UNKNOWNはPASSではない
最も高くつく監査の失敗は、誤った判断ではなく、判断自体が行われずに緑色のチェックとして黙認されることです。このスキルは1つの反射神経を植え付けます：レポート内のすべての主張には、PASS、FAIL、UNKNOWNのいずれかの証拠クラスが付与されなければなりません。 それ以外はすべて指摘事項です。
反射神経
あらゆる監査/スキャン/レビューの結論を受け入れる前に、すべての行を再分類します：
| レポートの記述 | 実際の分類 |
|---|---|
| "問題は見つかりませんでした" | チェックが実行され、データがあった場合のみPASS |
| "N/A" または空欄 | UNKNOWN — WARNレベルの指摘事項として扱う |
| チェックがエラーまたはタイムアウト | UNKNOWN — ツールの沈黙はシステムの無罪を意味しない |
| 「ポリシーにより」チェックをスキップ | UNKNOWN — 誰が判断したのか、それは記録されているか？ |
| 期間より古いデータ | UNKNOWN（古さ＝証拠なし） |
手順
- レポートが実行したと主張するすべてのチェックをリストアップする。
- それぞれについて：機械可読な結果を生成したか、それとも要約的な主張だけか？
- 証拠のない行をすべてUNKNOWNに再分類し、スコアを再表示する。UNKNOWNはFAILの隣に表示し、決して「その他」にまとめない。
- 判定を言い直す：
PASS: X / FAIL: Y / UNKNOWN: Z。Zがチェック全体の20%を超える場合、監査はXの値にかかわらずINCONCLUSIVE（結論不十分） とする。 - 各UNKNOWNについて：それを解決できる唯一の成果物（ログファイル、来歴証明書、スクリーンショット、トランザクションハッシュ）を指定する。
ルール
- 30%がUNKNOWNの緑色のダッシュボードは、赤色のダッシュボードである。
- 分類の拒否＝監査人がチェックを実行しなかったことを意味する。
- これはあなた自身のレポートにも適用される — 都合の良いUNKNOWNこそ、あなたがスキップするものである。
対象外
- 継続的監視（それはパイプラインであり、レポートレビューではない）。
- リスク選好の決定 — これは証拠を分類するものであり、証拠を受け入れるものではない。
例
質問：「セキュリティスキャンは問題なしでした — これで大丈夫ですか？」 Before：214件のチェック、「0件の指摘事項」、出荷。 After：186 PASS、12 FAIL（情報として抑制）、16 UNKNOWN（スキャナの認証情報が5アカウント中2アカウントのみ）。 本当の判定：INCONCLUSIVE — まずスコープを修正せよ。
バージョン
1.0.0 — DDGスターターシリーズ（有料のx402監査エッジを実行した際の運用知財）