等保 2.0 / DCMM / 信创对照
系统侧落地情况、差距与整改计划；逐项「更新」在 /sec/compliance 页上
DCMM
4/6
部分符合 2 · 不符合 0
信创
0/4
部分符合 2 · 不符合 1
等保2.0三级
2/7
部分符合 4 · 不符合 1
i本清单是系统侧落地对照，不等同于正式测评结论；正式等保测评需第三方机构出具。差距与整改期限均已列出，不做粉饰。
合规对照清单
| 编号 | 框架 | 控制点 | 要求 | 当前状态 | 结论 | 差距 / 整改 | 责任人 | 期限 |
|---|---|---|---|---|---|---|---|---|
| DM-01 | DCMM | 数据战略 · 数据治理组织 | 应建立数据治理组织并明确职责 | 商品/零售/物流/算法四方参与，角色已在 sys_role 定义 | 符合 | - | 数据 · 陈计划 | - |
| DM-02 | DCMM | 数据治理 · 数据标准 | 应建立数据标准并落地 | 字段口径字典与六口径库存口径已定义 | 符合 | - | 数据 · 陈计划 | - |
| DM-03 | DCMM | 数据质量 · 质量度量 | 应定义数据质量度量指标并监控 | data_quality_rule 六维规则 12 条，可执行并回写结果 | 符合 | - | 数据 · 陈计划 | - |
| DM-04 | DCMM | 数据架构 · 元数据管理 | 应管理元数据并保证一致性 | 表注释齐备，但无独立元数据管理工具与血缘图 | 部分符合 | 缺少字段级血缘与影响分析 | 数据 · 陈计划 | 2026-06-30 |
| DM-05 | DCMM | 数据应用 · 数据服务 | 应通过服务化方式提供数据能力 | openapi.json 已提供服务目录与鉴权方案 | 符合 | - | 研发 · 后端 | - |
| DM-06 | DCMM | 数据生命周期 · 归档 | 应定义数据保留与归档策略 | 审计保留 1095 天已参数化，其余表未定义保留策略 | 部分符合 | 缺少历史数据归档与冷热分层 | 数据 · 陈计划 | 2026-06-30 |
| XC-01 | 信创 | 基础软硬件 · 操作系统 | 应在国产操作系统上运行 | Ubuntu 24.04（非国产 OS） | 不符合 | 需迁移至麒麟/统信等国产 OS 或明确豁免 | 运维 · 张工 | 2026-12-31 |
| XC-02 | 信创 | 基础软硬件 · 数据库 | 宜采用国产数据库 | SQLite（开源，非国产商用库）；仓储层已隔离便于替换 | 部分符合 | 可平滑替换为达梦/人大金仓（仅需改 src/db.ts + schema） | 研发 · 后端 | 2026-12-31 |
| XC-03 | 信创 | 基础软硬件 · 运行时 | 宜采用国产运行时/中间件 | Node.js 22（开源） | 部分符合 | 如强制信创需评估替换运行时，成本高 | 研发 · 后端 | 2026-12-31 |
| XC-04 | 信创 | 多租户 · 数据隔离 | 多租户场景应保证数据隔离 | 单租户部署；表结构未含 tenant_id | 不适用 | 若需多租户，需在所有业务表增加 tenant_id 并改造权限范围 | 架构 · 待定 | - |
| DJ-01 | 等保2.0三级 | 安全通信网络 · 通信传输 | 应采用校验技术或密码技术保证通信过程中数据的完整性 | 全站 HTTPS（Let's Encrypt），nginx 强制跳转；应用间调用本地回环 | 符合 | - | 运维 · 张工 | - |
| DJ-02 | 等保2.0三级 | 安全区域边界 · 访问控制 | 应在网络边界根据访问控制策略设置访问控制规则 | 应用仅监听 127.0.0.1:3100，由 nginx 反代；数据库文件仅本机可读 | 符合 | - | 运维 · 张工 | - |
| DJ-03 | 等保2.0三级 | 安全计算环境 · 身份鉴别 | 应对登录用户进行身份标识和鉴别，且口令具备复杂度要求 | 用户/角色/权限表已建，但登录与口令策略未实现 | 不符合 | 缺少统一身份认证、口令复杂度与失败锁定 | 研发 · 后端 | 2026-03-31 |
| DJ-04 | 等保2.0三级 | 安全计算环境 · 访问控制 | 应授予不同账户完成各自任务的最小权限 | sys_permission 已按角色×模块×数据范围配置（31 条） | 部分符合 | 权限校验中间件未接入（当前接口未做鉴权拦截） | 研发 · 后端 | 2026-02-28 |
| DJ-05 | 等保2.0三级 | 安全计算环境 · 安全审计 | 应启用安全审计功能，审计记录应覆盖到每个用户 | audit_log 记录写操作（改前/改后/原因/操作人） | 部分符合 | 读操作未审计；审计日志未做防篡改与异地备份 | 研发 · 后端 | 2026-01-31 |
| DJ-06 | 等保2.0三级 | 安全计算环境 · 数据备份恢复 | 应提供重要数据的本地数据备份与恢复功能 | SQLite 单文件，WAL 模式；每日备份脚本未配置 | 部分符合 | 已配置每日备份，待补恢复演练记录 | 运维 · 张工 | 2026-01-31 |
| DJ-07 | 等保2.0三级 | 安全管理制度 · 应急预案 | 应制定重要事件的应急预案并定期演练 | 存在批次失败重试与回滚机制，未形成书面预案 | 部分符合 | 缺少书面预案与演练记录 | 业务 · 王运营 | 2026-06-30 |