关于网络安全编排、自动化与响应（SOAR）产品的国家标准目前正在征求意见，暂编号为TCVN XXXXX:2026，名称为《网络安全 – 网络安全编排、自动化与响应产品 – 通用要求》。该文件由网络安全与高技术犯罪防范警察局起草、公安部建议、国家计量质量标准化委员会审定、科学技术部公布。这是本系列网络安全标准草案分析的第三篇，前两篇分别分析SIEM产品与网络安全威胁情报平台（TIP）的草案。本文从总体层面概述其结构、适用范围与主要要求组，并列出草案直接规定的部分阈值。
一、这份文件是什么，处于什么阶段
与前两份一样，这是一份草案：标准编号尚未确定，内容可能调整，草案本身不具有适用效力。”前言”按TCVN惯例列明起草单位、建议单位、审定单位和公布单位。
“引言”简要说明目的：本标准规定SOAR产品的通用要求，是组织机构开发、提供、评价和选择使用SOAR产品与服务的依据，同时鼓励SOAR产品与服务的主管方落实标准中的各项要求。
草案的参考文献目录包括三项：2023年11月发布的Gartner关于SOAR解决方案的市场指南；关于网络安全风险管理中事件响应建议与注意事项的NIST SP 800-61r3；以及信息技术与传媒部部长2021年12月2日第1907/QĐ-BTTTT号决定，发布编排、自动化与响应产品的基本技术要求。第1907号决定的出现说明本标准并非该类产品的首份技术要求，已按旧要求评价过的单位在标准发布后应重点核对新增内容。
二、SOAR在三项标准体系中的位置
三份草案对各自职责的划分相当清晰。SIEM负责采集并关联组织自身信息系统内的事件日志，用于发现与告警；TIP负责采集、处理并共享来自多来源的威胁情报；SOAR则是执行层：接收告警、充实数据、按剧本组织处置、协调人员并在集成平台上执行响应动作。
三者的关系是双向的。SIEM草案为”与SOAR和TIP集成”单列一节；TIP草案要求把情报直接集成到SIEM、SOAR、EDR、WAF；SOAR草案则要求至少能连接九个平台类别，其中包含SIEM与TIP。就采购而言，SOAR产品的选型无法与另外两类产品割裂，因为剧本只有在集成组件正常工作时才能运行。
三、适用范围与文件结构
适用范围只有一句话：本标准规定编排、自动化与响应平台的通用网络安全要求。这是三份草案中篇幅最长的一份：约31页，含5条正文和附录A。第1条适用范围；第2条引用文件；第3条术语、定义和缩略语；第4条产品通用、治理与安全要求；第5条产品业务功能要求；附录A规定评价方法。
有两点结构信息值得注意。第一，本草案的附录A没有标注”参考”，不同于TIP草案的附录A；其内容是按各要求组给出的评价方法以及性能测量方法，说明本草案追求”可测量”，而非仅”可描述”。第二，第2条规定了引用文件的引导语，但没有附具体清单，即本草案未引用任何文件。
四、术语与缩略语
第3条定义了18个术语，远多于前两份草案：网络安全；会话保持时间；系统日志；告警；事件档案（case）；集成组件；网络安全事件；集成平台；开启/关闭档案；剧本（playbook）；SOAR产品；分类与初步处置；数据充实；失陷指标；升级（escalation）；证据链（chain of custody）；审计日志；去重。这些定义同时面向两类读者：制造商需要理解剧本的含义，系统所有者则需要理解在事件须移交主管部门时证据链在法律上的意义。
缩略语表在三份草案中最长，反映产品的集成属性：除SOAR、SIEM、TIP、EDR、EPP、NIPS、WAF、IAM、API、TLS外，还包括MTTA、MTTD、MTTR、MTBF、SLA等指标，RTO、RPO等目标，以及RBAC、SSO、NTP、UTC、CMDB、SBOM、DFIR、CTI。值得注意的是，草案把这些指标用作强制性的报表指标，后文报表管理部分将体现这一点。
五、产品通用、治理与安全要求
第4条包含八组要求，约占全文一半篇幅，决定了产品能否在真实环境中运行。
