“基線公開的是要求，不是漏洞。”林遠回答得很快，“你不公開要求，最後大家只能靠口口相傳，反而更亂。我們可以公開控制項，不公開具體IP、不公開金鑰、不公開內部拓撲。”
第二條——評測機構不唯一。
“評測可以做，但不能指定唯一機構。”林遠把筆落在紙上，“評測機構的資格條件可以寫：必須具備國家認可的測評資質，必須獨立於運營服務採購。任何滿足資質的機構都可以出報告，報告格式統一，內容統一，結論互認。”
評測機構代表臉色微變：“互認會導致水平參差。”
林遠點頭：“所以第三條——報告必須留痕。”
他把第三條念得像審計條款：“報告不只給結論，必須附證據摘要：掃描時間窗、配置核對項、關鍵日誌摘要雜湊、整改項清單編號。我們不要求公開全部細節，但必須能讓銀行和審計複核：你評過什麼、什麼時候評的、依據是什麼。”
審計聯絡當場點頭：“這條能落。沒有摘要就無法抽查。”
第四條——抽查複測常態化。
“為了防止‘買報告’，我們引入抽查複測。”林遠說，“省裡可以隨機抽取一定比例城市或專案，進行復測。複測不一定由同一家機構做，甚至可以交叉複測。複測不透過，觸發整改工單與抽檢升級，但不搞一刀切停用。”
銀行何經理補了一句：“這才符合風險管理：不懲罰故障，懲罰不解釋、不整改。”
數科副總開始轉向成本：“抽查複測會增加成本，城市會覺得負擔重。”
“成本可以控。”林遠把話接住，“我們可以把安全評測拆成兩段：接入前做基線自查+最小評測，接入後做抽查複測。城市不用一次性花大錢買全套報告。評測費用也要走公開成本拆解與封頂，不能變成閘門溢價。”
諮詢公司總監這時候換了個更“狠”的問法：“如果不指定機構，出了事誰擔責？省裡需要一個抓手。”
林遠沒有迴避這個“抓手”問題——因為他知道對手最想用它推動名單。
“抓手不是機構，是責任鏈。”林遠把那張《責任鏈》翻出來，“出了事，我們追四樣：一，是否符合安全基線；二，是否有評測摘要留痕；三，是否按工單整改閉環；四，是否有複測記錄。誰沒做到，誰擔。你指定機構只能指定一個背鍋物件，但背鍋不能替代證據鏈。”
網安聯絡沉默了幾秒，終於說了一句更像結論的話：“如果基線清晰、留痕可複核、抽查可複測，那確實比指定機構更穩。”
周秘書長見風向不對，開始把話往“名單建議”上收：“那也可以不叫指定，但省裡可以出一份推薦名單，避免亂。”
“推薦可以。”林遠沒有一刀切否掉，“但推薦名單必須開放：任何符合資質的機構都可申請進入，且推薦不等於唯一。並且最關鍵一條——推薦名單不得與採購服務目錄繫結，不得出現‘只有用推薦機構才開介面’。”
這句話把閘門拆得乾淨：你可以推薦，但你不能把推薦變成門檻。
會議拖到中午，副處長終於總結：“形成意見：安全評測不作為唯一機構指定；建立公開安全基線附件；評測報告統一格式，需附證據摘要；引入抽查複測機制；映象介面開通以滿足基線為前提，評測機構可替代，推薦名單開放申請，不得與服務目錄繫結。”
數科副總臉色不太好看，但也沒有再硬頂。他知道，銀行和審計已經站在“可複核”的這一側，一旦檔案落地，他再想用名單做閘門，就會被外部指引卡住。
散會時，評測機構代表在走廊上攔了林遠一下，語氣倒不兇：“林總，你這樣搞，市場會很亂。我們中心的權威會被稀釋。”
林遠看著他，語氣平靜：“權威不是靠門檻，是靠抽查。你們真權威，就在複測裡贏。你們如果靠名單贏，那就是閘門，不是安全。”
回到車上，陳毅發來一條更新：
“他們在群裡改口了：不說‘指定機構’，改成‘推薦機構優先開通介面’。”
林遠看著那句“優先”，笑了一下——笑得很淺。
優先也是閘門的另一種說法：你不在名單裡，你就慢；你慢一次，專案就會逼著你買；買著買著，優先就變成必選。
他給陳毅回了四個字：
”。刪先優把“
：的長更句一了補又著接
”。引指行銀和件附程章進寫條這把們我。序順先優的關相單名構機與何任現出得不，’全齊痕留+足滿線基‘是能只件條通開面介“
。”分評維運“”度理治料資“”證認訓培“如比，門閘的別換會還們他，門閘全安住堵你；門閘全安換會就手對，門閘格價了住堵為以你——子樣實真的級升度制是就這：到想然忽遠林。級層的同不切市城把，線的灰條條一像架高的城省，外窗車
。路的正真段一多就統系共公，掉拆被門閘次一每但
。打難更膽張目明比，則規設預而；則規設預變會就，件附進寫果如詞種這**”通開先優“**：細更會刀的正真，章一下
。門閘為視律一，的結繫構機個某與過、效時、力權將凡：輯邏標紅是而，詞標紅是只不——則規tniL份一下草起在經已裡心，室公辦向開車把遠林
。束結沒還爭戰的上紙，道知他
。費路過收去拿被有沒詞個這”全安“，天今至，道知也他但
