1. 定义收购决策
董事会应从其打算购买的具体功能开始。 AI SOC 目标可能会销售软件、托管检测和响应、威胁情报、事件响应、安全分析、案例管理或这些的组合。每个企业都有不同的成本基础、证据集和集成问题。产品公司可以依靠客户分析师进行调查。托管服务可以拥有调查结果，同时依赖第三方遥测和工具。将两者视为相同的经常性软件资产的交易理论可能会对交付风险进行错误定价。
收购备忘录应说明客户问题、经营范围和预期价值来源。买方可能会寻求更好的检测、更低的服务成本、接触客户群、专有内容、稀缺分析师、数据优势或整合平台。每篇论文都需要一个可观察的测试。 AI 提高生产率的主张应确定谁的时间发生了变化、包括哪些工作、哪些质量保持不变以及节省的成本是否达到毛利率和现金。
董事会还应将收购与合作伙伴关系、许可、内部建设、少数股权投资和商业整合进行比较。当价值取决于产品、数据权利、内容团队、客户合同和交付运营的协调所有权时，收购可能是适当的。当互操作性创造了大部分利益并且买方不需要承担模型、服务或客户责任时，较窄的安排可能会更好。
决策门应将已验证的能力与计划的能力分开。生产遥测、重现的基准结果、接受的客户案例、合同收入和训练有素的运营团队可以支持已验证的案例。在证据完整之前，产品路线图、模型演示、不具约束力的管道和假设的劳动力转移都属于选择案例。
买方应为每个声称的价值来源指定一名负责任的所有者，并在签字前、交割前和整合后确定可用的证据。这个时间安排很重要，因为某些测试需要客户许可、生产数据或受控环境。缺失的证据可以通过条件、保留对价、契约或明确排除在价格之外来解决。董事会应该得到与产品、安全、运营和财务团队在交易结束后使用的相同的成功定义。
拟议的链条将可观察的安全行为与证据决策、客户结果和收集的现金连接起来。
2. 定义价值单位
提议的价值单位是以完全成本交付的经过验证的安全结果。验证的结果始于合同监控范围内的行为。该平台观察足够的遥测数据，创建或丰富案例，支持分析师或自动控制做出有证据的决策，并启动授权响应。结果包括文档、客户沟通和事件后学习（这些都在范围内）。
完整成本包括数据摄取、存储、第三方许可、模型推理、检测工程、威胁研究、分析师劳动力、质量审查、事件升级、客户成功、服务信用、基础设施、合规性和营运资金。当供应商排除昂贵的遥测或依赖客户完成调查和响应时，它就会显得高效。获取模型应保留实际的服务边界。
分析师的工作时间是一个重要的分母，因为它可以被观察和定价。它应该分配给分类、调查、升级、响应、调整、威胁搜寻、客户沟通、质量保证、培训和管理。在某一类别中节省的时间可以在其他类别中重新出现。生成摘要可以减少编写时间，同时增加验证工作量。自动关闭可能会减少排队，同时增加漏检风险。
因此，价值需要配对的衡量标准：结果质量和全力以赴。买方应比较具有相似严重性、遥测、客户环境和服务水平的案例。每个分析师的聚合警报可以奖励嘈杂的产品。每个分析师关闭的事件可能会奖励过早关闭。在质量和客户衡量标准的支持下，每个分析师每小时的验证结果为定价提供了更可靠的基础。
3. 规范产品和服务范围
尽职调查团队应将每个产品模块和服务承诺映射到运营责任。模块可以包括端点、身份、电子邮件、云、网络、应用程序、数据、操作技术、威胁情报、用户行为、自动化和案例管理。服务可包括监控、分类、调查、威胁搜寻、遏制、恢复建议、合规报告和事件响应保留。
该地图应标识哪些功能是专有的、许可的、开源的或由客户提供的。它应记录数据源、部署模型、支持的环境、地理限制、服务时间、升级路径和授权响应。使用目标首选遥测技术进行演示可能会夸大仪器不完整或技术堆栈不同的客户的性能。
合同语言应与交付保持一致。营销可能会描述持续监控，而合同则排除选定的资产、日志源、威胁类别或响应操作。买方应该对工作说明书、入职记录、资产清单、数据摄取健康状况和案例历史进行抽样。不受支持的系统和不受监控的时期应该在队列分析中可见。
边界还决定监管和责任风险。自动隔离、身份暂停和云更改可能会影响生产系统和员工。仅提供建议的服务具有不同的风险状况。目标公司应维护与其平台可以发起的操作相匹配的权限矩阵、行动手册和客户批准。
4. 构建从检测到结果的账本
分类账应该为收购方提供跨产品、服务和财务的单一证据模型。每个样本案例都记录了相关的行为、技术、资产、数据源、检测内容、模型版本、警报、丰富、分析师行动、决策、响应、客户沟通、服务水平结果和商业后果。目的是可追溯性，而不是对个别员工的监视。
