优先级怎么排
优先级不是把风险等级换个名字。它要在风险等级之上叠加修复成本、现有补偿控制、业务影响窗口与依赖关系，最后落到可执行的建议时间窗，例如高风险 7 天内修复或先上线虚拟补丁。排序的目标是让有限的人力先投到最值钱的地方。
基本信息
| 排序依据 | 风险等级、利用成本、补偿控制、数据敏感度 |
|---|---|
| 建议时间窗 | 高、中、低各自对应的修复时限 |
| 协作前提 | 与变更与发布窗口对齐，避开业务高峰 |
| 跟踪机制 | 超期未修复的升级路径与触发条件 |
| 责任人 | 每条给出建议责任岗位，避免只写口头约定 |
排序时要考虑的因素
- 利用门槛：需要认证、需要内网位置，还是公网可直接触发
- 暴露面：互联网可达与仅内网可达的紧迫程度不同
- 补偿控制：WAF 虚拟补丁、网络隔离等能把处置窗口往后顺延
- 修复成本：一处校验层修复覆盖多个接口时，收益远高于逐点修补
- 依赖与窗口：涉及停机变更的条目要与发布日历配合
优先级表达示例
优先级表达示例
P0（高风险）：7 天内修复，或用虚拟补丁临时缓解后安排复测
P1（中风险）：30 天内排期修复，随下一次例行发布走
P2（低风险）：随版本自然修复，修复前纳入观察清单
备注：变更窗口每周三 22:00 至 24:00，需提前两天提交变更单
例外：涉及停机的高风险条目与业务方单独约定窗口排序输入与输出
| 输入 | 作用 | 常见偏差 |
|---|---|---|
| 风险等级 | 决定排序的基础位置 | 直接等同优先级，忽略修复成本 |
| 补偿控制 | 反映现实可利用难度 | 把临时缓解当作已修复 |
| 修复成本 | 影响投入产出比 | 只按技术难度忽略连带改动 |
| 业务窗口 | 决定建议能否落地 | 给出业务方无法执行的时限 |
优先级建议是讨论输入而非最终裁决：最终以客户的风险决策为准，并把决策与理由记入报告。
虚拟补丁属于缓解而非修复：要在报告里明确标注为临时措施，并保留复测要求，避免被当作已闭环。