如何用 Claude 起草 IT 資產處置的合規文檔

一句話結論："擦了盤、回收了"不是記錄——審計師、保險公司或監管方要問的是：哪一台設備、用什麼方法擦除、誰核驗的、之後去了哪裡。Claude 真正擅長的，是把一份亂糟糟的退役表變成逐台設備的處置記錄和一段保管鏈敘述，字段正好對得上這些問題。它做不到的是讓這些內容成為事實：它整理和結構化證據，但不會去核實某塊硬盤到底有沒有被清除乾淨。

香港一家專業服務公司做硬件更新換代：140 檯筆記本、九台服務器、一台退役的 NAS，還有兩箱三年前某團隊轉用移動設備管理方案後留下的舊手機。

動作層面一切順利。設備收上來、筆記本擦乾淨、回收商把這堆東西拉走，有人在資產表裡加了一列寫上"已處置"和日期。項目結案，大家繼續幹活。

十四個月後，公司在做 ISO 27001 的監督審核，審計師從上一版清單裡隨機挑了三個資產標籤。對每一個，問題都一樣，而且完全合理：這台設備上有什麼數據、數據是怎麼銷燬的、誰核驗的、實物之後去了哪裡。表裡寫著"已處置，3 月 14 日"。回收商只按整批重量開過一張收據。

最後並沒有認定發生過真實的數據泄露，因為確實沒有泄露。但記錄這一項被開了不符合項，因為公司無法證明自己做了什麼。這篇文章講的就是這種失敗模式，而它恰恰是最常見的一種。

為什麼"擦了盤、回收了"不是任何人能拿得出手的記錄

會來問的人比多數 IT 團隊預期的要多。ISO 27001 審計師會把資產處置作為資產管理的一部分來抽查。網絡安全保險的投保問卷會問報廢介質怎麼處理，真到理賠時還可能要你拿出證明。客戶的供應商安全評估問的是同一件事。個人信息保護的監管方在調查事件時，會問承載相關個人信息的那些設備後來怎麼樣了。每一方要的都是設備級別的具體信息，不是一份政策文件。

他們真正在檢驗的是一條鏈：這台特定設備存在過、它承載過這一類數據、它以這種方法被清除、這件事被核驗過、它在這個日期離開你的保管、最後到達了這個終點。任何一環斷了，其餘環節就不再是證據。而大多數回收商預設開具的按重量計的回收收據，跟序列號根本對不上。

這些具體要求也沒有大家想的那麼玄。多數處置流程所參照的 NIST SP 800-88 Rev. 1 指南，描述了三類清除方式——Clear、Purge、Destroy——並給出了一份清除證明樣例，列明瞭讓記錄站得住腳的字段：品牌型號、序列號、介質類型、所採用的清除方法、使用的工具及版本、如何核驗，以及執行人和核驗人分別是誰。字段清單不是難點。難點是在一次忙亂的換代過程中，由本職工作是換代的人，把這些字段給 140 台設備一一採集齊。

面對一份退役表，Claude 實際能整理出什麼

Claude 可以讀取上傳的文件——表格、CSV、PDF——而它特別適合這件事，是因為這項工作屬於文檔推理而非計算：把不一致、由人手寫的記錄重新整理成統一格式，同時標出缺了什麼。支援的文件類型和體積會隨時間和套餐變化，所以請查閱當前文檔，不要憑印象假設。

把它能做到和做不到的說清楚。這是一項文檔工作。Claude 能把你團隊記下來的東西變成審計師看得懂的記錄，也能大聲告訴你底層記錄哪裡不完整。但它無法確認序列號 5QM1J8VT 的那塊盤有沒有被清除乾淨，而再漂亮的排版也不會把一次沒有記錄的擦除變成經過核驗的擦除。誠實地用它，第二個特性——把缺口大聲標出來——比排版本身更有價值。

一份字段對得上審計要求的逐台處置記錄

有用的指令是：把目標字段清單交給 Claude，讓它把你的表映射上去，一台設備一行，而不是讓它"把表整理一下"。

一組可用的字段，取自 NIST 證明樣例以及審計和保險實際會問的內容：資產標籤、品牌型號、序列號、介質類型與容量、該設備承載的數據密級、清除方法及其對應的標準、使用的工具及版本、核驗方法與結果、執行人、核驗人、日期，以及最終去向——內部再利用、二次銷售、回收，還是物理銷燬。

