 → 轮换/撤销密钥 → 退役数据”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

I01依赖与集成. 记录 Safeguard 1.1、Safeguard 2.1、Safeguard 4.1 的前置状态；补充本地必需依赖，并解释每项省略或替代的前置条件。

I02依赖与集成. 每个 API、代理、文件、消息、人工确认或提供商导出都定义认证、授权、模式、分页、限流、重放、幂等和错误处理。

I03依赖与集成. 在每次连接和归一化中保留租户、地域、环境、对象身份、来源事件时间、采集时间和来源健康状态。

I04依赖与集成. 为提供商中断、凭据过期、网络分区、模式漂移、延迟交付、部分结果和人工运行定义回退与对账路径。

I05依赖与集成. 对账 数据目录、模式、DLP 发现、云/SaaS API、责任人确认、流向记录、备份目录及法律与隐私期限，逐来源暴露健康、延迟、置信度、遗漏和冲突解决结果。

I06依赖与集成. 承载 数据身份、敏感度、责任人、目的、位置、流向、访问、保留、副本、派生与销毁状态 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

I07依赖与集成. 承载 针对丢失、盗窃、截获、存储管理员、提供商或跨租户威胁的明文暴露 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

C01控制流与执行. 以这条实施判断为控制流锚点：“通过 MDM/终端策略强制平台原生加密，恢复材料另处托管，密钥绑定硬件和强认证；加密缺失、暂停或恢复状态异常时阻断访问。”拆成输入、校验、决策、动作、记录结果和关闭状态。

C02控制流与执行. 明确最近且可靠的策略、流程、配置、身份、网络、应用、数据、提供商或人工决策点，由它真正改变受保护状态。

C03控制流与执行. 按需定义允许、拒绝、遏制、隔离、延后、例外、未知、失败、已回滚和已关闭结果；每种结果都有责任人与下一动作。

C04控制流与执行. 为自动与人工执行定义校验、授权、幂等、重试、去重、并发、事务边界、回滚和补偿动作。

C05控制流与执行. 在数据清单、分类、所有权与生命周期权威记录中实现状态转换，保存精确运营控制点、策略或程序版本、结果和下游更新。

C06控制流与执行. 实现显式状态机“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

C07控制流与执行. 实现显式状态机“识别数据 → 选择策略 → 配发密钥 → 强制加密 → 授权使用/解密 → 轮换/撤销密钥 → 退役数据”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

T01时序与生命周期. 保留固定官方描述中的频率术语（event- and risk-defined local cadence）；当资产变化、暴露、安全生产或威胁后果要求更快时定义本地 SLO。

T02时序与生命周期. 分别设置发现、摄取、决策、动作、责任人确认、证据新鲜度、例外复核、验证和最终关闭 SLO。

T03时序与生命周期. 保存事件时间、来源时区、采集时间、处理时间、决策时间和到期时间，定义时钟偏移、迟到、回填和夏令时处理。

T04时序与生命周期. 架构、提供商、策略、软件、威胁、法规、责任、数据用途、事件或控制来源发生重大变化时提前复核。

T05时序与生命周期. 根据 敏感与业务数据、副本、日志、备份、导出、派生数据、AI 语料、密钥和数据流 的变化速度设置新鲜度和动作 SLO，把来源年龄、队列年龄、例外年龄和关闭年龄分开。

T06时序与生命周期. 为“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

T07时序与生命周期. 为“识别数据 → 选择策略 → 配发密钥 → 强制加密 → 授权使用/解密 → 轮换/撤销密钥 → 退役数据”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

X01例外与失效模式. 把这条失效边界判断作为强制例外测试：“设备显示“已加密”但密钥裸露并自动解锁，保护更弱。”其中每种条件都转成可检测状态和响应。

X02例外与失效模式. 例外必须包含范围、精确对象、责任人、原因、威胁与业务后果、补偿控制、证据、起止时间、复核触发器和经过测试的退出。

X03例外与失效模式. 按需定义故障开放、故障关闭、安全失效、部分、未知、陈旧、提供商不支持、安全生产约束、隐私约束和紧急状态。

X04例外与失效模式. 到期或补偿控制减弱的例外回到失败；同一对象或获取路径在关闭后复发时重开根因。

X05例外与失效模式. 把 未知分类、加密或令牌化副本、跨地域副本、不可变备份、派生数据、诉讼保全及提供商删除限制 作为设计内异常路径，每项都有责任人、补偿控制、期限、安全或业务约束和复测。

X06例外与失效模式. 把 非结构化与派生数据、日志、缓存、备份、导出、客户端副本、跨地域处理、AI 语料、保全和提供商残留 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

X07例外与失效模式. 把 不支持终端、启动与解锁状态、替代协议、降级、数据副本、密钥导出、共享密钥、备份、日志和恢复 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

E01证据与指标. 以这条验证判断作为首份验收回执：“读取真实加密和密钥保护状态，不能只看软件安装。”保留输入、步骤、预期结果、实际结果、执行人、时间和制品身份。

E02证据与指标. 把分子和分母发布为可下钻对象集，包含查询版本、采集时间、排除项、未知项、重复项、陈旧记录和空总体规则。

E03证据与指标. 自动评分前对账固定 CAS 的 2 个指标分支、8 个命名度量或全局变量、假设状态和本地运行有效性证据。

E04证据与指标. 保留配置或程序版本、来源回执、正反向结果、例外证据、复核人身份、完整性哈希、保留类别和重放步骤。

E05证据与指标. 以数据清单、分类、所有权与生命周期权威记录和独立来源回执计算覆盖与有效性，分别报告未知、陈旧、冲突、失败和例外对象。

E06证据与指标. 发布 已知、未知、已分类、无责任人、超期保留、过早删除、未批准副本、被阻断流、保全及销毁已验证数据集，附查询版本、分母时间、排除项、未知项和下钻回执。

E07证据与指标. 发布 适用、已保护、弱/旧算法、无密钥、共享密钥、非预期主体可解密、例外及恢复已测试对象，附查询版本、分母时间、排除项、未知项和下钻回执。

S01安全、隐私与韧性. 对权威数据、连接器、策略引擎、证据库、例外流程、破窗路径和管理恢复应用最小权限与职责分离。

S02安全、隐私与韧性. 在需求、遥测、测试、截图、导出和公开证据中最小化秘密、个人与受监管数据，并定义脱敏和受控原始证据访问。

S03安全、隐私与韧性. 通过独立保管、必要时的不可变历史和证据路径停用告警，保护策略、状态、时间、日志、测试与审批免受篡改。

S04安全、隐私与韧性. 定义容量、配额、依赖、地域、提供商、离线和灾难行为，并保留经过测试的降级决策与恢复路径。

S05安全、隐私与韧性. 保护数据清单、分类、所有权与生命周期权威记录的写入与审批权限，监测特权变更、导出、删除、来源停用和恢复。

S06安全、隐私与韧性. 限制改变“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”的权限，记录特权变更，保护证据历史并测试管理恢复。

S07安全、隐私与韧性. 限制改变“识别数据 → 选择策略 → 配发密钥 → 强制加密 → 授权使用/解密 → 轮换/撤销密钥 → 退役数据”的权限，记录特权变更，保护证据历史并测试管理恢复。

V01验证与对抗测试. 让合法正向控制走完真实或生产等价路径，同时验证业务成功和完整证据回执。

V02验证与对抗测试. 执行未授权或无效反向控制，并加入陈旧、重复、畸形、乱序、跨租户和绕过变体，验证预期拒绝或安全处置。

V03验证与对抗测试. 注入来源、凭据、解析器、策略、网络、提供商、队列、存储、时钟、复核人和回滚故障，验证健康检测与声明的降级状态。

V04验证与对抗测试. 采用风险分层平台样本，覆盖关键、常见、例外、刚变更、提供商托管、安全关键、远程和短生总体。

V05验证与对抗测试. 在代表性平台演练 获批与未批准副本、允许与拒绝读取、保留边界、删除验证、密钥丢失和跨边界传输，验证业务行为、控制决策、遥测、案件流程、回滚和最终状态。

V06验证与对抗测试. 运行正向控制“按声明用途、访问、传输、保留和销毁路径流转的获批数据集”，并执行包含“未知或误分类副本、禁止读取者或流向、过早删除、保留过期、销毁失败和提供商残留”的反向、陈旧、重复、绕过和中断控制。

V07验证与对抗测试. 运行正向控制“代表性数据的授权加密、解密、轮换和恢复”，并执行包含“明文路径、协议降级、设备丢失、复制存储、未授权主体、撤销密钥、轮换失败和恢复密钥不可用”的反向、陈旧、重复、绕过和中断控制。

