香港企業為何打包採購MSP、MSSP與HKMA C-RAF支援

摘要： 過去幾年，香港採購市場出現了一個共同模式：一些公司——尤其是那些本身就是受香港金融管理局（HKMA）監管的認可機構（AI），或是向此類機構銷售技術與服務的公司——開始發出單一份RFP，要求同一家供應商同時交付託管IT（MSP）、託管安全（MSSP），以及HKMA網路安全監管與網路韌性評估框架（C-RAF）相關的支援，而不是拆成三份獨立採購。這不是一種行銷趨勢，而是直接源於香港金融管理局《監管政策手冊》將委外、科技風險與網路韌性視為一條受監管機構永遠無法完全轉移的單一問責鏈條。本報告解釋這一轉變背後的監管機制、C-RAF在其自身文件結構中實際要求的內容、這三類採購項目在實務中各自具體意味著什麼，以及——同樣重要的是——一家技術與安全供應商能夠誠實地為客戶做什麼，與客戶自身不可轉移的監管責任之間的界線究竟落在哪裡。

關鍵發現

打包採購模式是對HKMA委外監管的理性回應，而不是供應商的銷售話術——《監管政策手冊》的委外模組明確指出，認可機構可以委外活動，但永遠無法委外問責。
C-RAF不是單一測試，而是一個三部分的評估序列——固有風險評估、針對既定控制領域的成熟度評估，以及針對高風險機構的網路攻擊模擬測試（CAST）。
「MSP」與「MSSP」並不像兩家供應商採購模式所暗示的那樣可以分離——在實務中，備份/復原、端點管理、基礎設施維運，與端點安全、威脅偵測、事件應變是不可分割的。
沒有任何供應商能夠代表受監管機構完成、證明或提交C-RAF評估——那是該機構董事會與高階管理層自身層級的問責。
負責任地投標一份打包合約，其組織門檻高於單獨投標MSP或MSSP：需要一體化營運、將證據內建於日常交付而非事後拼湊，以及在供應商責任邊界上有明確的合約約定。

這一模式：一份RFP，三個歷來分離的專業領域

香港一家公司近期的一份RFP——這類文件通常在境內的託管服務供應商之間流傳，而非面向公眾撰寫——要求單一供應商在同一份合約下並列涵蓋：

MSP服務：託管IT服務、駐點支援、基礎設施管理、雲端支援、備份與復原服務。
MSSP服務：SOC即服務、威脅偵測與監控、弱點評估、滲透測試、端點安全、郵件安全、網路安全、資安意識培訓。
監管與網路韌性支援：HKMA網路安全相關監管支援、C-RAF評估支援、事件應變計畫/手冊制定與桌上演練支援、文件與證據準備、差距分析與整改建議，以及協助回應HKMA的查詢與審查。

五年前，這很可能會是三份RFP，分別授予三家供應商：一家IT委外商負責桌面與伺服器工作，一家資安精品供應商負責SOC與滲透測試，而監管與C-RAF部分則往往交給四大會計師事務所或專業顧問公司，按顧問式的日費率而非託管服務費率計費。如今看到這三者被合併進同一次採購，是一次真實的轉變，值得精確地釐清其發生原因，因為這個原因決定了一家負責任的供應商在回應時可以承諾什麼、不可以承諾什麼。

本報告將這一模式視為方向性上真實存在，依據是博訊自身在被要求回應此類RFP過程中的經驗，而非一份公開調查——目前已知不存在此類香港IT採購結構的公開調查。凡本報告描述的是趨勢而非有文獻記錄的統計數據之處，均會明確說明。

為何是現在：HKMA的監管框架究竟如何催生這一誘因

要理解為什麼一家公司會將這三個類別打包進一份合約，有必要跳出RFP本身，看看催生這種採購行為的監管機制。

《監管政策手冊》將科技風險視為單一問責鏈條

HKMA主要透過其《監管政策手冊》（SPM）——一套涵蓋從資本適足率到公司治理再到科技風險的模組化監管指引——對認可機構（依《銀行業條例》獲發牌照的銀行與接受存款公司）進行監管。這裡最相關的是兩個SPM模組，而本報告在多大程度上能就其內容作出準確表述，也值得說清楚：HKMA會不定期修訂模組內容，較少見地也會修訂模組編號與標題，因此以下描述反映的是持續、公開有據可查的結構，而不主張對任一模組當前具體修訂日期的準確性。

