收购后两家公司安全治理架构的整合归属之争
某大型制造集团 A 于 2024 年完成对 SaaS 服务商 B 的收购。A 的 CISO 向 CIO 汇报，安全团队 18 人，年度安全预算占 IT 预算 4.2%，管理方式以合规驱动的年度检查为主；B 的安全负责人直接向 B 的 CEO（现为集团副总裁）汇报，团队 6 人，采用 DevSecOps 与持续交付，客户合同中写有“供应商须维持独立的安全治理与审计机制”条款。集团要求在 6 个月内完成治理整合，并统一风险登记册与 KPI 口径。整合中的冲突：B 的漏洞修复 SLA 达标率 92%，集团为 78%；集团策略要求所有生产系统每年做一次渗透测试，而 B 每周多次发布；B 拒绝把安全审批并入集团变更委员会，称会阻塞交付。两家公司的风险登记册分别使用 3×3 与 5×5 刻度，无法直接汇总。B 有 11 家客户在合同中约定年度渗透测试报告与安全事件 24 小时告知义务。集团正在投标一家欧洲客户，供应商问卷要求披露集团层面的治理结构与认证状态。CIO 主张把 B 的安全团队并入集团安全部实线汇报，集团副总裁坚持保留独立汇报线，董事会风险委员会要求 CISO 在下次会议提交整合建议。
1. 作为集团 CISO，你提交给董事会风险委员会的治理整合建议应包含哪些核心判断？请说明汇报线设计、决策权划分，以及如何兼顾客户合同承诺。
Read the worked answer
先定性：这是治理设计问题，不是组织合并问题。目标是让风险被恰当地拥有与监督，而不是让安全团队向谁汇报。
汇报线：不建议把 B 的安全负责人改为向集团 CISO 实线汇报。B 的安全能力来自贴近产品的 DevSecOps，实线并入会破坏其与工程团队的耦合，并与客户合同中的独立治理承诺冲突。建议双线--B 的安全负责人实线向 B 业务负责人，虚线（职能线）向集团 CISO；集团 CISO 掌握标准制定、独立评估与安全负责人任免会签权。
集团层面必须向董事会指出的问题：CISO 向 CIO 实线汇报是已知的独立性弱点（安全优先级受 IT 交付目标影响）。建议至少设风险委员会常设报告通道，或把汇报线上移到 CRO/CEO。
决策权三分：集团定框架与底线（政策、风险偏好、度量口径、例外审批阈值）；业务单元定实施方式与节奏；跨单元或超阈值的风险由风险委员会裁决。
合同承诺：11 家客户的年度渗透测试与 24 小时事件告知是硬约束，整合不得降低。应将其登记为合规义务，纳入风险评估与内审范围，任何变更走客户沟通与合同变更流程。
度量：统一 KPI 定义但允许差异化目标值（按资产关键性设定修复时限），否则会诱导数据造假或整体降标。
2. B 的漏洞 SLA 达标率 92%、集团 78%，且年度渗透测试与每周发布存在冲突。你如何设计既不降低风险、又不破坏交付的整合方案？
Read the worked answer
不要简单取严或取宽。把 15 天修复强加给每周发布的团队只会制造合规造假；直接沿用集团基线则放弃已有成熟度。
把 SLA 从“按天数的单一指标”改为风险分层基线：资产关键性 × 暴露面 × 可利用性（是否有在野利用、EPSS 分值）× 数据敏感度，给出 P0–P3 分级与对应时限。达标率必须在同一分级口径下比较，否则 78% 与 92% 不可比。
用工程化控制替代低频人工评审：在 CI/CD 中设质量门禁（SCA 依赖扫描、SAST、IaC 扫描、镜像签名与 SBOM），把“每年一次渗透测试”改造为“年度深度渗透测试 + 持续自动化测试 + 重大变更前专项测试”，同时保留对外承诺的年度报告。
先查 78% 的根因：是资产清单不全、补丁窗口不足，还是缺少豁免与风险接受记录。若集团指标未计入豁免，该数字本身失真。
过渡安排：90 天并行期，统一资产清单与指标口径，设例外审批（风险所有者 + CISO）并带到期日。
论证方式：不要用“B 更成熟”作为唯一论据，用 MTTR、漏洞复发率、逃逸到生产的缺陷数说话，否则无法说服集团审计与董事会。
3. B 的残余风险应由谁负责？请说明 accountable 与 responsible 的划分，以及集团 CISO 在这一结构中的角色边界。
Read the worked answer
风险所有权：业务风险不能由安全团队“拥有”。accountable 是 B 的业务负责人（现集团副总裁），responsible 是 B 的安全负责人；集团 CISO 是框架所有者与 assurance 提供者。
集团 CISO 的具体职责：定义风险偏好与容忍度、提供方法与工具、独立评估与挑战业务判断、向风险委员会提交聚合视图；不代替业务做接受决定，也不为业务的接受决定签字背书。
超偏好事项：由风险委员会或董事会层面批准，记录在统一风险登记册，纳入 KRI 与季度报告；例外必须有到期日和重评触发条件。
要避免的两种反模式：一是 CISO 既提建议又做批准，责任被稀释，出事时无人真正承担；二是安全团队沦为“签字机器”，对业务提出的方案不做独立验证。
落地检验：如果一年后无法回答“这个风险的接受人是谁、依据什么数据、什么时候复审”，说明治理整合只完成了组织图，没有完成问责链。