范围变更处理流程

测试中发现新资产（影子系统、子域）时的处理流程：记录 → 上报 → 确认归属 → 获得书面许可 → 纳入或排除。

新资产处理

1. 记录：域名/IP、来源、关联性
2. 不主动深入测试
3. 提交客户确认归属
4. 同意测试 → 补授权；不同意 → 加入排除

影子资产常是重大风险点，但恰恰更要对流程克制：先确认，后测试。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