P2-WP10 安全强化建议与实施状态

优先级	建议	当前状态	后续门禁
P0	建立统一安全治理控制面并默认拒绝	已实施	企业策略与真实执行网关联调
P0	高敏感数据出域固定拒绝，敏感出域复用双人审批	已实施底座	企业流程需配置为双人复核并完成 UAT
P0	样本、密码、SBOM 原文、SIEM 载荷不落治理库	已实施	安全抽样和日志/备份复核
P1	十一类统一审计、签名封存和 SIEM 白名单输出	已实施底座	独立密钥、mTLS/鉴权、重试和 WORM 归档
P1	SBOM 与漏洞发现全生命周期	已实施底座	CI 强制扫描、严重度 SLA 和例外审批
P1	用户与角色变更追加式审计	已实施	企业 IAM/SSO 事件接入
P2	DLP、动态脱敏、行列策略和到期回收执行	能力预留	选择执行网关并做同策略 POC
P2	KMS/HSM、堡垒机、法务保全和自动归档	未建设	企业安全架构和制度确认

选择了“集中安全控制面”方案。原因是平台已有统一工作中心、RBAC 和审计封存，集中方案可在不复制审批引擎的情况下，为分类、访问、出域、留存和漏洞提供一致证据。分散式快速补丁虽然改动小，但会造成策略不一致；完全委托外部 DLP/SIEM 则无法在企业工具选型前形成平台级最小闭环。