例外管理是什么
总有修不了的情况：厂商尚无补丁、升级与业务兼容冲突、系统已停止支持。例外管理的价值是把『不修』变成『有条件地接受』——记录原因、补偿控制、审批人与到期时间，到期必然复审。它同时是风险显性化的手段：把所有不修的原因和期限摊开，资源该往哪投自然会清楚。
基本信息
| 记录字段 | 关联漏洞、资产、无法修复原因、补偿控制、审批人、到期日 |
|---|---|
| 支持材料 | 风险评估结论、业务影响说明、厂商声明（如无补丁） |
| 到期处理 | 延续（需重新审批）或正式修复（升级/替换/下线） |
| 总量控制 | 设置例外数量上限，超限触发专项治理 |
例外记录字段
例外记录字段
关联漏洞/CVE + 资产 + 无法修复原因 + 补偿控制（隔离/虚拟补丁/监控）+ 风险接受审批人 + 到期日期 + 复审动作
# 到期处理：延续（需重新审批）或执行正式修复（升级/替换/下线）
# 每季度统计例外总量与到期情况，超期未复审的单独上报典型使用场景
- 厂商尚无补丁：先上补偿控制并设置复审节点
- 兼容冲突：升级会导致业务不可用，需业务方书面确认风险
- EOL 系统：以替换或下线为最终目标，例外只是过渡
- 审计应答：说明为何某些漏洞未在 SLA 内修复
- 预算申请：用例外清单支撑替换老旧系统的资源需求
字段要求
| 字段 | 要求 | 缺失后果 |
|---|---|---|
| 原因 | 具体可核查 | 被当成管理疏忽 |
| 补偿控制 | 明确且已验证有效 | 等同于直接忽略风险 |
| 审批人 | 有授权层级 | 出事时无人负责 |
| 到期日 | 明确日期并自动提醒 | 例外变成永久豁免 |
例外的价值在于『显性化』：把所有不修的原因和期限摊开，资源该怎么投自然会清楚，比反复争论更有效。
补偿控制必须验证有效：写了『已加 WAF 规则』但实际上规则长期处于观察模式或不匹配该路径，等同于没有控制措施。