通常被稱為TM-G-1、題為「科技風險管理的一般原則」的模組，確立了一項基線預期：無論實際科技營運中有多少部分由第三方承擔，認可機構的董事會與高階管理層始終對科技風險負責——這正是「你可以委外工作，但委外不了問責」這一表述在HKMA科技風險指引中反覆出現的源頭。
通常被稱為SA-2、題為「委外」的模組，規定了認可機構在將任何重大職能交給第三方之前、期間與之後必須做什麼——對供應商的盡職調查、保留機構（及監管機構）稽核與查閱紀錄權利的書面協議、供應商失靈時的應變計畫，以及對供應商表現與內控環境的持續監控。關鍵在於，SA-2的邏輯並不止步於機構自身的委外決策：由於機構仍須為被委外職能的風險負責，其盡職調查與監控義務延伸到理解*其*供應商如何管理安全與韌性，而不僅僅是供應商是否按時交付合約約定的服務。

綜合來看，這兩個模組意味著，在HKMA眼中，一家銀行的MSP與其MSSP並非單純是兩份並行運作的服務合約。它們都屬於SA-2模組所規範的同一種委外關係，也都落在TM-G-1所描述的同一董事會層級科技風險問責範圍之內。銀行內部的法遵與風險團隊日益認識到這一點，與其對兩家營運上本就相互交織的供應商分別跑兩套委外盡職調查流程，不如合併跑一套。

網路安全強化計畫為這一問責鏈條提供了一個具體的評估工具

2016年5月，HKMA推出網路安全強化計畫（CFI），該計畫專門針對當時區域內銀行遭受網路攻擊活動上升的時期，旨在提升香港銀行業的網路韌性。CFI圍繞三大支柱建構，這一三支柱結構在HKMA自身的公開資料中有著良好而一致的紀錄：

網路韌性評估框架（C-RAF）——一套結構化的、以自評為基礎的方法論，供銀行評估自身的網路韌性，詳情見下文。
專業人才培育計畫（PDP）——與香港銀行學會及香港應用科技研究院（ASTRI）共同開發的認證與培訓體系，旨在為銀行業培育一批合格的網路安全從業人員。
網路安全資訊分享平台（CISP）——供銀行之間以及銀行與HKMA之間分享網路威脅情資的平台，其前提是沒有任何單一機構能夠獨自看清整個威脅全貌。

自2016年以來，HKMA持續完善CFI與C-RAF；業界評論有時非正式地將後續版本稱為「C-RAF 2.0」或類似說法。本報告不主張任何具體的當前版本號或修訂日期，因為該細節會隨時間變化，任何依賴它進行實際提交的讀者都應直接向HKMA已發布的資料核實當前要求。自2016年以來，在該框架公開描述中始終保持穩定的，是C-RAF自身的三組成部分結構，詳見下文。

為何即便自身並非受監管實體，供應商也會被納入監管視野

相當一部分發出與本報告所依據的RFP形狀相似的公司，本身並不是銀行——它們是向銀行銷售服務、軟體或基礎設施的公司，或是在相鄰的受監管領域營運、希望向提出要求的交易對手展示可比控制態勢的公司。SA-2的傳導邏輯正是原因所在：如果一家銀行自身的委外盡職調查通常會問其供應商「你能否展示你自己的安全營運與證據鏈」，那麼任何向香港銀行業銷售的公司都有商業上的理由要能可信地回答這個問題——這也讓它自身有理由從第一天起就以C-RAF式證據為目標來建構MSP/MSSP安排，而不是等到銀行客戶的盡職調查問卷送到桌上時才事後拼湊。

C-RAF究竟是什麼：三個組成部分，而非一次測試

C-RAF常被非正式地稱為「HKMA網路安全評估」，這種說法低估了它實際的內容。按HKMA自身的公開描述，它由三個不同的組成部分構成，依序應用，每個部分產出不同類型的成果。

組成部分一：固有風險評估

固有風險評估確立了一家機構就其本質而言承載了多少網路風險——在考慮其已有的任何控制措施之前。它考察的因素包括機構的科技足跡（連線的數量與類型、交付管道以及所使用的技術）、其提供的產品與服務（尤其是任何涉及支付或第三方連線的部分）、其組織特徵（人員配置、既往事件紀錄、併購活動），以及其所處的外部威脅環境。產出結果是一個風險等級——通常在公開資料中被描述為低、中、高固有風險分類——決定該機構需要以多嚴格的程度完成後續兩個部分。