R01运营、变更与收口. 按设计、观察、金丝雀、强制和扩展阶段发布，每阶段都有进入/退出条件、业务正向、反向控制、例外准备和已测试回滚。

R02运营、变更与收口. 监测总体增长、来源健康、证据陈旧、动作失败、积压年龄、例外到期、控制绕过、误报、漏报和复发根因。

R03运营、变更与收口. 来源、解析器、策略、责任人、提供商、架构、软件、数据用途或威胁变化后，使受影响回执失效；保留历史并显示当前为陈旧。

R04运营、变更与收口. 只有受保护状态已改变、证据新鲜、正反向控制通过、下游权威对账、残余风险已记录且复发监测已启用时才关闭。

R05运营、变更与收口. 当 数据目录、模式、DLP 发现、云/SaaS API、责任人确认、流向记录、备份目录及法律与隐私期限 的责任、模式、覆盖、提供商、策略或平台版本变化时重新对账并重跑受影响测试。

R06运营、变更与收口. 用 已知、未知、已分类、无责任人、超期保留、过早删除、未批准副本、被阻断流、保全及销毁已验证数据集 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

R07运营、变更与收口. 用 适用、已保护、弱/旧算法、无密钥、共享密钥、非预期主体可解密、例外及恢复已测试对象 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

O01目标与决策. 为“分级体系”定义用户、业务与风险结果，明确该 Safeguard 保护的决策以及可以被观察到的状态变化。

O02目标与决策. 每条需求都绑定 CIS Safeguard 3.7、官方资产类别“数据”、安全功能“识别”和首次出现的 IG2，并保存来源抓取日期。

O03目标与决策. 以这条原创本地范围判断为起点：“建立少量、有顺序且直接对应业务影响和处理要求的分类；至少覆盖机密性，并按需要增加完整性/可用性等级。”把其中每类对象转成可查询总体或经过批准的适用性决定。

O04目标与决策. 分别保存规范意图、设计批准、部署、证据新鲜、正向控制、反向控制、例外和实际运行结果状态。

O05目标与决策. 把“分级体系”连接到其运营对象——敏感与业务数据、副本、日志、备份、导出、派生数据、AI 语料、密钥和数据流——并为每个终态定义安全决策、业务后果和残余风险。

O06目标与决策. 对“分级体系”，以 数据身份、敏感度、责任人、目的、位置、流向、访问、保留、副本、派生与销毁状态 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

O07目标与决策. 对“分级体系”，以 已观测、已批准、未批准、无责任人、陈旧、重复和已退役对象身份 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

O08目标与决策. 对“分级体系”，以 包含策略、流程、程序、责任人、审批和复核的文档化决策系统 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

P01总体与适用性. 计算覆盖率前先建立权威分母，记录查询、责任人、采集时间、租户、环境、纳入项、排除项和未解决对象。

P02总体与适用性. 只要 Safeguard 所指对象存在，就评估本地、IaaS/PaaS/SaaS 云、移动、远程、IoT/OT、构建、备份、提供商和 AI 场景。

P03总体与适用性. 把空总体、发现失败、平台不支持、提供商证据不可得和经批准不适用分别记录为五种结果。

P04总体与适用性. 执行双向抽样：权威台账到真实环境、真实环境到权威台账；保留缺失、重复、陈旧、孤儿和跨租户结果。

P05总体与适用性. 解决 未知分类、加密或令牌化副本、跨地域副本、不可变备份、派生数据、诉讼保全及提供商删除限制 的适用性；每种边缘情形都获得有证据的适用、不适用、未知或有期限例外结果。

P06总体与适用性. 把 非结构化与派生数据、日志、缓存、备份、导出、客户端副本、跨地域处理、AI 语料、保全和提供商残留 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

P07总体与适用性. 把 休眠、短生、离线、外部托管、提供商持有、别名、克隆和跨租户对象 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

P08总体与适用性. 把 策略条款缺失、权限冲突、本地偏离、文档过期及绕过治理流程的决策 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

W01责任与审批. 为该 Safeguard 指定业务最终责任人、运营责任人、证据责任人、例外审批人、独立复核人和升级接收人。

W02责任与审批. 定义谁能创建、变更、批准、执行、暂停、回滚、续期例外和关闭实施，阻止同一主体独自批准所有阶段。

W03责任与审批. 外包运营仍指定内部最终责任人，并列出提供商操作方、租户管理员、证据提供方、通知路径和合同缺口。

W04责任与审批. 定义委派、备份人员、值班覆盖、事件期间决策权限，以及责任人离职或不可用时的交接测试。

W05责任与审批. 为 数据责任人与托管方、产品团队、隐私、法务、安全、档案管理和服务提供商 定义该 Safeguard 的 RACI，并指定解决来源或风险决策冲突的权威方。

W06责任与审批. 明确谁能转换 创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁，谁批准、谁提供证据、谁独立复核。

W07责任与审批. 明确谁能转换 发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役，谁批准、谁提供证据、谁独立复核。

W08责任与审批. 明确谁能转换 草拟 → 评审 → 批准 → 生效 → 例外/撤回 → 被取代，谁批准、谁提供证据、谁独立复核。

D01数据契约与身份. 定义稳定对象身份、别名、父子关系、租户与环境键、来源、首次/最后观测时间、责任人、状态和墓碑规则。

D02数据契约与身份. 对模式与归一化规则做版本管理；每个关键决策字段保留原始来源标识、采集时间、解析器版本、置信度和旧值。

D03数据契约与身份. 把固定 CAS 变量集合（GV12, GV17, M1, M2, M3, M4, M5, M6, M7, M8）映射到本地字段；不可获得的变量逐项标记为不支持、不适用或未知并说明原因。

D04数据契约与身份. 在仪表盘或自动化消费前，定义空值、零、重复、陈旧、删除、不可达、部分观测和来源冲突语义。

D05数据契约与身份. 把数据清单、分类、所有权与生命周期权威记录作为受治理当前状态记录，保存身份、责任人、来源、旧/新状态、原因、执行人、时间和例外关联。

D06数据契约与身份. 对生命周期“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

D07数据契约与身份. 对生命周期“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

D08数据契约与身份. 对生命周期“草拟 → 评审 → 批准 → 生效 → 例外/撤回 → 被取代”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

I01依赖与集成. 记录 Safeguard 3.1、Safeguard 3.2 的前置状态；补充本地必需依赖，并解释每项省略或替代的前置条件。

I02依赖与集成. 每个 API、代理、文件、消息、人工确认或提供商导出都定义认证、授权、模式、分页、限流、重放、幂等和错误处理。

I03依赖与集成. 在每次连接和归一化中保留租户、地域、环境、对象身份、来源事件时间、采集时间和来源健康状态。

I04依赖与集成. 为提供商中断、凭据过期、网络分区、模式漂移、延迟交付、部分结果和人工运行定义回退与对账路径。

I05依赖与集成. 对账 数据目录、模式、DLP 发现、云/SaaS API、责任人确认、流向记录、备份目录及法律与隐私期限，逐来源暴露健康、延迟、置信度、遗漏和冲突解决结果。

I06依赖与集成. 承载 数据身份、敏感度、责任人、目的、位置、流向、访问、保留、副本、派生与销毁状态 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

I07依赖与集成. 承载 已观测、已批准、未批准、无责任人、陈旧、重复和已退役对象身份 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

I08依赖与集成. 承载 包含策略、流程、程序、责任人、审批和复核的文档化决策系统 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

C01控制流与执行. 以这条实施判断为控制流锚点：“公布判断规则、示例、默认级别、责任人和重分类流程，在目录、仓库、文档和策略引擎中编码标签；把法规标签映射进体系但保留其独立义务，每年及数据/用途重大变化时复核。”拆成输入、校验、决策、动作、记录结果和关闭状态。

C02控制流与执行. 明确最近且可靠的策略、流程、配置、身份、网络、应用、数据、提供商或人工决策点，由它真正改变受保护状态。

C03控制流与执行. 按需定义允许、拒绝、遏制、隔离、延后、例外、未知、失败、已回滚和已关闭结果；每种结果都有责任人与下一动作。

C04控制流与执行. 为自动与人工执行定义校验、授权、幂等、重试、去重、并发、事务边界、回滚和补偿动作。

C05控制流与执行. 在数据清单、分类、所有权与生命周期权威记录中实现状态转换，保存精确运营控制点、策略或程序版本、结果和下游更新。

C06控制流与执行. 实现显式状态机“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

C07控制流与执行. 实现显式状态机“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

C08控制流与执行. 实现显式状态机“草拟 → 评审 → 批准 → 生效 → 例外/撤回 → 被取代”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

T01时序与生命周期. 保留固定官方描述中的频率术语（annually）；当资产变化、暴露、安全生产或威胁后果要求更快时定义本地 SLO。

T02时序与生命周期. 分别设置发现、摄取、决策、动作、责任人确认、证据新鲜度、例外复核、验证和最终关闭 SLO。

T03时序与生命周期. 保存事件时间、来源时区、采集时间、处理时间、决策时间和到期时间，定义时钟偏移、迟到、回填和夏令时处理。

T04时序与生命周期. 架构、提供商、策略、软件、威胁、法规、责任、数据用途、事件或控制来源发生重大变化时提前复核。

T05时序与生命周期. 根据 敏感与业务数据、副本、日志、备份、导出、派生数据、AI 语料、密钥和数据流 的变化速度设置新鲜度和动作 SLO，把来源年龄、队列年龄、例外年龄和关闭年龄分开。