账本应该保留负面证据。错过的行为、重复的警报、抑制的信号、不完整的遥测、恢复的自动化和客户争议的案例对于平衡观点是必要的。仅包含展示事件的数据室无法支持人口层面的结论。样本应涵盖客户、产品、地区、严重性、遥测成熟度和运营压力时期。
NIST CSF 2.0 组织了治理、识别、保护、检测、响应和恢复方面的网络风险结果。该结构可以帮助将检测操作与企业风险和客户责任联系起来。[1] 账本还可以将观察到的行为映射到 ATT&CK 技术，同时保留映射背后的实际证据。[6]
财务应将相同群体与合同年度经常性收入、消费费用、专业服务、信贷、续订、扩展和收款联系起来。这让买家可以询问卓越的结果是否会带来保留、定价能力或更低的交付成本。它还揭露了一些案例，即明显有吸引力的收入取决于大量未定价的分析师工作。
| 证据领域 | 所需记录 | 主要业主 | 估价用途 |
|---|---|---|---|
| 行为和资产 | 带时间戳的活动和受影响的环境 | 客户和遥测所有者 | 定义测试人群 |
| 检测内容 | 规则、模型、版本和变更历史 | 检测工程 | 测试重复性 |
| 案件证据 | 警报上下文、丰富性和关联活动 | 产品和SOC | 衡量可操作性 |
| 分析师决定 | 处置、理由和审查者 | SOC 操作 | 衡量质量和努力 |
| 回复 | 授权的行动和完成 | 客户和响应者 | 衡量运营成果 |
| 服务结果 | SLA、沟通、信用和争议 | 服务管理 | 衡量合同履行情况 |
| 商业记录 | 收入、成本、更新和现金 | 金融 | 将证据与价值联系起来 |
该账本将技术证据、人类工作、客户接受度和交易价值联系起来。
5、测试检测覆盖率
覆盖范围询问产品是否观察并识别与客户风险和合同边界相关的行为。应在技术、数据源和环境级别进行测试。广泛的 ATT&CK 热图可以掩盖从文档推断的覆盖范围，依赖于不可用的遥测或仅产生低上下文可见性。
MITRE ATT&CK 提供对手战术和技术的通用知识库，而 ATT&CK 评估则根据记录的场景锻炼供应商的能力。[2][6] 2026的评估结构区分了检测覆盖范围、精度和速度。收购方可以使用这些概念，而无需将外部评估转换为通用排名。测试配置、范围和客户环境都很重要。
目标应维护一个覆盖范围寄存器，将每个支持的行为与所需的数据、内容、验证日期、预期警报或案例、已知限制和所有者联系起来。买方应在受控环境中复制代表性子集。测试应包括多阶段活动、身份和云行为、离地生活技术和预期的良性相似。
覆盖质量包括上下文。一个表明可能已经发生了某种技术的案例，其操作价值低于确定谁采取了行动、发生了什么、发生的时间和地点、活动如何发展、为什么重要以及建议采取什么行动的案例。缺少上下文会将精力转移给分析师并延长客户响应时间。
6. 测试精度和误报
精度衡量的是表面工作有多少是有用的。它应该在警报、案例和客户级别进行计算，因为相关性可以将许多低级别警报转换为一个可操作的案例。当分析师花费大量时间来连接片段时，产品可以报告较低的警报误报率。另一种产品可以产生较少的案例，但忽略了组合中有用的微弱信号。
买方应构建反映正常管理、软件部署、远程访问、云存储、脚本编写和数据处理的良性活动测试。 MITRE 当前的评估方法明确包括精密测试中的合法商业活动。[2] 应记录客户特定的允许列表和抑制规则，因为高度调整的演示在获取后可能不会转移。
假阴性需要受控测试和回顾性事件审查。任何尽职调查计划都不能证明没有失误。它可以测试选定的行为，检查已知事件，将威胁搜寻结果与警报历史记录进行比较，并审查源自平台外部的客户升级。应说明剩余限制，而不是隐藏在单一检测率后面。
精度也有一个严重性维度。触发自动隔离的误报可能比信息警报造成更大的危害。错过的低影响侦察事件与错过的破坏性行动不同。目标应通过决策后果和服务义务来衡量错误。
在归因客户和财务结果之前，提议的堆栈需要覆盖范围、背景、精度、速度和可重复性。
| 测试尺寸 | 证据 | 措施 | 勤勉警告 |
|---|---|---|---|
| 技术覆盖范围 | 重播代表性行为 | 有证据的检测除以测试的行为 | 无需遥测即可声称覆盖范围 |
| 案例背景 | 七个与决策相关的背景要素 | 完整上下文案例除以案例 | 无考察价值的技术标签 |
| 精确 | 恶意和良性的混合群体 | 正确决策除以决策 | 根据已知的测试脚本进行调整 |