組成部分二：成熟度評估

成熟度評估將機構實際的網路安全控制措施與一套既定的控制領域進行比對，並按既定的成熟度等級對每個控制領域評級（HKMA資料及業界評論中通常將其描述為從基線等級經中級到高級成熟度的遞進）。這是最接近傳統資安控制評估的組成部分，在結構上與業界其他地方使用的控制領域成熟度模型類似，例如美國FFIEC的網路安全評估工具，HKMA自身的框架據公開描述曾從其中獲得概念啟發。機構在每個控制領域所需達到的成熟度等級，會依據組成部分一所確立的固有風險等級進行校準——固有風險高的機構被期望展現出比低風險機構更高的成熟度。

組成部分三：網路攻擊模擬測試（CAST）

對於固有風險與成熟度狀況使其落入相應範圍的機構，C-RAF的第三個組成部分是網路攻擊模擬測試——由具備資質、通常獨立的測試團隊針對機構實際生產環境進行的一場即時、由威脅情報驅動的模擬攻擊，旨在重現真實對手的戰術，而非一次普通的滲透測試。這在概念上與其他監管機構在國際上使用的、基於威脅情報的紅隊測試框架相關（英國的CBEST與歐盟範圍內的TIBER-EU框架是最常被引用的類似框架），HKMA自身資料也以類似措辭描述它——由情報驅動、基於情境，旨在測試真實的偵測與應變能力，而非僅僅羅列弱點。並非每家機構都被要求執行CAST；它通常僅保留給依據組成部分一與二的風險狀況而落入其中的機構，並且理解上需要機構、其內部團隊以及其引入的任何外部測試與應變支援之間的密切協調。

這一三部分結構對支援性供應商意味著什麼

每個組成部分對支援該流程的供應商提出了不同的要求，將它們混為一談，是RFP回應中最常見的、誇大供應商實際交付能力的方式之一：

固有風險評估主要是機構自身業務與科技足跡相關的內部工作。供應商在此的誠實貢獻，是就其營運或支援的科技環境提供事實性輸入——而不是判定該機構的風險等級，那是機構自身應作出的判斷。
成熟度評估是供應商能夠貢獻最多的地方，前提是它對機構的實際技術環境擁有深入的可視性——提供控制措施落實的證據、協助將現有工具與流程與所評估的控制領域進行對應，並識別差距。評估仍然是機構自身的評估；供應商提供的是其下的證據與技術基礎工作。
CAST在適用的情況下，通常由專業、往往是獨立的測試供應商執行，正是因為獨立於日常營運對該演練的可信度至關重要——日常營運該環境的MSP/MSSP，通常不是同時模擬攻擊它的合適一方，儘管它非常適合擔任偵測與應變模擬攻擊的一方，因為那正是CAST所要測試的應變能力。

拆解三個RFP類別：每一項實際要求什麼

RFP的條目用寥寥數語壓縮了大量的營運現實。有必要拆解「駐點支援」或「SOC即服務」實際上要求供應商建置與配置什麼樣的人力與能力。

MSP服務：營運的骨幹

託管IT服務與基礎設施管理意味著對伺服器、網路設備、目錄服務以及業務所運行應用程式健康狀況的持續負責——不是一個被動回應工單的服務台，而是一個持續監控容量、修補程式等級與組態飄移的團隊，並針對常規請求與故障均設有明確的服務水準。
駐點支援意味著一種實體在場模式——無論是專屬駐點工程師、排班輪值，還是快速派遣安排——用於那些真正無法遠端解決的問題類別：硬體故障、網路布線、新辦公室建置，以及監管機構或稽核人員希望看到真人而非遠端連線的場合。
雲端支援意味著對機構所運行的Microsoft 365、Azure、AWS或其他雲端平台組合的營運所有權——身分與存取設定、雲端資料的備份（許多機構誤以為雲端供應商預設已經處理好這一點）、成本與容量管理，以及雲租戶本身的安全設定。
備份與復原服務意味著經過測試、有據可查的復原能力，而不只是一個運行並回報成功的備份作業。在受監管機構的情境下，這具體意味著供應商能夠——以證據而非保證——證明一次復原確實經過測試，以及耗時多久，因為復原時間目標與復原點目標，正是C-RAF成熟度評估或HKMA審查會詢問的那種控制細節。