T06时序与生命周期. 为“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

T07时序与生命周期. 为“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

T08时序与生命周期. 为“草拟 → 评审 → 批准 → 生效 → 例外/撤回 → 被取代”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

X01例外与失效模式. 把这条失效边界判断作为强制例外测试：“没有处理后果的“机密”只是装饰。”其中每种条件都转成可检测状态和响应。

X02例外与失效模式. 例外必须包含范围、精确对象、责任人、原因、威胁与业务后果、补偿控制、证据、起止时间、复核触发器和经过测试的退出。

X03例外与失效模式. 按需定义故障开放、故障关闭、安全失效、部分、未知、陈旧、提供商不支持、安全生产约束、隐私约束和紧急状态。

X04例外与失效模式. 到期或补偿控制减弱的例外回到失败；同一对象或获取路径在关闭后复发时重开根因。

X05例外与失效模式. 把 未知分类、加密或令牌化副本、跨地域副本、不可变备份、派生数据、诉讼保全及提供商删除限制 作为设计内异常路径，每项都有责任人、补偿控制、期限、安全或业务约束和复测。

X06例外与失效模式. 把 非结构化与派生数据、日志、缓存、备份、导出、客户端副本、跨地域处理、AI 语料、保全和提供商残留 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

X07例外与失效模式. 把 休眠、短生、离线、外部托管、提供商持有、别名、克隆和跨租户对象 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

X08例外与失效模式. 把 策略条款缺失、权限冲突、本地偏离、文档过期及绕过治理流程的决策 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

E01证据与指标. 以这条验证判断作为首份验收回执：“给独立评审者代表性和模糊样本，测量与责任人批准答案的一致度。”保留输入、步骤、预期结果、实际结果、执行人、时间和制品身份。

E02证据与指标. 把分子和分母发布为可下钻对象集，包含查询版本、采集时间、排除项、未知项、重复项、陈旧记录和空总体规则。

E03证据与指标. 自动评分前对账固定 CAS 的 2 个指标分支、10 个命名度量或全局变量、假设状态和本地运行有效性证据。

E04证据与指标. 保留配置或程序版本、来源回执、正反向结果、例外证据、复核人身份、完整性哈希、保留类别和重放步骤。

E05证据与指标. 以数据清单、分类、所有权与生命周期权威记录和独立来源回执计算覆盖与有效性，分别报告未知、陈旧、冲突、失败和例外对象。

E06证据与指标. 发布 已知、未知、已分类、无责任人、超期保留、过早删除、未批准副本、被阻断流、保全及销毁已验证数据集，附查询版本、分母时间、排除项、未知项和下钻回执。

E07证据与指标. 发布 匹配、缺失、重复、陈旧、无责任人、未批准、不可评估及无证明退役数量，附查询版本、分母时间、排除项、未知项和下钻回执。

E08证据与指标. 发布 条款覆盖、责任人与复核人完整性、批准年龄、触发式复核、偏离、逾期行动及仍在使用的旧版本，附查询版本、分母时间、排除项、未知项和下钻回执。

S01安全、隐私与韧性. 对权威数据、连接器、策略引擎、证据库、例外流程、破窗路径和管理恢复应用最小权限与职责分离。

S02安全、隐私与韧性. 在需求、遥测、测试、截图、导出和公开证据中最小化秘密、个人与受监管数据，并定义脱敏和受控原始证据访问。

S03安全、隐私与韧性. 通过独立保管、必要时的不可变历史和证据路径停用告警，保护策略、状态、时间、日志、测试与审批免受篡改。

S04安全、隐私与韧性. 定义容量、配额、依赖、地域、提供商、离线和灾难行为，并保留经过测试的降级决策与恢复路径。

S05安全、隐私与韧性. 保护数据清单、分类、所有权与生命周期权威记录的写入与审批权限，监测特权变更、导出、删除、来源停用和恢复。

S06安全、隐私与韧性. 限制改变“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”的权限，记录特权变更，保护证据历史并测试管理恢复。

S07安全、隐私与韧性. 限制改变“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”的权限，记录特权变更，保护证据历史并测试管理恢复。

S08安全、隐私与韧性. 限制改变“草拟 → 评审 → 批准 → 生效 → 例外/撤回 → 被取代”的权限，记录特权变更，保护证据历史并测试管理恢复。

V01验证与对抗测试. 让合法正向控制走完真实或生产等价路径，同时验证业务成功和完整证据回执。

V02验证与对抗测试. 执行未授权或无效反向控制，并加入陈旧、重复、畸形、乱序、跨租户和绕过变体，验证预期拒绝或安全处置。

V03验证与对抗测试. 注入来源、凭据、解析器、策略、网络、提供商、队列、存储、时钟、复核人和回滚故障，验证健康检测与声明的降级状态。

V04验证与对抗测试. 采用风险分层平台样本，覆盖关键、常见、例外、刚变更、提供商托管、安全关键、远程和短生总体。

V05验证与对抗测试. 在代表性平台演练 获批与未批准副本、允许与拒绝读取、保留边界、删除验证、密钥丢失和跨边界传输，验证业务行为、控制决策、遥测、案件流程、回滚和最终状态。

V06验证与对抗测试. 运行正向控制“按声明用途、访问、传输、保留和销毁路径流转的获批数据集”，并执行包含“未知或误分类副本、禁止读取者或流向、过早删除、保留过期、销毁失败和提供商残留”的反向、陈旧、重复、绕过和中断控制。

V07验证与对抗测试. 运行正向控制“从两个独立来源对账的一项植入已批准对象”，并执行包含“未知对象、重复身份、陈旧记录、突然消失对象、失效来源和跨租户碰撞”的反向、陈旧、重复、绕过和中断控制。

V08验证与对抗测试. 运行正向控制“使用当前获批流程完成一项代表性决策”，并执行包含“旧版本、审批人缺失、未记录偏离、逾期复核和绕过流程”的反向、陈旧、重复、绕过和中断控制。

R01运营、变更与收口. 按设计、观察、金丝雀、强制和扩展阶段发布，每阶段都有进入/退出条件、业务正向、反向控制、例外准备和已测试回滚。

R02运营、变更与收口. 监测总体增长、来源健康、证据陈旧、动作失败、积压年龄、例外到期、控制绕过、误报、漏报和复发根因。

R03运营、变更与收口. 来源、解析器、策略、责任人、提供商、架构、软件、数据用途或威胁变化后，使受影响回执失效；保留历史并显示当前为陈旧。

R04运营、变更与收口. 只有受保护状态已改变、证据新鲜、正反向控制通过、下游权威对账、残余风险已记录且复发监测已启用时才关闭。

R05运营、变更与收口. 当 数据目录、模式、DLP 发现、云/SaaS API、责任人确认、流向记录、备份目录及法律与隐私期限 的责任、模式、覆盖、提供商、策略或平台版本变化时重新对账并重跑受影响测试。

R06运营、变更与收口. 用 已知、未知、已分类、无责任人、超期保留、过早删除、未批准副本、被阻断流、保全及销毁已验证数据集 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

R07运营、变更与收口. 用 匹配、缺失、重复、陈旧、无责任人、未批准、不可评估及无证明退役数量 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

R08运营、变更与收口. 用 条款覆盖、责任人与复核人完整性、批准年龄、触发式复核、偏离、逾期行动及仍在使用的旧版本 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

O01目标与决策. 为“数据流图”定义用户、业务与风险结果，明确该 Safeguard 保护的决策以及可以被观察到的状态变化。

O02目标与决策. 每条需求都绑定 CIS Safeguard 3.8、官方资产类别“数据”、安全功能“识别”和首次出现的 IG2，并保存来源抓取日期。

O03目标与决策. 以这条原创本地范围判断为起点：“记录每个重要数据集从哪里产生、向哪里移动、如何转换、跨越哪些信任或司法边界、在哪里终止，覆盖 API、队列、批量导出、邮件、分析、备份、遥测、SaaS/服务商和 AI 检索/工具路径。”把其中每类对象转成可查询总体或经过批准的适用性决定。

O04目标与决策. 分别保存规范意图、设计批准、部署、证据新鲜、正向控制、反向控制、例外和实际运行结果状态。

O05目标与决策. 把“数据流图”连接到其运营对象——敏感与业务数据、副本、日志、备份、导出、派生数据、AI 语料、密钥和数据流——并为每个终态定义安全决策、业务后果和残余风险。

O06目标与决策. 对“数据流图”，以 数据身份、敏感度、责任人、目的、位置、流向、访问、保留、副本、派生与销毁状态 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

