安全问卷：一百四十八道题、十二类与一份可复用的答案库

问卷不是考试，是让对方在你的证据里找到能签字的那一页。

一、一百四十八道题与二十二小时

2026 年 7 月 6 日，方工发来一个 Excel 文件，12 个工作表，148 道题。邮件正文只有一句：「这是我们供应商安全审查的标准问卷，请尽量在本周内返回。」程野打开第一个工作表，前五题问的是身份认证，第六题问的是「是否对管理员操作保留不可篡改的审计日志」，他盯着「不可篡改」四个字看了很久。

以下情境为教学假设，人物、引语和数字不代表经核实的真实案例。

第一次填完用了 22 小时，分三个晚上：读题与分类 4 小时，找证据 11 小时，写答案 5 小时，复核 2 小时。最耗时的不是写，是找：文件散在云盘、代码仓库、监控后台和两年前的邮件里，有些证据存在，但自己都忘了放在哪。

148 题最后归成四种状态：已有证据 101 题，部分 27 题，无 14 题，不适用 6 题。四类相加正好 148。这个分类比答案本身重要，因为它决定了下一份问卷要花多久：已有证据的题可以直接复用，部分的题要补记录，无的题要么补做要么承认缺口，不适用的题要写理由。

六个月里四家发来问卷，三家走到填答：第一家 22 小时，建库后两家各 6 小时，合计 34 小时。第四家把清单转给总部之后没有下文，按 0 小时计；它的题量没有进入这 34 小时，但提醒了一件事：问卷到达不等于问卷填答，漏斗要按「到达」记，成本要按「填答」记。

问卷考的不是文笔，是举证能力。 同样一句「我们有备份」，配上「每 6 小时一次、最近一次恢复演练在 8 月 12 日、耗时 41 分钟、记录在第 7 份证据」，对方的复核时间会从半小时降到五分钟。

二、十二类题目与四种状态

把 148 题按主题归并，得到 12 类。类别不是问卷自带的，是自己归的；问卷的 12 个工作表按部门分，同一类问题会散在多个表里，按主题重排之后才能看出缺口集中在哪。

四种状态的判据要写死，否则每次填答都会漂移。已有证据是「能当场打开一个文件，文件内容覆盖题目所问」；部分是「做法存在，但没有记录或记录不全」；无是「没做，或者不知道做没做」；不适用是「业务不涉及，且能写出一句可被复核的理由」。

默认往「部分」归，不往「已有证据」归。 人对自己做过的系统会有美化倾向：明明只是手动改过一次权限，会写成「有权限复核流程」。归成部分，下一份问卷还能补；归成已有，客户一要文件就露馅。

缺口最集中的两类是供应商与子处理者（4 部分、2 无）和业务连续性与灾难恢复（3 部分、2 无）。前者因为七个子处理者的清单没有固定版本，后者因为恢复演练只做过一次，没有写成记录。这两类正好是第 04 篇与运维专题的入口。

12 类的题数相加是 148，四种状态相加也是 148；两个总数对不上，说明归类有遗漏或重复。这个校验每次都要做，不能只看「大概齐」。

归类不需要安全团队。一个人也能做，方法是把题目念出来，问自己「如果客户现在要文件，我能在十分钟内打开吗」；能，就是已有证据；要找一会儿，就是部分；找不到，就是无；业务不涉及，就是不适用。判据越具体，第二次填答越省力。

三、二十三份证据怎么攒

答案库的单位不是「题」，是「证据」。一道题可以只对应一份证据，一份证据也可以覆盖十几道题；按证据归档，才能避免每来一份问卷就重写一遍答案。

23 份证据覆盖 101 道已有证据的题。这个「覆盖」不是一一对应：一张数据流图能同时回答「数据存在哪」「是否跨境」「谁能访问」三类问题，所以 3 份图覆盖 18 题；反过来，日志类 5 份覆盖 21 题，因为每份只讲一个保留周期。

每份证据要有四个字段：文件路径、负责人、覆盖题号、下次复核日期。没有路径的证据等于没有；没有复核日期的证据会在一年后变成「曾经有过」。23 份里维护频率最高的是日志类，每月一次；最低的是政策类，每年一次。频率不是按重要性排，是按「多久会过期」排。

攒证据的顺序，是先把 101 道已有证据的题按文件归并，再去补 27 道部分题。归并时会发现很多题指向同一份文件，23 份就是这么来的；如果按题去建 148 个文件，文件数会从 23 份变成 148 份，维护成本跟着涨，第二份问卷还是找不到。

14 道「无」的题分两种：一种是一次性补做就能有证据的，比如把恢复演练写成记录；另一种是要改架构的，比如「是否支持客户自持密钥」。前者排进 90 天计划，后者在问卷里直接写「当前不支持，替代方案是……」，不要编一个「计划中」。

6 道「不适用」的题要写理由，理由要能被复核。比如「物理与环境」里的门禁与监控，一个人用云服务，机房不在自己手里，答案应是「由云服务商负责，其报告见第 12 份证据」，而不是简单写「不适用」。

四、把下一份压到六小时

答案库建好之后，程野做了一次闭卷演练：把同一份 148 题重新答一遍，不看上次的答案，只允许打开 23 份证据。用时 6 小时。这个数不是「下一次客户问卷一定 6 小时」，是「库里的证据够用、分类够清楚」的验证值。