MSSP服務：資安維運層

SOC即服務意味著對整個環境中資安事件的持續（通常是7x24小時，但確切的涵蓋模式應在合約中明確規定，而非預設假定）監控，並配有明確的分流與升級流程——真正的SOC與行銷標籤之間的區別，通常體現在供應商能否展示一份真實的升級手冊與真實的歷史應變時間資料，而不僅僅是一個儀表板。
威脅偵測與監控意味著一種技術能力——通常是端點偵測與應變（EDR）平台，結合日誌聚合與關聯（SIEM或同等系統）——能夠真正看到端點、網路與雲端中的異常活動，而不僅僅是收集無人查看的日誌。
弱點評估意味著在機構整個技術資產範圍內持續進行（而非一次性）掃描與優先順序排序，產出一份被追蹤的整改待辦清單，而不是一份被歸檔束之高閣的時點報告。
滲透測試意味著針對特定系統或網路邊界的週期性、有界限範圍的對抗性測試——不同於上文討論的CAST，通常範圍更窄、對威脅情報的依賴更少，儘管這兩種專業互為補充。
端點安全既意味著預防性工具（防毒/EDR），也意味著讓其在整個裝置群中保持部署、更新並實際正常運作的營運紀律——這是一項聲稱起來容易、但在任何真實裝置群中相當比例上悄然失效卻屢見不鮮的控制措施。
郵件安全意味著針對網路釣魚、商業郵件詐騙與惡意附件的分層防禦——值得專門點名的一個類別，因為郵件在業界廣泛共識中，仍是C-RAF與HKMA事件通報要求最終關切的那類事件最常見的初始入侵管道之一。
網路安全意味著防火牆管理、分段，以及對網路邊界乃至日益向內部延伸的流量監控，鑑於現代入侵在多大程度上依賴橫向移動。
資安意識培訓意味著一個持續的計畫，而不是一年一度的投影片簡報——網路釣魚演練、可衡量的完成率追蹤，以及隨威脅態勢變化而更新的內容，因為這是C-RAF成熟度模型與大多數控制框架中，明確期望以持續計畫而非一次性完成的任務形式被證明的少數幾項控制之一。

監管與網路韌性支援：最需要誠實的類別

這是合法的供應商支援與越界之間的界線最為要緊的類別，值得比一份條目清單更審慎地討論。

HKMA網路安全相關監管支援，誠實地講，可以意味著供應商協助機構理解某項HKMA指引對其技術環境意味著什麼，並協助將其轉化為具體的技術與流程變更。它不能誠實地意味著供應商以監管或法律權威的身分解讀HKMA指引，或在監管層面代表該機構。
C-RAF評估支援，誠實地講，可以意味著供應商提供技術證據、將現有控制措施與C-RAF的控制領域進行對應，並協助機構自身的法遵與風險人員理解差距所在。它不能誠實地意味著供應商代表機構完成或證明該評估——按HKMA自身的設計，C-RAF是一項機構董事會與高階管理層需對其負責的自評。
事件應變計畫/手冊制定與桌上演練支援，誠實地講，可以意味著供應商協助設計並主持該計畫與演練，帶來支援過其他事件所累積的模式識別經驗。它不應意味著機構將自身事件應變決策權委外出去——無論具體技術應變由誰執行，這一決策權都需要保留在機構自身指定的事件指揮官手中。
文件與證據準備，誠實地講，可以意味著供應商就其營運與保護的環境，製作準確、附有時間戳記的技術文件——這可以說是一個營運良好的MSP/MSSP能夠增添最真實價值的地方，因為良好的文件與證據本應是環境日常營運方式的副產品，而不是為迎接一次審查而臨時拼湊的特別專案。
差距分析與整改建議，誠實地講，可以意味著供應商依據某一具名框架識別控制差距，並提出其有能力執行的具體整改步驟。它應被呈現為供機構自身風險職能審閱並採納的一項建議，而不是供應商發出的合規裁定。
協助回應HKMA的查詢或審查，誠實地講，可以意味著供應商提供機構準確及時作答所需的事實性技術資訊，並隨時解答審查人員針對營運環境提出的技術問題。它不能誠實地意味著供應商代表機構與監管機構溝通，或在那場對話中替代機構自身負責的高階職員。

這對供應商究竟提出了什麼要求

要可信地回應一份這種形狀的打包RFP，其門檻在實質上高於單獨回應一份MSP RFP或一份MSSP RFP，原因有三，均屬組織與流程層面，而不僅僅是技術層面。

在組織層面，供應商需要將其託管IT營運與資安營運整合為一個負責的單一職能，而不是兩支各自向同一銷售部門彙報的團隊。當銀行的盡職調查團隊問及一次事件從偵測、升級到整改的端到端流程時，一個需要拼湊兩支獨立團隊各自的獨立工具與獨立工單系統才能給出的答案，本身就是一項值得注意的控制薄弱環節——而老練的買方會注意到這一點。

