← 返回概念解读

Concept Fable精修版

安全问卷

Security Questionnaire · Procurement/Security

先读故事。这里不急着给定义,先让问题自己长出来。

寓言故事

守门官的一百个问题,不是为难商队,而是替城门记住风险

北门每天都有商队进城。新来的商队带着稀有货物,城中铺子都想快点放行。守门官却递出一卷长长的问题。

商队抱怨:我们货好、车快、价钱低,为什么还要问仓库有没有火绳、夜里谁守车、货册放在哪里、丢货几时上报?年轻门吏也觉得问题太多,干脆只问三句:有没有出过事、能不能保密、愿不愿赔。结果一次放进来的车队把易燃油和布匹混放,差点烧了半条街。

守门官把长卷重新拿出来,但不再机械地念。他把问题按城门关心的风险分组:身份、货物、路线、仓储、人员、事故、下游帮手和离城安排。

好的商队答得很快,还能拿出旧记录和巡检章。答不出的地方不一定立刻拒绝,但要标清补救措施、限制进入范围或安排复查。

有些问题看似重复,其实问的是不同证据:有没有规矩、规矩谁执行、执行有没有记录、出事后谁通知。口头答应和可验证记录不是一回事。

几个月后,城门放行更快了。不是因为问题变少,而是常见答案有模板,证据能复用,高风险商队被提前识别。守门官没有缩短问题,而是把问题分层。普通布匹问少些,易燃油、药粉和贵金属问细些;答不上来的商队先走小门复查。

商队后来发现,这卷问题也保护自己。一次夜里丢货,因为提前写过货册位置和守车人,第二天很快找出断点,赔付也少了争议。这次小事故让众人停下来复盘。他们没有急着换一套更响亮的说法,而是把出错的入口、被误解的规则和需要保留的边界逐一写清。

北门的问题不是为了显得严格,而是把看不见的风险提前摊开。问得对,城门才知道该信任到哪一步。商队后来也明白,那卷问题不是羞辱手艺,而是让城门在开放之前知道自己承担了什么风险。

揭示

这个故事讲的是:安全问卷

Security Questionnaire 是买方用于评估供应商安全控制、合规状态、数据处理和事故实践的结构化问卷。它常覆盖身份权限、加密、日志、漏洞管理、渗透测试、合规认证、子处理方、数据留存、备份、业务连续性和事件响应。AI / Agent 供应商面对安全问卷时,不能只用“我们很安全”回答,而要准备可复用证据、架构说明、控制措施和例外处理。安全问卷的价值是把采购风险从口头承诺转成可审查材料。

它重要的地方在于:它不只是一个术语,而是在真实 AI / Agent 系统里会反复出现的结构性问题。理解它,才能判断什么时候该加模型,什么时候该改流程,什么时候该补治理。

隐喻映射

  • 北门商队:申请进入企业环境的供应商
  • 一卷长问题:Security Questionnaire
  • 易燃油和布匹混放:未识别的数据、安全或运营风险
  • 身份、货物、路线等分组:安全控制领域
  • 旧记录和巡检章:SOC 2、ISO、测试报告和审计证据
  • 限制进入范围:风险缓释、补救计划和条件性批准
  • 模板和复用证据:供应商安全材料库

Soloharness 判断

这个概念的实战价值,是帮你把“看起来聪明的 AI 功能”拆成可交付、可验收、可治理的工作单元。

CAIQSIG questionnairevendor reviewSOC 2ISO 27001

相关辨析

这个概念容易和相邻概念混用,建议继续看对比页。