EO14117 数据合规技术评估工具

客户问题

企业的数据跨境活动往往涉及多个业务主体、产品、数据类别、存储区域、第三方服务商和远程访问路径。事实材料分散在问卷、表格、合同、系统配置、会议纪要和技术日志中，难以判断一条数据流经过了哪些主体、谁具备访问权限，以及相关事实由什么证据支持。

数据存储在境外并不代表境内团队无法访问。云控制面、数据库、日志、备份、快照和密钥管理系统都可能形成实际访问路径。只读权限、传输加密、VPN 或海外云部署只能说明局部技术事实，不能单独证明整体合规。技术团队与律师团队还需要区分技术初判和法律结论，避免系统自动给出未经律师复核的交易定性。

方案方法

工具按照“范围冻结—事实闭环—技术评估—律师复核—整改验收”组织项目交付。客户提交问卷和材料后形成不可变提交轮次；项目组通过补充信息请求解决未知项和事实矛盾，再将数据资产、处理活动、数据流、访问主体、交易关系和技术控制连接成可追溯的评估底稿。

技术团队负责数据、系统、访问、Bulk 测算、控制和测试，系统输出技术风险及待律师回答的问题；律师负责法域适用、主体属性、交易性质、禁止或受限制交易、豁免和许可等法律结论的复核与锁定。已锁定结论不能被普通编辑覆盖，变更时需要形成新版本。

核心能力

项目申请与事实闭环

按服务类型、产品、法域和场景装配问卷与材料清单，记录预填来源、企业回答、确认状态和提交声明。补充信息请求单独管理轮次、原问题编号、责任人、回复、矛盾事项和未解决问题，不覆盖历史记录。

数据资产与数据流盘点

登记数据类别、数据主体、业务目的、处理系统、存储地点、接收方和保留情况，识别物理传输、远程访问、API 交换、统计输出以及模型或组件输出等不同数据流方式，并关联相关主体、系统和证据。

Bulk 可复跑工作底稿

保存数据类别、观察期、美国人员或设备口径、同一接收方聚合方式、去重键、查询及参数、计算结果、结果哈希、编制人和独立复跑人，使 Bulk 测算能够按相同口径复核，而不是以请求数、下载量或全球用户量替代。

跨境访问与控制评估

从数据面、控制面、身份面、密钥面、日志面和支持面盘点关键系统，区分“具备访问权限”和“实际发生访问”。技术测试覆盖账号权限、数据库、日志、备份、KMS、临时提权以及允许和拒绝访问结果，并保留测试证据。

CISA 控制、发现与整改

记录控制要求、适用范围、实施状态、证据和缺口，将问卷、数据资产、访问、交易及控制问题归集为评估发现，再拆分为可独立跟踪的整改措施。整改关闭分别核验设计证据、运行证据和复测证据。

律师复核与报告交付

支持待处理、复核中、确认、驳回和锁定等状态。报告只引用已经确认或锁定的法律结论，输出技术评估报告、管理层摘要和律师复核底稿，并将年度复评、审计和记录保存要求纳入持续义务台账。

评估边界

工具不自动认定 covered person、数据经纪、禁止交易、受限制交易或豁免，不直接形成最终法律意见。名单筛查、技术测试和系统规则只是评估证据或候选判断，最终法律结论必须由律师复核。正式项目还应使用受控数据库、对象存储、企业身份系统和项目权限。演示环境或未完成文件扫描、密钥策略及租户隔离验证的环境，不应上传真实客户敏感材料。

项目适配

项目启动时将结合企业产品形态、涉及法域、主体关系、数据类型、第三方合作、技术架构和评估目标，确定问卷、场景包、测试范围、计算口径、律师复核事项和报告深度。

实施路径

1. 服务申请与范围冻结

   确认企业主体、产品、法域、数据范围、第三方合作和技术系统，形成项目范围及材料清单。

2. 问卷、材料与事实闭环

   完成预填问卷、企业确认、证据上传和补充信息请求，保留不同轮次及事实矛盾。

3. 数据资产、数据流与访问盘点

   建立数据清单、处理活动、端到端数据流、主体关系、系统六平面和跨境访问矩阵。

4. Bulk 测算与技术控制测试

   固化测算口径和计算底稿，核验权限、日志、密钥、备份、远程运维和 CISA 控制实施情况。

5. 评估发现、整改与律师复核

   形成技术发现和待律师问题，拆分整改措施，完成法律结论复核以及设计、运行和复测证据验收。

6. 报告交付与持续义务管理

   生成技术评估报告、管理层摘要和律师复核底稿，并建立复评、审计和记录保存台账。

主要交付

• 项目范围及事实冻结快照
• 数据资产、数据流和跨境访问矩阵
• Bulk 测算工作底稿及技术测试记录
• CISA 控制评估与评估发现清单
• 整改任务及三阶段验收证据
• 技术评估报告、管理层摘要和律师复核底稿