| 条款 | 要求组 | 重点 |
|---|---|---|
| 4.1 | 文件 | 十二类文件：安装、使用、管理、备份与恢复、按负载等级给出的架构与最低基础设施要求、API文档、集成组件与剧本开发指南、安全加固指南、版本兼容矩阵、支持政策与各版本支持终止时间 |
| 4.2 | 系统管理 | 运行管理、远程管理、认证与权限、报表管理、集成组件凭据管理 |
| 4.3 | 错误控制 | 六类配置的保护、日志/告警/档案/证据数据的保护、时间同步 |
| 4.4 | 系统日志 | 系统管理日志及字段、日志格式、日志管理、审计日志保护 |
| 4.5 | 可用性 | 冗余架构、故障切换机制、数据同步与事后恢复 |
| 4.6 | 运行状态监控 | 系统组件、集成组件、数据采集流、运行告警与监控数据导出 |
| 4.7 | 数据保护 | 存储与传输加密、个人数据处置、保存期限、云端部署的信息披露 |
| 4.8 | 产品安全与生命周期 | 软件物料清单、不使用已终止支持的组件、漏洞处理流程、更新来源验证、升级与回滚 |
六、文件、系统管理与报表管理
文件组（4.1）列出十二类文件，从安装、使用、管理、备份与恢复，到API文档、集成组件与剧本开发指南、安全加固指南、版本兼容矩阵与支持政策。其中三类在供应商资料中常被遗漏：按各负载等级给出的架构与最低基础设施要求文档、产品与集成平台之间的版本兼容矩阵，以及附各版本支持终止时间的支持政策。对于集成型产品，当某个集成平台升级时，兼容矩阵是系统所有者最先索要的文件。
系统管理组要求可配置主要运行对象（远程管理、账户与权限、告警采集、剧本、集成组件），可查看自最近一次启动以来的系统运行时间，并支持本地部署或云方案部署。远程管理方面，草案要求具体：使用TLS 1.2及以上版本且加密套件不属于建议停用范围，允许管理员禁用旧版本协议与加密套件，会话超时后自动注销，并可按IP地址或并发会话数等参数限制连接。
认证与权限管理是第4条中最长的一组，其中的运行要点包括：预置至少两种默认角色（管理员与普通用户）；为多用户协作功能提供基于角色的访问控制；对所有账户支持多因素认证；通过至少一种被广泛认可的协议与集中身份管理系统集成，实现账户同步与权限自动回收；可设置密码策略，包括最小长度、字符组成、有效期与不可重复使用的密码数量；首次登录必须修改默认密码，安装完成后不得存在仍使用默认密码的账户；连续认证失败超过阈值后自动锁定账户；密码以附加随机串的哈希形式存储；可定义细至单个功能与操作类型的自定义角色权限；可按对象级别控制访问，限制某角色可访问的数据范围；以及可导出账户、角色、权限清单并识别在设定时间内未活动的账户以便定期复核。
报表管理（4.2.4）要求实时可视化仪表板；可新建与删除报表；可导出为WORD、EXCEL、PDF、HTML、XML中的至少一种格式；可按计划通过电子邮件定期发送；用至少两项指标生成SOAR运行性能报表；用至少两项指标生成每位处置人员的工作量报表；以及包含MTBF、MTTA、MTTD、MTTR与SLA的监控报表。标准把运行效率与质量的度量变成了产品功能，而不再是系统之外的手工工作。
集成组件凭据管理（4.2.5）包含六项要求：凭据以未公布弱点的算法加密存储；不得在界面、系统日志、剧本输入输出数据以及剧本导出文件中以明文显示凭据；对凭据的查看、创建、修改功能单独授权，与使用集成组件的权限分离；可在不修改使用该凭据的剧本的前提下更换凭据；鼓励与外部集中密钥管理系统集成；并记录一切对凭据的访问、创建、修改、删除行为。”剧本导出文件不得泄露凭据”是颇为实际的要求，因为剧本常在单位之间共享。
七、错误控制与系统日志
错误控制（4.3）沿用前两份草案的原则，但把因错误（硬件故障除外）重启后必须保持不变的配置扩展到六类：系统配置、远程管理配置、账户认证与权限配置、告警采集配置、剧本配置和集成组件配置。已存储的日志、告警、档案与证据数据同样不得改变，系统时间必须自动同步到当前时间。
