第12章 安全体系

本章导读

本章接着第4章的合规义务清单，把测绘与地理信息安全、数据安全、政务数据共享三条主线的要求落成系统设计。起点是一个反直觉判断：风险主要不来自外部攻击，而来自图层聚合。展开四条线索：五层框架之外增加以图层组合为控制点的横向管控；分级要解决分级对象与图层组织不一致；保密处理的关键在“认定”而非算法；等保与密评、供应链可替换性、容灾目标分级各自独立。最易误读的是把技术脱密当成合规豁免，以及把等保测评通过当成持续合规。读完应能判断：成果能否对外提供，看它是否经认定并履行审核；系统是否可控，看数据能否以公开格式完整导出。

学习目标

读完本章，你应当能够：

• 区分合规与安全各自回答的问题，说明为何一个通过全部审查的系统仍可能因一条越权接口泄露整套图层；
• 用表12-1 的五层结构指出“一张图”在物理、网络、数据、应用、管理五层各自的特殊形态与关键措施，并解释控制点为何要设在图层组合这一级；
• 复述数据分类分级的两条判据（要素敏感性与位置精度）及其相乘关系，说明图层内混装为何是最大落地障碍；
• 判断一份成果能否对外提供，区分“技术处理过”与“合规上可以公开”，并列出处理与审核两个环节各自应留的痕迹；
• 对比等级保护与密码应用安全性评估的评价对象，说明两者为何不能互相替代，并指出定级对象切分的务实做法；
• 用表12-2 的四级恢复目标为灾害应急、日常审批、查询统计、批量归档四类业务设定 RTO 与 RPO，并说明备份优先级为何给源头数据。

第4章讨论的是合规义务从哪里来：测绘与地理信息安全、数据安全、政务数据共享三条主线各有主管机关与审查口径。本章讨论另一个问题：这些义务怎样被落成系统设计。两者的区别需要先说清。合规回答“必须做什么”，否则不能上线；安全回答“做了之后能不能扛住”，否则上线之后会出事。一个通过了全部审查的系统，仍然可能因为一条越权接口而泄露整套图层；反过来，一个安全设计良好的系统，也不会自动获得审图号或通过测评。两件事不能互相替代。

本章的核心判断是：“一张图”的安全风险，主要不是来自外部攻击，而是来自聚合效应。单独看，一个图层可能完全不敏感；把若干个图层叠在同一空间参照系下，就能还原出对特定目标的完整描述。这个特性使传统“边界防护加权限控制”的思路不够用，必须增加一条横向的组合管控。理解这一点，才能理解为什么本章把大量篇幅放在数据分级、脱密与组合控制上，而不是放在网络攻防上。

12.1 五层安全框架：纵向分层之外还需要一条横向管控

通行的安全框架按物理、网络、数据、应用、管理五层展开。这个分层在多数信息系统里够用，在“一张图”里则只解决了一半问题。原因是“一张图”的价值来自跨图层叠加，而风险同样来自跨图层叠加：一个图层给出保护区的边界，一个图层给出现状地类，一个图层给出道路与居民点分布，三者单独都可以在不同程度上公开，叠在一起就构成了对某一区域的完整空间描述。这种由组合产生的敏感性，不属于任何单个图层，因此在按图层授权的传统模型里无法被识别。

物理层与网络层在“一张图”中有其特殊形态。系统依托国家电子政务外网，实现部省市县四级网络联通，数据管理模式是“物理分散、逻辑一体、互联互通”。这两句话对安全设计的直接影响是：网络边界不再是一条线，而是一张网。访问既可能来自纵向的上级或下级节点，也可能来自横向的同级部门，还可能来自服务调用链上的某个中间环节。“内网即可信”这一长期存在于政务系统的隐含假设，在这种架构下不再成立。替代方案是把身份与权限作为主防线：每一个请求都要携带可验证的身份，每一次授权都要基于最小必要原则，而不是基于“你在哪个网段”。

数据层与应用层的控制点需要分开设计。数据层关注的是数据本身的属性：分级标签、脱敏规则、加密要求、水印与溯源。应用层关注的是访问行为：越权访问、注入攻击、文件上传、接口滥用。这两层混在一起设计的常见后果是：权限做了，但数据没有标签，于是权限只能按系统或按角色粗粒度授予；或者标签做了，但接口没有校验，于是标签形同虚设。三维与智能的引入又增加了新的应用层风险：三维模型文件本身可能携带可执行内容，大模型的提示注入可以让系统输出超出其数据权限的内容。这些风险在二维时代不存在，现有安全方案也未必覆盖。

