如何证明你已经修复了它
查找安全问题是一项工作。证明你已修复它是另一回事，大多数工具只能帮助解决第一个问题。如果您仍在弄清楚最初暴露的内容，请从攻击面管理指南开始。
这种差异很重要，因为需要说服的人通常不在那里。经理批准明年的预算，审计员要求证据、客户发送安全调查问卷、保险公司定价保单--他们都没有看到你修复任何东西。他们需要一些他们可以阅读的东西。
本页是关于构建那个东西的。
为什么现在要问你这个问题
在 2026 年 8 月发布的一封公开信中，包括 Microsoft、Google、AWS、Cisco、Cloudflare、CrowdStrike、IBM、Oracle 和 Palo Alto Networks 在内的 116 个组织呼吁每个组织消除他们最危险的弱点并验证结果而不中断基本服务。 （呼吁网络防御集体行动，OpenAI）
后半部分是改变工作的部分。长期以来，“我们修补了它”一直是一个可以接受的答案。它正变得越来越不被接受。
什么算证据，什么不算证据
干净扫描的屏幕截图不是证据。它没有之前，没有不能编辑的日期，并且是您自己制作的。
补救的证据需要四件事：
1.
之前的A。 问题就在于日期。
2.
之后。 相同的检查，以相同的方式运行，但日期较晚。
3.
一种方法。 检查什么以及如何检查，因此两者具有可比性。
4.
不是您自己断言的来源。 由工具生成的内容，而不是由被询问的人键入的内容。
错过任何一个，你就会回到被相信而不是被展示的状态。
拥有这四项的最便宜的方法是在有人询问之前进行测量。证据无法追溯--如果没有问题的记录，就无法证明问题已经消失。
每个观众真正想要什么
他们没有问同样的问题，而向他们所有人发送相同的 PDF 正是这种情况通常会变得很糟糕的原因。
| 谁在问 | 他们实际上是什么想要 | 送什么 |
|---|---|---|
| 您的管理 | 我们花的钱有改变什么吗？ | 随着时间的推移，一个数字。从 D 变为 B 的等级表明有 40 多个已解决的发现 |
| 审计员 | 你能演示一个控件的运行吗？ | 日期之前，日期之后，以及方法。详情欢迎来到这里 |
| 客户的安全审查 | 你对我们构成风险吗？ | 当前摘要，可共享，不需要他们创建帐户 |
| 一个保险公司或采购团队 | 您的姿势是改善还是恶化？ | 趋势，而非快照 |
常见的失败是将审计员的详细程度发送给经理，或将经理的摘要发送给审计员。第一个被忽略；第二个带着问题回来。
如何构建路径
这适用于任何保存历史的工具。顺序比产品更重要。
1.在修复任何内容之前建立基线。这感觉是倒退的，这是人们跳过的一步。尽管问题仍然存在，但今天运行的扫描是您三个月后需要的“之前”扫描。一旦修复，该记录就无法创建。
2.使用一种能够在翻译中幸存下来的衡量标准。当您更加仔细地观察时，发现的数量会增加，这使得改进看起来像是下降。单一分级措施朝着非技术读者期望的方向发展。
3.重新运行相同的检查安排，而不是手工。 两次以不同方式运行的扫描不具有可比性，并且存在间隙的证据线索会引发您最不想要的问题。
4.保留足够长的历史记录才能发挥重要作用。 一个月的历史记录证明可以解决问题。一年证明了一个计划。无论您的工具保留什么，都是您可以证明的最长期限 - 现在而不是在 12 月检查它。
5.记录修复情况，而不仅仅是结果。 更改了什么、由谁更改、何时更改。扫描显示问题已停止；这表明它停止是有原因的，而不是偶然的。
AYAsec 如何做到这一点
每次扫描都会产生 0-100 分以及从 A+ 到 F 的等级，因此之前和之后是一个可比较的数字，而不是两个列表。
扫描可以按计划运行，这意味着记录会不断累积，而无需任何人记得生成它。如果一个等级有人告诉您，扫描之间会掉落 - 您不必注意。
报告以两种形式导出为 PDF：为想要结论的受众提供简短的报告，为想要工作的受众提供完整的报告。任何报告都可以变成无需 AYAsec 帐户即可打开的共享链接，这通常是客户安全审查真正想要的。
对于该报告中的字段，请参阅如何阅读文档中的报告。
您保留多少历史记录取决于您的计划：免费版为 7 天，入门版为 30 天，并且可以从 Pro 中导出审计导出。免费就足够了，看看这是否适合你。 12月不足以证明任何事情，9月而不是12月更值得了解这一点。
这不是什么
阿雅塞克产生调查结果、成绩和注明日期的记录。 它不会生成合规性证明或证书。没有人可以通过扫描向您提供其中之一 - 认证涉及评估员，而像这样的证据是该过程的输入，而不是替代它。
如果有人告诉您他们的扫描仪使您合规，那么这种说法值得阅读两遍。
常见问题
我们在开始之前就解决了问题测量。我们还能展示它吗？
不适用于这些修复，并且没有任何工具可以改变这一点。现在开始记录，这样下一轮就可以证明了。
成绩本身就足够了吗？
通常用于管理。对于审计师来说，不，他们需要基本的调查结果和日期，这就是完整报告的目的。
我们应该保留多久以前的证据？
足够长，足以涵盖您被问及的任何周期。年度预算对话和年度审计都意味着一年是实际的答案。
我们可以向客户展示此信息而不授予他们访问我们帐户的权限吗？
是的。报告可以作为无需帐户即可打开的链接进行共享，并且可以撤销该链接。
干净的报告是否意味着我们是安全的？
这意味着这些检查是在该日期通过的。这是一个能够展示的有用的东西，但它不是同一个主张。