排除范围是什么
排除范围是范围界定的另一半：除了写明测什么，还要写明不测什么，并把不测的对象逐项固化到 ROE 与测试计划中。常见排除对象包括核心生产数据库、工控与 SCADA 系统、医疗与生命支持设备、支付清算通道，以及由第三方托管的系统。排除并不意味着完全不看：对关键系统的风险可以改用替代方式表达——在测试环境复现、只做只读的配置核查，或用配置证据在报告中说明风险，而不实际发起探测。这样既守住安全底线，也不让报告留下空白。
基本信息
| 典型排除对象 | ERP 生产库、工控 SCADA、支付清算、第三方托管系统 |
|---|---|
| 替代方式 | 测试环境验证 + 只读配置核查 + 配置证据推理 |
| 落实位置 | 排除项写入 ROE 与测试计划，双方签字确认 |
| 执行要求 | 委托方逐项勾选；测试方在计划中标注绕行方式 |
| 现场纪律 | 误连或误扫到排除对象，立即断开并上报 |
典型使用场景
- 关键业务系统：对 ERP、支付、清算这类系统只做只读核查
- 工控与物联网：PLC、SCADA 对探测极其敏感，需完整排除
- 第三方托管：托管系统由他方负责，未经同意不测
- 医疗与生命支持设备：任何主动探测都可能影响安全，一律排除
- 客户明令保护的数据区：财务库、人事库等只做配置层核查
排除项确认
排除项确认
# 1. 委托方逐项勾选排除系统，形成书面清单
# 2. 测试方在计划中标注每个排除对象的绕行方式
# 3. 扫描器目标列表导入前，用排除清单做一次减法
# 4. 现场发现误连排除对象，立即断开并上报
# 5. 关键系统的风险改用只读核查与推理表达排除对象的替代处理
| 排除对象 | 不建议动作 | 替代做法 |
|---|---|---|
| 核心生产数据库 | 注入探测、权限探测 | 读取权限模型与配置，做静态评估 |
| 工控 SCADA | 端口扫描、指纹探测 | 访谈与网络分区核查，不发起主动请求 |
| 支付清算通道 | 任何验证性交易 | 核查接口鉴权设计与配置文档 |
| 第三方托管系统 | 自行探测 | 确认授权链，必要时由托管方配合 |
对关键业务系统的任何扫描与探测都要在计划中单独评估，未评估不做。排除清单要落实在扫描工具的目标配置里，而不是只写在文档中靠人记。
把排除项理解为范围管理的负向清单：它与正向清单同等重要，评审时逐条对照，任何一方都不能临时扩大或缩小。