董事会网络安全简报模板
为首席执行官、首席信息安全官和董事会准备以决策为核心的安全简报：证据、客户影响、可选方案、责任人及复审条件。
有用的简报应提出管理层能够采取行动的具体决策。本工作表从业务服务风险暴露的变化出发，逐步形成决策请求。每个重大问题单独记录，并将尚未解决的决策带入下一次审查。
准备讨论
选择实质性变化
从客户承诺或关键服务开始。说明自上次简报以来发生了什么变化，以及为什么现在需要关注。只有在有助于解释变化时，才将活动数量作为支持证据。
比较可行方案
至少描述两个方案以及推迟决策的后果。对每个方案说明实施成本、剩余风险暴露和所需资源。区分经过测试的结果、基于设计的预期和未经验证的假设。
形成决策闭环
向有权限的负责人提出明确的决策请求。记录责任人、下一步行动和期限，再定义触发重新评估的证据或事件。紧急遏制应立即按照事件响应流程进行，不能等待例行简报。
示例：恢复环境中的共享依赖
在一个假设的支付服务中，权限审查发现同一个高权限身份同时管理生产环境和恢复环境。审查证明访问权限存在共享，但不能证明恢复一定会失败。管理层需决定，是立即安排工程资源分离访问权限，还是在采取补偿性限制措施后接受有明确边界的延期。平台负责人承担实施责任。独立访问权限和有人见证的恢复操作得到验证后，应重新审查决策；如果事件证据改变风险暴露，也应提前复审。此示例用于展示推理过程，并不声称取得了实测结果。
编写您的简报
输入内容保留在当前页面，由浏览器生成文件。关闭或刷新前请先下载；网站不会保存填写后的工作表。
哪个服务、客户承诺或关键业务面临风险？指出关键依赖及承担责任的业务角色。
描述自上次审查以来的新发现或变化、观察时间，以及为什么现在需要决策。
区分已验证事实、证据来源、工作假设和尚未核实的前提。说明现有证据无法支持哪些结论。
说明对客户、业务连续性和运营的合理潜在影响。使用估算时，请记录假设与不确定性。
比较可行行动、实施成本、剩余风险暴露及人员需求，并说明推迟决策的后果。
明确所需批准或权衡、拥有决策权限的人，以及必须完成决策的时间。
指定负责角色、可观察的下一步行动及期限，说明阻碍实施的资源问题或依赖。
说明哪些情况会改变选择、何时复审，以及用什么证据证明达到了预期结果。
使用证据并说明局限
请根据组织的决策权限和汇报频率调整本工作表。它不计算事件概率、不认证控制措施的有效性，也不能替代完整的风险评估。明确记录未知事项；向响应团队以外的人员分享时，请使用匿名化描述。
方法与参考资料
这是参考风险治理资料编制的原创工作表，并非 NIST 或 CISA 官方模板，也不构成认证。