风险督办与效果评估本体及智能体端到端落地方案

生成日期：2026-07-01 输入目录：/Users/wdeemo/Desktop/制度汇总 既有规则表：/Users/wdeemo/Desktop/本体论-数据对接_20260615.xlsx

1. 结论摘要

本次处理将制度目录、压缩包附件和既有本体数据对接表统一抽取为可检索语料，形成 190 条源记录，其中 164 条为去重后的可用文本，累计约 460 万字符。规则抽取共得到 17,959 条候选约束，覆盖 155 个去重来源，并归并为 15 类可执行规则族。

总体可落地方案是：以制度条款为依据层，以已有 数据表、风险模型、效果评估 三个 sheet 作为实例种子，建设“风险场景-检测模型-数据证据-督办任务-整改验证-效果指标”的本体和知识图谱。后续智能体不直接硬编码制度，而是按风险事件查询本体，自动选择是否派单、责任主体、SLA、证据要求、复核方式、例外审批和考核指标。

2. 输入覆盖

2.1 制度文件覆盖

• 源记录：190
• 去重可用文本：164
• 状态分布：ok 187；no_text 1；short_text 2
• 文件类型分布：.docx 48；.pdf 64；.doc 24；.xlsx 11；.txt 3；.xls 40
• 来源类别分布：policy 75；spreadsheet 46；template_or_reference 9；technical_spec 42；other 18
• 未抽取正文：1 个扫描型 PDF，已在 source_inventory.csv 标注为 no_text

2.2 规则候选覆盖

• 候选规则：17959
• 覆盖来源：155
• 动作类分布：未分类 8288；监测检查 4169；整改闭环 1358；复核验证 1289；评价考核 1199；上报通报 1116；派单/工单 540
• 语义类分布：asset_scope 12954；monitoring 7302；risk_trigger 5071；evidence 4982；evaluation 3719；supervision 3577；sla 3276；responsibility 2121

2.3 既有数据对接表

• 数据表：64 条，其中操作类日志 45 条、非操作类日志 17 条。
• 数据域覆盖：主机 6；网络设备 11；安全设备 13；业务平台 26；安全管控日志 2；安全合规日志 3；应用操作日志 3
• 风险模型：32 条，其中标记发送工单 17 条；操作类日志模型 15 条、非操作类日志模型 7 条。
• 效果评估：是否整改, 是否派发问题单, 是否派发考核单, 工单及时率

3. 可用规则约束归并

4. 本体设计

4.1 分层

1. 制度依据层：保存制度、条款、版本、来源、抽取置信度。
2. 风险场景层：抽象违规登录、弱口令、漏洞、暴露面未报备、4A绕行、金库不一致、数据泄露、违规传输、日志采集缺失等风险。
3. 数据证据层：承接日志表、扫描结果、资产台账、账号权限、工单、审批、评估报告、截图等证据。
4. 督办流程层：定义派单、整改、延期、误报、无法整改、复核、回头看、通报、考核单等状态与动作。
5. 效果评估层：计算是否整改、是否派发问题单、是否派发考核单、工单及时率，以及扩展指标。
6. 智能体执行层：记录智能体查询、推理、派单、催办、验证、报告生成的决策轨迹。

4.2 核心类

完整 schema 已输出至 ontology_schema.json。

4.3 关键关系

4.4 约束建模建议

• OWL/RDF 或 Neo4j 均可承载本体。建议项目一期使用 Neo4j/图数据库承载实例图，规则约束以 YAML/DSL 存储，后续再导出 RDF/OWL。
• 每条制度规则保留 source_path + source_line + clause_hash，保证智能体解释可追溯。
• 本体对象 ID 建议使用稳定命名：risk_model:违规登录实时预警、table:log4a_dwd.dwd_oper_log_5150_vm_syslog_login_ri、metric:工单及时率。
• 规则不要只存自然语言，应拆成 触发条件、适用对象、责任主体、SLA、证据、复核方法、例外、考核影响 八个字段。