然後要求：凡是源數據裡沒有的，必須明確寫"未記錄"，絕不能留空。第一遍跑出來的那份缺口清單，才是真正的產出。它通常會呈現出同樣的幾種模式：手機那批沒有序列號、所有條目都沒有具名核驗人，以及一批設備的清除方法只寫了"已擦除"。

一段從下架到最終處置的保管鏈敘述

第二個值得生成的東西不是表格，而是文字：一段簡短的事實性說明，講清楚一批設備如何從原來的辦公桌走到最終終點。某日由某人收取、存放在某個上鎖房間、打標籤並盤點、由某供應商依某編號取走、某日處理完畢、針對這些序列號開具了證明。

這件事重要，是因為審計師和保險公司讀敘述比讀表格快得多，也因為寫這段敘述的過程會把斷點暴露出來。你寫不出來的那句話，就是你缺失的那個控制措施——最常見的是"從用戶手上收齊"到"回收商來拉走"之間的那兩週，設備待在一個沒人記錄過出入的房間裡。

一套可複用的流程——從一份亂糟糟的退役清冊到可供審計的記錄

1. 在換代開始前就定好記錄格式，而不是事後補。以 NIST 證明樣例的字段作為起點，再加上你的監管方、保險公司或最大客戶額外要的內容，把它發佈成採集模板。目標在第一天就明確，後面每一步都更便宜。

2. 把你手上真正有的東西導出來。從資產系統裡導出退役條目——Lansweeper、Snipe-IT、ServiceNow CMDB、Intune 導出，或者那份其實才是真正記錄載體的表格——外加你能找到的擦除工具日誌和供應商單據。

3. 在同一輪裡同時要映射結果和缺口報告。給出字段清單，要求一台設備一行，源數據沒有的地方必須寫"未記錄"。然後直接問：哪些設備缺哪些字段。先讀缺口報告，它會告訴你這件事真正的重點在哪。

4. 趁線索還熱，從源頭把缺口補上。序列號從擦除工具日誌裡拿，具名核驗人找當時執行擦除的人，供應商編號從取件單據上找。這件事要在換代結束後幾周內做，而不是等到審計時——擦那批筆記本的人三月還記得，第二年就不記得了。

5. 按批次生成保管鏈敘述。每次收取寫一段簡短說明，寫明日期、保管人、存放地點和供應商編號。用審計師的眼光讀一遍，把每一句你拿不出文件支撐的話都標出來。

6. 和供應商自己的證明逐一對帳。你的記錄和 ITAD 供應商的證明必須逐個序列號對得上。對不上是常態——有設備根本沒送到供應商那裡，或者他們證明上的某個序列號不在你的清單裡——每一條都值得現在解決，而不是等著被別人發現。

AI 結構化處置記錄 vs ITAD 供應商的證明 vs 只有一份內部表格

• AI 結構化記錄。能很快把團隊採集到的內容變成一致的逐台文檔，而真正有價值的那一半是：在還來得及補救的時候，明確列出缺了什麼。它本身不證明任何事，不提供獨立核驗，而且如果你不強制它標註缺口，它會樂於把一份不完整的記錄排版成看起來很完整的樣子。正確用法：整理並壓力測試你自己的證據，儘早發現缺口。
• 有資質的 ITAD 供應商的逐台證明。單項證據裡最強的一種，因為它來自獨立第三方，背後有方法、有工具、有標準——帶序列號的逐台銷燬證明，加上針對實物終點的回收與 ESG 證明。它只覆蓋供應商接手之後的那一段，鏈條裡屬於內部的另一半仍然要你自己交代。正確用法：作為銷燬的權威記錄，與你的內部軌跡相互對帳。
• 只有一份內部表格。便宜，而且只要它真的完整、持續維護，也好過沒有。但實際上它很少兩者兼備，因為維護它的人首要任務是換代；而且它沒有任何獨立核驗——那只是你對自己設備的自我陳述。正確用法：作為換代期間的活動工作記錄，向上面兩種文檔供料，而不是作為最終證據。

文檔不等於證明的地方

排版不是核驗。從一行只寫著"已擦除"的數據生成出來的乾淨證明，是一份關於未經核驗的擦除的乾淨證明。文檔變好看了，證據並沒有變強。這是最需要想清楚的一點，因為排版漂亮的輸出對所有人都很有說服力，包括生成它的那個人。

序列號是承重字段，也是最常出錯的字段。它們很長、靠人手轉錄，而且全是容易混淆的字符。一條序列號與供應商證明對不上的記錄，比沒有記錄更糟，因為它看起來像證據，卻恰恰在它本該經受的審視下垮掉。請拿機器生成的來源去對帳，而不是拿人打出來的。

