在做产品安全、漏洞管理或者供应链风险审查时，经常会碰到Cybellum合规报告怎么导出，Cybellum合规报告字段不符合审核怎么办这类问题。很多人以为报告导出只是系统里的一个操作动作，但真正影响审核结果的，往往是报告范围、产品版本、组件数据、漏洞状态和证据记录有没有提前整理好。如果底层信息没有对齐，导出的文件看起来再完整，也可能因为字段缺失、口径不一致、凭证不足而被退回，所以在导出之前，需要先把数据源和审核要求一起检查清楚。

　　一、Cybellum合规报告怎么导出

　　这份合规报告最后能不能通过人家的审查，很多时候不是看你点导出按钮点得对不对，而是看报告里那些数据是不是干净的；要是产品型号没搞清楚、组件的状态很乱、漏洞怎么处理的也没有凭证，哪怕最后拿出来的报告格式看着挺全的，去审查的时候也很容易被人家给退回来。

　　1、要认准报告对应的是哪一个产品，还有哪一个版本

　　在点导出之前，我们要先确认好，这份报告到底绑在哪一个产品上面、对应的是哪一个软件版本、哪一个固件包，或者是哪一个生产批次；我们可千万不能把开发时候的版本、测试的版本、还有正式卖的版本混在一块儿去导出，要不然的话，报告里面写着的风险状态、修理计划还有组件清单，到时候就很难跟人家解释清楚了。

　　2、去检查组件清单、漏洞情况，还有风险的状态

　　这种合规文件里面，一般都会引用组件清单、漏洞的匹配结果、风险的严重级别、安全漏洞说明状态，还有修补的记录这些内容；我们在导出以前，得看看这几个板块有没有很明显的空缺，比方说组件的版本空在那里没写、漏洞的状态一直放在那里显示“等着确认”、说是误报但是没有凭证、或者是说修好了却没看到重新扫描的结果。

　　3、把模板还有审查的口径给对齐了

　　不一样的审查地方，人家看重的东西也是不一样的；如果是去应付UNECE R155或者ISO/SAE 21434这类的检查，人家通常更想看到网络安全怎么管、风险怎么评估、威胁怎么分析、漏洞怎么解决，还有证据能不能往前追溯；要是去应付医疗器械网络安全方面的提交，人家可能就更关心组件清单、漏洞怎么管、补丁怎么打，以及上市以后的监测；要是换成客户开的安全检查，人家又可能会让我们导出一些定死出来的栏目。

　　二、Cybellum合规报告字段不符合审核怎么办

　　栏目跟审查要求对不上的时候，我们不能只觉得这是“样式不好看”的问题；有时候确实是样式里的栏目名字没起好，但更多的时候，是因为系统里的数据、审查的要求，还有我们内部的流程没有对在一块儿；我们在处理的时候，要先分清楚，这到底是漏了栏目、栏目的意思不一样，还是手头的证据不够多。

　　1、要是漏了栏目，就回到数据的源头去补齐

　　如果报告里面缺了组件的版本、漏洞现在处于什么状态、什么时候修好的、谁来负责、或者是证据的编号这些内容，我们要先回到对应的功能板块里，去检查数据的源头；比方说组件的信息没有了，我们就去组件清单或者资产单子里补上；漏洞的状态没写，就去漏洞分析的页面更新一下；证据要是没有，就把测试的记录、供应商给的声明、修理时候的截图，或者是审批的记录给粘上去。

　　2、要是栏目的名字不一样，就去调整样式的映射关系

　　有些审查方会用他们自己习惯的词儿，比方说“风险处置状态”、“整改措施”、“残余风险”、“责任部门”、“验证结论”这些，可是系统里面可能管这些叫vulnerability status、remediation plan、risk acceptance、owner或者evidence；虽然词儿的意思是一样的，但名字对不上，也可能会被审查方挑刺，让我们拿回去改。

　　3、要是手头的证据不够硬，就去补充审查的说明

　　有些栏目倒不是说空着没填，而是里面的解释说得太轻飘飘了；比方说，有个漏洞被我们标记成了“不受影响”，但是我们在里面没有写为什么不受影响；风险被我们标记成了“接受”，但是没写凭什么能接受；修理状态写了个“已完成”，但是底下没有重新扫描的结果，也没有验证的记录；像这种报告，拿去审查的时候很容易被人家不停地追问。

三、Cybellum合规文件具体的导出步骤

Cybellum这个软件由于版本不一样、安装的方式不同、个人的权限有大有小，里头的菜单名字可能不完全一样；我们在实际动手操作的时候，不用死记硬背哪一个具体的按钮，只要顺着“选好报告的范围、确认好样式、提前看看栏目、最后导出文件”这么一条线索去弄就行了。

1、先找到合规或者报告对应的板块点进去

我们把系统登录上去以后，先点进我们要搞的那款产品或者资产里面，然后去里面找跟【合规】、【报告】、【凭证】或者【产品安全】差不多意思的入口；要是公司内部专门设了一个管合规的工作区域，我们也可能要从项目那一级页面进到报告管理里面去。

2、挑选一个合适的报告样式

我们在挑报告样式的时候，得根据这份报告要拿去干什么来决定；如果是拿去内部开会评审，报告可以多放一些风险的大致情况、还有整改的进度；如果是要拿去给客户交差，报告就可以多放一些组件清单、漏洞现在怎么样了、怎么修的说明，还有还剩多少风险；要是拿去走法规审查，那就得更注意条目的对应、证据的编号、审批的字样，还有整个过程是不是前后一致的。

3、先预览一下，然后再导出成文件

在真正导出之前，建议大家都要先预览一下；我们要重点看看标题的信息、产品的版本、报告生成的日期、统计的数字、风险的情况、漏洞有多少个、修理的计划、谁签的字，还有证据附件是不是都全了；要是发现有栏目漏掉了，我们应该优先回到系统的数据里面去补齐，千万不要只在导出来的文件上面临时去改。

　　总结

　　关于Cybellum合规文件怎么导出，它的核心其实并不是去把导出的按钮找出来，而是得先确认好产品的版本、报告的范围、样式的口径，还有底下的那些数据，等预览完栏目之后，再根据报告的派什么用场去导出。要是遇到了Cybellum合规报告里的栏目不符合审查要求的情况，我们也不能光在导出来的文件上面临时去涂改，而是得老老实实地回到组件清单、漏洞、风险、测试、证据，还有审批记录里面，去把数据的来源给填补齐；真正靠得住的做法，是把报告的样式、审查的条目、系统里的栏目，还有我们内部的干活流程全都对应好，让拿出来的每一份合规报告，都能清清楚楚地说明数据是从哪儿来的、状态凭什么这么判、凭证是谁确认的，以及后面还要怎么去复核。