这套思路比较实用,尤其是先做资产清单和明确业务责任人。现实中最容易漏掉的,往往不是正式采购的系统,而是员工自行注册的工具,以及办公软件里悄然上线的AI功能。建议盘点时同步建立“场景—数据—地区—供应商—责任人”台账,并设置季度复查机制。
另外,高风险项目最好保留评估、测试、审批和版本变更记录,发生问题时才能快速追溯。供应商合同也不能只看安全认证,还应明确数据是否用于训练、事件通知...