这句话如果没人反驳，就会变成文件。

银行风控何经理先问了一个关键问题：“评测内容是什么？评测标准是否公开？评测结果是否可复核？如果是指定机构出具，我们银行怎么知道它评了什么、怎么评的？”

评测机构那位代表微微一笑：“我们的评测依据国家相关规范，有成熟体系。报告会出结论。”

“结论不够。”何经理不让步，“我们需要可追溯。否则风控也成了黑箱。”

审计联络也补了一句：“审计更关心过程证据。没有证据链，报告就是一张纸。”

林远一直没插话，直到这里才把文件夹打开，递出一份两页纸——标题写得很直：

《安全合规条款（建议稿）：基线化、可替代、可复核、可复测》

他先做了一个姿态：承认安全必要。

“我同意安全必须做。”林远开口，“而且安全要做得比现在更制度化：不是靠指定机构背书，而是靠公开基线、留痕复核和抽查复测。”

然后他把第一条放到桌面上——安全基线公开。

“我们把镜像接口的安全基线写成公开附件：访问控制、最小权限、审计日志、密钥轮换、白名单策略、异常告警、接口限流。基线公开，所有城市、所有服务商都按这个做，不用猜，也不用找‘解释’。”

网安联络那位皱眉：“基线公开会不会暴露安全细节？”

“基线公开的是要求，不是漏洞。”林远回答得很快，“你不公开要求，最后大家只能靠口口相传，反而更乱。我们可以公开控制项，不公开具体IP、不公开密钥、不公开内部拓扑。”

本小章还未完，请点击下一页继续阅读后面精彩内容！

第二条——评测机构不唯一。

“评测可以做，但不能指定唯一机构。”林远把笔落在纸上，“评测机构的资格条件可以写：必须具备国家认可的测评资质，必须独立于运营服务采购。任何满足资质的机构都可以出报告，报告格式统一，内容统一，结论互认。”

评测机构代表脸色微变：“互认会导致水平参差。”

林远点头：“所以第三条——报告必须留痕。”

他把第三条念得像审计条款：“报告不只给结论，必须附证据摘要：扫描时间窗、配置核对项、关键日志摘要哈希、整改项清单编号。我们不要求公开全部细节，但必须能让银行和审计复核：你评过什么、什么时候评的、依据是什么。”

审计联络当场点头：“这条能落。没有摘要就无法抽查。”

第四条——抽查复测常态化。

“为了防止‘买报告’，我们引入抽查复测。”林远说，“省里可以随机抽取一定比例城市或项目，进行复测。复测不一定由同一家机构做，甚至可以交叉复测。复测不通过，触发整改工单与抽检升级，但不搞一刀切停用。”

银行何经理补了一句：“这才符合风险管理：不惩罚故障，惩罚不解释、不整改。”

数科副总开始转向成本：“抽查复测会增加成本，城市会觉得负担重。”

“成本可以控。”林远把话接住，“我们可以把安全评测拆成两段：接入前做基线自查+最小评测，接入后做抽查复测。城市不用一次性花大钱买全套报告。评测费用也要走公开成本拆解与封顶，不能变成闸门溢价。”