在技術層面，供應商的工具需要將證據生成作為日常營運的自然副產品，而不是在稽核前臨時拼湊的特別專案。如果供應商的備份驗證、修補程式合規、端點涵蓋與存取日誌在日常營運中並非已經可查詢、可匯出，那麼在C-RAF成熟度評估或HKMA審查實際提出要求時，該供應商在時間壓力下將難以拿出可信的證據。

在流程層面，供應商需要有據可查、在合約中明確的邊界，說明其責任在何處結束、客戶自身的監管責任從何處開始——這既是為了保護客戶，也同樣是為了保護供應商自身。一家將自己包裝成能讓C-RAF或HKMA合規變得「輕鬆」、或暗示自己能夠代客戶承擔監管風險的供應商，做出的是一個它實際無法兌現的承諾，任何評估此類合約供應商的買方都應將這樣的說法視為警訊，而非賣點。

供應商如何在營運上履行雙重MSP/MSSP角色

與其抽象地描述這一點，不如具體說明一個一體化MSP/MSSP營運模式在實務中究竟是什麼樣子，讓讀者能夠想像並對照真實供應商的營運進行核實，而不是單憑信任接受。

一套工單與監控系統，而非兩套。 基礎設施告警、資安告警與終端使用者支援請求進入同一套營運系統，因此處理某起事件的工程師能夠在一處看到受影響裝置或帳戶的完整技術歷史——其支援工單、修補程式狀態、近期資安事件——而不需要向另一支使用另一平台的獨立資安團隊索取該資訊。
IT營運與資安之間共享的值班與升級路徑。 例如，一起勒索軟體事件同時是一起基礎設施事件（系統停擺、需要復原備份）和一起資安事件（圍堵、鑑識、根因分析）——一種將這兩者分流給真正獨立的團隊、各自擁有獨立升級鏈的營運模式，恰恰會在最需要爭分奪秒時損失時間。
在可行之處，由同一代理程式服務於兩種功能的端點工具。 讓支援工程師能夠遠端協助使用者的同一個輕量級代理程式，也可以是持續、可產生證據的資安態勢資料——加密狀態、修補程式等級、防毒健康狀況——的來源，而無需部署第二個與之爭奪同一端點資源的、獨立管理的資安代理程式。
一條營運團隊與法遵/稽核相關方都能取用的單一證據鏈。 連線紀錄、變更紀錄與資安遙測資料作為交付服務的副產品持續累積，因此當客戶的法遵團隊需要證明某項控制在某個審查期間內確實有效運行時，證據已經存在，無需事後重新拼湊。

一個具體的交付流程

對於此類打包合約而言，一次站得住腳的交付會經歷若干階段，客戶自身的風險與法遵相關方應當能夠觀察並核實這些階段，而不只是聽信供應商的一面之詞。

1. 基線發現與固有風險相關的事實調查（通常是最初幾週）。 供應商詳細盤點科技環境——資產、雲端服務、第三方連線、資料流——產出機構自身固有風險評估所依賴的事實性輸入，而不由供應商自己作出風險等級判斷。
2. 依據機構適用框架進行控制對應與差距分析。 現有控制措施（備份、端點保護、存取管理、監控）與相關的C-RAF控制領域或機構所選框架進行對應，差距被記錄並排出優先順序——這是構成機構自身成熟度評估提交內容之下的技術基礎工作。
3. 依據優先順序差距清單交付整改。 這正是MSP與MSSP功能實際執行的地方——彌合修補差距、部署或調校端點與郵件安全控制、將備份測試正式化、擴建SOC監控涵蓋範圍——按機構風險職能可見並可追蹤的進度表進行。
4. 制定事件應變計畫與手冊，隨後進行桌上演練。 供應商協助起草或完善該計畫，並主持一次針對真實情境進行測試的桌上演練，演練發現被記錄下來，並回饋回該計畫及更廣泛的差距整改待辦清單。
5. 持續產出證據的穩態託管營運。 持續的MSP/MSSP交付——工單處理、監控、修補程式管理、SOC涵蓋——作為正常營運進行，供應商的工具持續產出稽核軌跡（連線紀錄、修補程式合規歷史、資安事件歷史、備份測試結果），供機構法遵職能用於其自身的C-RAF成熟度評估更新以及回應HKMA的查詢，而無需每次都進行一次特別的證據蒐集工作。
6. 定期審查與重新建立基線。 鑑於C-RAF自身的各組成部分本就應被定期重新檢視（隨著機構的科技與產品組合演變，固有風險狀況也會變化），此項交付應包含一個週期性節奏——通常為每年一次，或與機構自身的內部稽核週期對齊——重新執行差距分析，確認控制環境仍與最近一次記錄的內容相符。