O07目标与决策. 对“数据流图”，以 已观测、已批准、未批准、无责任人、陈旧、重复和已退役对象身份 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

O08目标与决策. 对“数据流图”的扩展范围，通过显式风险决策解决安全、安全生产、隐私、法律、可用性、客户和运营目标冲突。

P01总体与适用性. 计算覆盖率前先建立权威分母，记录查询、责任人、采集时间、租户、环境、纳入项、排除项和未解决对象。

P02总体与适用性. 只要 Safeguard 所指对象存在，就评估本地、IaaS/PaaS/SaaS 云、移动、远程、IoT/OT、构建、备份、提供商和 AI 场景。

P03总体与适用性. 把空总体、发现失败、平台不支持、提供商证据不可得和经批准不适用分别记录为五种结果。

P04总体与适用性. 执行双向抽样：权威台账到真实环境、真实环境到权威台账；保留缺失、重复、陈旧、孤儿和跨租户结果。

P05总体与适用性. 解决 未知分类、加密或令牌化副本、跨地域副本、不可变备份、派生数据、诉讼保全及提供商删除限制 的适用性；每种边缘情形都获得有证据的适用、不适用、未知或有期限例外结果。

P06总体与适用性. 把 非结构化与派生数据、日志、缓存、备份、导出、客户端副本、跨地域处理、AI 语料、保全和提供商残留 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

P07总体与适用性. 把 休眠、短生、离线、外部托管、提供商持有、别名、克隆和跨租户对象 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

P08总体与适用性. 按企业、业务服务、租户、环境、平台、对象、身份、数据集和交易定义嵌套范围，禁止父级结果遮蔽失败子级。

W01责任与审批. 为该 Safeguard 指定业务最终责任人、运营责任人、证据责任人、例外审批人、独立复核人和升级接收人。

W02责任与审批. 定义谁能创建、变更、批准、执行、暂停、回滚、续期例外和关闭实施，阻止同一主体独自批准所有阶段。

W03责任与审批. 外包运营仍指定内部最终责任人，并列出提供商操作方、租户管理员、证据提供方、通知路径和合同缺口。

W04责任与审批. 定义委派、备份人员、值班覆盖、事件期间决策权限，以及责任人离职或不可用时的交接测试。

W05责任与审批. 为 数据责任人与托管方、产品团队、隐私、法务、安全、档案管理和服务提供商 定义该 Safeguard 的 RACI，并指定解决来源或风险决策冲突的权威方。

W06责任与审批. 明确谁能转换 创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁，谁批准、谁提供证据、谁独立复核。

W07责任与审批. 明确谁能转换 发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役，谁批准、谁提供证据、谁独立复核。

W08责任与审批. 建模委派权限、必要时的双人或法定人数审批、升级期限、提供商交接、冲突解决和管理层风险接受。

D01数据契约与身份. 定义稳定对象身份、别名、父子关系、租户与环境键、来源、首次/最后观测时间、责任人、状态和墓碑规则。

D02数据契约与身份. 对模式与归一化规则做版本管理；每个关键决策字段保留原始来源标识、采集时间、解析器版本、置信度和旧值。

D03数据契约与身份. 把固定 CAS 变量集合（GV12, M1, M2, M3, M4, M5）映射到本地字段；不可获得的变量逐项标记为不支持、不适用或未知并说明原因。

D04数据契约与身份. 在仪表盘或自动化消费前，定义空值、零、重复、陈旧、删除、不可达、部分观测和来源冲突语义。

D05数据契约与身份. 把数据清单、分类、所有权与生命周期权威记录作为受治理当前状态记录，保存身份、责任人、来源、旧/新状态、原因、执行人、时间和例外关联。

D06数据契约与身份. 对生命周期“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

D07数据契约与身份. 对生命周期“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

D08数据契约与身份. 对模式和状态转换做版本管理，定义迁移、回填、去重、血缘、历史分母、删除和回滚语义。

I01依赖与集成. 记录 Safeguard 3.1、Safeguard 3.2 的前置状态；补充本地必需依赖，并解释每项省略或替代的前置条件。

I02依赖与集成. 每个 API、代理、文件、消息、人工确认或提供商导出都定义认证、授权、模式、分页、限流、重放、幂等和错误处理。

I03依赖与集成. 在每次连接和归一化中保留租户、地域、环境、对象身份、来源事件时间、采集时间和来源健康状态。

I04依赖与集成. 为提供商中断、凭据过期、网络分区、模式漂移、延迟交付、部分结果和人工运行定义回退与对账路径。

I05依赖与集成. 对账 数据目录、模式、DLP 发现、云/SaaS API、责任人确认、流向记录、备份目录及法律与隐私期限，逐来源暴露健康、延迟、置信度、遗漏和冲突解决结果。

I06依赖与集成. 承载 数据身份、敏感度、责任人、目的、位置、流向、访问、保留、副本、派生与销毁状态 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

I07依赖与集成. 承载 已观测、已批准、未批准、无责任人、陈旧、重复和已退役对象身份 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

I08依赖与集成. 定义冲突来源的一致性、优先级、置信度、对账队列、死信、重处理和端到端追踪身份。

C01控制流与执行. 以这条实施判断为控制流锚点：“从设计记录、服务目录、网关/服务网格/云日志和责任人访谈生成流向，绑定源、目的、协议、数据级别、用途、控制者/处理者、地区、保护和保留。”拆成输入、校验、决策、动作、记录结果和关闭状态。

C02控制流与执行. 明确最近且可靠的策略、流程、配置、身份、网络、应用、数据、提供商或人工决策点，由它真正改变受保护状态。

C03控制流与执行. 按需定义允许、拒绝、遏制、隔离、延后、例外、未知、失败、已回滚和已关闭结果；每种结果都有责任人与下一动作。

C04控制流与执行. 为自动与人工执行定义校验、授权、幂等、重试、去重、并发、事务边界、回滚和补偿动作。

C05控制流与执行. 在数据清单、分类、所有权与生命周期权威记录中实现状态转换，保存精确运营控制点、策略或程序版本、结果和下游更新。

C06控制流与执行. 实现显式状态机“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

C07控制流与执行. 实现显式状态机“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

C08控制流与执行. 定义并发决策、部分成功、补偿事务、重复请求、陈旧策略、依赖中断和中途状态转换恢复。

T01时序与生命周期. 保留固定官方描述中的频率术语（annually）；当资产变化、暴露、安全生产或威胁后果要求更快时定义本地 SLO。

T02时序与生命周期. 分别设置发现、摄取、决策、动作、责任人确认、证据新鲜度、例外复核、验证和最终关闭 SLO。

T03时序与生命周期. 保存事件时间、来源时区、采集时间、处理时间、决策时间和到期时间，定义时钟偏移、迟到、回填和夏令时处理。

T04时序与生命周期. 架构、提供商、策略、软件、威胁、法规、责任、数据用途、事件或控制来源发生重大变化时提前复核。

T05时序与生命周期. 根据 敏感与业务数据、副本、日志、备份、导出、派生数据、AI 语料、密钥和数据流 的变化速度设置新鲜度和动作 SLO，把来源年龄、队列年龄、例外年龄和关闭年龄分开。

T06时序与生命周期. 为“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

T07时序与生命周期. 为“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

T08时序与生命周期. 把端到端 SLO 预算分配到发现、采集、处理、审批、执行、验证和关闭，并按后果与暴露排列逾期工作。

X01例外与失效模式. 把这条失效边界判断作为强制例外测试：“加密流量仍然有流向与目的。”其中每种条件都转成可检测状态和响应。

X02例外与失效模式. 例外必须包含范围、精确对象、责任人、原因、威胁与业务后果、补偿控制、证据、起止时间、复核触发器和经过测试的退出。

X03例外与失效模式. 按需定义故障开放、故障关闭、安全失效、部分、未知、陈旧、提供商不支持、安全生产约束、隐私约束和紧急状态。

X04例外与失效模式. 到期或补偿控制减弱的例外回到失败；同一对象或获取路径在关闭后复发时重开根因。

X05例外与失效模式. 把 未知分类、加密或令牌化副本、跨地域副本、不可变备份、派生数据、诉讼保全及提供商删除限制 作为设计内异常路径，每项都有责任人、补偿控制、期限、安全或业务约束和复测。

X06例外与失效模式. 把 非结构化与派生数据、日志、缓存、备份、导出、客户端副本、跨地域处理、AI 语料、保全和提供商残留 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

X07例外与失效模式. 把 休眠、短生、离线、外部托管、提供商持有、别名、克隆和跨租户对象 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

X08例外与失效模式. 演练例外、陈旧来源、提供商中断、责任人不可用和控制降级同时出现的复合故障，明确一条安全指令和一个责任决策。

E01证据与指标. 以这条验证判断作为首份验收回执：“挑选高风险数据流，从文档到真实网络/应用事件双向追踪；新增一个测试集成验证台账/变更流程。”保留输入、步骤、预期结果、实际结果、执行人、时间和制品身份。

