等保和供应链审计要留哪些扫描记录

审计周被问「安全扫描的记录呢」，文件夹里只有 CI 绿勾截图——既没有策略版本，也没有冻结报告，更说不清例外是谁批的。等保和供应链问卷要的不是「我们有扫描工具」这句话，而是可核对的证据链。

结论： 留齐四类记录：① 门禁策略与变更；② 已完成检查任务（含引擎/规则版本）；③ 生成时冻结的报告快照（必要时对外发布版）；④ 抑制/例外与分享访问痕迹。AngusSecurity 提供检测编排与报告快照，不能宣称「做完扫描即过等保」，也不能替代有资质机构的测评结论。怎么生成快照见文末参考：报告怎么出——本文只写交什么、怎么解释、禁止怎么说。

1. 审计员通常会问什么

一句话口径（可直接回答问卷）：日常用 Finding 处置；审计与对外交付用冻结报告；门禁策略解释「为什么拦」；例外记录解释「为什么没拦」。

2. 建议固定归档的最小集

2.1 策略与配置

• 门禁策略：严重度阈值、适用仓库/项目、变更人与时间。
• 能力开关：发版是否纳入 sast / secret / sca（及许可证相关）。
• 变更单或配置库提交哈希（若策略即代码）。
• SKIPPED 的书面解释：未覆盖能力 ≠ 已通过。

2.2 检查任务

• 任务 ID、完成时间、目标类型与引用、能力集、门禁结果。
• 区分：超门禁（业务要修）vs 执行错误（引擎/鉴权，退出码语义见文末参考：替换脚本文）。
• 发版依据只使用已完成且策略覆盖完整的任务；失败 / 部分完成任务不要当放行依据。

2.3 报告快照

• 按发版或按月：管理层态势 / 三方检查等受众生成后，等 已就绪（READY） 再下载 PDF/HTML/JSON。
• 保存封面或元数据中的数据截止时间（如 dataAsOf，以产品为准）。
• 给外部：用三方检查受众、脱敏、发布后再分享；需要时保留证据包 ZIP（含校验和一类文件，以产品为准）。
• 月报是治理材料，不是等保测评报告。

2.4 例外与分享

• Finding 抑制：指纹、理由、审批人、TTL（过期应复扫）。
• 分享链接：有效期、是否密码、访问记录。
• 密钥类对外材料只保留计数，不附正文或可还原片段。

3. 发版审计包目录约定（示例）

制度不同目录可改名，但建议每种发版固定结构，避免审计周临时拼：

audit/releases/x.y.z/
├── README.txt                 # 发版号、时间窗、联系人、一句话范围
├── policy/
│   ├── gate-policy-export…    # 或变更单 PDF + git commit
│   └── capability-matrix.txt  # 本发版纳入的 sast/secret/sca
├── jobs/
│   ├── job-<id>-summary.json  # 或控制台导出/截屏说明（无密钥）
│   └── doctor-or-engine-versions.txt
├── reports/
│   ├── management-….pdf       # 可选：管理层态势
│   ├── external-….pdf         # 对外：已发布版本
│   ├── external-….json
│   └── evidence-….zip         # 若使用证据包
└── exceptions/
    ├── suppressions-export…   # 未过期例外
    └── share-log-….txt        # 外传登记（接收方、链接有效期）

操作顺序：

1. 发版前：PR/主干门禁任务已完成且结果可解释。
2. 指定这些任务生成研发或对外报告快照（步骤见文末参考：报告怎么出）。
3. 下载 READY 产物入库上表目录。
4. 附策略与例外；内网环境附 doctor / 引擎与漏洞库年龄说明（库过旧时门禁结论要加注释）。
5. 外传：发布 → 分享（限期）→ 登记接收方。作废旧链接。

保留多久：按你们等保/内控制度（常见是随系统等级与审计周期）；产品不规定「必须留 N 年」。到期销毁对外分享口令与过期链接。

4. 和供应链问卷的映射（示例）

不要把主机漏扫、渗透测试、DAST 全站报告写进「已具备」——当前产品边界不做这些。按能力收窄导出见文末参考：按能力出报告。

5. 审计问答脚本（建议口径）

6. 翻车表

FAQ

扫描报告能代替等保测评报告吗？

不能。它是安全开发生命周期与供应链控制的证据输入，测评由具备资质的机构按标准执行。

要不要每次检查都出报告？

不必。日常用 Finding/告警；按发版、按月、按审计窗口出快照即可。

要不要把等保控制点编号写进报告标题？

不建议在公开技术博文或对外 PDF 标题里硬贴未评审的控制点编号冒充结论。对内映射表可以放在你们制度附件；产品报告提供检测范围、方法与例外，不代替合规判定。

社区版证据链够不够？

社区版可跑通扫描与报告主路径（GPL-3.0）。审计是否接受私有化部署形态，取决于你的制度与测评范围；产品版本差异以控制台/文档为准，本文不附报价。

小结

• 证据链：策略 → 已完成任务 → 冻结报告 → 例外与分享。
• 快照对审计，Finding 对日常；CI 绿勾不够。
• 不宣称扫描即过等保；不做 DAST/主机盘点冒充范围。
• 外传用对外受众，密钥只留计数；发版固定归档目录。

参考文章

• 安全扫描报告怎么出：https://www.anguskit.com/zh/blog/security-scan-report-snapshot-export
• 按能力出报告：https://www.anguskit.com/zh/blog/capability-security-reports-sast-sca-secret-license
• 安全扫描报告怎么读：https://www.anguskit.com/zh/blog/how-to-read-security-scan-reports
• 软件供应链实践：https://www.anguskit.com/zh/blog/software-supply-chain-security-best-practices
• SBOM 起步：https://www.anguskit.com/zh/blog/sbom-software-bill-of-materials-getting-started
• Finding 抑制：https://www.anguskit.com/zh/blog/angussecurity-finding-suppress-disposition-guide
• AngusSecurity 是什么：https://www.anguskit.com/zh/blog/what-is-angussecurity-capabilities-and-boundaries
• 文档中心：https://www.anguskit.com/zh/docs/security