日志组（4.4）分层规定。系统管理日志必须记录十三类事件，其中包含SOAR特有的事件：剧本与集成组件的创建、修改、删除、审批、发布、停用；对集成平台执行动作并记录动作参数与被作用对象；对证据的访问、下载、修改与销毁；账户角色与权限变更；审批或拒绝审批；向系统外部导出数据；访问集成组件凭据；以及访问受限档案。字段包括精确到秒的时间、IP地址或工作站标识、操作主体标识、行为、结果，以及失败行为的说明理由；最后一项在调查中有助于区分权限不足与系统故障。
日志格式与管理方面，草案要求至少按一种预先定义的格式规范化，以便向日志管理、分析、调查软件传送数据；可配置存储与删除相关设置；可按关键词检索包括下层字段在内的所有字段；可导出日志数据以便集成到SIEM；并可在本地或第三方系统存储日志以支持事件调查。
本组最有分量的是审计日志保护（4.4.4）：审计记录在设定保存期限内不得被任何用户角色（包括系统管理员角色）修改或删除；须具备检测未授权修改的机制；须能按实时或近实时方式将审计日志转发至独立存储；并可设置符合法律规定的保存期限且不允许提前删除。草案还明确了优先级：保护要求高于一般日志管理要求，普通日志删除配置不得缩短审计日志的保存期限。
八、可用性与运行状态监控
可用性方面（4.5），草案要求以冗余集群方式部署，至少采用主备或双活结构，支持内部负载均衡或与外部负载均衡设备集成；故障切换过程不得丢失日志、告警与正在接收的档案数据，也不得改变正在执行的剧本状态；恢复时间目标（RTO）必须由供应商公布，并且可通过故障切换试验验证。备份方面，要求对配置、数据库、剧本与集成组件提供自动或可集成的定期备份，并支持从备份副本恢复，恢复前须校验副本完整性。
运行状态监控（4.6）要求图形界面实时显示各系统组件状态、资源使用率（CPU、内存、存储与数据库容量）、处理队列积压数量与平均处理时延、正在执行/等待/失败的剧本会话数量、冗余集群状态以及MTBF指标。对集成组件，要求按需执行连通性测试并给出诊断信息、按周期自动测试、显示最近一次成功通信时间以及错误率与最近错误码，并在凭据即将失效或已失效时告警。对数据采集流，要求按来源统计成功接收、接收失败与被丢弃的告警数量，并在某来源超过设定时间未发送数据时告警。
运行告警部分收尾：可对上述指标设置告警阈值，并通过至少两个渠道（如电子邮件、即时通讯应用或syslog）发送告警，同时提供API或标准端点供外部监控系统采集运行指标。
九、数据保护、产品安全与生命周期
数据保护（4.7）包含相较旧要求较为新颖的内容：对凭据、证据以及被标记为敏感的字段在存储时加密；系统各组件之间以及与集成平台之间的所有连接使用加密通道，并支持验证对端证书；可标记含个人数据的字段并对无权限角色掩盖其取值；可按数据类型分别设置保存期限并在到期时自动删除或匿名化；以及可检索、导出、删除与特定数据主体相关的数据。若以云服务方式部署，供应商必须公布数据存储与处理位置、可能访问数据的第三方，以及确保符合越南关于数据存储与个人数据保护规定的机制。
产品安全与生命周期（4.8）把责任放在供应商一侧：公布产品的软件物料清单，含库与开源组件及版本；不得使用已终止支持的组件；须有漏洞接收、处理与通报流程，并按严重程度公布处理时限承诺；更新、补丁与内容包在安装前须有来源验证与完整性校验机制；升级不得丢失数据与配置，并在升级失败时提供回滚机制；并提供安全加固配置文档。对采购方而言，这一组问题应尽早纳入供应商评估，因为它关系到产品的长期支持承诺。
十、七组业务功能要求
第5条把业务功能分为七组，依次为处置编排、事件监控与分析、集成与自动化、处理性能、数字证据管理、事件响应指挥，以及威胁信息管理。
| 条款 | 功能组 | 重点 |
|---|---|---|
| 5.1 | 处置编排 | 告警处置编排、档案处置编排、升级与通知 |
| 5.2 | 事件监控与分析 | 事件相关对象的关联可视化、事件时间线 |