E02证据与指标. 把分子和分母发布为可下钻对象集，包含查询版本、采集时间、排除项、未知项、重复项、陈旧记录和空总体规则。

E03证据与指标. 自动评分前对账固定 CAS 的 1 个指标分支、6 个命名度量或全局变量、假设状态和本地运行有效性证据。

E04证据与指标. 保留配置或程序版本、来源回执、正反向结果、例外证据、复核人身份、完整性哈希、保留类别和重放步骤。

E05证据与指标. 以数据清单、分类、所有权与生命周期权威记录和独立来源回执计算覆盖与有效性，分别报告未知、陈旧、冲突、失败和例外对象。

E06证据与指标. 发布 已知、未知、已分类、无责任人、超期保留、过早删除、未批准副本、被阻断流、保全及销毁已验证数据集，附查询版本、分母时间、排除项、未知项和下钻回执。

E07证据与指标. 发布 匹配、缺失、重复、陈旧、无责任人、未批准、不可评估及无证明退役数量，附查询版本、分母时间、排除项、未知项和下钻回执。

E08证据与指标. 要求独立人员使用来源回执重建决策，并复现总体、状态转换、计算、测试结果、例外和最终关闭。

S01安全、隐私与韧性. 对权威数据、连接器、策略引擎、证据库、例外流程、破窗路径和管理恢复应用最小权限与职责分离。

S02安全、隐私与韧性. 在需求、遥测、测试、截图、导出和公开证据中最小化秘密、个人与受监管数据，并定义脱敏和受控原始证据访问。

S03安全、隐私与韧性. 通过独立保管、必要时的不可变历史和证据路径停用告警，保护策略、状态、时间、日志、测试与审批免受篡改。

S04安全、隐私与韧性. 定义容量、配额、依赖、地域、提供商、离线和灾难行为，并保留经过测试的降级决策与恢复路径。

S05安全、隐私与韧性. 保护数据清单、分类、所有权与生命周期权威记录的写入与审批权限，监测特权变更、导出、删除、来源停用和恢复。

S06安全、隐私与韧性. 限制改变“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”的权限，记录特权变更，保护证据历史并测试管理恢复。

S07安全、隐私与韧性. 限制改变“发现 → 待定身份 → 批准/未批准 → 遏制/例外 → 带保管证据退役”的权限，记录特权变更，保护证据历史并测试管理恢复。

S08安全、隐私与韧性. 威胁建模实施系统自身：伪造证据、污染清单、权限滥用、跨租户混淆、策略回滚、审计删除、拒绝服务和恢复失陷。

V01验证与对抗测试. 让合法正向控制走完真实或生产等价路径，同时验证业务成功和完整证据回执。

V02验证与对抗测试. 执行未授权或无效反向控制，并加入陈旧、重复、畸形、乱序、跨租户和绕过变体，验证预期拒绝或安全处置。

V03验证与对抗测试. 注入来源、凭据、解析器、策略、网络、提供商、队列、存储、时钟、复核人和回滚故障，验证健康检测与声明的降级状态。

V04验证与对抗测试. 采用风险分层平台样本，覆盖关键、常见、例外、刚变更、提供商托管、安全关键、远程和短生总体。

V05验证与对抗测试. 在代表性平台演练 获批与未批准副本、允许与拒绝读取、保留边界、删除验证、密钥丢失和跨边界传输，验证业务行为、控制决策、遥测、案件流程、回滚和最终状态。

V06验证与对抗测试. 运行正向控制“按声明用途、访问、传输、保留和销毁路径流转的获批数据集”，并执行包含“未知或误分类副本、禁止读取者或流向、过早删除、保留过期、销毁失败和提供商残留”的反向、陈旧、重复、绕过和中断控制。

V07验证与对抗测试. 运行正向控制“从两个独立来源对账的一项植入已批准对象”，并执行包含“未知对象、重复身份、陈旧记录、突然消失对象、失效来源和跨租户碰撞”的反向、陈旧、重复、绕过和中断控制。

V08验证与对抗测试. 建立平台—故障两两组合矩阵，再加入高后果多因素案例、历史回归、来源替换、红队挑战和评估方重放。

R01运营、变更与收口. 按设计、观察、金丝雀、强制和扩展阶段发布，每阶段都有进入/退出条件、业务正向、反向控制、例外准备和已测试回滚。

R02运营、变更与收口. 监测总体增长、来源健康、证据陈旧、动作失败、积压年龄、例外到期、控制绕过、误报、漏报和复发根因。

R03运营、变更与收口. 来源、解析器、策略、责任人、提供商、架构、软件、数据用途或威胁变化后，使受影响回执失效；保留历史并显示当前为陈旧。

R04运营、变更与收口. 只有受保护状态已改变、证据新鲜、正反向控制通过、下游权威对账、残余风险已记录且复发监测已启用时才关闭。

R05运营、变更与收口. 当 数据目录、模式、DLP 发现、云/SaaS API、责任人确认、流向记录、备份目录及法律与隐私期限 的责任、模式、覆盖、提供商、策略或平台版本变化时重新对账并重跑受影响测试。

R06运营、变更与收口. 用 已知、未知、已分类、无责任人、超期保留、过早删除、未批准副本、被阻断流、保全及销毁已验证数据集 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

R07运营、变更与收口. 用 匹配、缺失、重复、陈旧、无责任人、未批准、不可评估及无证明退役数量 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

R08运营、变更与收口. 采用金丝雀、停止标准、回滚、积压燃尽、例外缩减、来源质量目标、季度设计复核和可量化退役计划。

O01目标与决策. 为“可移动介质加密”定义用户、业务与风险结果，明确该 Safeguard 保护的决策以及可以被观察到的状态变化。

O02目标与决策. 每条需求都绑定 CIS Safeguard 3.9、官方资产类别“数据”、安全功能“保护”和首次出现的 IG2，并保存来源抓取日期。

O03目标与决策. 以这条原创本地范围判断为起点：“总体包括承载企业数据的授权 U 盘、移动硬盘、存储卡等介质，以及允许挂载它们的终端。”把其中每类对象转成可查询总体或经过批准的适用性决定。

O04目标与决策. 分别保存规范意图、设计批准、部署、证据新鲜、正向控制、反向控制、例外和实际运行结果状态。

O05目标与决策. 把“可移动介质加密”连接到其运营对象——敏感与业务数据、副本、日志、备份、导出、派生数据、AI 语料、密钥和数据流——并为每个终态定义安全决策、业务后果和残余风险。

O06目标与决策. 对“可移动介质加密”，以 数据身份、敏感度、责任人、目的、位置、流向、访问、保留、副本、派生与销毁状态 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

O07目标与决策. 对“可移动介质加密”，以 针对丢失、盗窃、截获、存储管理员、提供商或跨租户威胁的明文暴露 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

P01总体与适用性. 计算覆盖率前先建立权威分母，记录查询、责任人、采集时间、租户、环境、纳入项、排除项和未解决对象。

P02总体与适用性. 只要 Safeguard 所指对象存在，就评估本地、IaaS/PaaS/SaaS 云、移动、远程、IoT/OT、构建、备份、提供商和 AI 场景。

P03总体与适用性. 把空总体、发现失败、平台不支持、提供商证据不可得和经批准不适用分别记录为五种结果。

P04总体与适用性. 执行双向抽样：权威台账到真实环境、真实环境到权威台账；保留缺失、重复、陈旧、孤儿和跨租户结果。

P05总体与适用性. 解决 未知分类、加密或令牌化副本、跨地域副本、不可变备份、派生数据、诉讼保全及提供商删除限制 的适用性；每种边缘情形都获得有证据的适用、不适用、未知或有期限例外结果。

P06总体与适用性. 把 非结构化与派生数据、日志、缓存、备份、导出、客户端副本、跨地域处理、AI 语料、保全和提供商残留 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

P07总体与适用性. 把 不支持终端、启动与解锁状态、替代协议、降级、数据副本、密钥导出、共享密钥、备份、日志和恢复 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

W01责任与审批. 为该 Safeguard 指定业务最终责任人、运营责任人、证据责任人、例外审批人、独立复核人和升级接收人。

W02责任与审批. 定义谁能创建、变更、批准、执行、暂停、回滚、续期例外和关闭实施，阻止同一主体独自批准所有阶段。

W03责任与审批. 外包运营仍指定内部最终责任人，并列出提供商操作方、租户管理员、证据提供方、通知路径和合同缺口。

W04责任与审批. 定义委派、备份人员、值班覆盖、事件期间决策权限，以及责任人离职或不可用时的交接测试。

W05责任与审批. 为 数据责任人与托管方、产品团队、隐私、法务、安全、档案管理和服务提供商 定义该 Safeguard 的 RACI，并指定解决来源或风险决策冲突的权威方。