把這件事做對——保管鏈的完整性、數據敏感度，以及何時該讓 IT 介入

不要把你正要保護的東西粘進聊天窗口。一份處置記錄需要的是序列號、方法和日期。它不需要設備上原本的數據，也不該需要客戶姓名、員工標識或案件編號。如果要描述設備承載過什麼，請用密級——比如"客戶文件，機密"——而不是內容本身；在上傳任何資產清單之前，也先確認你自己關於企業版與個人版 AI 帳號的政策。

把"你知道的"和"你主張的"分開。最有用的紀律，是在記錄裡把"當時就記下來的"和"事後重建的"明顯區分開。審計師對一個被如實記錄的缺口的尊重，遠高於對一段被當作當時記錄呈現的事後重建；而把後者當成前者來呈現，正是那種會升級的不符合項。

在設備搬走之前讓 IT 介入，而不是等審計找上門。哪些設備承載過受監管數據或客戶數據、某塊盤能不能原地清除還是必須物理銷燬、開不了機的設備怎麼辦、全盤加密如何改變這套論證、誰有資格核驗一次擦除——這些都是工程問題，但有合規後果。而且在回收商的車到門口之前回答，成本要低得多。

弄清楚助手在合規流程裡到底能幫上什麼忙——以及它的輸出在任何時候都不能被誤當成證據——這屬於 AI+ 支援 的範疇。銷燬本身，包括符合 NIST 800-88 的數據清除、有記錄的保管鏈收取、逐台證明，以及可用於 ISO 27001 與保險用途的最終處置報告，屬於 IT 資產處置服務，由同一支負責下架設備的 IT 支援 團隊執行。關於同一資產生命週期裡在役清單的一側，可參見我們關於用 DeepSeek 核對硬件清單的文章；關於另一套監管體系下的審計證據整理，可參見準備等保審計證據。

常見問題

這能取代有資質的 ITAD 供應商自己出具的證明嗎？

不能，也不該往這個方向做。供應商的逐台銷燬證明，是來自獨立第三方、背後有明確方法和工具的證據；你自己的結構化記錄，是你對自己設備的陳述。兩者職責不同，價值來自同時擁有兩者並逐個序列號對帳。事實上，好的內部記錄反而讓供應商證明更有用，因為它讓你能證明供應商接手之前的那半條鏈。

真實的審計會要求哪些字段？

從 NIST SP 800-88 Rev. 1 裡的清除證明樣例開始——品牌型號、序列號、介質類型、清除方法、工具及版本、核驗方法與結果、執行人與核驗人、日期——再補上最終去向和該設備承載過的數據密級。在這之上，去問真正會來問你的人：你的認證審計師、你的網絡安全保險經紀，以及你最大客戶的供應商安全問卷。他們的清單重合度很高，而且那才是真正算數的清單。

這對電子廢棄物和環保合規也有幫助嗎？

有一部分幫助，而且值得在記錄裡把這兩條線分開。數據銷燬和環保處置對應的是不同規則，通常也產出不同單據——一份是對著序列號的銷燬證明，一份是對著實物的回收或 ESG 證明。同一套結構化方法兩邊都適用，而有了設備級記錄，你會容易得多地證明某台資產既被清除過、也被負責任地回收了，而不是一邊只有重量收據、另一邊只有擦除日誌。

處置記錄該保存多久？

比項目更久，而且要按政策來，不能憑習慣。實際的輸入條件包括：你所依循的認證體系自身的要求、保險公司的期待、這些設備承載的數據類別對應的保存期限，以及你經營所在地適用的時效期間——正因為如此，誠實的答案是和你的合規或法務顧問一起定，而不是照著一篇文章定。運作層面真正重要的是：有一個明確的期限、記錄和資產管理記錄放在一起而不是留在項目文件夾裡，並且若干年後真的有人能把它們調出來。

我們的筆記本全都加密了，這會改變需要記錄的內容嗎？

它讓你的立場更穩，但不會免除記錄義務。全盤加密加上妥善銷燬密鑰，是被認可的清除實踐的一部分，在某些監管體系下確實會實質性改變分析結論。但你仍然要能證明哪台設備被加密過、密鑰被銷燬了、以及你是怎麼核驗的——這還是同一個記錄問題，只是換了個形狀。把加密當作一項仍然需要證據的強控制措施，而不是"可以不用記錄"的替代品。