Security Scoring Rubric（安全评分规则）

风险领域	low	medium	high/critical
身份访问	MFA 与最小权限有证据	部分系统未覆盖	管理员无 MFA
数据保护	传输与静态加密完整	密钥轮换证据不足	敏感数据明文存储
漏洞管理	严重漏洞按期修复	存在逾期中危漏洞	未整改严重漏洞
事件响应	有演练和通知流程	演练超过一年	无通知责任人
认证	有效认证且范围匹配	即将过期	伪造或已失效