W06责任与审批. 明确谁能转换 创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁，谁批准、谁提供证据、谁独立复核。

W07责任与审批. 明确谁能转换 识别数据 → 选择策略 → 配发密钥 → 强制加密 → 授权使用/解密 → 轮换/撤销密钥 → 退役数据，谁批准、谁提供证据、谁独立复核。

D01数据契约与身份. 定义稳定对象身份、别名、父子关系、租户与环境键、来源、首次/最后观测时间、责任人、状态和墓碑规则。

D02数据契约与身份. 对模式与归一化规则做版本管理；每个关键决策字段保留原始来源标识、采集时间、解析器版本、置信度和旧值。

D03数据契约与身份. 把固定 CAS 变量集合（GV1, GV3, GV5, M1, M2, M3, M4, M5）映射到本地字段；不可获得的变量逐项标记为不支持、不适用或未知并说明原因。

D04数据契约与身份. 在仪表盘或自动化消费前，定义空值、零、重复、陈旧、删除、不可达、部分观测和来源冲突语义。

D05数据契约与身份. 把数据清单、分类、所有权与生命周期权威记录作为受治理当前状态记录，保存身份、责任人、来源、旧/新状态、原因、执行人、时间和例外关联。

D06数据契约与身份. 对生命周期“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

D07数据契约与身份. 对生命周期“识别数据 → 选择策略 → 配发密钥 → 强制加密 → 授权使用/解密 → 轮换/撤销密钥 → 退役数据”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

I01依赖与集成. 记录 Safeguard 1.1、Safeguard 2.1、Safeguard 4.1 的前置状态；补充本地必需依赖，并解释每项省略或替代的前置条件。

I02依赖与集成. 每个 API、代理、文件、消息、人工确认或提供商导出都定义认证、授权、模式、分页、限流、重放、幂等和错误处理。

I03依赖与集成. 在每次连接和归一化中保留租户、地域、环境、对象身份、来源事件时间、采集时间和来源健康状态。

I04依赖与集成. 为提供商中断、凭据过期、网络分区、模式漂移、延迟交付、部分结果和人工运行定义回退与对账路径。

I05依赖与集成. 对账 数据目录、模式、DLP 发现、云/SaaS API、责任人确认、流向记录、备份目录及法律与隐私期限，逐来源暴露健康、延迟、置信度、遗漏和冲突解决结果。

I06依赖与集成. 承载 数据身份、敏感度、责任人、目的、位置、流向、访问、保留、副本、派生与销毁状态 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

I07依赖与集成. 承载 针对丢失、盗窃、截获、存储管理员、提供商或跨租户威胁的明文暴露 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

C01控制流与执行. 以这条实施判断为控制流锚点：“默认拒绝移动存储，只发放有硬件/软件加密、强认证、台账和保管链的受管介质。”拆成输入、校验、决策、动作、记录结果和关闭状态。

C02控制流与执行. 明确最近且可靠的策略、流程、配置、身份、网络、应用、数据、提供商或人工决策点，由它真正改变受保护状态。

C03控制流与执行. 按需定义允许、拒绝、遏制、隔离、延后、例外、未知、失败、已回滚和已关闭结果；每种结果都有责任人与下一动作。

C04控制流与执行. 为自动与人工执行定义校验、授权、幂等、重试、去重、并发、事务边界、回滚和补偿动作。

C05控制流与执行. 在数据清单、分类、所有权与生命周期权威记录中实现状态转换，保存精确运营控制点、策略或程序版本、结果和下游更新。

C06控制流与执行. 实现显式状态机“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

C07控制流与执行. 实现显式状态机“识别数据 → 选择策略 → 配发密钥 → 强制加密 → 授权使用/解密 → 轮换/撤销密钥 → 退役数据”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

T01时序与生命周期. 保留固定官方描述中的频率术语（event- and risk-defined local cadence）；当资产变化、暴露、安全生产或威胁后果要求更快时定义本地 SLO。

T02时序与生命周期. 分别设置发现、摄取、决策、动作、责任人确认、证据新鲜度、例外复核、验证和最终关闭 SLO。

T03时序与生命周期. 保存事件时间、来源时区、采集时间、处理时间、决策时间和到期时间，定义时钟偏移、迟到、回填和夏令时处理。

T04时序与生命周期. 架构、提供商、策略、软件、威胁、法规、责任、数据用途、事件或控制来源发生重大变化时提前复核。

T05时序与生命周期. 根据 敏感与业务数据、副本、日志、备份、导出、派生数据、AI 语料、密钥和数据流 的变化速度设置新鲜度和动作 SLO，把来源年龄、队列年龄、例外年龄和关闭年龄分开。

T06时序与生命周期. 为“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

T07时序与生命周期. 为“识别数据 → 选择策略 → 配发密钥 → 强制加密 → 授权使用/解密 → 轮换/撤销密钥 → 退役数据”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

X01例外与失效模式. 把这条失效边界判断作为强制例外测试：“主机装了加密软件，不代表每次写入都加密。”其中每种条件都转成可检测状态和响应。

X02例外与失效模式. 例外必须包含范围、精确对象、责任人、原因、威胁与业务后果、补偿控制、证据、起止时间、复核触发器和经过测试的退出。

X03例外与失效模式. 按需定义故障开放、故障关闭、安全失效、部分、未知、陈旧、提供商不支持、安全生产约束、隐私约束和紧急状态。

X04例外与失效模式. 到期或补偿控制减弱的例外回到失败；同一对象或获取路径在关闭后复发时重开根因。

X05例外与失效模式. 把 未知分类、加密或令牌化副本、跨地域副本、不可变备份、派生数据、诉讼保全及提供商删除限制 作为设计内异常路径，每项都有责任人、补偿控制、期限、安全或业务约束和复测。

X06例外与失效模式. 把 非结构化与派生数据、日志、缓存、备份、导出、客户端副本、跨地域处理、AI 语料、保全和提供商残留 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

X07例外与失效模式. 把 不支持终端、启动与解锁状态、替代协议、降级、数据副本、密钥导出、共享密钥、备份、日志和恢复 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

E01证据与指标. 以这条验证判断作为首份验收回执：“把批准加密介质、批准但未解锁介质和未批准明文介质插入代表系统，验证挂载/写入决定、加密状态、日志、密钥恢复和脱机可读性。”保留输入、步骤、预期结果、实际结果、执行人、时间和制品身份。

E02证据与指标. 把分子和分母发布为可下钻对象集，包含查询版本、采集时间、排除项、未知项、重复项、陈旧记录和空总体规则。

E03证据与指标. 自动评分前对账固定 CAS 的 1 个指标分支、8 个命名度量或全局变量、假设状态和本地运行有效性证据。

E04证据与指标. 保留配置或程序版本、来源回执、正反向结果、例外证据、复核人身份、完整性哈希、保留类别和重放步骤。

E05证据与指标. 以数据清单、分类、所有权与生命周期权威记录和独立来源回执计算覆盖与有效性，分别报告未知、陈旧、冲突、失败和例外对象。

E06证据与指标. 发布 已知、未知、已分类、无责任人、超期保留、过早删除、未批准副本、被阻断流、保全及销毁已验证数据集，附查询版本、分母时间、排除项、未知项和下钻回执。

E07证据与指标. 发布 适用、已保护、弱/旧算法、无密钥、共享密钥、非预期主体可解密、例外及恢复已测试对象，附查询版本、分母时间、排除项、未知项和下钻回执。

S01安全、隐私与韧性. 对权威数据、连接器、策略引擎、证据库、例外流程、破窗路径和管理恢复应用最小权限与职责分离。

S02安全、隐私与韧性. 在需求、遥测、测试、截图、导出和公开证据中最小化秘密、个人与受监管数据，并定义脱敏和受控原始证据访问。

S03安全、隐私与韧性. 通过独立保管、必要时的不可变历史和证据路径停用告警，保护策略、状态、时间、日志、测试与审批免受篡改。

S04安全、隐私与韧性. 定义容量、配额、依赖、地域、提供商、离线和灾难行为，并保留经过测试的降级决策与恢复路径。

S05安全、隐私与韧性. 保护数据清单、分类、所有权与生命周期权威记录的写入与审批权限，监测特权变更、导出、删除、来源停用和恢复。

S06安全、隐私与韧性. 限制改变“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”的权限，记录特权变更，保护证据历史并测试管理恢复。

S07安全、隐私与韧性. 限制改变“识别数据 → 选择策略 → 配发密钥 → 强制加密 → 授权使用/解密 → 轮换/撤销密钥 → 退役数据”的权限，记录特权变更，保护证据历史并测试管理恢复。