管理层的分量最容易被低估，却决定前四层能否持续。权限申请与审批、账号生命周期、外包人员管理、日志审计与定期复核，这些工作没有技术含量，但一旦缺失，技术控制会迅速退化：离职人员的账号未注销、临时授权未回收、审计日志未开启，任何一项都能让前面的投入失效。实践中安全事件的事后复盘，多数会指向一个管理动作的缺失，而不是一个技术漏洞。

由此得出本章的第一个关键判断：控制点应当设在“图层组合”这一级，而不是“单图层”或“全系统”这两级。可行的做法是对图层集合做组合敏感度评估，识别出哪些组合会形成敏感知识，并对这些组合设置额外的授权要求与审计强度。需要给出的边界是：组合管控过度会直接瘫痪业务，因为绝大多数分析场景天然需要多个图层叠加。因此管控的对象只能是少数高风险组合，并且必须与具体业务场景绑定——同一组图层在规划编制场景下可能必须开放，在对外服务场景下则必须禁止。分级管控的依据是场景，不是图层的数量。

表12-1 五层安全框架在“一张图”中的特殊形态与关键措施

资料来源：根据“一张图”总体框架公开口径（依托国家电子政务外网、部省市县四级联通、“物理分散、逻辑一体、互联互通”）与安全工程一般规律归纳；措施为定性建议。

12.2 数据分类分级：分级对象与数据组织单元不一致是最大障碍

地理信息数据分类分级保护已被明确列为提升安全监管能力的任务之一。这项工作的必要性没有争议，难点在落地。落地的障碍不在“要不要分级”，而在“分级对象”与“数据组织单元”不一致：分级是针对要素的，每一个要素有自己的敏感属性；而“一张图”是按图层组织的，一个图层里往往混装不同敏感级的要素。这种错位是所有具体困难的源头。

分级的判据通常落在两个维度上。第一个是要素敏感性，即某一类地物本身是否属于需要控制的范围，判断依据是它可能被用于什么，而不是它看起来是什么。第二个是位置精度，即坐标与高程的精细程度，精度越高，同样的要素能支撑的推断就越具体。两个维度是相乘关系而不是相加关系：一个低敏感要素在高精度下可能变得敏感，一个高敏感要素在低精度下仍然需要控制。这也解释了为什么“脱密”通常同时作用于两个维度，而不是只处理坐标。

第一个落地难点是图层内混装。如果数据模型不支持要素级的安全标签，系统能做的只能是“整个图层按最高敏感级管理”。这种处理在安全上是保守的，在业务上却会造成大面积过度保护：一个包含少量敏感要素的图层，整层不能被一般用户访问，而实际业务需要的恰恰是这个图层里的非敏感部分。解决办法只有一个：在数据模型里为要素增加可继承的安全标签，并在服务发布环节支持按标签过滤。这项改造的技术难度中等，但涉及存量数据的标签补录，工作量往往被低估。

第二个落地难点是分级的可变性。分级结论会随政策调整、成果更新与场景变化而改变，如果分级结果被硬编码进权限配置，每一次调整都要改系统、测系统、再上线，响应速度无法跟上要求。正确的架构是把分级结论作为数据属性存放，把授权规则作为策略存放，两者在运行时结合。这样调整分级只需更新标签并重算策略，不必改动代码。这条设计原则的价值在系统运行数年后才会显现，但必须在建设期就确定，事后重构的代价极高。

第三个落地难点在共享这一侧，且它是制度性的而非技术性的。《政务数据共享条例》（国令第 809 号）第三条明确，政务数据不含国家秘密、工作秘密数据。这一条的实践含义常被误读：它并不是说涉密数据完全不能流动，而是说涉密数据的流动不走政务数据共享这条通道，必须另行履行审批与保密程序。因此在设计跨部门共享能力时，若把“共享”理解为“打通一切数据”，方案在立项阶段就会与制度冲突。正确的做法是按数据属性分流：非涉密数据走共享通道并明确责任与用途，涉密数据走专项审批并限定使用场景与销毁要求。两条通道的系统实现方式不同，权限模型也不同，混在一条通道里设计，最终会在合规审查时被迫返工。

