情报源治理、共享合规与成熟度评估

01 · 情报源全生命周期治理

第4页讨论了"融合时如何给源赋权"，本页把视角前移：源在进入融合系统之前和之后，应该如何被治理。实践中大量融合失败案例的根源不在算法，而在源头：接入了一个低质量源，其错误标注经融合放大后污染整个实体库；或者源已停止更新，过期的指标仍在自动分发，消耗检测资源。本课题将源治理拆为四个阶段：

1.1 源档案（Source Profile）字段规范

每个接入的源在平台中应有一份结构化档案：身份（名称、运营方、接入方式、协议版本）；覆盖（威胁域专长、地理与行业侧重、IOC类型分布）；质量（历史命中率、误报率、时延分布的滚动统计）；合规（TLP约束、许可范围、数据留存要求）；关系（已知转载关系/上游来源，供融合时去相关）。档案随月度审计更新，是融合引擎的去相关与赋权依据。

02 · 共享协议与情报分级：TLP 2.0 实务

多源融合的前提是跨组织交换，而交换的前提是分级与授权。FIRST发布的Traffic Light Protocol（TLP）是国际通行的情报共享分级标准，现行版本为TLP 2.0（2022年8月发布），用五色标签界定接收者的再共享范围：

注：以上表述为TLP 2.0通行定义的概括，具体条款以FIRST官方发布文本（first.org/tlp）为准；系统实现中应将标签作为每条情报的强制元数据，分发接口按标签过滤。

2.1 共享组织形态

• ISAC/ISAO：美国CISA体系下的信息共享与分析中心（ISAC）/信息共享与分析组织（ISAO），按行业（金融FS-ISAC、医疗H-ISAC、制造业MFG-ISAC等）组织成员间双向交换，是行业级多源融合的成熟范式。
• 厂商与平台生态：商业情报订阅、VirusTotal/urlscan等分析平台的成员共享机制、MISP社区共享实例、OpenCTI connector生态——这些是技术驱动的轻量共享通道。
• 政府与行业监管渠道：各国CERT/CSIRT、执法机构向关键基础设施运营者的定向通报；国内如CNCERT、CNNIC及公共互联网反网络钓鱼工作组的行业协同，是学院业务直接依托的共享环境。

03 · 数据合规框架：融合系统的法律边界

融合系统处理的虽是技术类数据（域名、IP、哈希），但工程实现中的日志、Sighting记录、协作者信息仍可能触碰法律红线。本课题梳理与本系统直接相关的国内法规基线（施行日期均为公开法律文本所载）：

04 · 源质量量化评估体系

第4页§02给出了源可信度的四个维度，本页将其工程化为可计算的指标体系，供月度源审计使用：

综合权重标定：月度源权重 = 各维度归一化得分 × 维度权重之和；维度权重按业务优先级设定（例如SOC场景命中率权重最高，战略情报场景覆盖与时效权重更高）。冷启动处理：新源无回流数据时，先验权重取同类源中位数，试运行期结束后用实测数据替换，并在融合输出中标注"新源、权重未经充分标定"。

05 · CTI-CMM成熟度模型：给融合能力定位

治理与合规做得如何，需要一个外部坐标系来衡量。CTI-CMM（Cyber Threat Intelligence Capability Maturity Model）是业界主导的开源成熟度框架（现行版本v1.3，©2024—2026，官网与GitHub仓库公开），其设计借鉴美国能源部C2M2等成熟模型，围绕11个能力域（含资产管理、威胁研判、风险管理、事件响应、欺诈防护、供应链、人员与治理等）评估组织CTI能力，按CTI0（未奠基）—CTI1（基础/被动响应）—CTI2（进阶/标准化与主动）—CTI3（领先/与业务对齐）四级衡量，并给出"准备—评估—计划—部署—度量"的五步循环改进路径。

对本课题最有启发的是其度量哲学：CTI1阶段度量"努力"（产出了多少报告、收集了多少IOC），CTI2阶段度量"影响"（检测平均时间下降多少、fraud损失避免多少），CTI3阶段度量"结果"（情报驱动的决策是否降低了组织风险）。融合关联平台应从一开始就把指标挂到"影响"层——告警压缩比、处置时延、误封率——而不是停在"处理了多少条IOC"。