| 案件合并 | 链接的多阶段活动 | 每个已接受案例的警报和片段 | 能见度低导致警报率低 |
| 速度 | 事件、警报、案例和升级时间戳 | 按严重程度和队列分布 | 排除未解决案例的平均值 |
| 重复性 | 更新后重复测试 | 跨版本结果稳定 | 一次性演示环境 |
基准设计将攻击群体、良性群体、背景和所需决策分开。
7. 无需游戏即可测量速度
速度应该作为一个序列而不是一个标题数字来衡量。相关时间戳包括行为发生、遥测到达、自动检测、案例创建、分析师开放、决策、升级、遏制和客户确认。每个区间都有不同的所有者和经济意义。
平均时间可能会因长尾而扭曲。买方应检查中位数、上百分位数、未解决的案例和严重程度群组。队列暂停、顾客等待时间和数据延迟应单独报告。目标可以控制检测速度，而客户可以控制遏制。合同和价值模型应该反映这个边界。
自动化可以通过丰富实体、检索上下文、对相关事件进行分组以及准备剧本步骤来提高速度。它还可以创造快速但弱的性格。尽职调查样本应将时间与正确性、证据完整性和审查结果配对。快速关闭后来因事故而重新开放并不是生产力的提高。
应根据系统记录而不是仅根据管理报告来测试服务级别。案例平台导出、消息时间戳和客户记录应该一致。排除、计划维护和严重性变更需要一致的规则。买方应量化与未达标水平相关的信用、争议和无价补救措施。
8. 衡量分析师的工作效率
分析师生产力是指以规定的质量和完整的劳动力成本完成的可接受的安全工作量。劳动力分类账应对角色、轮班、资历、地点、雇佣模式、生产时间、休假、培训、管理、质量保证和工程支持进行分类。承包商和离岸能力应包括在有助于交付的地方。
工作分类账应分配时间用于分类、调查、响应、搜索、检测调整、客户沟通、报告、入职和管理。如果直接时间捕获不完整，买家可以对工作流程时间戳、人员配备时间表、采样观察和经理记录进行三角测量。该限制应保持明确。
AI 援助应通过可比较的队列进行测试。一种有用的设计可以比较具有或不具有功能的案例，同时控制严重性、遥测和分析师经验。衡量标准包括时间、正确性、证据完整性、升级和返工。产品团队应该披露模型更改和功能采用，因为名义访问并不建立使用。
只有当生产力价值影响容量、服务质量、客户增长或成本时，生产力价值才能达到获取模型。节省下来的时间在轮班中仍然分散，可以在不减少员工人数的情况下创造弹性。这种好处仍然很有价值，但它应该被建模为产能、质量或避免加班，而不是立即解雇劳动力。
| 措施 | 分子 | 分母 | 所需控制 |
|---|---|---|---|
| 每小时受理案件 | 审查符合证据标准的案件 | 完整的生产时间 | 严重程度和遥测队列 |
| 调查工作 | 直接和支持会议记录 | 受理案例 | 包括返工和升级 |
| 决策准确度 | 审核后纠正处理 | 审查处置 | 独立质量样品 |
| 升级质量 | 可接受的材料升级 | 升级 | 客户确认和严重性规则 |
| 返工 | 重新审理或实质性纠正的案件 | 结案 | 一致的重新打开窗口 |
| 容量值 | 额外的受控工作量 | 可用的团队时间 | 保持质量和服务水平 |
| 现金兑换 | 收取的经常性现金减去交付成本 | 合同服务队列 | 协调信贷和支持成本 |
该账本将完整的努力与可接受的质量和商业后果结合起来。
9. 验证AI模型声明
目标应维护模型和启用 AI 的功能的清单。每个条目都标识目的、所有者、提供者、版本、培训或检索数据、部署边界、人类决策角色、评估、监控、回退和退役。在一个 AI 标签下销售的功能可能依赖于具有不同风险的规则、监督模型、基础模型服务和分析师工作流程。
NIST AI RMF 通过治理、地图、测量和管理来组织治理。其生成 AI 配置文件添加了针对与生成系统相关的风险的操作。[4][5] NIST 的网络 AI 配置文件致力于保护 AI，使用 AI 防御和阻止 AI 启用的攻击。[3] 这些来源支持尽职调查结构；他们不证实目标的主张。
评估应反映实际任务。可以测试摘要的事实一致性和遗漏材料。可以测试分类的精度、召回率和校准。可以审查建议的权威性、证据和有害行为。代理工作流程需要工具权限、批准点、状态管理、审核日志和安全故障。
买方应评估即时注入、数据泄漏、中毒检索、模型漂移、对抗性输入、幻觉证据和供应商依赖性。 NIST 的对抗性机器学习分类法提供了攻击和缓解措施的术语。[7] 生产监控应检测输入、输出、错误和人为干预模式的重大变化。
