docs: record SID-native Windows ACL checks

CHANGELOG.md

@@ -10,6 +10,12 @@
   auto-apply config и task выключены. Изолированный PowerShell 5.1 harness для
   bundle-проверки завершился успешно на точном PR SHA; реальная установка,
   регистрация задач, SSH и production не выполнялись и не активировались.
+- Infrastructure: Windows release installer и external receiver читают владельцев
+  и ACL ACE напрямую как SID, без преобразования в имена учётных записей. Это
+  устраняет зависимость проверки от разрешения имён; неизвестные SID остаются
+  видимыми и отклоняются существующими fail-closed guard-политиками. Проверены
+  synthetic unmapped-SID fixtures и read-only ACL preflight; production ACL не
+  менялись.
 - Документация: объединены продуктовый, UI- и deployment-планы; уточнены
   внешняя backup-retention политика и обязательный owner-approved maintenance
   window для cold backup. Передача корпуса требует атомарной публикации