需要给出的边界有两层。第一，分类分级解决的是“能不能给”，不解决“给了之后怎么用”。数据一旦交付，后续的复制、转存、二次分发都不在原系统的控制范围内，只能依靠水印、审计与溯源来约束。第二，分级本身不等于安全能力。一个分级做得非常细致的系统，如果服务接口不做标签校验，分级结论在运行时就完全不起作用。分级是前提，不是结论。

12.3 保密处理与脱密：技术手段必须经过认定才具备效力

保密处理的技术手段相对固定，通常包括精度降低、要素删除或合并、坐标偏移、属性脱敏四类。四类手段可以组合使用，组合方式决定了成果的可用性：处理得轻，成果仍可用于精确判定，但可能达不到保护要求；处理得重，成果可以公开，但失去了审批与登记所需的定位能力。这个权衡无法在技术层面自动求解，必须由使用场景决定。

这里有一个必须点明的区分，也是本章的第二个关键判断。技术上的“处理过”与合规上的“可以公开”是两件事。相关部署的表述是推进地理信息保密处理技术的研发、认定与应用，三个词并列，中间那个最要紧：技术要经过认定。这意味着，即使某个算法在数学上更优、处理效果更好，只要未经认定，其处理结果就不具备对外提供的合规效力。实践中常见一种误解，认为把坐标做偏移、把精度降下来就等于完成了脱密；这种理解在技术上是部分成立的，在合规上是不成立的。判断一份成果能否公开使用，依据是它是否经过了规定的处理与审核程序，而不是它经过了什么算法。

官方路径也印证了这一点。公开可用的成果不是把涉密成果“改一改”，而是单独编制。相关部署明确提出完成现有基础测绘成果的公众版加工编制，这说明公众版是一套独立生产、独立维护的成果体系，有自身的精度、内容与更新节奏，而不是涉密版的副产品。同理，地图审核与审图号制度之所以重要，也在于它把“内容是否可公开”的判断交给了独立环节，而不是留给数据生产者自行决定。地图公开使用需按规定送审并标注审图号，这一条对所有对外发布的地图产品都适用，包括由系统动态生成的地图。

由此带来的工程结论是：系统必须支持多套成果并存，而不是一套成果多处使用。可以按用途划分为三个域：内部审批域使用原始精度成果，以保证判定准确；政务协同域使用脱密成果，以保证跨部门共享时的安全；公众服务域使用公众版成果，并履行送审与标注义务。三套成果之间需要建立对应关系，否则同一块地在不同域里无法比对，业务会重新退回到人工核对。这个对应关系的维护成本，是安全设计必须承担的代价；试图用一套成果满足全部域的需求，最终只能在安全或业务其中一端妥协。

关键判断：技术脱密不等于合规豁免。一份成果能否对外提供，取决于它是否经过规定的保密处理并履行审核程序，而不取决于处理算法有多先进。系统设计上应当把“处理”与“审核”当作两个独立的环节分别留痕：前者记录用了什么方法、参数如何、由谁执行；后者记录谁审核、依据什么、结论是什么。缺少任何一段记录，这份成果在事后追溯时都无法自证合规。

12.4 等级保护与密码应用：两套评价，不能互相替代

等级保护解决的是系统抗攻击能力，密码应用安全性评估解决的是密码用得对不对，两者是并行的制度安排，不是一道关卡的两种叫法。实践中常见的错误是把两者混为一谈：做了等保测评就认为密码合规，或者部署了加密设备就认为满足等保要求。这两类误解在验收阶段通常不会暴露，在检查阶段一定会暴露。

等保的第一个技术难题是定级对象的切分。“一张图”在逻辑上是一个系统，在物理上跨多个环境：部级节点、省级节点、市县节点，还有依托政务外网的服务调用链。整体定级会拉高全部环境的建设成本，分环境定级又可能出现“木桶短板”：某一个低级别节点被攻破，攻击者可以沿着服务调用链向内渗透。较为务实的处理是把定级对象界定为“业务系统加数据域”的组合，而不是按物理机房切分，同时对跨域调用单独设控。这个处理并不完美，但它把最关键的风险——跨域横向移动——纳入了控制范围。

法律层面的要求已经相当明确。《中华人民共和国测绘法》2017 年 4 月 27 日第二次修订、2017 年 7 月 1 日施行，其中第四十六条要求建立安全管理制度与技术防控体系，两者并列，意味着一味堆设备而不建制度并不合规。《中华人民共和国网络安全法》于 2025 年修正（主席令第 61 号），自 2026 年 1 月 1 日起施行，对关键信息基础设施的特别严重后果情形设定了 200 万元至 1000 万元的罚款区间。这些条文对工程设计的直接影响是：安全管理机构、人员、制度、应急预案不再是“软性材料”，而是与设备同等重要的考核项。

