委托安全评估时，漏洞报告和系统资料怎样管理？

正确答案 D

本题缺口是评估过程中敏感资料如何被使用和保护。D针对评估机构保密及评估信息管理；工具、排期和报告格式各有价值，但不能代替这项安排。

安全评估有一个容易忽略的地方：报告是用来改进安全的，里面却可能集中列出系统的薄弱点。所以不仅要问“能不能测出来”，还要问“哪些人能拿到资料，能用来做什么，项目结束以后怎样处理”。教材在风险评估的管理中同时列出评估机构保密要求和评估信息管理，D直接回应了题干尚未明确的部分。具体条款应结合资料分类、委托范围和适用的保留要求确定，不能把一次委托当成向机构内所有人员开放全部资料，也不能笼统承诺交付当天销毁所有记录。A、B、C分别帮助提高检测、协同和报告质量，但约定了它们，资料使用边界仍可能是空白。若确实需要技术凭据，应走必要的授权和安全交付程序，不因为对方在做安全评估，就把正式账号秘密附在可广泛转发的报告里。

选项分析

A

工具规则和版本影响检测覆盖，题干已经约定工具，补查工具不能界定敏感资料由谁使用或保存。

B

测试窗口与协同解决实施安排，不能单独确定评估机构对系统资料及报告承担的保密责任。

C

严重性分级和报告格式帮助表达与跟踪发现项，但没有说明资料访问范围、用途及交付后处理。

D

直接明确评估信息从访问、使用到交付后管理的边界，并结合保密责任约束外部机构的处理。

再巩固一步

• 委托评估前，把机构资格、测试实施和资料保护分开检查；签了委托合同不等于所有使用细节都已约定。