10. 保护遥测、数据和模型权利
AI SOC 价值可能取决于对客户遥测、案例历史记录、威胁情报、注释和检测内容的访问。权利登记册应区分所有权、允许处理、模型改进、聚合、保留、驻留、转让、删除和终止后使用。如果没有可执行的权利，客户数据不能被视为可转让的培训资产。
收购方应将数据沿袭从源映射到存储、功能、提示、模型输出、案例和报告。它应识别个人数据、秘密、受监管的记录、跨境传输和客户特定的限制。加密、访问、隔离、日志记录、保留和删除控制应根据架构和实践进行测试。
供应商合同值得特别关注。基础模型、云、丰富和威胁情报提供商可以限制培训、重新分配、基准测试或控制权变更。消费定价可能会使明显高利润的功能大规模变得昂贵。服务变更或终止可能会损害核心工作流程。
只有在建立了权利、质量、代表性和操作用途的情况下，才应重视数据优势。大量事件计数可能由重复或低信息记录主导。注释可能反映不一致的分析师决策。买方应测试数据是否改进了既定任务，以及该收益是否能够承受客户和监管义务。
11. 评估检测工程和威胁研究
检测内容是有生命的产品。目标应显示威胁情报如何成为假设、数据需求、规则、模型、测试、发布、监控和退役。该过程应包括同行评审、版本控制、可重复测试、客户适用性和回滚。
内容经济学包括研究、工程、测试基础设施、遥测验证、调整、文档和支持。大量的规则数量并不是质量的证据。规则可能是重复的、禁用的、过时的或依赖于不可用的字段。买方应分析启用的内容、解雇分布、案例贡献、维护频率和客户覆盖范围。
开放标准可以提高可移植性。 STIX 和 TAXII 支持结构化威胁信息交换，Sigma 提供通用签名格式，YARA 支持模式匹配，OCSF 提供安全事件模式。[8][9][10][11] 目标的价值可能在于经过验证的逻辑、操作数据和部署工作流程，而不是专有语法。
当小型研究团队维护关键内容或客户知识时，关键人物风险就很大。应评估文件、审查、发布权限和继承。仅与新规则量相关的收益可以奖励活动，但不会改善结果。
12. 测试架构和集成
架构审查应跟踪数据摄取、标准化、存储、丰富、检测、关联、案例管理、自动化和报告。它应该识别租户隔离、身份边界、秘密、管理访问、弹性、备份、恢复和可观察性。图表声明应与已部署的配置保持一致。
集成值取决于连接器和架构。买方应列出支持的来源、版本、身份验证方法、字段映射、数据丢失、延迟、速率限制和维护所有权。定制连接器带来的收入可能会带来隐藏的工程成本。
集成计划应在平台变更期间保持检测质量。迁移遥测、身份、案例或内容可能会改变领域并压制证据。双运行、影子测试和队列切换可以进行比较。快速强制迁移可以节省重复成本，同时增加客户和事件风险。
NIST SP 800-207 提供零信任架构原则，SP 800-53 提供广泛的控制目录。[12][13] 这些可以为架构审查以及特定于产品的威胁建模提供信息。买方应说明适用哪些控制措施以及如何提供证据。
所提出的架构使源遥测、检测逻辑、AI辅助、人类决策和客户结果保持独立可审计。
13. 分析客户群体
客户质量应按产品、服务、规模、行业、地理位置、遥测成熟度、合同期限和获取渠道进行分析。年度经常性收入应与已执行的合同、发票、递延收入和现金保持一致。基于使用的服务元素和专业服务元素应该分开。
保留措施需要透明的规则。总保留率显示了扩张前保留的重复碱基。净保留增加了扩张和收缩。保留标志可以掩盖大客户的流失。群组应包括服务积分、优惠、免费期和支持成本。通过大量的未定价工作实现的更新可能会在降低价值的同时保留收入。
安全结果可能会影响保留率，但因果关系需要证据。买家可以比较受控群体的更新、扩展、满意度、升级和事件绩效。应考虑产品采用、帐户管理和合同变更。推荐和选定的胜利并不能确定总体结果。
应当对集中度和控制权变更进行建模。目标可能依赖渠道合作伙伴、云市场或少数受监管的客户。同意、终止、价格审查、数据传输和安全评估义务可能会影响交割和整合。
| 群组维度 | 商业措施 | 经营证据 | 交易问题 |
|---|---|---|---|
| 产品与服务 | ARR、利润和扩张 | 启用的模块和交付的范围 | 哪个报价创造保留价值 |
| 遥测成熟度 | 价格和支持成本 | 来源健康状况和覆盖范围 | 性能取决于理想数据吗 |
| 产业与地理 | 保留和合同期限 | 监管和威胁概况 | 模型可以转移吗 |