密码应用的重点在三处：身份认证、传输加密与存储加密。三者的落地难点不同。身份认证的难点在于多源账号的统一，四级联通意味着用户可能来自不同节点的账号体系，需要一套可信的身份映射；传输加密的难点在于性能，海量瓦片与三维模型传输对加密开销敏感，需要按数据敏感级分通道；存储加密的难点在于检索，加密后的空间索引仍然要支持范围查询，否则业务不可用。三处都要在架构设计阶段确定，事后补加的代价极高。

审计能力是这一节最容易被做成形式的一项。日志记了不等于有人看，有人看也不等于能追到人。可用的审计设计有三个要求：一是关键操作必须记录到要素级，而不是只记“某用户访问了某系统”；二是日志本身要防篡改，否则事后追溯没有证据价值；三是审计结果要定期形成结论并触发处置，而不是只归档。《测绘法》第四十七条要求对涉密地理信息进行登记并长期保存、实行可追溯管理，这里的“可追溯”不是指能查到一条记录，而是指能还原一次完整的数据流转过程：谁在什么场景下、通过什么接口、取走了哪些要素、后续是否销毁。达不到这个颗粒度的审计，在检查时通常只能证明系统开了日志功能。

必须给出的边界是：测评通过不等于持续合规。等保测评与密评都是时点性结论，而系统的配置、账号、接口与数据每天都在变化。真正决定长期状态的是三件事：变更管理是否覆盖安全配置、账号生命周期是否有强制回收、日志是否被真正审阅。这三件事做不好，测评报告只能证明“那一天是合规的”。

12.5 供应链安全：风险不在来源地，在可替换性

供应链的构成比多数人想象的更长：芯片与服务器、操作系统与数据库、GIS 引擎与三维引擎、算法模型与训练数据、集成商与运维服务商，任何一环出问题都可能影响整体。把供应链安全简化为“是否国产”，会漏掉其中大部分风险，因为断供只是风险之一，后门、漏洞响应滞后、运维人员流动、外包权限失控同样会造成实质损失。

这一节还需要交代一个容易被忽略的间接风险：供应商的能力缺口会以“安全缺口”的形式出现。一个在数据治理、质检与运维上能力不足的供应商，交付的系统往往在细节上失守——字段校验缺失、异常处理不严、日志不完整。这些缺陷通常不会立刻表现为安全事件，而是表现为数据质量下降；而数据质量下降又会掩盖真正的安全问题，因为异常被当作“数据本来就不准”。判断这类风险的办法不是看供应商的安全资质清单，而是看它在同类项目上的运维记录：故障率、数据返修率与工单闭环时长，这些指标比安全承诺更能反映实际水平。产业侧的数据可以作为一个间接参照：2025 年地理信息产业从业单位数增速为 11.1%，高于 5.9% 的产值增速，说明供给侧正在快速扩容而单机构营收承压；在这种环境下，明显低于成本的报价往往对应着交付与运维投入的压缩，而安全与运维恰恰是最先被压缩的部分。

准入环节有可核验的条件。按《测绘资质管理办法》《测绘资质分类分级标准》（自然资办发〔2021〕43 号，2021 年 7 月 1 日施行），测绘资质分甲、乙两级，专业类别共十类，含地理信息系统工程、地图编制、互联网地图服务。项目内容与资质类别的匹配是硬性要求，而不是加分项。涉及互联网地图服务的，还有更具体的规定：《地图管理条例》（国务院令第 664 号，2016 年 1 月 1 日施行）第三十三条要求互联网地图服务须取得测绘资质，第三十四条要求服务器设在境内。这两条对云服务选型有直接约束：境外的云资源无法承载此类服务，即使技术上更便宜。

数据处理环节的红线同样具体。《测绘法》第五十二条规定，采用不符合国家标准的数据建设地理信息系统，可处 50 万元以下罚款。这一条把“数据来源合规”变成了有法律后果的验收条件：供应商提供的底图若来源不明或标准不符，采购方同样要承担责任。《测绘成果管理条例》第二十二条与《测绘法》第三十七条共同构成对重要地理信息数据发布的约束，任何单位和个人不得擅自公布。涉密成果的管理更严：自然资规〔2023〕3 号第十三条要求涉密成果在用途完成后 6 个月内销毁，不得转让转借。这意味着外包团队不能“留一份备用”，项目结束时必须有可核查的销毁记录。

