修复 SLA 与跟踪节奏是什么
SLA 把修复从口头承诺变成可跟踪的约定：按漏洞等级约定修复时限与复测时点，从报告签收之日起算，超期进入升级路径并在例会跟踪。有了这套节奏，客户侧知道先修什么、什么时候要交付，评估方也不必反复催办。
基本信息
| 时限约定 | 按等级设定，例如高危 7 天、中危 30 天、低危随版本 |
|---|---|
| 起算点 | 报告签收日（或合同中约定的交付日） |
| 复测安排 | 高危修复后短期内即安排，中低危随下轮 |
| 超期处理 | 周例会升级 + 责任人书面说明 |
| 例外情形 | 风险接受或依赖变更窗口，单独记录 |
典型使用场景
- 项目启动时与客户对齐修复节奏与资源预期
- 高危问题验证后立即推动排期，缩短暴露窗口
- 定期跟踪会上按 SLA 逐条核对状态
- 跨部门协作时明确责任人与时限
- 年度复盘时用超期率评估整改流程效率
SLA 表示例
SLA 表示例
等级 修复时限 复测要求 责任人
高危 7 天内 修复后 5 天内复测 系统负责人
中危 30 天内 随下轮复测 应用负责人
低危 随版本发布 季度确认 IT 运维
超期：周例会升级 + 责任人书面说明原因与计划
起算：以报告签收单日期为准，节假日顺延需注明跟踪节奏建议
| 环节 | 频率 | 产出 |
|---|---|---|
| 高危跟踪 | 修复期内每日或隔日 | 状态更新与阻塞说明 |
| 周期例会 | 每周 | 超期清单与升级记录 |
| 阶段复测 | 按窗口 | 复测报告与状态表 |
| 年度复盘 | 每年 | 超期率、平均修复时长趋势 |
SLA 写进项目章程而不只是报告附录：写进章程才有制度依据，跨部门推动时才不是靠个人关系。
SLA 不能由评估方单方写入：时限与责任人未与客户确认，跟踪时无人认领，例会上只能重复解释而不是推进。