5. 基于已有数据的实例化方案

5.1 数据表 sheet 映射

将每一行映射为 DataTable 节点，并建立：

• DataTable.asset_domain：主机、网络设备、安全设备、业务平台、安全合规日志等。
• DataTable.asset_subtype：虚拟机、PC服务器、华为交换机、4A接管资产信息等。
• DataTable.table_name：ODS/DWD/DWS/ADS 物理表。
• DataTable.join_condition：与资产、账号、资源等主数据的关联字段。
• DataTable.is_operation_log：判断是否可作为行为审计证据。

5.2 风险模型 sheet 映射

将 32 个需求映射为 RiskModel 节点。建议首批上线 6 类高价值模型：

5.3 效果评估 sheet 映射

已有 4 个指标可作为最小可行指标：

• 是否整改：SupervisionTask.status=已闭环 且存在通过的 VerificationActivity。
• 是否派发问题单：RiskModel.dispatch_required=true 时存在有效 ticket_id。
• 是否派发考核单：触发超期、屡查屡犯、整改不到位、重大隐患等考核规则时存在考核流程记录。
• 工单及时率：按周期统计 按期闭环任务数 / 应闭环任务数。

建议扩展：

• 整改完成率、整改及时率、平均整改时长、复核通过率、问题复发率、证据完整率、例外审核通过率、超期未整改数量、重大隐患24小时处置达标率。

6. 智能体如何使用本体

6.1 风险督办智能体

输入：风险事件、模型结果表、日志证据、资产/账号/责任人信息。 动作：

1. 根据 RiskEvent.model_id 查询 RiskModel。
2. 沿 RiskModel -> RiskScenario -> ControlRequirement 找到适用制度规则。
3. 判断是否需要派单、派什么单、派给谁、到期时间、需要哪些证据。
4. 通过 BOMC/SMP/平台自建流程创建 SupervisionTask。
5. 监控任务状态，超期自动催办；重大隐患按 24 小时规则升级。
6. 接收整改结论，进入待复核、例外审核或考核分支。

6.2 效果评估智能体

输入：督办任务、整改结论、复扫/日志/审批证据、考核规则。 动作：

1. 校验任务是否按制度要求派发问题单。
2. 校验证据是否满足 EvidenceRequirement。
3. 调用复扫、日志比对、4A/金库一致性校验、人工确认等复核方法。
4. 计算是否整改、是否派发考核单、工单及时率等指标。
5. 生成部门、模型、资产、周期维度的评估报告。
6. 对复发、超期、证据缺失、例外滥用生成二次风险。

6.3 本体维护智能体

输入：新增制度、修订对照表、人工审核意见。 动作：

1. 抽取新增条款并形成 PolicyClause。
2. 将条款拆解为规则字段。
3. 对比已有规则，识别新增、修改、废止。
4. 生成待审核变更单，人工确认后发布新版本。

7. 端到端技术架构

7.1 数据层

• 日志类：主机 SYSLOG、网络设备、安全设备、4A/堡垒机、金库、数据库审计、DLP、态势告警。
• 台账类：CMDB/BOMC资产、4A接管资产、账号/权限、组织机构、责任人、暴露面报备、白名单。
• 工单类：BOMC/SMP 问题单、整改单、考核单、审批记录、延期/误报/无法整改申请。
• 评估类：漏洞扫描、基线扫描、弱口令、风险评估报告、数据安全评估、符合性评测表。

7.2 服务层

• 文档解析服务：制度、PDF、DOC/DOCX、XLS/XLSX、压缩包解析，扫描 PDF 接 OCR。
• 本体服务：图谱查询、规则版本、条款溯源、实体归一。
• 风险模型服务：按模型运行 SQL/算法，输出标准化 RiskEvent。
• 规则推理服务：把制度约束转成可执行决策。
• 督办编排服务：派单、催办、升级、例外处理、回头看。
• 证据采集服务：按本体定义采集日志、扫描、审批、工单、报告证据。
• 效果评估服务：指标计算、复核结果、考核建议。