| 客户规模 | ACV 和销售效率 | 案件数量和服务力度 | 交付成本是否可扩展 |
| 事件经历 | 续订和积分 | 检测、响应和争议 | 结果是否支持信任 |
| 获取渠道 | 保留和佣金 | 伙伴依赖 | 谁控制关系 |
该矩阵将客户经济与交付证据联系起来，而不仅仅是总收入。
14. 价格管理服务交付
托管检测和响应将软件经济学与人员、流程和合同责任相结合。买方应根据客户群构建服务成本模型。它包括分析师、威胁搜寻者、事件响应者、服务经理、检测工程师、平台成本、数据保留、第三方许可证、质量保证和待命能力。
当工作负载被集中和标准化时，共享操作可以创造规模。它们还可能造成尾部风险，因为严重事件会聚集并需要高层关注。人员配置模式应包括激增、缺勤、培训、自然减员和区域覆盖。全天候安排需要明确的交接和一致的决策权。
定价应反映资产数量、用户、数据量、服务时间、响应权限、保留、合规性和事件支持。统一价格可以在受控的范围内发挥作用。当客户在不重新定价的情况下添加遥测、资产和义务时，可能会变得不经济。尽职调查模型应确定合同上限、超额和惯例让步。
毛利率的提高可能来自自动化、标准化、基础设施采购、工作负载路由和产品简化。每项举措都需要实施成本和质量保障。立即解雇高级分析师可能会损害升级、客户信任和内容开发。
15. 评估安全、隐私和监管风险
网络安全目标必须保护自己的平台和服务运营。买方应检查安全开发、漏洞管理、渗透测试、身份、特权访问、租户隔离、秘密、供应链、事件响应、备份和恢复。 CISA 的“设计安全”指南要求技术制造商有责任设计更安全的产品并减轻客户负担。[14]
已知事件应从检测到补救、客户通知、监管机构参与、保险和控制改进进行追踪。 SEC 的网络安全披露规则重点关注对所涵盖注册人的重大影响和治理。[15] 其他司法管辖区和部门规定了不同的义务。律师应确定实际要求。
隐私审查应涵盖收集、目的、保留、员工监控、自动决策支持、跨境传输和数据主体权利。安全遥测可能包含个人信息和敏感信息。合同许可不能取代适用的法律。
监管准备情况应通过控制操作而不是仅通过证书清单来证明。 ISO 27001、ISO 27035 和 ISO 42001 可以构建信息安全、事件管理和 AI 管理系统。[16][17][18] 范围、排除情况、审计结果和补救措施仍然很重要。
16. 评估劳动力和运营依赖性
劳动力分析应确定关键角色、经验、地点、薪酬、通知、保留、许可、客户关系和访问权限。目标可能取决于少数了解检测架构、威胁研究、关键客户或事件响应的人。组织结构图很少显示这种依赖性。
NICE 劳动力框架为网络安全工作和能力提供了通用语言。[19] 买方可以将角色映射到实际任务和证据。职位名称本身就可能夸大深度。代表性访谈和工作产品有助于区分监督能力和独立判断。
AI改变角色设计。随着检测工程、模型评估、客户咨询和复杂调查的需求增长，入门级分类可能会缩小。整合计划应保留学习途径。取消初级工作而没有发展高级能力的途径可能会造成未来的人才缺口。
保留安排应符合价值观和行为。交易奖金可以保持连续性，而与无法控制的收入挂钩的长期盈利可能会削弱动力。准入、冲突、知识产权和离职后限制需要针对具体司法管辖区的建议。
17. 测试收入质量和现金转换
收入质量取决于可执行的合同、可接受的交付和可重复的经济效益。买方应核对预订、合同年度经常性收入、报告的经常性收入、发票、收入确认、递延余额和收款。多年期总体合同价值不应与年度经常性现金混淆。
IFRS 15 要求收入确认遵循已确定的履约义务以及承诺的商品或服务的转让。[20] 网络安全合同可以结合许可、实施、支持、监控、事件响应和变量使用。会计处理应由合格的顾问使用实际条款进行审查。
现金转换可能会受到年度预付款、渠道收取、云市场结算、服务积分、事件纠纷和数据量调整的影响。买方应按群组分析应收账款天数、续订、退款、贷方票据和坏账。报告显示的强劲增长和现金转换下降值得调查。
客户获取成本应包括销售、营销、解决方案工程、概念验证、安全审查、入职和合作伙伴佣金。投资回收期和终生价值应使用同期群利润率和保留率，而不是总毛利率。整合假设应保留受监管客户所需的销售工作。
18. 建立一个假设的收购案例
考虑一家假设的 AI SOC 公司，该公司拥有 180 个客户和 USD 54 million 的合同年度经常性收入。它将软件平台与托管检测和响应相结合。买方期望从更强大的检测内容、日常调查自动化、交叉销售和基础设施整合中获得价值。