本報告不主張的內容

這不是法律或監管建議，也不能取代機構自身的法律顧問、法遵職能，或與HKMA的直接溝通。任何依據本報告所述模式採取行動的公司，都應直接向當前的HKMA公開文件核實其具體義務，並在適當情況下尋求合格的法律意見。
本報告不主張任何特定HKMA《監管政策手冊》模組當前確切的措辭、編號或修訂日期，也不主張C-RAF當前確切的版本或術語。HKMA會隨時間修訂其指引；此處的結構性描述反映的是持續、公開有據可查的內容，而不是對最新修訂具有時效性的主張。
本報告無法接觸任何特定機構與HKMA之間的機密監管往來，對任何具體的監管審查、查詢或檢查在實務中究竟提出了什麼要求，不作任何主張。
本報告不主張博訊或任何技術與安全供應商能夠代表受HKMA監管的機構完成、證明或提交C-RAF評估，或以其他方式承擔該機構自身的監管責任。按照設計，這一責任落在機構董事會與高階管理層身上，任何委外安排都無法改變這一點。
本報告不將「打包採購」這一模式呈現為一項有文獻記錄的產業統計數據。目前已知不存在此類需要具體數字支撐的香港IT採購結構公開調查。本報告所描述的模式，是基於博訊觀察到的香港市場上真實RFP的形態，以及會預測出恰好這類採購行為的監管邏輯（SA-2、TM-G-1）——這是一種經過推理的推斷與一項直接的營運觀察，而非一項統計數據，也以此方式呈現。
本報告的範圍限定於受HKMA監管的認可機構以及向該產業銷售的公司。它不涉及保險業監管局或證券及期貨事務監察委員會各自平行（且結構不同）的科技風險與委外制度。
本報告不主張監管壓力是打包模式的唯一成因。常規的採購效率考量——更少的供應商關係、更少需要續簽的合約、單一的問責點——很可能是一個真實存在、與之並存的動機，本報告並不試圖權衡各成因的相對貢獻。

博訊如何交付這一切

博訊是一家總部位於新加坡的託管IT與網路安全服務供應商，在香港設有穩固的辦事處（自2016年起在該地區營運），其淵源可追溯至2007年在北京的創立。博訊的兩項營運特點與本報告所描述的模式直接相關，兩者在此均以可核實的營運事實、而非行銷話術的方式加以描述。

第一，博訊將託管IT服務與網路安全服務作為一體化營運來運行，而不是在合約簽署時才拼湊起來的獨立業務線。這正是本報告所論證的、一份打包MSP/MSSP/監管支援合約要具備可信度所實際需要的組織模式——具體這種整合如何建構，參見託管IT與安全服務；底層的支援交付方案與涵蓋模式，參見託管IT支援。

第二，博訊自有的端點平台BCS Beam，恰好產生了本報告所描述的、對C-RAF相關文件具有價值的那類證據性副產品——這是提供遠端支援與端點安全監控的正常功能的一部分，而不是一次特別的合規演練。BCS Beam促成的每一次遠端支援會話，都會被寫入一份稽核台帳，記錄誰連線了、連線到哪台裝置、何時連線、以何種模式連線，以及對應哪張支援工單；同一代理程式的資安健康面則持續檢查磁碟加密、防毒與防火牆狀態、修補程式態勢，以及針對CIS對齊基準的已知弱點暴露情況，產出可回報的、按裝置劃分的證據，而不是一次性的時點證明。這種連線層面與態勢層面的稽核軌跡，正是本報告所論證的、供應商要負責任地支援C-RAF相關文件工作所需要的「證據作為正常營運的副產品產生，而非在稽核前拼湊」這一原則的一個直接、具體的例子。

與本報告始終明確的邊界保持一致：博訊並非HKMA持牌機構，也不受HKMA監管，也不會代表任何客戶，承擔該客戶自身在C-RAF完成、證明或與HKMA正式溝通方面的監管責任。博訊在一份打包MSP/MSSP/監管支援合約中的角色，是技術執行、證據產生，以及文件與差距分析支援——由一支一體化團隊交付，而不是由一堆彼此割裂的工具與供應商拼湊而成。