租户与项目隔离
明确组织、项目、角色和工程对象的访问边界，并验证跨租户请求的拒绝路径。
DEPLOYMENT云端 / VPC / 私有化
IDENTITY角色权限 / SSO 方案
GOVERNANCE人工确认 / 审计记录
INTEGRATIONAPI / Webhook
CONTROL AREAS
八类问题，在评估前逐项回答。
不同部署方案的实际控制不同。下面是采购和安全评审时应确认的范围，而不是对所有环境一概而论的绝对承诺。
身份与权限
确认企业 SSO、角色权限、最小授权、离职回收和高权限管理流程。
传输与存储
按部署方案确认传输保护、存储保护、密钥管理与敏感字段处理方式。
模型与数据
书面确认模型提供方、调用区域、保留策略、是否用于训练以及可选的自托管模型路径。
日志与审计
明确登录、管理、评审、导出和关键对象变更的日志范围、权限与保留期。
备份与恢复
根据服务等级确认备份范围、恢复目标、恢复演练以及评估期满后的删除安排。
集成安全
为 API、Webhook、ALM / PLM / QMS 连接定义身份、权限、速率和错误处理边界。
事件与漏洞响应
确认报告入口、分级、响应联系人、通知条件和修复验证过程。
AI GOVERNANCE
模型提供建议，工程师承担决定。
- 上下文最小化
只向所选模型传递完成当前任务必要的上下文。
- 提供方可确认
在评估方案中说明模型提供方、区域与保留政策。
- 输出先暂存
Agent 输出不直接写入受控工程对象。
- 人工审查落库
接受、修改、退回和批准均保留责任与记录。
COORDINATED DISCLOSURE
报告安全问题
如果你发现本网站或 COMPASS 服务可能存在安全问题，请不要访问、修改或下载不属于你的数据，也不要进行会影响可用性的测试。
发送邮件sales@shuiwancompass.com
主题注明“安全问题报告”，包含受影响地址、复现步骤、影响判断和可安全共享的证据。请勿在普通邮件中附带真实客户数据、密钥或大规模数据样本。
我们会确认收到并安排安全联系人跟进。具体响应与修复时间取决于严重性和验证结果。