7.3 标准事件结构

{
  "event_id": "risk-20260701-0001",
  "model_id": "违规敏感操作识别",
  "risk_type": "privileged_operation_violation",
  "risk_level": "high",
  "asset": {"ip": "10.x.x.x", "system": "某系统", "owner_org": "某部门"},
  "evidence": [
    {"type": "4A金库申请日志", "table": "log4a_ods.ODS_4A_GOLD_STRATEGY_DF"},
    {"type": "堡垒机操作日志", "table": "log4a_dwd..."}
  ],
  "detected_at": "2026-07-01T10:00:00+08:00"
}

8. 示例流程

8.1 设备口令弱口令

1. 风险模型读取 4A 纳管资产和基线弱口令扫描结果。
2. 本体判断资产是否互联网暴露面或终端直连：互联网暴露面按 24 小时复扫，终端直连按 7 天复扫，其他按已配置周期。
3. 生成问题单，附弱口令扫描证据、资产负责人、整改要求。
4. 整改后要求提供复扫结果；复扫通过才允许闭环。
5. 超期未整改进入督办，长期未处理触发考核单建议。

8.2 违规敏感操作/金库不一致

1. 风险模型关联 4A敏感操作清单、违规操作清单、审计白名单、主机/网络/安全设备日志。
2. 本体查询金库申请理由模板、金库授权日志、堡垒机/应用操作日志。
3. 智能体判断是否存在申请理由不合规、实际操作超范围、4A绕行或敏感数据异常访问。
4. 若命中白名单，进入例外审核；否则派发整改/核查工单。
5. 复核时校验后续日志是否无同类违规，并计算复发率。

8.3 互联网暴露面未报备

1. 资产扫描发现公网 IP/域名/API/APP 与合规平台报备不一致。
2. 本体判断适用“先报备后上线、全量报备、五个工作日变更”规则。
3. 生成稽核工单给资产接口人/管理人/报备人。
4. 超过 10 个工作日未回复，标记为考核风险。
5. 复核报备记录与实际暴露面一致后闭环。

8.4 数据安全评估缺失

1. 识别重要及以上数据处理活动、数据出境、核心数据跨主体处理、个人信息处理特定场景。
2. 本体查询对应评估要求：年度、事前、出境前。
3. 若评估报告缺失或过期，派发评估补做/整改任务。
4. 效果评估校验评估报告、整改记录、保存期限和复用关系。

9. 实施路线

10. 验收标准

• 本体覆盖：首批 32 个风险模型全部实例化，64 条数据表均可查询；P0模型具备规则、证据、SLA、复核、指标映射。
• 追溯能力：任一智能体决策可回溯到制度条款、数据源、模型结果和工单记录。
• 督办闭环：问题单自动生成、状态同步、超期催办、复核验证、例外审批均可记录。
• 效果评估：最小4项指标可按部门/模型/周期统计，扩展指标至少落地整改及时率、复核通过率、证据完整率。
• 数据质量：日志/资产/账号/工单关键字段缺失时能识别并生成数据质量风险。

11. 产物清单

• source_inventory.csv：源文件覆盖、去重、抽取状态。
• rule_candidates.csv：17,959 条候选规则。
• source_rule_summary.csv：每份制度的规则画像。
• normalized_rule_families.csv：15 类可执行规则族。
• data_table_catalog.csv：既有数据表映射。
• risk_model_catalog.csv：既有风险模型映射。
• effect_metric_catalog.csv：既有效果评估指标。
• ontology_schema.json：本体 schema 草案。

12. 注意事项

1. 扫描型 PDF 需要补充 OCR 后再纳入正式规则库。
2. 候选规则中包含大量技术配置项，正式入库前应由制度/安全/数据负责人审核，区分“强约束、建议项、平台能力要求、检测项”。
3. 既有风险模型表中部分模型缺少工单频次、模型表名或是否派单标记，建议在一期建设时补齐。
4. 对“及时、定期、限期”等非量化时限，应在本体中先保留原文，再由业务确认可执行 SLA。