陈毅那条消息把林远从“价格闸门”的余温里直接拽进另一种更难反驳的词里——安全。
“他们准备在服务目录里加‘安全合规评测’条目，说没有评测报告就不能接入版本库镜像接口。评测机构名单他们来定。”
林远盯着屏幕看了很久，直到手机自动暗下去又亮起。他最怕的从来不是“你必须买”，而是“为了安全，你只能选”。
安全这个词太正当了，正当到你一旦反对，就会被贴上“你不重视安全”的标签；正当到任何一个主管领导都愿意用它做抓手；正当到评测名单一旦握在某几个人手里，收费站就能在最合理的地方建起来——入口处写着“合规”。
他把手机放下，抬头看向办公室里的人：“今晚不开复盘会，开‘安全基线会’。对手要用评测名单做闸门，我们就把安全从闸门变回标准。”
刘曼第一反应是现实的：“安全这块一旦牵扯到网安、公安口，话语体系完全不一样。我们不能像改采购条款那样硬顶。”
“对。”林远点头，“所以我们不硬顶。我们先承认安全必要，再把评测权从名单里拆出来：安全基线公开、评测机构可替代、结果可复核、抽查可复测。”
他说完，直接在白板上写下四行字，像写一份施工安全交底：
安全基线公开
评测机构不唯一
报告必须留痕
抽查复测常态化
陈毅把电脑投影打开，果然在数科公司最新的服务目录修订稿里看到了那条新增项：
D-5 安全合规评测（必需）
未通过评测不得开通版本库只读镜像接口
评测由“省级统一运营中心指定机构”出具
“指定机构”四个字写得轻飘飘，却能压死所有替代路径。
赵工在旁边皱眉：“镜像接口如果不开，我们现场的版本追溯就断了。等于你说的‘可抽查’全没了。”
“所以这不是安全条款。”林远语气很平，“这是断你抽查能力的条款。它把你变成只能信他们。”
第二天一早，省里临时加了一场“安全合规专项沟通会”，地点在省信息中心隔壁的小楼。会议通知写得很中性：讨论平台接入过程中的安全风险与合规要求。
林远到场时，发现座位表比他想象得更“硬”：省信息处、网安联络（不是公安正式人员，但带着网安口径）、审计联络、两家银行风控、数科公司、协会、咨询公司，以及一位从“评测机构”来的代表——胸牌上写着“省安全测评中心”。
一开场，咨询公司的那位总监就先抛了一句话：“统一平台涉及多市、多项目、多资金流，一旦出安全事件，省里担责。建议引入安全合规评测作为前置条件，并由省统一运营中心指定评测机构，确保标准一致。”
协会周秘书长也跟着点头：“行业也支持。现在外面太乱，很多所谓第三方评测不专业。指定机构能保证权威性。”
数科公司的副总更直接，把一页PPT投出来：上面画着一个漏斗。
漏斗顶端写着“城市接入申请”，漏斗底端写着“开通镜像接口”。中间那道闸门红得刺眼：安全评测通过。
“我们不反对透明。”副总语气很稳，“但透明必须建立在安全之上。镜像接口开放意味着更多外部访问，风险不可控。我们建议：只有通过指定评测机构的测评，才能开通接口。”
这句话如果没人反驳，就会变成文件。
银行风控何经理先问了一个关键问题：“评测内容是什么？评测标准是否公开？评测结果是否可复核？如果是指定机构出具，我们银行怎么知道它评了什么、怎么评的？”
评测机构那位代表微微一笑：“我们的评测依据国家相关规范，有成熟体系。报告会出结论。”
“结论不够。”何经理不让步，“我们需要可追溯。否则风控也成了黑箱。”
审计联络也补了一句：“审计更关心过程证据。没有证据链，报告就是一张纸。”
林远一直没插话，直到这里才把文件夹打开，递出一份两页纸——标题写得很直：
《安全合规条款（建议稿）：基线化、可替代、可复核、可复测》
他先做了一个姿态：承认安全必要。
“我同意安全必须做。”林远开口，“而且安全要做得比现在更制度化：不是靠指定机构背书，而是靠公开基线、留痕复核和抽查复测。”
然后他把第一条放到桌面上——安全基线公开。
“我们把镜像接口的安全基线写成公开附件：访问控制、最小权限、审计日志、密钥轮换、白名单策略、异常告警、接口限流。基线公开，所有城市、所有服务商都按这个做，不用猜，也不用找‘解释’。”
网安联络那位皱眉：“基线公开会不会暴露安全细节？”
“基线公开的是要求，不是漏洞。”林远回答得很快，“你不公开要求，最后大家只能靠口口相传，反而更乱。我们可以公开控制项，不公开具体IP、不公开密钥、不公开内部拓扑。”
这章没有结束，请点击下一页继续阅读！
喜欢重生2005：我在惠州买地皮请大家收藏：(m.zjsw.org)重生2005：我在惠州买地皮爪机书屋更新速度全网最快。