22 小时到 6 小时，省的 16 小时不是打字时间，是重新理解题目、重新找文件、重新组织措辞的时间。第一次填答时，每一题都要想「我们到底怎么做的」；建库之后，大部分题只需要确认「这份证据还有效吗」。

按一年四份全量问卷估，没有库是 4 × 22 = 88 小时，有库是 4 × 6 = 24 小时，省 64 小时。这个 4 份是规划假设，不是过去六个月的实测；过去六个月实际填答三家，用了 34 小时，第四家没有走到填答。

64 小时不是净赚。 第一次填答的 22 小时，同时也是建库成本；补证据与写记录又花了时间，第一年省下的 64 小时里，有一部分是在回收这 22 小时。真正的收益从第二年开始，前提是 23 份证据按时复核，没有过期。

6 小时也不是零。客户总有一两题是这家特有的，比如「是否支持把审计日志推送到我们的 SIEM」，答案库里没有，仍要现场写。把 6 小时当成下限，不要当成承诺。

维护比建库便宜，但不会自动发生。23 份证据里，日志类每月、备份类每季度、政策类每年；把这三个频率写进日历，比写在文档里有用。一次漏掉月度复核，下一次问卷就要多花时间找「最近一个月」的截图。

复算：
题量：24 + 18 + 16 + 14 + 12 + 13 + 11 + 10 + 8 + 9 + 7 + 6 = 148 题
状态：101 + 27 + 14 + 6 = 148 题
复用率：101 ÷ 148 = 68.2%
首答拆分：4 + 11 + 5 + 2 = 22 h
近六个月：22 + 6 + 6 = 34 h（三家填答）
单份节省：22 − 6 = 16 h
年度：4 × 22 = 88 h；4 × 6 = 24 h；88 − 24 = 64 h
证据：3 + 4 + 5 + 3 + 2 + 6 = 23 份
覆盖：18 + 16 + 21 + 14 + 11 + 21 = 101 题

复算里最容易被忽略的是最后两行。23 份证据覆盖 101 题，意味着平均一份覆盖 4.4 题；如果你的库是 101 份证据对 101 题，维护清单会从 23 份变成 101 份，第二份问卷之前就先维护不动了。

五、行动清单与复算验收

• 把收到的问卷按题号导出成一张总表，保留原始编号。
• 给每题标四种状态之一：已有证据、部分、无、不适用。
• 数出四种状态的总数，确认相加等于总题数。
• 给每个「已有证据」写一个可打开的文件路径，不写「有」。
• 把 23 份证据按维护频率排期，月、季、年各一批。
• 用首答小时减建库后小时，算出单份节省。
• 按一年四份估算年度节省，不用「大幅提升」描述。
• 每季度抽 10 题做一次闭卷复答，答不出就降级为「部分」。

验收标准：任取一道题，都能在 23 份证据里指出对应的文件、负责人与下次复核日期。

前四条是「把库建起来」，后四条是「让库不过期」。如果只有两小时，先做第一条和第四条：没有题号总表与文件路径，答案库只是一份更长的文档。

清单里最容易被跳过的是第八条。闭卷复答是唯一能发现「证据已经失效」的动作；不抽测，23 份证据会在某一天同时变成 23 个死链接，而下一次问卷已经在路上。

使用边界与实操验收

148 题来自一家客户。 12 类与题量比例都取自北辰设计的问卷，不是行业标准；换一家客户，题数可能 60 题，也可能 300 题，方法可以搬，数字不能搬。

答案库不等于证据库。 只写答案不留文件，下一份问卷还得重来；证据要能指向一次可复现的操作，而不是一句「我们一直这么做」。

「不适用」要写理由。 写「不适用」很省事，但客户复核时会问为什么；理由要能指向业务事实，比如「无自有物理机房，相关控制由云服务商承担，报告见第 12 份证据」。

6 小时是演练值。 它验证的是库的完整性，不是对客户的承诺；遇到客户特有题、证据过期或架构变更，时间会回到 10 小时以上。

数字是教学假设。 148 题、22 小时、34 小时与 23 份证据都取自本组统一基线，不构成对任何安全审查结果的保证，也不构成合规意见。

关键参考与核验范围

• NIST SP 800-53 ：用于核对安全控制目录的分类方式，帮助理解 12 类题目为什么会跨部门出现。
• OWASP ASVS ：用于核对应用安全验证项的层级，说明「已有证据」与「部分」之间为什么需要文件。
• NIST SP 800-61 ：用于核对事件响应的生命周期，对应问卷里的 11 道事件响应题。

以上链接于 2026-10-26 实测可公开访问；未核验版本、功能范围与政策更新。核验日期：2026-10-26。

范围上只讨论一个人的安全问卷分类、证据归档与答案库复用，不讨论渗透测试方法、具体控制项的实施细节与合规认证的申报流程。

系列导航

• 上一篇：谁在签字：九十六天采购流程、六个角色与两处可压缩的等待
• 下一篇：DPA 与子处理者：七个供应商、二十八页条款与三处缺口
• 回到目录：一个人的企业客户：九家询价、一百四十八道问卷与 134 天的第一单
• 相关阅读：安全验收：二十项基线、四维评分与季度演练