Agent Skills
返回列表
🔒

安全问卷答复草稿

IT 运维与安全 更新于 2026.08.30

将以下提示词粘贴到你的 AI 对话框中：

请根据 https://skillhub.cn/install/skillhub.md，安装 @user_bd3231bd/security-questionnaire-draft。

技能介绍

要解决什么问题

售前或采购环节里，客户和采购方常发来 Infosec / 供应商安全 / 合规问卷。题目多、口径严，若凭印象逐题填「是」，很容易把未证实的控制措施写成已具备，后续内审或客户追问时风险很大。团队真正需要的是一份可内审的答复草稿：保留原题干、把已知事实写清楚、未知处显式标「待核实」，而不是一份看起来像正式审计结论的文档。

技能如何工作

本技能按 references/questionnaire-reply-template.md 逐题输出，每题通常包含：

  • 题干：保留原意，可轻微规范化措辞
  • 答复要点：仅基于你提供的事实；没有依据的一律 待核实
  • 证据或引用：政策名、证书、链接、负责人；无则待核实
  • 风险提示：避免把未证实项写成「已具备」
  • 待核实汇总：对外发出前必须关闭或明确标注

使用前先澄清最少信息：题干列表、已知事实（认证、架构、负责人等）、产品/环境范围。对「是否具备 XXX」类是非题，证据不足时应答「待核实，建议由安全负责人确认」，不要默认答「是」。材料较全时，每条肯定答复应绑定可查标识（证书编号、报告日期、制度文号）；材料不足时，示例逻辑是「在确认前不要答是」。

边界与注意点

这是对外问卷起草辅助，不代提交客户门户、不出具正式审计/认证结论、不编造 SOC2/ISO/等保等状态，也不提供攻击绕过或规避安检的话术。ISO 27001 与 SOC 2 等不能等同替换；披露范围须法务与安全负责人确认。发出前一律内部复核，本技能不替代律师或安全负责人签字。

使用场景

  • 客户在招标或签约前发来信息安全问卷，团队需在内审前把原题整理成逐题答复要点，并标出证据与待核实项。
  • 采购或风控收到供应商安全调查表，只能基于已有认证与制度事实起草，对日志留存等未确认控制措施不得默认答「是」。
  • 客户要求填写门户问卷但暂不自动提交，先把题干分批粘贴，产出「待核实汇总」再交安全负责人关闭或标注后对外。
  • 材料较齐全时，需把每道是非题与证书编号、报告日期或制度文号绑定，避免对外答复无法追溯依据。

适合人员

  • 负责应答客户 RFP 或尽职调查安全附录的售前安全工程师，需要可内审逐题稿而非凭印象全填「是」。
  • 统筹供应商准入与安全调查表的采购或风控同事，要把已知事实与待核实项分开提交给安全复核。
  • 签批对外安全披露或问卷回函的信息安全负责人，要求下属提供带风险提示与证据引用的起草稿。
  • 手上只有部分认证信息（如等保级别）却收到完整 Infosec 问卷的业务发展同事，需弄清确认前不能断言的控制项。