风险接受流程是什么
不是所有漏洞都能按期修完：业务不能停、组件必须等变更窗口、修复成本远高于收益。这时正确的出口是风险接受，而不是把问题悄悄标成已修复。风险接受由客户决策人书面确认，写明范围、期限与补偿控制措施，台账单独标记，到期自动提醒并重新评估。
基本信息
| 决策主体 | 客户方决策人（信息安全负责人或业务负责人） |
|---|---|
| 形式 | 书面：接受范围、期限、补偿控制措施 |
| 台账标记 | 风险接受，与已修复、部分修复并列 |
| 复核 | 期满重新评估，到期前自动提醒 |
| 评估方角色 | 提供事实、影响与建议选项，不代替客户决策 |
典型使用场景
- 组件升级受变更窗口限制，短期内无法打补丁
- 遗留系统即将下线，投入修复不划算
- 功能与安全存在业务取舍，需业务负责人拍板
- 补偿控制已到位但尚未完成整改，过渡期接受
- 多部门责任不清，需要有人签字明确承担
记录示例
记录示例
条目：F-05（中危）低版本组件，受变更窗口限制
决策：接受风险 90 天，期间启用虚拟补丁与访问白名单
批准：安全负责人签字（2026-10-18）
补偿控制：WAF 规则 R-1023；仅允许内网网段访问
复核日期：2027-01-18（台账自动提醒）
备注：到期未整改则重新评估并上报例会到期后的三种走向
| 情形 | 处置 | 记录要求 |
|---|---|---|
| 已完成修复 | 转为已修复并附验证证据 | 更新台账状态与证据编号 |
| 仍需继续接受 | 重新签署书面延期 | 新期限与再次复核日期 |
| 风险上升或控制失效 | 升级跟踪，限定整改时限 | 说明变更原因与责任人 |
评估方不代替客户做风险决策：只提供事实、影响范围与几种可选方案及其代价，签字与承担由客户完成，这条边界要写进报告。
风险接受必须带期限：无期限的接受等于永久搁置，一年后没人记得这条问题的存在，也没人知道补偿控制是否还在生效。