Yaffa
196d102d45
feat: 作业（NOVAPAY 供应商续约复审）
|
2 周之前 | |
|---|---|---|
| .. | ||
| _fixtures-snapshot | 2 周之前 | |
| README.md | 2 周之前 | |
| contract-draft.md | 2 周之前 | |
| financials.csv | 2 周之前 | |
| pentest-report.md | 2 周之前 | |
| security-questionnaire.md | 2 周之前 | |
README.md
NOVAPAY 原始数据快照（2026-08-19）
本目录为 NovaPay 续约复审项目整改前状态的快照。data-room/NOVAPAY/
当前内容是整改后版本（可提交审批），而本目录冻结的是为了让教学对比可以
回归到原始的"故意埋入 5 条风险线索"状态。
文件清单
| 文件 | 整改前状态 |
|---|---|
security-questionnaire.md |
自述"无未整改高危漏洞"与"近 12 个月无数据泄露"，两条声明均与独立证据冲突 |
pentest-report.md |
PT-01 high 越权访问漏洞复测两次未通过，SDK 旧路径仍可触发 |
contract-draft.md |
草案 v3.2；L-01 至 L-05（境外分包商责任、事件通知时限、临时审计权、删除证明、子处理者变更否决权）全部缺失 |
financials.csv |
收入 80M → 60M（-25%），2025 年 current_ratio≈0.71 / debt_ratio≈84% / OpCF=-36M，现金跑道 ≈ 8 个月 |
_fixtures-snapshot/security_incidents.json |
NovaPay 撞库事件 investigation_report: null，状态 vendor-investigating |
_fixtures-snapshot/vendor_registry.json |
NovaPay late_delivery_rate=0.16、disputes_24m=3、notes 含 2 次延迟交付 |
_fixtures-snapshot/adverse_news.json |
4 条负面新闻：2026-04 裁员、2026-06 调薪冻结、2026-07 C 轮融资失败、2026-07 收购传闻 |
配套政策
整改前的所有 5 条故意埋入的风险，分别对应 policies/vendor-renewal.md
8 条一票否决项中的 4 条：
| 故意埋入风险 | 对应红线 |
|---|---|
| 合同 L-01/L-02/L-04 缺失 | 第 1 条（再次拒签） |
| PT-01 复测未通过且 SDK 旧路径可触发 | 第 2 条（≥ 2 个未关闭 high） |
| 收入 -25%、OpCF=-36M、跑道 8 个月 | 第 3 条（即将违约） |
| 撞库后独立报告缺失 ≥ 60 天 | 第 4 条（独立报告缺失 ≥ 60 天） |
整改后版本位于 data-room/NOVAPAY/，每条风险都被客观证据替代为
"已整改 + 可验证"，因此按 policies/vendor-renewal.md 评估可达到
renewal 档（无新增缺口，关键控制位仍保持已验证）。