V01验证与对抗测试. 让合法正向控制走完真实或生产等价路径，同时验证业务成功和完整证据回执。

V02验证与对抗测试. 执行未授权或无效反向控制，并加入陈旧、重复、畸形、乱序、跨租户和绕过变体，验证预期拒绝或安全处置。

V03验证与对抗测试. 注入来源、凭据、解析器、策略、网络、提供商、队列、存储、时钟、复核人和回滚故障，验证健康检测与声明的降级状态。

V04验证与对抗测试. 采用风险分层平台样本，覆盖关键、常见、例外、刚变更、提供商托管、安全关键、远程和短生总体。

V05验证与对抗测试. 在代表性平台演练 获批与未批准副本、允许与拒绝读取、保留边界、删除验证、密钥丢失和跨边界传输，验证业务行为、控制决策、遥测、案件流程、回滚和最终状态。

V06验证与对抗测试. 运行正向控制“按声明用途、访问、传输、保留和销毁路径流转的获批数据集”，并执行包含“未知或误分类副本、禁止读取者或流向、过早删除、保留过期、销毁失败和提供商残留”的反向、陈旧、重复、绕过和中断控制。

V07验证与对抗测试. 运行正向控制“代表性数据的授权加密、解密、轮换和恢复”，并执行包含“明文路径、协议降级、设备丢失、复制存储、未授权主体、撤销密钥、轮换失败和恢复密钥不可用”的反向、陈旧、重复、绕过和中断控制。

R01运营、变更与收口. 按设计、观察、金丝雀、强制和扩展阶段发布，每阶段都有进入/退出条件、业务正向、反向控制、例外准备和已测试回滚。

R02运营、变更与收口. 监测总体增长、来源健康、证据陈旧、动作失败、积压年龄、例外到期、控制绕过、误报、漏报和复发根因。

R03运营、变更与收口. 来源、解析器、策略、责任人、提供商、架构、软件、数据用途或威胁变化后，使受影响回执失效；保留历史并显示当前为陈旧。

R04运营、变更与收口. 只有受保护状态已改变、证据新鲜、正反向控制通过、下游权威对账、残余风险已记录且复发监测已启用时才关闭。

R05运营、变更与收口. 当 数据目录、模式、DLP 发现、云/SaaS API、责任人确认、流向记录、备份目录及法律与隐私期限 的责任、模式、覆盖、提供商、策略或平台版本变化时重新对账并重跑受影响测试。

R06运营、变更与收口. 用 已知、未知、已分类、无责任人、超期保留、过早删除、未批准副本、被阻断流、保全及销毁已验证数据集 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

R07运营、变更与收口. 用 适用、已保护、弱/旧算法、无密钥、共享密钥、非预期主体可解密、例外及恢复已测试对象 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

O01目标与决策. 为“传输中敏感数据加密”定义用户、业务与风险结果，明确该 Safeguard 保护的决策以及可以被观察到的状态变化。

O02目标与决策. 每条需求都绑定 CIS Safeguard 3.10、官方资产类别“数据”、安全功能“保护”和首次出现的 IG2，并保存来源抓取日期。

O03目标与决策. 以这条原创本地范围判断为起点：“包括敏感数据通过 Web、API、消息、数据库、文件传输、邮件、远程管理和服务间通信，跨越进程、主机、网络、账号、服务商或物理信任边界的所有路径。”把其中每类对象转成可查询总体或经过批准的适用性决定。

O04目标与决策. 分别保存规范意图、设计批准、部署、证据新鲜、正向控制、反向控制、例外和实际运行结果状态。

O05目标与决策. 把“传输中敏感数据加密”连接到其运营对象——敏感与业务数据、副本、日志、备份、导出、派生数据、AI 语料、密钥和数据流——并为每个终态定义安全决策、业务后果和残余风险。

O06目标与决策. 对“传输中敏感数据加密”，以 数据身份、敏感度、责任人、目的、位置、流向、访问、保留、副本、派生与销毁状态 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

O07目标与决策. 对“传输中敏感数据加密”，以 针对丢失、盗窃、截获、存储管理员、提供商或跨租户威胁的明文暴露 上可观察决策表达成功，并说明接受、拒绝和未解决状态的业务影响。

P01总体与适用性. 计算覆盖率前先建立权威分母，记录查询、责任人、采集时间、租户、环境、纳入项、排除项和未解决对象。

P02总体与适用性. 只要 Safeguard 所指对象存在，就评估本地、IaaS/PaaS/SaaS 云、移动、远程、IoT/OT、构建、备份、提供商和 AI 场景。

P03总体与适用性. 把空总体、发现失败、平台不支持、提供商证据不可得和经批准不适用分别记录为五种结果。

P04总体与适用性. 执行双向抽样：权威台账到真实环境、真实环境到权威台账；保留缺失、重复、陈旧、孤儿和跨租户结果。

P05总体与适用性. 解决 未知分类、加密或令牌化副本、跨地域副本、不可变备份、派生数据、诉讼保全及提供商删除限制 的适用性；每种边缘情形都获得有证据的适用、不适用、未知或有期限例外结果。

P06总体与适用性. 把 非结构化与派生数据、日志、缓存、备份、导出、客户端副本、跨地域处理、AI 语料、保全和提供商残留 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

P07总体与适用性. 把 不支持终端、启动与解锁状态、替代协议、降级、数据副本、密钥导出、共享密钥、备份、日志和恢复 纳入适用性，为每个对象分配适用、不适用、未知、失败或例外状态。

W01责任与审批. 为该 Safeguard 指定业务最终责任人、运营责任人、证据责任人、例外审批人、独立复核人和升级接收人。

W02责任与审批. 定义谁能创建、变更、批准、执行、暂停、回滚、续期例外和关闭实施，阻止同一主体独自批准所有阶段。

W03责任与审批. 外包运营仍指定内部最终责任人，并列出提供商操作方、租户管理员、证据提供方、通知路径和合同缺口。

W04责任与审批. 定义委派、备份人员、值班覆盖、事件期间决策权限，以及责任人离职或不可用时的交接测试。

W05责任与审批. 为 数据责任人与托管方、产品团队、隐私、法务、安全、档案管理和服务提供商 定义该 Safeguard 的 RACI，并指定解决来源或风险决策冲突的权威方。

W06责任与审批. 明确谁能转换 创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁，谁批准、谁提供证据、谁独立复核。

W07责任与审批. 明确谁能转换 识别数据 → 选择策略 → 配发密钥 → 强制加密 → 授权使用/解密 → 轮换/撤销密钥 → 退役数据，谁批准、谁提供证据、谁独立复核。

D01数据契约与身份. 定义稳定对象身份、别名、父子关系、租户与环境键、来源、首次/最后观测时间、责任人、状态和墓碑规则。

D02数据契约与身份. 对模式与归一化规则做版本管理；每个关键决策字段保留原始来源标识、采集时间、解析器版本、置信度和旧值。

D03数据契约与身份. 把固定 CAS 变量集合（GV3, GV12, M1, M2, M3）映射到本地字段；不可获得的变量逐项标记为不支持、不适用或未知并说明原因。

D04数据契约与身份. 在仪表盘或自动化消费前，定义空值、零、重复、陈旧、删除、不可达、部分观测和来源冲突语义。

D05数据契约与身份. 把数据清单、分类、所有权与生命周期权威记录作为受治理当前状态记录，保存身份、责任人、来源、旧/新状态、原因、执行人、时间和例外关联。

D06数据契约与身份. 对生命周期“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

D07数据契约与身份. 对生命周期“识别数据 → 选择策略 → 配发密钥 → 强制加密 → 授权使用/解密 → 轮换/撤销密钥 → 退役数据”保存稳定身份、来源、时间、执行人、原因和旧/新状态。

I01依赖与集成. 记录 Safeguard 3.2、Safeguard 4.1 的前置状态；补充本地必需依赖，并解释每项省略或替代的前置条件。

I02依赖与集成. 每个 API、代理、文件、消息、人工确认或提供商导出都定义认证、授权、模式、分页、限流、重放、幂等和错误处理。

I03依赖与集成. 在每次连接和归一化中保留租户、地域、环境、对象身份、来源事件时间、采集时间和来源健康状态。

I04依赖与集成. 为提供商中断、凭据过期、网络分区、模式漂移、延迟交付、部分结果和人工运行定义回退与对账路径。

I05依赖与集成. 对账 数据目录、模式、DLP 发现、云/SaaS API、责任人确认、流向记录、备份目录及法律与隐私期限，逐来源暴露健康、延迟、置信度、遗漏和冲突解决结果。

I06依赖与集成. 承载 数据身份、敏感度、责任人、目的、位置、流向、访问、保留、副本、派生与销毁状态 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

I07依赖与集成. 承载 针对丢失、盗窃、截获、存储管理员、提供商或跨租户威胁的明文暴露 的每个连接器都保留租户、对象身份、来源时间、采集时间、完整性和失败状态。

C01控制流与执行. 以这条实施判断为控制流锚点：“逐条数据流规定协议、版本、算法/密钥和证书信任，在客户端与服务端强制，关闭降级和明文监听；风险需要时做双向认证，管理私钥、续期和撤销。”拆成输入、校验、决策、动作、记录结果和关闭状态。