本节中的每个数字都是仅为了演示框架而创建的管理假设。该模型假设确认的经常性收入为 USD 47 million，专业和事件响应收入为 USD 6 million，报告毛利率为 72%，拥有 124 名运营员工和 36 名产品和检测工程员工。它假设没有指定的市场倍数，并且不做出预测。
尽职调查样本涵盖代表不同行业和遥测成熟度的 36 家客户。该模型假设 68% 的浮出案例在补救之前满足完整的证据标准，18% 需要材料分析师重建，9% 是重复或可避免的噪音，5% 在审查窗口内未解决。这些是说明性的分类。
基本情况确认了由合同和批量交付支持的经常性现金流。有证据支持的生产力案例认可受控测试保持决策质量的能力。在客户采用、权利、控制和经济效益得到证明之前，交叉销售和新的自主功能仍然具有选择价值。
图中的每个值都是仅为说明收购方法而创建的管理假设。
| 措施 | 报告位置 | 勤奋调整基础 | 有证据支持的机会 |
|---|---|---|---|
| 合同ARR | USD 54m | USD 51m 优惠和范围审查后 | USD 57m 带合约扩展 |
| 确认经常性收入 | USD 47m | USD 46m | 验证部署后的USD 51m |
| 毛利率 | 72% | 66% 包括完整的服务成本 | 受控自动化后 70% |
| 运营员工 | 124 | 124 | 容量相当于14个角色，不立即移除 |
| 证据齐全的案件 | 没有报道 | 每 100 人中有 68 人浮出水面 | 82 内容和工作流程修复后 |
| 上百分位升级时间 | 没有报道 | 94分钟 | 验证集成后 62 分钟 |
| 年度服务积分 | USD 0.4m | USD 0.7m 包括有争议的项目 | USD 0.4m 售后服务改善 |
所有数字均为用于说明方法的管理假设，并非市场数据或预测。
19.强调收购模式
该模型应该强调遥测成本、模型消耗、客户流失、误报增长、分析师流失、事件激增、延迟集成和监管补救。每个压力都应与现金、服务质量和资本需求相关。如果没有运营机制，收入减少的百分比只能提供有限的洞察力。
一个缺点是数据摄取和推理成本上升，而客户抵制重新定价。另一种假设是平台迁移会增加两个季度的重复案例和服务积分。第三种假设高级分析师的流失会减缓升级和内容发布。综合下行因素应该会考验流动性和契约空间。
检测退化可以通过案例质量和工作量来建模。较低的精度会增加分类。缺少上下文会增加调查。升级速度较慢会增加客户和责任风险。该模型应避免在目标缺乏观察到的证据的情况下发明避免损失的方法。
整合的好处也应该上演。合同变更后即可开始节省采购。节省基础设施需要迁移和弹性测试。劳动力能力需要采用经过验证的工作流程。收入协同需要客户同意、产品准备就绪和销售流程。时间和成本应该明确。
20. 分层评估目标
第一个估值层是经过验证的经常性经营现金流。它使用合同、队列、交付成本和现金证据。第二层可以识别有证据支持的生产力，其中受控测试证明可重复的能力或质量。第三层涵盖已完成产品和交付先决条件的合同扩展。
数据、模型、内容和集成可以支持建立权利、差异化和可移植性的战略价值。他们不应仅仅因为贴有 AI 标签而获得溢价。无形资产的确认、使用寿命和减值需要根据 IFRS 3、IAS 38 和 IAS 36 提供建议。[21][22][23] 公允价值计量应反映 IFRS 13 下的市场参与者假设。[24]
负债和抚养成本应予以扣除或保护。这些可能包括服务积分、事件暴露、客户集中度、未定价数据、模型提供商依赖性、隐私补救、内容债务、保留、重复的基础设施和集成资本。处理可以使用价格、托管、赔偿、保留、盈利或成交条件。
考虑设计应与证据差距相匹配。除非将利润、保留率和服务成果包括在内，否则收入分配可能会奖励低质量的增长。产品里程碑应该要求已部署的客户接受而不是功能发布。检测质量里程碑需要商定的人群、数据访问、审查权限和争议机制。
该桥梁将经过验证的现金流与经过验证的运营价值、期权和风险扣除分开。
21. 设计整合计划
集成应在组合能力的同时保留证据链。目标国家应确定哪些遥测、内容、模型、案例系统、分析团队、客户合同和品牌保留、迁移或淘汰。在对任一平台的政治依附占主导地位之前，应就决策标准达成一致。