| 5.3 | 集成与自动化 | 集成组件管理、多平台集成、API支持、剧本管理与执行、执行控制 |
| 5.4 | 处理性能 | 数据查询时延、并发告警采集、并发剧本执行 |
| 5.5 | 数字证据管理 | 证据接收与保全、证据链、可疑恶意证据的安全处理、留存与销毁 |
| 5.6 | 事件响应指挥 | 档案内任务、事件角色、指挥日志、档案分级关联与保密、事件报告 |
| 5.7 | 威胁信息管理 | 失陷指标管理、接收与共享、比对与发现记录、威胁实体管理、下发防御措施 |
十一、告警与档案的处置编排
告警处置编排（5.1.1）是第5条中最长的一节，含二十余项要求，相当完整地描述了一线安全运营中心的工作流程：配置从其他安全与信息技术方案采集告警，初始状态为新建；按关键词检索所有字段；按严重程度或来源等条件存储与分组；把处置状态从新建、处理中、等待补充信息、已升级更新至已处置；把处置结果更新为真实告警、误报、确认为合法活动、重复；通过上传文件或录入文本更新所采集证据；查看包含时间、执行人、内容的处置历史；设置处置时限并判断是否超期；以及为告警套用剧本。
告警处置中的自动化体现在规则要求上：按字段组合与时间区间配置去重规则，重复告警必须合并为一条并附出现次数，而不是新建告警；按规则自动把相关告警汇总为档案；以及配置排除（白名单）规则，把已知噪声自动置为已处置，前提是每条排除规则必须带有有效期、理由与审批人。附带条件值得注意：没有有效期的白名单往往会在日后变成被利用的缺口。
团队运行方面，草案要求告警的严重程度字段至少包含四个取值，并可按告警内容、相关资产重要度和数据充实结果配置自动判定或调整规则；可分配一名或多名处置人，并允许用户主动认领未分配的告警；可按分组、班次或严重程度配置自动分派规则；可按处置人、分组与班次查看告警队列并保存复用筛选条件；以及在处置界面直接显示已充实的数据。
档案方面（5.1.2），草案要求通过组合一条或多条告警创建档案，默认状态为开启；支持检索与分组；可把状态在开启与关闭之间更新，结果取值为发现正确或发现错误；可查看处置历史；可设置时限并判断是否超期；可为档案套用剧本；并可分配一名或多名处置人。升级与通知（5.1.3）要求配置在告警或档案超期或达到设定严重程度时自动升级的规则，支持多级升级并对应各级接收人，在告警或档案被分配、临近时限、超期，或剧本需要人工交互或审批时，通过至少两个渠道发送通知；草案鼓励提供班表管理并按事发时班次自动确定接收人。
十二、事件监控分析、证据与响应指挥
事件监控与分析（5.2）虽只有两项要求，却都属关键：以带链接信息的路径形式可视化展示事件内相关对象之间的关联，至少覆盖IP地址、电子邮件地址与域名；以及展示事件内的事件时间线，包括出现时间、内容、相关对象（如有）与已采集证据（如有）。这是分析人员在还原事件经过时使用最多的两项功能。
事件响应指挥（5.6）则深入到团队工作管理：档案内的任务包含名称、描述、执行人、时限、状态、结果与对应响应阶段，可按六个阶段（准备、发现与分析、遏制、清除、恢复、总结复盘）分组，可按事件类型套用任务清单模板，并可设置任务之间的依赖关系。
角色方面，要求在每个档案中为参与者分配角色，至少包括响应指挥、分析人员与记录人员，并实时显示当前参与处置的人员名单。指挥日志方面，要求把所有行为自动记录到档案的统一时间线中，包括用户行为、剧本执行步骤、状态变更、任务变更、证据接收与访问、沟通信息；该时间线不得修改或删除，并且可导出用于编制事件报告。分级与关联方面，要求以至少四个等级划分事件严重程度；可把档案与一个或多个其他档案关联、合并与拆分，并在合并或拆分后保留处置历史；可对单个档案设置受限访问模式，仅允许指定账户查看与处置，并将访问行为记入审计日志。
事件报告（5.6.5）要求按用户定义的模板从档案数据生成报告，至少包含事件摘要、时间线、影响范围、相关失陷指标、已采取措施、结果与建议；草案鼓励按法律规定自记录事件之时起跟踪事件报告的报送时限。这一建议说明起草方也考虑了现行法律下的报送义务，而不只是内部需要。
