用途
确保 CIA 平台存在全面、最新的安全文档，以支持安全评审、合规审计和知识传递。
何时使用
- 安全架构变更后
- 识别出新威胁时
- 合规审计期间
- 安全入职培训
- 重大发布前
必需的安全文档
-
SECURITY.md（必需）：包含安全策略、支持的版本、漏洞报告方式（如 security@hack23.com、PGP 密钥、预期响应时间 48 小时）。
-
SECURITY_ARCHITECTURE.md（必需）：包含认证与授权（认证流程、RBAC 角色 GUEST/USER/ADMIN、方法级安全 @PreAuthorize）、数据保护（静态加密 AES-256-GCM、传输加密 TLS 1.3、数据分类表）、网络安全（架构图、WAF、速率限制、DDoS 防护、网络分段）。
-
THREAT_MODEL.md（必需）：包含资产、威胁行为者、STRIDE 分析（仿冒、篡改等）、攻击树。
-
DATA_MODEL.md（已有，确保包含安全部分）：包含加密字段、审计日志记录。
-
INCIDENT_RESPONSE.md（必需）：包含严重性分类（Critical/High/Medium/Low 与响应时间）、响应阶段（检测与分析、遏制、根除、恢复、事后）。
-
VULNERABILITY_MANAGEMENT.md（必需）：包含漏洞分类（CVSS 分数与 SLA）、扫描计划（每日依赖扫描、每周 CodeQL SAST、每月渗透测试、每季度外部评估）、修复流程。
-
ACCESS_CONTROL_MATRIX.md（必需）：访问控制矩阵，列出资源与 Guest/User/Admin 的权限。
文档标准
- 使用 GitHub 风格的 Markdown，长文档包含目录，代码块标注语言，使用 Mermaid 或 ASCII 图。
- 图表示例。
- 更新频率表，如 SECURITY.md 在发布 CVE 时更新、每季度审查；SECURITY_ARCHITECTURE.md 在架构变更时更新、每次发布审查；THREAT_MODEL.md 在发现新威胁时更新、每年审查；INCIDENT_RESPONSE.md 在事件后更新。
文档检查清单
标记安全文档完成前需确认：所有必需文档存在、文档最新（<90 天）、图表反映当前架构、联系信息最新、链接有效、代码示例可编译运行、经安全团队审查、经 CISO/安全官批准。
Hack23 ISMS 政策参考
包括安全开发政策、信息安全政策（ISO 27001 A.5.10）、ISMS 透明度计划、威胁建模、事件响应计划（ISO 27001 A.16.1）、变更管理、CLASSIFICATION.md。所有政策见 https://github.com/Hack23/ISMS-PUBLIC。
CIA 平台文档示例
当前状态架构：SECURITY_ARCHITECTURE.md、THREAT_MODEL.md、ARCHITECTURE.md、DATA_MODEL.md、FLOWCHART.md、SWOT.md。未来状态架构：FUTURE_SECURITY_ARCHITECTURE.md、FUTURE_ARCHITECTURE.md。
引用标准
ISO 27001:2022 A.5.10、ISO 27001:2022 A.16.1、NIST CSF ID.GV-1、NIST SP 800-53 SA-5、CIS Control 1.4。
限制
暂未提供关于具体安装命令、平台兼容性及价格的信息。