买方应并行运行代表性群体。影子检测、重复案例审查和受控客户试点可以显示覆盖范围、精度、速度和工作量是否有所改善。在广泛切换之前应调查差异。重大事件需要有清晰的记录系统和过渡期间的指挥权限。
人员整合应保护客户和运营的连续性。检测工程师、威胁研究人员、高级分析师、服务经理和产品所有者可能拥有隐性知识。保留、记录、配对工作和继承应先于结构拆除。访问和冲突控制应在结束时更新。
客户沟通应解释服务连续性、数据处理、产品变更和支持。合同同意和安全评估可以控制时间安排。假设立即交叉销售或强制转换的迁移计划可能会增加客户流失率。董事会应审查每个群体的证据门。
| 积分域 | 主要风险 | 所需证据 | 释放门 |
|---|---|---|---|
| 遥测和架构 | 现场丢失或延迟 | 回放和完整性比较 | 代表性来源通过 |
| 检测内容 | 覆盖范围或精度下降 | 双运行基准测试 | 质量阈值通过 |
| AI特点 | 改变产出或成本 | 版本化评估和消费 | 任务和成本阈值通过 |
| 案例平台 | 破碎的历史和工作流程 | 移民协调 | 样本匹配 |
| 劳动力 | 丧失批判性判断力 | 角色和继任图 | 覆盖并移交完成 |
| 顾客 | 同意、信任或流失 | 合同和沟通计划 | 队列批准完成 |
| 金融 | 延迟节省或隐性成本 | 所有者、基线和已实现现金 | 利益独立调节 |
寄存器将每个集成选择与证据和发布门连接起来。
22. 执行 180 天的尽职调查和整合计划
第 1 至 30 天建立控制。该团队确认交易范围、模型库存、遥测权、客户合同、劳动力地图和检测到结果分类账。它保留日志、版本和案例证据。紧急的安全、隐私或客户问题需要负责的所有者和临时控制。
第 31 天至 75 天测试代表性行为和良性活动。该团队重现覆盖范围、背景、精度和速度测量，对分析师工作进行抽样并协调服务报告。财务重建客户群体、完成交付成本、经常性收入和现金转换。
第 76 天到第 120 天强调运营和交易模型。该团队测试对数据源、模型提供商、关键人员、客户和渠道的依赖性。它对事件激增、损耗、平台迁移、数据成本变化和监管补救进行建模。管理假设仍然明确。
第 121 至 180 天最终确定对价保护和集成发布计划。双方就客户、产品、人员、数据和平台门槛达成一致。董事会收到验证价值、有证据支持的价值、期权价值、负债、第一年投资和止损条件。
该计划从控制和测量转向压力测试、交易保护和队列释放。
| 门 | 证据 | 启用决策 | 失败响应 |
|---|---|---|---|
| 周长 | 产品、服务、合同和责任图 | 确认收购范围 | 排除或重新定价不受支持的范围 |
| 检测质量 | 代表性覆盖范围、精度和速度 | 接受核心能力 | 补救、保留价值或停止 |
| 生产率 | 受控的努力和质量队列 | 认识容量价值 | 消除劳动力协同作用 |
| 数据和AI | 权利、血统、评价和后备 | 识别AI和数据值 | 限制使用或降低价值 |
| 客户经济 | 合同、交付成本、保留和现金 | 接受重复碱基 | 调整收入和营运资金 |
| 集成准备情况 | 双运行计划、人员覆盖和同意 | 释放队列迁移 | 扩展并行操作 |
| 实现价值 | 独立调节质量和现金 | 释放保留对价 | 推迟或减少付款 |
每个关卡都需要在考虑、迁移或成本行动进行之前进行审查的证据。
23. 决定和结论
AI SOC 采购价值应从经过验证的安全结果和完整的交付成本开始。警报量、模型标签和分析师席位声明提供了背景信息，但它们并没有建立价值。董事会需要一个证据链，从代表行为到遥测、可操作的案例、证据确凿的决策、授权响应、客户接受和现金。
检测质量有多个维度。没有上下文的覆盖将工作转移给分析师。没有正确性的速度会加速错误的决策。没有代表性良性测试的精度可以反映对已知脚本的调整。没有完整的劳动力和质量措施的生产力可能隐藏成本和风险。
因此，交易应维护五个相互关联的记录：检测到结果分类账、模型库存、数据权限登记册、分析师生产力分类账和客户群体模型。这些记录允许技术、运营和财务调查使用相同的证据。他们还创建交割后控制。
考虑和整合应该遵循证据。经验证的经常性现金流支持基础。再现的检测质量和受控的生产力支持附加价值。当交付先决条件满足时，即可确认合同扩张。 AI，数据和自主响应选项保持单独估值，直到权利、控制、采用和经济性得到证明。
这种方法为买家和卖家提供了价格和执行的实用基础。它保留了创新，同时要求相应的主张提供证据。当分析师以完全成本产生正确、及时且可接受的结果时，其时间就变得有价值。