十三、数字证据管理
这是旧要求中少见的组别，也是草案的亮点，因为数字证据决定事件移交主管部门或按法律程序处理时的结果。四个子项包括证据接收与保全、证据链、可疑恶意证据的安全处理，以及留存与销毁。
接收与保全（5.5.1）要求在接受每个证据文件的当时即自动计算并保存其哈希值，所用哈希算法须未公布弱点；可按要求或按周期通过比对哈希值复核完整性；阻止接收后修改文件内容，任何变更必须以新增版本、保留原件的方式实现；并以加密形式存储证据。
证据链（5.5.2）要求记录并可查看每一项证据的证据链，至少包括时间、执行账户、工作站地址、行为类型（接收、查看、下载、复制、移交、销毁）与关联档案；该记录不得被任何角色（包括系统管理员）修改或删除；并可导出为文件，同时输出该导出文件的哈希值。
可疑恶意证据（5.5.3）要求可标记并存储于隔离区域；不得自动显示内容、执行或打开被标记文件；下载时须以具备防护的格式封装并提示警示。留存与销毁（5.5.4）要求按档案类型设置留存期限并在到期时自动通知，销毁前须经审批，并对销毁行为记录审计日志。
十四、集成与自动化：剧本与集成组件
这是SOAR产品的核心，也是第5条中最长的一组。集成组件管理（5.3.1）要求可通过图形界面新建、查看、更新、删除；可使用至少一种解释型编程语言开发；在具备资源限制的隔离环境中执行代码，限制执行时间、内存与子进程；可限制代码的网络访问与文件系统访问范围；用户自行开发的组件在投入生产环境前必须经过审批；并对代码创建与修改记录审计日志。
多平台集成（5.3.2）至少列出九个类别：SIEM；TIP；终端安全（如EDR、EPP）；网络安全（如NIPS、WAF）；恶意代码分析；工单系统；IAM；邮件安全网关；IDPS。API支持（5.3.3）要求可按集成组件配置一个或多个API；公布所支持的API与连接器清单，含认证方式、集成方向、交换的数据类型、可执行动作与所需最低权限；可查询数据以充实SOAR中的记录；可执行动作影响集成平台；与IT运维系统、协作工具双向集成；并按动作控制执行权限，可配置白名单与影响范围限制，同时向用户展示执行结果。
剧本管理（5.3.4）要求较为细致：剧本至少应能由以下要素构成：执行块、块之间的路径、分支条件、对数据集循环、并行执行分支与汇合点、要求人工操作的块、要求审批的块，以及变量与数据变换表达式。剧本可导出为文件并可从文件导入，导入时须校验文件完整性，并在确认前显示剧本所需的集成组件与权限清单；可把一个剧本嵌入另一个剧本；保存版本历史并显示每次变更的执行人与时间，可比较任意两个版本的差异并回滚；剧本状态至少包括草稿、待审批、已发布、停用；可配置发布前的审批流程，其中审批账户必须与创建或修改剧本的账户不同；可用示例输入在模拟模式下试运行而不影响集成平台；可打标签、分组并按标签或所用集成组件检索；并可在剧本或集成组件被修改或删除时，确定受影响的剧本与集成组件清单。
执行方面，通用要求（5.3.5）适用于两种模式：设置执行时限；判断剧本及其各步骤是否超期；并可查看各步骤的执行历史，含输入数据集、输出数据集、开始时间、结束时间与执行状态。自动模式（5.3.6）允许按条件与告警、档案检索规则配置剧本，在无人交互的情况下执行全部步骤。半自动模式（5.3.7）允许依据用户输入执行，方式包括输入数值或字符串、从可选值中选择、上传文件、设定自动开始时间；执行历史须补充交互用户账户字段；可把上一步的结果作为下一步的输入；并可为需要人工交互的步骤分配交互人员。
十五、剧本的执行控制与异常处理
