报告分发与保密是什么
渗透测试报告完整描述了系统的弱点与利用路径，本身就是高敏感材料。分发环节要解决三件事：只给该给的人、传输过程不被截获、每一步都有记录。做法是加密打包、口令另渠道传递、逐份加水印、登记收件人清单，未取得书面同意不向合同范围外扩散。
基本信息
| 打包方式 | 加密压缩，如 7z 带口令与文件名加密 |
|---|---|
| 口令传递 | 与压缩包不同渠道单独告知 |
| 水印 | 接收方标识与日期，便于溯源 |
| 登记字段 | 版本、时间、渠道、接收人、交付物名称 |
| 外发范围 | 仅限合同约定的名单与用途 |
典型使用场景
- 正式交付：向客户信息安全部提交报告与加密证据包
- 分级分发：管理层摘要与技术细节分开投递不同人群
- 复测材料传递：只发涉及的验证章节，减少无关暴露
- 内部评审：机构内部留档副本同样控权，而非随意共享
- 外部通告：涉及供应商问题的内容，单独评审后再发布
分发核对清单
分发核对清单
7z a -p -mhe=on report-v1.1.7z report.pdf evidence/ # 口令+文件名加密
md5sum report-v1.1.7z # 记录校验值，确认完整
# 口令通过电话或另一渠道告知，不与压缩包同渠道发送
# 登记：版本 v1.1 / 时间 2026-10-15 / 渠道 邮件 / 接收人 信息安全部
# 对外通告材料单独评审后再发布分发方式与风险
| 方式 | 风险 | 建议 |
|---|---|---|
| 明文邮件附件 | 内容全暴露在邮件链中 | 禁止：一律加密压缩 |
| 即时通讯传文件 | 留存与转发不可控 | 仅在受控群组内传递压缩包 |
| 共享网盘链接 | 链接扩散后难以收回 | 设置提取码与有效期，登记授权对象 |
| 打印纸质件 | 物理流转无记录 | 编号登记，回收或销毁确认 |
口令与压缩包同渠道发送等于没加密：口令必须通过电话、短信或另一封不含附件的方式单独告知，并确认对方已收到。
分发记录与签收记录要能对上：出现争议时，版本号、时间与接收人是判定责任边界的核心信息。