cyber-diligence-governance

用途：用于并购或投资标的安全尽调、供应商与第三方评估（准入、续约、集中度）、安全问卷（如 SIG、CAIQ 或自定义）与证据映射、控制成熟度与差距分析（非完整审计）、整合与过渡风险（身份、数据、工具、合同、人才）评估，以及投委会、交易团队或董事会的安全简报与持续治理节奏设计。使用时需注意：它不替代授权渗透测试、AI 风险治理、企业风险登记与 FAIR 评分、GRC 与审计准备、SOC 2/ISO 证据自动化、合同谈判、交易交割管理、IAM/SIEM/EDR 部署与修复、CISO 战略或事件响应，这些分别由专门技能承担。核心工作流包括：范围与章程（边界、干系人、时间线、交付物）；并购与投资尽调（索取清单、证据审查、发现严重度、交易保护与整合议题）；供应商与 TPRM 评估（分层、审查深度、集中度、续约触发）；问卷与证据审查（答案一致、证据指向、过期控制、专家分派）；治理节奏与报告（委员会节奏、IC/董事会材料、指标、例外治理）；红旗与整改（严重度标准、交易条款、整合待办、验收标准）。常见输出：尽调范围备忘录、索取清单与跟踪表、发现登记册、IC/董事会简报、供应商评估摘要、Day 1/30/90 整合安全待办、治理材料大纲。原则：证据优先于声明，要求交付物并对仅问卷的声明标注；按重大性与交易背景排序；分离尽调分析、法律建议与控制实施角色；按层级、交易阶段与访问权限做限时深度审查；明确交接。具体参考文件与命令资料未提供，部分用法细节暂未提供。