第5.3.8条是自动化的”安全阀”，含十二项要求，我们认为这是草案中对运营人员最实用的部分：定义某步骤失败时的处理分支；为各步骤设置重试次数与重试间隔；在整部剧本时限之外为每个步骤单独设置时限；可暂停、继续、取消正在执行的会话；可对已处置过的告警或档案重跑某一步骤或整部剧本；具备阻止同一剧本在同一告警或档案上并发执行的机制；可限制剧本在一次执行中最多可作用的对象数量，超出时剧本须停止并转入待审批状态；可限制对各集成组件的调用频率，以避免超过集成平台的服务上限；执行被判定为危险的动作前须确认或审批；可为在集成平台上执行动作单独设置最大等待时间（与步骤时限相互独立）；以及在被调用的集成平台支持回滚时，可对已执行动作实施回滚。
其中两项在风险管理上值得强调：带自动停止与审批闸门的对象数量限制，可防止有缺陷的剧本批量影响设备；集成组件调用频率限制，可防止自动剧本压垮或超出集成平台的服务上限。这两种运行事故，都曾在未设限制便启用自动化的单位中发生过。
十六、处理性能与附录A：评价方法
与前两份草案不同，本草案直接规定若干性能阈值，而不仅是要求供应商公布。第5.4条三项内容包括：对日志、告警与档案的任意复杂度检索，响应时间最长为01分钟；可在01分钟内并发采集、处理并存储至少1.000条告警；并须公布可并发执行的剧本线程数与连接器数量的最低值。
对评价工作最有价值的是附录A：它规定四种评价方法,文件审查、功能试验、性能测量与安全配置评估，并规定各要求组对应的评价方法：文件要求采用文件审查；系统管理、认证权限与凭据管理采用功能试验结合配置审查；错误控制与系统日志采用故障模拟试验结合日志审查；可用性采用故障切换试验；运行状态监控采用功能试验；业务功能采用功能试验；处理性能则按专门测量方法执行。评价结果须形成报告，写明所采用的方法、测量条件与对每项要求的符合性结论。
性能测量方法对测量条件作出较细的规定：供应商必须公布测量所依据的参考软硬件配置，至少包括CPU/vCPU数量与型号、内存容量、存储设备类型与速度、网络带宽、产品软件版本与底层操作系统。时延测量的参考数据集不少于1.000万条日志、告警与档案记录；执行至少三种典型查询（单条件简单查询、多条件多字段复杂查询、全文检索）；并记录每种查询的平均响应时间与第95百分位响应时间，每种查询至少重复30次。并发采集测量模拟至少两个告警源在01分钟内合计发送至少1.000条告警，并测量成功接收、处理、存储的比例。并发剧本执行测量确定在不产生执行错误的前提下可同时运行的剧本线程数与连接器数量的最大值，并测量在最大负载相对于基准负载（基准负载不超过最大线程数的50%）时响应时间的下降幅度，该下降幅度须由供应商公布具体数值。
若SOAR以云服务（SaaS）方式提供且无法确定具体硬件配置，供应商必须公布等效的服务水平，例如资源配额与服务等级协议，作为评价时的对照依据。
十七、SOAR中的威胁信息管理
一个值得注意的架构细节：尽管已有TIP专项草案，SOAR草案仍用一节规定威胁信息管理，其深度足以支撑日常运营。第5.7.1条要求存储并管理失陷指标，至少包括五类：IP地址、域名、URL、文件哈希值与电子邮件地址；每条指标至少包含类型、取值、来源、记录时间、可信度、危险程度、共享标签与有效期；按类型与取值自动去重，同时保留全部来源信息；可设置排除清单，避免记录与处理已知合法基础设施的指标；并在超过有效期后自动转为失效状态。
接收与共享（5.7.2）要求按预定计划从文件与外部数据源接收指标；在接收与提供两个方向上至少支持一种被广泛认可的威胁信息交换格式；并按每条指标的共享标签控制对外共享。比对与发现记录（5.7.3）要求自动把指标与新产生的告警、档案比对并记录结果；可把新接收的指标与指定时间区间内已存储的告警、档案数据进行反向比对，并在命中时生成告警；并记录某指标在组织数据中被发现的次数与时间。威胁实体管理（5.7.4）属鼓励性要求，覆盖威胁主体、攻击行动、恶意代码家族与攻击技术，并与指标、告警、档案建立关联。
最后一节”下发防御措施”（5.7.5）形成从发现到行动的闭环：可通过带审批机制的剧本把失陷指标下发至各集成平台以实施封禁过滤；并可收回已下发的封禁措施，同时记录每条指标在各个集成平台上的下发状态。可收回并按平台跟踪状态是相当实际的细节：当误封了合作方的地址时，准确知道哪条指标被推送到了哪个系统，是快速恢复的前提。
