附录九 安全、隐私、异常与恢复检查表
本附录覆盖的不只是共识攻击。利益相关者资本治理系统的关键资产包括密钥、身份关系、业务证据、规则版本、权益状态、支付能力、治理权限和恢复资料；任何一项失真都可能造成权利或责任错误。
一、威胁与控制检查
表A9-1 七域检查表
| 域 | 预防 | 监控 | 响应与恢复 |
|---|---|---|---|
| 密钥与账户 | 分级密钥、多签或门限、最小权限、离线恢复材料 | 异常签名、权限变化、失败尝试 | 轮换、撤销、迁移、历史行为调查 |
| 智能合约 | 独立审查、边界测试、升级限制、限额 | 异常调用、状态偏差、费用突变 | 暂停、修复、迁移、补偿决定 |
| 预言机与输入 | 多来源、责任人、证明范围、时间有效性 | 来源中断、偏差、重复和异常值 | 隔离输入、人工核验、重算和冲正 |
| 身份与权限 | 身份角色分离、到期、回避、反女巫 | 孤儿账户、权限累积、异常委托 | 暂停角色、重新核验、责任追溯 |
| 数据与隐私 | 数据最小化、分级、加密、保存期限 | 越权访问、关联风险、导出异常 | 限制访问、通知、修复、删除或不可用化 |
| 治理 | 分级变更、延迟执行、少数保护、紧急权到期 | 突袭提案、集中委托、投票操纵 | 延迟、复核、接管、撤销或补偿 |
| 基础设施与供应链 | 多区域、可替换接口、依赖清单、备份 | 节点故障、依赖漏洞、服务商中断 | 切换、降级、恢复、迁移与退出 |
二、上线前逐项核对
- [ ] 已识别会造成资产损失、错误权利、隐私伤害和治理接管的主要路径；
- [ ] 关键权限没有集中在未经说明的单一管理员或恢复入口；
- [ ] 合约、接口和数据结构有明确版本，旧版本停止方式已定义；
- [ ] 预言机停止、错误和串谋情景已经演练；
- [ ] 敏感原始数据不上链或仅在明确必要时采用受控方案；
- [ ] 备份能够实际恢复，恢复密钥与生产密钥分离；
- [ ] 系统停止时仍能查明权利、未决义务和争议；
- [ ] 服务商退出、链停止或成本骤升时有迁移路径；
- [ ] 紧急暂停不会由同一人永久改变权益；
- [ ] 事故通知、取证、补偿和对外责任主体已经指定。
三、数据生命周期
表A9-2 隐私生命周期控制
| 阶段 | 核心问题 | 最低控制 |
|---|---|---|
| 收集 | 本次判断真正需要什么 | 目的限定、最小字段、告知或其他合法基础 |
| 使用 | 谁为哪个目的使用 | 角色权限、用途绑定、选择性披露 |
| 共享 | 是否跨组织或公开 | 接收者、字段、期限、再使用限制 |
| 保存 | 需要保存多久及为何 | 保存表、可用性责任、定期检查 |
| 更正 | 错误怎样标记和修订 | 新旧记录关联、当前状态查询 |
| 删除或不可用化 | 哪些副本能够实际处理 | 链上最小化、链下删除、密钥与访问处置 |
| 退出与迁移 | 数据如何带走或封存 | 标准格式、完整性清单、责任交接 |
四、事件分级
表A9-3 事件级别
| 级别 | 情形 | 首要动作 | 治理要求 |
|---|---|---|---|
| S1 观察 | 未造成影响的异常或弱信号 | 记录、分析、加强监控 | 定期报告 |
| S2 局部 | 有限账户、数据或功能受影响 | 隔离、暂停局部、通知责任人 | 复核与修复验收 |
| S3 重大 | 关键权益、支付、隐私或治理受到实质影响 | 启动应急、保全证据、限制损失 | 独立调查、补偿和治理审议 |
| S4 危机 | 系统性错误、控制权丧失或组织连续性受威胁 | 全面接管或安全停机 | 最高治理与法律处置、迁移或终止 |
五、恢复目标与演练
每项关键能力分别记录最大可接受中断时间、最大可接受数据损失、最低降级服务、恢复顺序和依赖。至少每年进行密钥丢失、预言机错误、合约漏洞、治理账户被接管、链停止和服务商退出六类演练。演练必须产生实际恢复证据，不能以“已有备份”代替恢复成功。
六、异常结案
事件结案需同时说明技术根因、制度缺口、受影响主体、权利更正、经济补偿、责任归属、控制改进和复验结果。若无法恢复到原状态，应由有权治理程序决定替代履行、补偿、迁移或终止，而不能由技术管理员单方宣告“系统已恢复”。
审读补强：迁移、可用性、输入和数据责任
检查表增加密码资产清单与后量子迁移、历史验证环境、密钥独立性与恢复撤权；分别记录协议数据可用性、证据可取回性和业务连续性的所有者及恢复目标；记录预言机来源独立性、新鲜度、分歧、停机与降级；记录处理目的、必要字段、更正/删除替代、跨境和泄露；恢复结案区分技术状态、支付、现实履行和法律救济。
使用与控制栏
| 字段 | 填写要求 |
|---|---|
| 对象与适用范围 | 说明组织、业务、群体、资产或系统边界 |
| 负责人/批准人 | 分别记录编制、维护、批准与独立复核责任 |
| 版本与日期 | 版本、生效日、复核日、失效或替换版本 |
| 证据与保留 | 证据位置、访问权限、保留期和删除/归档规则 |
| 法域与专业审查 | 适用法域、法律/技术/治理/财务审查人及状态 |
| 状态与关闭证据 | 草案、试验、有效、暂停、终止；附批准、测试或复核证据 |
控制栏未填写完整时，本附录只能作为建模或审议工具，不能被表述为已经生效的合同、决议、登记、会计确认或系统控制。