为什么需要排序
合规整改项通常一次出现几十条，而人力与预算只有那么多。排序的意义在于让资源投向「被攻击的可能性高、出事的后果重、监管已经明确要求」的位置，同时把排后面的理由记录下来。有了先后顺序依据，即便某件事当年没做完，也能说明这是经过评估的取舍，而不是没管。
排序参考
排序参考
优先级 A：一票否决类——默认口令与弱口令、暴露在公网的管理端口、无日志、无备份
判据：一旦被利用即成事件，且监管明确列为必查项；修复成本通常很低
优先级 B：法定动作——备案、等级测评与整改、密评、数据出境申报、事件上报
判据：有明确时限与形式要求，逾期即构成违规，且需要外部机构配合，周期长要早排
优先级 C：检查与审计发现项——按影响 × 可能性排序，同类问题合并处理
判据：影响业务连续性或已有攻击面，但可利用性与暴露程度各不相同
优先级 D：体系优化与工具建设——集中日志平台、堡垒机、资产台账自动化
判据：长期收益高、见效慢，可在前三级稳定后按年度投入推进排序打分维度
| 维度 | 怎么看 | 对优先级的影响 |
|---|---|---|
| 暴露面 | 是否可直接从互联网访问、服务对象范围 | 对公网开放的排前 |
| 利用难度 | 是否存在公开利用工具、是否需要认证 | 无需认证即可利用的排前 |
| 影响后果 | 业务中断时长、数据敏感度、影响用户数量 | 涉及个人信息与重要数据的排前 |
| 监管关注度 | 是否为近期检查与通报的高频事由 | 被点名过的类别排前 |
| 修复成本与周期 | 现场配置即可完成，还是需要采购与开发 | 低成本高收益项先做，长周期项要早启动 |
决策记录应包含
- 评估范围与评估时间：本次排序覆盖哪些系统与哪些问题来源
- 每项的判据：为什么排在这一级，引用了什么证据（扫描报告、检查清单、法条要求）
- 结论与排期：责任人、计划完成时间、所需资源
- 暂缓项的理由：明确写出「本年度不做」的原因与重新评估的触发条件
- 批准人与批准日期：决策记录本身即合规证据
优先级不是一次性的：出现高危漏洞、监管新规或重大事件后应重新评估。把重新评估的触发条件写进制度，避免排序表一放就是一年。