概述
治理支柱提供组织层面的控制，确保所有ThreatZ项目的一致性、可重复性和可审计性。它涵盖四项核心能力：用于定义组织安全规则的策略管理、用于维护可复用安全制品库的安全目录、用于模板化项目配置的蓝图，以及用于追踪安全状态变化的基线。
策略管理
策略是管理跨项目网络安全分析执行方式的组织规则。每条策略定义：
- 范围：全局（适用于所有项目）或特定项目
- 执行级别：强制、建议或信息性
- 状态：活跃或已归档，支持版本追踪（主版本.次版本）
- 适用模块：威胁建模、事件管理、风险评估、BOM供应链
策略配置领域
| 领域 | 控制内容 |
|---|---|
| 风险计算 | 方法、影响边界值（0–2）、TAF边界值（0–2）、风险评分边界值（1–5） |
| 风险接受 | 可接受的风险级别、允许的处置策略 |
| 事件管理 | 响应SLA、事件配置 |
| 可信来源 | 接受的漏洞数据库（NVD、OSV）、威胁情报源 |
| 许可证合规 | 接受的软件许可证、SBOM格式要求 |
| 影响与可行性 | 影响评级和攻击可行性评级的边界值 |
策略生命周期
- 创建策略，定义范围、执行级别和模块配置
- 验证风险边界值和方法引用
- 激活策略（同一时间仅一个全局策略处于活跃状态）
- 将策略关联到项目或项目集
- 被取代后归档
策略在服务层强制执行——在所有TARA和风险评估操作中，风险计算、接受标准和处置策略都会根据活跃策略进行验证。
安全目录
安全目录是集中式、版本化的可复用安全制品库，在整个组织中共享。
目录类型
| 目录 | 内容 | 关键字段 |
|---|---|---|
| 资产 | 网络安全目标 | 域、类别、安全属性 |
| 威胁 | 攻击场景 | STRIDE分类、类别、标签 |
| 损害 | 影响场景 | 安全性、财务、运营、隐私影响 |
| 控制措施 | 缓解措施 | 类型、验证方法、成本、成熟度级别、框架引用 |
| 目标 | 安全目标 | 框架标准、关联的需求 |
| 需求 | 安全需求 | 类型、验证类型、验收标准 |
| 声明 | 安全断言 | 声明类型、描述 |
| 许可证 | 软件许可证（SPDX） | 许可条款、合规分类 |
目录特性
- 版本控制：主版本.次版本追踪，支持状态管理（活跃、已归档、审核中）
- 框架标记：将目录项映射到ISO 21434、ISO 26262、ISO 27001、SAE J3061及其他标准
- 全局与项目：全局目录面向全组织；项目目录将全局项实例化并添加项目特定上下文
- 目录同步：自动化同步将目录更新传播到所有项目，追踪协议包、攻击向量、测试用例、步骤模板、资产、威胁、控制措施、目标、需求、安全事件、漏洞、声明和损害的创建/更新计数
- 可移植目录：以可移植格式导入/导出目录，实现跨组织共享
- 种子数据：默认目录（SPDX许可证、风险方法、工具定义、威胁情报源）在租户初始化时自动注入
蓝图
蓝图是可复用的项目模板，将模块配置打包为即用型起点。
- 结构：名称、描述、适用模块和状态（活跃、已归档、审核中）
- 快照：蓝图配置的时间点捕获，用于版本控制
- 发布：由审批工作流管控，支持功能门控访问控制
- 许可证门控：蓝图功能受组织许可证层级门控
蓝图通过提供预配置的模块选择、目录关联和策略引用来减少项目设置时间，团队可将其应用于新项目。
基线
基线是活动发现状态的不可变快照，用于回归追踪和安全趋势分析。
基线结构
- 来源活动运行引用
- 发现快照（总数、严重度分布、状态分布、去重指纹）
- 状态生命周期：活跃 → 已取代 → 已归档
- 每个活动配置同一时间仅一个活跃基线
基线对比（差异报告）
将新的活动运行与基线对比时，平台生成差异报告，包含：
| 差异类型 | 含义 |
|---|---|
| 新增 | 当前运行中存在但基线中不存在的发现 |
| 已修复 | 基线中存在但当前运行中不存在的发现 |
| 未变更 | 两者中都存在的发现 |
| 回归 | 已修复但重新出现的发现 |
| 严重度变更 | 相同发现，不同严重度级别 |
回归告警
| 告警类型 | 触发条件 | 优先级 |
|---|---|---|
| 新增严重 | 任何新的严重级别发现 | P1 |
| 新增高危 | 3个以上新的高严重度发现 | P2 |
| 回归 | 任何已修复的发现重新出现 | P1 |
| 评分下降 | 安全评分增加超过25% | P2 |
趋势报告
平台为给定配置的各活动运行生成时间序列趋势分析：
- 安全评分随时间变化趋势及趋势分类（改善中 / 稳定 / 恶化中）
- 每次运行的新增与已修复发现计数
- 平均、最小和最大评分
- 所有运行中的唯一发现数量
基线治理控制
- 基于权限的访问：
baseline:view（读取）、baseline:create（写入）、baseline:promote（完全访问）、baseline:archive（完全访问） - 审批工作流用于基线提升
- 完整审计跟踪记录所有基线操作