来源
- 美国国家标准与技术研究院，网络安全框架 2.0。 阅读主要来源
- MITRE Engenuity、ATT&CK 评估企业 2026 评估结构。 阅读主要来源
- 美国国家标准与技术研究院，NIST IR 8596 人工智能网络安全框架简介，初稿。 阅读主要来源
- 美国国家标准与技术研究院，人工智能风险管理框架 1.0。 阅读主要来源
- 美国国家标准与技术研究院，NIST AI 600-1 生成人工智能简介。 阅读主要来源
- MITRE、ATT&CK 企业知识库。 阅读主要来源
- 美国国家标准与技术研究院，NIST AI 100-2e2025 对抗性机器学习分类法和术语。 阅读主要来源
- OASIS 开放，STIX 版本 2.1。 阅读主要来源
- OASIS 开放，TAXII 版本 2.1。 阅读主要来源
- SigmaHQ，Sigma 通用签名格式。 阅读主要来源
- 开放网络安全架构框架，OCSF 架构。 阅读主要来源
- 美国国家标准技术研究院，SP 800-207 零信任架构。 阅读主要来源
- 美国国家标准与技术研究所，SP 800-53 修订版 5 安全和隐私控制。 阅读主要来源
- 网络安全和基础设施安全局，设计安全。 阅读主要来源
- 美国证券交易委员会，网络安全风险管理策略治理和事件披露最终规则。 阅读主要来源
- 国际标准化组织，ISO IEC 27001 信息安全管理系统。 阅读主要来源
- 国际标准化组织，ISO IEC 27035 信息安全事件管理。 阅读主要来源
- 国际标准化组织，ISO IEC 42001 人工智能管理系统。 阅读主要来源
- 美国国家标准与技术研究院，NICE 网络安全劳动力框架。 阅读主要来源
- IFRS 基金会，IFRS 15 客户合同收入。 阅读主要来源
- IFRS 基金会、IFRS 3 企业合并。 阅读主要来源
- IFRS 基金会，IAS 38 无形资产。 阅读主要来源
- IFRS 基金会，IAS 36 资产减值。 阅读主要来源
- IFRS 基金会，IFRS 13 公允价值计量。 阅读主要来源
- 国际评估标准理事会，国际评估标准。 阅读主要来源
- 美国国家标准与技术研究院，SP 800-61 第 3 版事件响应建议。 阅读主要来源
- 美国国家标准与技术研究所，SP 800-92 计算机安全日志管理指南。 阅读主要来源
- 美国国家标准技术研究院，SP 800-137 信息安全连续监测。 阅读主要来源
- 美国国家标准与技术研究所，SP 1353 初始公开草案，使用 AI 进行 CSF 分析和报告。 阅读主要来源
- 美国国家标准技术研究院，AI资源中心。 阅读主要来源
- 网络安全和基础设施安全局，人工智能路线图。 阅读主要来源
- 网络安全和基础设施安全局，政府企业消费者软件采购指南。 阅读主要来源
- 网络安全和基础设施安全局，已知被利用的漏洞目录。 阅读主要来源
- 网络安全和基础设施安全局和英国国家网络安全中心，安全 AI 系统开发指南。 阅读主要来源
- 欧盟网络安全局，ENISA 威胁形势 2026。 阅读主要来源
- 欧盟网络安全局，ENISA 威胁形势 2025。 阅读主要来源
- 欧盟网络安全局，人工智能网络安全挑战。 阅读主要来源
- 欧盟，欧盟 2022 2555 指令，关于网络安全高通用水平的措施，NIS2。 阅读主要来源
- 欧盟，关于金融部门数字运营弹性的欧盟 2022 2554 法规。 阅读主要来源
- 欧盟，EU 2024 1689 法规制定了人工智能的统一规则。 阅读主要来源
- 英国国家网络安全中心，安全 AI 系统开发指南。 阅读主要来源
- 英国信息专员办公室，关于 AI 和数据保护的指南。 阅读主要来源
- 美国联邦贸易委员会，请检查您的 AI 索赔。 阅读主要来源
- 沙特国家网络安全局，基本网络安全控制。 阅读主要来源
- UAE 网络安全委员会，国家网络安全战略。 阅读主要来源
- 卡塔尔国家网络安全局，国家网络安全战略。 阅读主要来源
- 巴林国家网络安全中心，国家网络安全战略。 阅读主要来源
- 第一，通用漏洞评分系统。 阅读主要来源
- 首先，利用预测评分系统。 阅读主要来源
- MITRE、D3FEND 网络安全对策知识图。 阅读主要来源