生态动态（供治理决策参考）：2026年6月10日，Intel 471基于CTI-CMM v1.3发布了免费的CTI成熟度快速自评工具（CTI Maturity Pulse Check，Business Wire官方新闻稿可查），说明该框架已进入工具化落地阶段；同期发布的2026年SANS威胁情报调查（样本401名合格从业者、含67名CISO/CSO）揭示了两个值得警惕的现状——91%的CISO认可CTI的价值，但仅26%认为CTI显著驱动其决策；约57%的CTI项目不跟踪成熟度演进（SANS官方新闻稿口径）。这组数据提示：多数组织卡在CTI1/CTI2之间的原因不是缺工具，而是缺治理与度量闭环——这正是本页内容的现实针对性。

注：上表"指标示例"改写自CTI-CMM v1.3文档中各能力域的度量演进示例，具体措辞以官方文档为准。

06 · 商业情报源采购决策清单

融合系统建设通常伴随商业情报源采购。本课题给出尽调清单（也适用于对免费源的评估）：

• 实测优于宣传：要求供应商提供试用期API，用自己的金标准集实测分类型Precision/Recall，而非采信宣传材料；测试集应覆盖本组织所在行业与地理区域。
• 格式与接口：是否原生支持STIX 2.1/TAXII 2.1（或提供可逆映射）；API限流、历史回溯深度、批量导出能力。
• 双向机制：是否支持Sighting回传（部分厂商提供命中反馈通道）；不支持回传的源将无法进入权重再标定闭环。
• 数据来源合法性：数据采集方式说明（爬取、蜜罐、 sinkhole、合作伙伴交换）；对个人数据的处理方式；能否出具合规承诺函。
• 独立性与重叠：该源与既有源的重叠度实测（第4节指标体系）；高重叠源只有在分域专长显著时才值得增量付费。
• 退出条款：合同终止后已获数据的使用权、已融合产物的归属、归档数据的处置——避免"数据锁定"。

07 · 案例推演（教学示意）

场景：某企业评估新商业情报源"源X"。流程：①样本测试——抽取源X近半年投递的2,000条域名类IOC，与本组织DNS日志交叉，实测命中率8.7%、误报率2.1%，均高于内部基准线；②试运行60天——影子运行确认时延中位数4小时、STIX字段完整度91%；③合规审查——签署TLP:AMBER共享协议与数据合规承诺；④正式接入——建档、设初始权重（同类源中位数×0.8的保守系数）；⑤月度审计——第3个月发现其与源Y重叠度高达0.62，核实为转载关系，融合引擎自动对两者组合去相关，源X权重按实测命中率重新标定。

08 · 治理组织与RACI职责矩阵

治理制度需要落到人。本课题给出融合关联平台的RACI矩阵（R=执行，A=最终负责，C=咨询，I=知会），作为制度落地的最小骨架：

注：RACI为通用治理模板，组织应按自身规模裁剪；小微团队可一人兼多角色，但"执行"与"最终负责"不应由同一人承担（职责分离原则）。

09 · 度量数据防博弈与审计独立性

• 多指标交叉验证：任一单一指标都可被优化动作扭曲（如源方为刷命中率投递海量低风险IOC）——因此源审计至少同时使用"命中率×覆盖×时延"三角互证，并要求命中率的统计口径（确认口径、时间窗、IOC类型分桶）由消费方定义而非源方自定。
• 审计独立性：月度源审计的执行人与被审计源的商务关系人分离；审计结论直接报送CTI负责人与合规，不经过源方接触面；审计日志只读留痕，防止事后修改。
• 反指标腐化：告警压缩比等业务指标一旦与团队绩效强挂钩，就会催生"把多个活动故意合并以抬高压缩比"或反向拆分的动机——缓解措施是压缩比永远与"处置准确率"成对出现、联合考核，且金标准活动集由独立小组维护。
• 披露纪律：对外发布的行业数据（如贡献给工作组月报的数据）应注明统计口径与样本边界，防止被二次引用时脱离语境夸大——这是情报共同体的互赖基础。

本节参考来源（第5页）

以下均为真实可查来源；法律法规条文以中国政府网及主管部门官网公布文本为准。