架构层面的要求也在收紧。自然资办发〔2026〕14 号第八条要求非密成果系统与政务外网“一张图”门户衔接，这一条把系统的对外接口纳入了统一管控，减少了“自建一套对外服务”的空间。另一类新增的供应链是卫星导航定位基准站数据：部令第 19 号《卫星导航定位基准站管理办法》（2026 年 1 月 1 日施行）第六条规定基准站建设纳入国土空间规划实施监督信息系统，2026 年 9 月的授权运营又引入了第三方使用场景。数据一旦以授权运营方式对外提供，供应链就从“建设期”延伸到“运营期”，安全责任也随之从项目组转移到运营主体。

由此得出本章的第三个关键判断：供应链安全的核心指标不是来源地，而是可替换性。可替换性由三件事决定：数据格式是否为公开标准，接口是否公开且稳定，退出时数据能否完整导出。三者具备，替换是工程问题；缺少任何一项，替换就是重建。需要承认的边界是：完全可替换在三维引擎与算法模型上很难实现，前者受私有格式约束，后者受权重与训练数据约束。因此现实策略应当是分层可替换：底座可换、引擎可换、模型可退化为人工流程。只要最后一条成立，系统就不会因为某一环缺失而彻底停摆。

12.6 应急与容灾：恢复目标要按业务分级，不能全系统一刀切

容灾设计的第一步不是买设备，而是确定恢复目标。恢复时间目标（Recovery Time Objective，RTO）与恢复点目标（Recovery Point Objective，RPO）描述的是两件事：业务能容忍中断多久，能容忍丢失多少数据。这两个指标必须由业务方确定，技术方无法代为决定，因为它们的实质是风险接受程度。

在“一张图”中，不同业务的容忍度差异极大。日常审批类业务可以容忍数小时的中断，因为可以转为线下受理并事后补录；查询与分析类业务的容忍度更高；而灾害应急类业务几乎没有容忍度。2026 年 8 月的公开表述提到应急测绘保障的具体场景，包括西藏吉隆泥石流的应急处置。这类场景下，影像与地形数据的可用性直接关系救援决策，中断的代价无法用小时衡量。因此容灾方案应当按业务分级设定目标，而不是给全系统一个统一指标：统一指标的结果通常是取最严的那个，成本极高而多数业务用不上，或者取最松的那个，关键场景没有保护。

分布式架构在容灾上是双刃剑。有利的一面是天然避免了单点全损：一个省级节点故障，不会导致全国数据消失。不利的一面是一致性恢复变难：故障恢复后，各节点的数据版本可能不一致，而这种不一致在空间数据上表现为同一地块的边界或属性出现两个版本。如果缺少版本对账机制，系统会带着矛盾继续运行，而用户无从判断该信哪一个。因此容灾预案中必须包含一步“恢复后对账”：按图层核对版本与更新时点，确认一致后才恢复对外服务。这一步在多数预案里被省略，却恰恰是分布式系统最容易出问题的地方。

备份策略需要按数据特性分层。三维模型与影像的数据量巨大，全量备份成本不可承受，但这类数据有一个特点：它们可以从原始成果重新生产。原始影像、点云、空中三角测量成果是可重生产的源头，成品模型只是中间产物。因此备份的优先级应当给源头而不是成品：保住原始成果，成品可以在需要时重建；反过来只备份成品，一旦生产环境损坏，连重建的基础都没有。这条原则在二维时代并不明显，在三维时代直接决定了容灾成本的量级。

容灾预案还需要明确一个常被忽略的边界：恢复不等于复原。数据恢复之后，系统必须重新确认三件事才算可用——权限配置是否回退到故障前的一致状态、对外服务是否重新通过了安全校验、已发出的分析结论是否仍然成立。第三件事最容易被跳过：如果一个审批结论是在数据异常期间作出的，恢复后必须回溯核查。这类核查没有技术捷径，只能按时间窗口筛选办件并人工复验，因此预案中应当预先约定核查的责任部门与范围，而不是等事故发生后再临时确定。

还有两点容易被忽略。第一是介质与销毁：备份介质本身承载数据，介质报废、调拨、维修都必须有登记与销毁记录，这与涉密成果的管理要求同源。《测绘法》第四十七条要求对涉密地理信息进行登记并长期保存、实行可追溯管理，这一要求同样适用于承载涉密数据的备份介质。第二是演练：没有演练的预案等于没有预案。演练要验证的不是“备份能否恢复”，而是“在多长时间内恢复到什么程度”，后者才是业务方关心的问题。演练记录也应当留存，它既是改进依据，也是事后追责时的证据。

