会议输入输出
会议输入输出
输入：
1. 本月新增暴露（端口/域名/服务）
2. 未完成收敛的旧项与卡点
3. 例外清单及到期提醒
输出：
1. 每项处置决策（责任人+期限）
2. 下月重点（高风险暴露专项）
3. 决策记录归档（审计可查）| 参与方 | 安全、运维、业务接口人 |
|---|---|
| 节奏 | 月度例会 + 紧急项即时沟通群 |
| 价值 | 把『谁来拍板』从难题变成惯例 |
没有评审机制的暴露面清单会退化成文档：新增没人看、遗留没人清。
暴露面定期复核会议与决策记录
技术清单需要有评审场景：月度暴露面复核会核对『新增-收敛-例外』三类变化，做处置决策（收敛/豁免/延期）并记录决策人，避免清单无人负责。
易错点
- 复核会只汇报数据不拍板：三个月后清单里的问题原样保留
数据来源与参考
- ITIL 4 持续改进实践（参考）
- NIST 网络安全框架（识别与治理职能）