十八、企业与组织需要准备什么
对SOAR产品制造商与服务提供商，需按四个层面自查：十二类文件体系，尤其是按负载等级的架构与基础设施文档、版本兼容矩阵与支持政策；治理与安全要求，重点包括TLS 1.2及以上且可禁用旧套件、审计日志对管理员亦不可篡改、剧本导出文件不得泄露凭据；业务功能，重点是执行控制与异常处理；以及按固定阈值的性能要求与附录A。
对部署单位，无论是自建安全运营中心还是提供监控服务的机构，应提前准备标准将会要求的内容：告警源清单与分组方式；统一的告警与档案状态、结果取值；带有效期、理由与审批人的去重、档案归并与排除规则；创建人与审批人分离的剧本审批流程；证据留存与销毁政策；告警与证据中个人数据的处理方式；以及按法律规定跟踪事件报送时限的机制。
对检测实验室与合格评定机构，本草案几乎自带评价大纲，准备工作集中在三件事：按草案规定的最低规模建设参考数据集，准备多来源并发发送告警的模拟脚本，以及设计用于验证供应商公布RTO的故障切换试验。对系统所有者，现阶段合理做法是把草案作为评估供应商的问题清单，尤其是数字证据与产品生命周期两部分，因为它们直接关系到法律风险与长期运营风险。
十九、常见问题
这份草案已经生效了吗？
还没有。草案仍在征求意见与审定阶段，暂编号TCVN XXXXX:2026，内容在公布前仍可能调整。
该标准是否强制适用？
国家标准属自愿适用，仅在规范性法律文件、技术法规、合同或项目文件引用时才具有强制性。
SOAR草案与SIEM、TIP草案有何不同？
三者针对同一体系中的不同产品：SIEM基于日志数据发现威胁，TIP管理多来源威胁情报，SOAR负责执行与响应编排。SOAR草案也是三份中唯一在附录中给出评价方法与性能测量方法的草案。
SOAR草案的附录A是参考性内容吗？
与TIP草案的附录A不同，它没有标注为参考性。它规定评价方法，应作为要求体系的一部分来阅读，尤其在准备评价档案时。
文中引用的性能阈值是否为最终数值？
不是。本文仅记录分析时草案中的阈值；标准正式发布后应核对正式文本。
二十、延伸阅读
- SIEM标准草案：安全信息与事件管理产品通用要求
- TIP标准草案：网络安全威胁情报平台通用要求
- 第125/2026/TT-BCA号通知：监控摄像机列入中风险货物清单
- 第14/2026/TT-BKHCN号通知：八种认证方式及如何选择
- 如何选择检测实验室以满足越南合规要求
二十一、参考来源
- TCVN XXXXX:2026草案《网络安全 – 网络安全编排、自动化与响应产品 – 通用要求》，由网络安全与高技术犯罪防范警察局起草、公安部建议、国家计量质量标准化委员会审定、科学技术部公布。草案不具有适用效力；本文概述其结构、适用范围与要求组，不摘录条款原文。
- 信息技术与传媒部部长2021年12月2日第1907/QĐ-BTTTT号决定，发布编排、自动化与响应产品的基本技术要求。
- 草案列出的参考文献：Gartner关于安全编排、自动化与响应解决方案的市场指南（2023年11月）；关于网络安全风险管理中事件响应建议与注意事项的NIST SP 800-61r3。
- 同系列已分析的两份草案：TCVN XXXXX:2026关于SIEM，以及TCVN XXXXX:2026关于网络安全威胁情报平台（TIP）。
二十二、联系我们
SOAR产品制造商与服务提供商、安全运营中心，以及正在准备平台评价档案的组织，可通过下表提交需求，就标准发布前需要开展的适用性评价、测量方法与应准备的资料进行沟通。
本文分析的是尚未发布的标准草案，仅用于信息普及，不代替标准文本，也不构成针对具体情形的技术与法律咨询。草案内容在公布前可能调整，文中数值为分析时草案中的数值。标准正式发布后，请使用正式文本及现行法律规范性文件。