表12-2 按业务类型设定的恢复目标分级

资料来源：根据“一张图”业务性质与安全工程一般规律归纳；分级为定性建议，不含具体时间指标。

本章小结

本章的出发点是区分合规与安全。合规回答“必须做什么”，安全回答“做了之后能不能扛住”，两者不能互相替代。以此为线索，“一张图”的安全框架必须在纵向五层之外增加一条横向管控：控制点设在图层组合这一级，因为风险来自聚合而非单个图层。网络边界由线变成网之后，“内网即可信”的假设不再成立，身份与权限成为主防线。

数据层面的最大障碍不是分级方法，而是分级对象与数据组织单元不一致：分级针对要素，数据按图层组织，图层内混装不同敏感级要素。解决办法是在数据模型中加入要素级安全标签，并把分级结论与授权策略分离，使分级调整不必改代码。同时必须承认分级的边界：它解决“能不能给”，不解决“给了之后怎么用”；《政务数据共享条例》（国令第 809 号）第三条明确政务数据不含国家秘密与工作秘密数据，这意味着跨部门共享不是无条件打通，共享范围本身就要按数据属性划界。

保密处理的关键是“认定”二字。技术脱密不等于合规豁免，一份成果能否对外提供取决于是否经过规定的处理并履行审核程序。官方路径是单独编制公众版，而不是修改涉密版；地图公开使用须送审并标注审图号。因此系统必须支持多域多版并存，并维护版本之间的对应关系，这笔维护成本是安全设计的固有代价。

等保与密评是两套并行评价，不能互相替代；供应链安全的核心指标是可替换性而非来源地；容灾目标必须按业务分级，备份优先级应给可重生产的源头数据而非成品。最后需要留一句提醒：“一张图”成果用于日常审批、管理和决策的法定地位仍在明确过程中，因此安全设计不应假定系统结论已经具备终局效力，程序上的复核、留痕与追责链条仍需保留。

思考与练习

1. 表12-1 在数据层一列写“图层混装不同敏感级要素”，关键措施是“要素级安全标签、脱敏、水印与溯源”。某局的权限设计只能按图层整体授权，于是一个含少量敏感要素的图层被整层封禁。请指出这属于 12.2 节的哪一个落地难点，并说明解决办法为什么必须落在数据模型层而不是权限配置层。
2. 辨析题：有一种流行说法是“做了等保测评，密码应用就自然合规了”。请用 12.4 节的两套制度定位反驳，并说明该节提到的《网络安全法》对关键信息基础设施特别严重后果情形设定的 200 万元至 1000 万元罚款区间，为何不能替代对两套评价对象的区分；再各举一个可观测表现，说明这类误解在验收阶段不暴露、在检查阶段必然暴露。
3. 12.3 节区分了“技术上的处理过”与“合规上的可以公开”。某公司用自研算法把坐标偏移、精度降低后，直接将成果对外提供，并声称已完成脱密。请按本章框架指出它缺了哪两个环节、系统上应各留什么记录，并说明为什么“算法更优”不构成合规理由。
4. 表12-2 把灾害应急保障的中断容忍度标为“极低，需连续可用”，把查询与统计分析标为“可接受短时不可用”。某市为节省投入，对全系统采用统一的恢复目标。请用该表说明这种做法的两种失败结果，并写出按业务分级设定目标时，RTO 与 RPO 应由谁确定、为什么。
5. 12.5 节给出自然资规〔2023〕3 号第十三条：涉密成果在用途完成后 6 个月内销毁，不得转让转借。某外包团队提出“项目结束后留一份备份，方便后续维护”。请指出这一要求违反了哪一条，并说明项目验收时应提交什么证据才算闭环。
6. 动手题：为本章设计一张“多域成果并存对照表”，不少于五行，逐行写出用途域、所用成果版本、精度与内容差异、允许的访问对象、对应关系维护方式与送审要求；必须覆盖内部审批域、政务协同域与公众服务域三类，并写出一句结论说明为何不能用一套成果满足全部域。

接下来：本章反复出现的判据是“能不能扛住”，而下一章要问的是另一个方向的问题——为什么大量投入之后系统仍然不好用，第13章 会把这些失效归到可归因的位置上，第14章 再给出分级判断的尺子。