结论不是拍脑袋,是写“基于近半年12次渗透测试、7轮终端扫描、3次模拟泄密演练,判定终端管控为高风险,因3台设备仍运行XP系统且无法升级”。风险等级后面必须跟支撑动作、数据来源、时间跨度。别写“存在一定风险”,写“高风险项3项,中风险项5项,低风险项2项”。