复核会解决什么问题
暴露面清单只有进入固定评审场景才有生命力：月度复核会核对本月新增、已完成收敛、申请例外三类变化，逐项做出收敛/豁免/延期决策并记录决策人。没有拍板机制的清单会退化成文档——新增没人看，遗留没人清，最后只剩一张越拉越长的表格。
基本信息
| 参与方 | 安全、运维、业务接口人 |
|---|---|
| 节奏 | 月度例会 + 紧急项即时沟通 |
| 产出 | 每项处置决策（责任人 + 期限） |
| 留档 | 决策记录归档，审计可查 |
| 价值 | 把『谁来拍板』从难题变成惯例 |
典型使用场景
- 月度例会：过一遍本月新增暴露与卡住的旧项，当场定责任人
- 例外审批：业务确有需要保留公网端口时走豁免流程，并设到期日
- 应急专项：出现管理面裸奔公网等高危暴露时拉临时会
- 季度复盘：统计收敛率与例外存量，调整收敛优先级
- 人员交接：用决策记录还原每项暴露的来龙去脉
会议输入输出
会议输入输出
输入：
1. 本月新增暴露（端口/域名/服务），附首次发现时间
2. 未完成收敛的旧项与卡点原因
3. 例外清单及即将到期的提醒
输出：
1. 每项处置决策：收敛 / 豁免 / 延期 + 责任人 + 期限
2. 下月重点（高风险暴露专项）
3. 决策记录归档，供审计与交接常见卡点与处理
| 卡点 | 表现 | 处理建议 |
|---|---|---|
| 责任不清 | 资产归属多方说不清 | 以 CMDB 为准，缺失则当场指定临时责任人 |
| 例外泛滥 | 每项都申请豁免 | 例外必须带到期日与补偿性控制措施 |
| 清单失准 | 扫描结果与台账对不上 | 先统一口径，未知资产单独立专项 |
| 无后续 | 会上定了，下月照旧 | 决策项进工单系统，未关闭自动进下次议程 |
复核会只汇报数据不拍板，三个月后清单里的问题会原样保留；议程要把决策环节放在前半段，数据只做支撑。
扫描结果与台账的差异要分清：台账漏登（未知资产）和扫描误报是两类问题，处理路径完全不同，混在一起会让两类都推不动。