C02控制流与执行. 明确最近且可靠的策略、流程、配置、身份、网络、应用、数据、提供商或人工决策点，由它真正改变受保护状态。

C03控制流与执行. 按需定义允许、拒绝、遏制、隔离、延后、例外、未知、失败、已回滚和已关闭结果；每种结果都有责任人与下一动作。

C04控制流与执行. 为自动与人工执行定义校验、授权、幂等、重试、去重、并发、事务边界、回滚和补偿动作。

C05控制流与执行. 在数据清单、分类、所有权与生命周期权威记录中实现状态转换，保存精确运营控制点、策略或程序版本、结果和下游更新。

C06控制流与执行. 实现显式状态机“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

C07控制流与执行. 实现显式状态机“识别数据 → 选择策略 → 配发密钥 → 强制加密 → 授权使用/解密 → 轮换/撤销密钥 → 退役数据”，逐转换定义校验、幂等、重试、并发、回滚和关闭。

T01时序与生命周期. 保留固定官方描述中的频率术语（event- and risk-defined local cadence）；当资产变化、暴露、安全生产或威胁后果要求更快时定义本地 SLO。

T02时序与生命周期. 分别设置发现、摄取、决策、动作、责任人确认、证据新鲜度、例外复核、验证和最终关闭 SLO。

T03时序与生命周期. 保存事件时间、来源时区、采集时间、处理时间、决策时间和到期时间，定义时钟偏移、迟到、回填和夏令时处理。

T04时序与生命周期. 架构、提供商、策略、软件、威胁、法规、责任、数据用途、事件或控制来源发生重大变化时提前复核。

T05时序与生命周期. 根据 敏感与业务数据、副本、日志、备份、导出、派生数据、AI 语料、密钥和数据流 的变化速度设置新鲜度和动作 SLO，把来源年龄、队列年龄、例外年龄和关闭年龄分开。

T06时序与生命周期. 为“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

T07时序与生命周期. 为“识别数据 → 选择策略 → 配发密钥 → 强制加密 → 授权使用/解密 → 轮换/撤销密钥 → 退役数据”设置发现、决策、动作、新鲜度、复核与到期 SLO，在逾期前告警。

X01例外与失效模式. 把这条失效边界判断作为强制例外测试：“TLS 终止会产生新边界，终止器后的链路需重新决策。”其中每种条件都转成可检测状态和响应。

X02例外与失效模式. 例外必须包含范围、精确对象、责任人、原因、威胁与业务后果、补偿控制、证据、起止时间、复核触发器和经过测试的退出。

X03例外与失效模式. 按需定义故障开放、故障关闭、安全失效、部分、未知、陈旧、提供商不支持、安全生产约束、隐私约束和紧急状态。

X04例外与失效模式. 到期或补偿控制减弱的例外回到失败；同一对象或获取路径在关闭后复发时重开根因。

X05例外与失效模式. 把 未知分类、加密或令牌化副本、跨地域副本、不可变备份、派生数据、诉讼保全及提供商删除限制 作为设计内异常路径，每项都有责任人、补偿控制、期限、安全或业务约束和复测。

X06例外与失效模式. 把 非结构化与派生数据、日志、缓存、备份、导出、客户端副本、跨地域处理、AI 语料、保全和提供商残留 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

X07例外与失效模式. 把 不支持终端、启动与解锁状态、替代协议、降级、数据副本、密钥导出、共享密钥、备份、日志和恢复 作为命名失败或例外路径，设置责任人、补偿控制、到期和复测。

E01证据与指标. 以这条验证判断作为首份验收回执：“探测各代表端点和替代路由的明文、降级、证书过期/不可信、主机名失败与双向认证绕过；记录协商保护和应用授权。”保留输入、步骤、预期结果、实际结果、执行人、时间和制品身份。

E02证据与指标. 把分子和分母发布为可下钻对象集，包含查询版本、采集时间、排除项、未知项、重复项、陈旧记录和空总体规则。

E03证据与指标. 自动评分前对账固定 CAS 的 1 个指标分支、5 个命名度量或全局变量、假设状态和本地运行有效性证据。

E04证据与指标. 保留配置或程序版本、来源回执、正反向结果、例外证据、复核人身份、完整性哈希、保留类别和重放步骤。

E05证据与指标. 以数据清单、分类、所有权与生命周期权威记录和独立来源回执计算覆盖与有效性，分别报告未知、陈旧、冲突、失败和例外对象。

E06证据与指标. 发布 已知、未知、已分类、无责任人、超期保留、过早删除、未批准副本、被阻断流、保全及销毁已验证数据集，附查询版本、分母时间、排除项、未知项和下钻回执。

E07证据与指标. 发布 适用、已保护、弱/旧算法、无密钥、共享密钥、非预期主体可解密、例外及恢复已测试对象，附查询版本、分母时间、排除项、未知项和下钻回执。

S01安全、隐私与韧性. 对权威数据、连接器、策略引擎、证据库、例外流程、破窗路径和管理恢复应用最小权限与职责分离。

S02安全、隐私与韧性. 在需求、遥测、测试、截图、导出和公开证据中最小化秘密、个人与受监管数据，并定义脱敏和受控原始证据访问。

S03安全、隐私与韧性. 通过独立保管、必要时的不可变历史和证据路径停用告警，保护策略、状态、时间、日志、测试与审批免受篡改。

S04安全、隐私与韧性. 定义容量、配额、依赖、地域、提供商、离线和灾难行为，并保留经过测试的降级决策与恢复路径。

S05安全、隐私与韧性. 保护数据清单、分类、所有权与生命周期权威记录的写入与审批权限，监测特权变更、导出、删除、来源停用和恢复。

S06安全、隐私与韧性. 限制改变“创建/收集 → 分类 → 获批使用与流转 → 保留/保全 → 带验证销毁”的权限，记录特权变更，保护证据历史并测试管理恢复。

S07安全、隐私与韧性. 限制改变“识别数据 → 选择策略 → 配发密钥 → 强制加密 → 授权使用/解密 → 轮换/撤销密钥 → 退役数据”的权限，记录特权变更，保护证据历史并测试管理恢复。

V01验证与对抗测试. 让合法正向控制走完真实或生产等价路径，同时验证业务成功和完整证据回执。

V02验证与对抗测试. 执行未授权或无效反向控制，并加入陈旧、重复、畸形、乱序、跨租户和绕过变体，验证预期拒绝或安全处置。

V03验证与对抗测试. 注入来源、凭据、解析器、策略、网络、提供商、队列、存储、时钟、复核人和回滚故障，验证健康检测与声明的降级状态。

V04验证与对抗测试. 采用风险分层平台样本，覆盖关键、常见、例外、刚变更、提供商托管、安全关键、远程和短生总体。

V05验证与对抗测试. 在代表性平台演练 获批与未批准副本、允许与拒绝读取、保留边界、删除验证、密钥丢失和跨边界传输，验证业务行为、控制决策、遥测、案件流程、回滚和最终状态。

V06验证与对抗测试. 运行正向控制“按声明用途、访问、传输、保留和销毁路径流转的获批数据集”，并执行包含“未知或误分类副本、禁止读取者或流向、过早删除、保留过期、销毁失败和提供商残留”的反向、陈旧、重复、绕过和中断控制。

V07验证与对抗测试. 运行正向控制“代表性数据的授权加密、解密、轮换和恢复”，并执行包含“明文路径、协议降级、设备丢失、复制存储、未授权主体、撤销密钥、轮换失败和恢复密钥不可用”的反向、陈旧、重复、绕过和中断控制。

R01运营、变更与收口. 按设计、观察、金丝雀、强制和扩展阶段发布，每阶段都有进入/退出条件、业务正向、反向控制、例外准备和已测试回滚。

R02运营、变更与收口. 监测总体增长、来源健康、证据陈旧、动作失败、积压年龄、例外到期、控制绕过、误报、漏报和复发根因。

R03运营、变更与收口. 来源、解析器、策略、责任人、提供商、架构、软件、数据用途或威胁变化后，使受影响回执失效；保留历史并显示当前为陈旧。

R04运营、变更与收口. 只有受保护状态已改变、证据新鲜、正反向控制通过、下游权威对账、残余风险已记录且复发监测已启用时才关闭。

R05运营、变更与收口. 当 数据目录、模式、DLP 发现、云/SaaS API、责任人确认、流向记录、备份目录及法律与隐私期限 的责任、模式、覆盖、提供商、策略或平台版本变化时重新对账并重跑受影响测试。

R06运营、变更与收口. 用 已知、未知、已分类、无责任人、超期保留、过早删除、未批准副本、被阻断流、保全及销毁已验证数据集 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。

R07运营、变更与收口. 用 适用、已保护、弱/旧算法、无密钥、共享密钥、非预期主体可解密、例外及恢复已测试对象 驱动积压、续期、事件处置、趋势复核和退役；复发会重开根因工作。