影响描述写什么
影响描述用业务语言回答一个问题：这个问题的真实后果是什么。要落到数据暴露范围、可用性影响、合规后果与受影响对象，而不是复述技术原理。已经验证的后果与仅推算出的可能性要分开标注，前者写事实，后者写明假设条件。
基本信息
| 四个维度 | 数据、可用性、合规、声誉 |
|---|---|
| 量化方式 | 受影响对象、规模、可访问的数据范围 |
| 语气 | 事实陈述为主，不用情绪化形容 |
| 区分 | 已验证影响与理论影响分开标注 |
| 对齐 | 影响叙述与风险等级定级依据保持一致 |
写好影响描述的做法
- 先写受影响对象与数据：谁的数据、什么字段、多少量级
- 再写利用条件：需要什么账号、是否需要认证、是否受网络限制
- 接着写后果：能读、能改、能中断，还是只能获取线索
- 最后写边界：规模是否验证过，是否存在补偿控制降低实际影响
- 与修复方对齐：让开发能据此判断优先级与改动范围
描述示例
描述示例
- 数据：可读取他人订单详情，含收货人姓名与联系电话
- 条件：使用普通注册账号即可，无需特殊权限
- 合规：涉及个人信息处理，需评估告知义务与影响范围
- 边界：批量拉取规模未验证，标注为理论影响
- 结论：数据敏感且利用条件低，建议按高优先级修复影响维度对照
| 维度 | 应写内容 | 不合格写法 |
|---|---|---|
| 数据 | 字段类型与可访问范围 | 含糊写成数据泄露风险 |
| 可用性 | 是否可造成拒绝服务及范围 | 仅写影响业务 |
| 合规 | 涉及的法规义务与评估方向 | 直接判定违规成立 |
| 声誉 | 对外可见性与扩散路径 | 用夸张比喻夸大后果 |
| 边界 | 已验证与未验证部分 | 把理论影响写成已确认事实 |
写影响时同步核对定级依据：影响叙述与等级要自洽，否则评审时先被质疑的就是这两处的不一致。
不复制真实个人数据作为示例：用脱敏后的字段名与结构描述影响，既说明问题也不扩大泄露面。