例外记录字段
例外记录字段
关联漏洞/CVE + 资产 + 无法修复原因 + 补偿控制（隔离/虚拟补丁/监控）+ 风险接受审批人 + 到期日期 + 复审动作
# 到期处理：延续（需重新审批）或执行正式修复（升级/替换/下线）| 风险沟通 | 向业务方说明影响与可能性，取得书面确认 |
|---|---|
| 监控补强 | 例外资产提高日志与告警关注度 |
| 数量控制 | 例外总量设置上限，超限时触发专项治理 |
例外的价值在于『显性化』：把所有不修的原因和期限摊开，资源该怎么投自然会清楚。
无法修复项的例外管理与复审
总有修不了的情况（无补丁、兼容冲突、停止支持）：例外管理把『不修』变成『有条件地接受』——记录原因、补偿控制、到期时间与审批人，到期必然复审。
易错点
- 例外没有到期日：『等下一个大版本一起升』说了三年
数据来源与参考
- NIST SP 800-40r4（风险接受与例外）
- ISO 27005（风险处置参考）