SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场vendor-management

vendor-management

安全与审计

查看项目

更新于 10-15 13:54

技能介绍

用途

本技能用于实施供应商风险管理计划，覆盖供应商评估问卷、风险评分、合同跟踪、SLA 监控，以及为满足 SOC 2、ISO 27001 和监管框架合规而进行的持续监督。

适用场景

  • 引入将访问公司数据或系统的新供应商
  • 开展年度供应商风险评估与复评
  • 在供应商合同中谈判安全要求
  • 监控供应商 SLA 合规性与安全态势
  • 为 SOC 2 或 ISO 27001 审计准备供应商管理证据

供应商风险分级

按四个层级划分供应商，并对应不同的评估要求、审查频率与合同要求：

  • critical（关键）：处理或存储敏感/受监管数据（PII、PHI、PCI）；单点故障（无替代供应商）；对生产系统有特权访问；处理认证或安全关键功能。评估要求包括完整安全问卷（SIG 或自定义）、SOC 2 Type II 报告审查（或等效）、渗透测试结果审查、可选现场或虚拟安全评估、业务连续性与灾难恢复计划审查。审查频率为每年。合同要求包括数据处理协议（DPA）、涉及 PHI 时的业务伙伴协议（BAA）、含违规通知时限的安全 SLA、审计权条款、网络保险要求。示例：云基础设施提供商（AWS、Azure、GCP）、身份提供商（Okta、Azure AD）、支付处理商（Stripe、Adyen）、主数据库或 CRM SaaS。
  • high（高）：访问大量公司数据（内部或机密）；通过 API 与生产系统集成；处理面向客户的交易；替换将造成重大业务中断。评估要求包括安全问卷、SOC 2 报告审查（Type I 或 Type II）、验证合规认证。审查频率为每年。合同要求包括数据处理协议、安全要求附录、事件通知条款（72 小时）。示例：邮件/营销平台（SendGrid、HubSpot）、监控与日志 SaaS（Datadog、Splunk）、CI/CD 平台（GitHub、GitLab）、客户支持平台。
  • medium（中）：有限数据访问（仅内部数据）；非生产系统集成；不可用时有一定业务影响。评估要求包括简化安全问卷、合规认证验证。审查频率为每 2 年。合同要求包括含安全条款的标准供应商条款、NDA。示例：项目管理工具、HR 平台、差旅与费用系统。
  • low（低）：无公司数据访问；无系统集成；易于替换。评估要求包括基本尽职调查（公开信息审查）、确认无数据共享。审查频率为每 3 年或续约时。合同要求为标准条款。示例：办公用品供应商、设施服务、无数据访问的一般咨询。

供应商评估问卷

问卷分为七个部分，每部分包含问题与所需证据：

  1. 治理：信息安全政策、CISO 或安全负责人、年度安全风险评估、安全意识培训、合规认证（SOC 2、ISO 27001 等）、最近外部安全审计时间、网络责任保险及保额。所需证据：信息安全政策（或摘要）、SOC 2 Type II 报告（或 bridge letter）、ISO 27001 证书、网络保险证书。
  2. 访问控制：用户访问管理、是否强制 MFA、访问审查频率、员工离职后撤销访问流程、是否支持 SSO/SAML、特权访问管理。所需证据：访问管理政策、MFA 配置文档、访问审查记录（样本）。
  3. 数据保护：静态加密、传输加密、数据存储地理区域、是否使用子处理商及清单、数据保留政策、多租户隔离模型、能否按请求以标准格式导出数据、合同结束时的数据销毁流程。所需证据：加密标准文档、子处理商清单、展示客户数据处理的数据流图。
  4. 漏洞管理：漏洞扫描频率、渗透测试频率、关键漏洞补丁管理 SLA、是否设有负责任披露或漏洞赏金计划、第三方依赖漏洞管理。所需证据：渗透测试执行摘要（近 12 个月）、漏洞管理政策、补丁管理 SLA 文档。
  5. 事件响应：事件响应计划、违规通知时限、近 3 年是否发生数据泄露、安全事件通知方式、是否开展事件响应桌面演练。所需证据：事件响应计划摘要、违规通知程序。
  6. 业务连续性：业务连续性计划、灾难恢复计划、RTO 与 RPO 目标、DR 计划测试频率、正常运行时间 SLA、地理冗余。所需证据：BCP/DR 计划摘要、正常运行时间 SLA 文档、最近 DR 测试结果。
  7. 合规：是否处理受 GDPR、HIPAA 或 PCI DSS 约束的数据、如何支持合规义务、是否有 DPA 模板、如何处理数据主体访问请求（DSAR）、是否获得 FedRAMP 授权及影响级别。所需证据：DPA 模板、合规认证文档。

风险评分模型

评分包含五个维度，各带权重：

  • 数据敏感性（权重 30）：1 分无访问；2 分公开或非敏感内部数据；3 分内部机密数据；4 分 PII 或客户财务数据；5 分受监管数据（PHI、PCI、机密）。
  • 系统访问（权重 25）：1 分无系统访问；2 分非生产只读；3 分非生产读写或生产只读；4 分生产系统读写；5 分生产或安全系统特权/管理员访问。
  • 业务关键性（权重 20）：1 分无运营依赖；2 分轻微便利、易替换；3 分中度依赖、数周可替换；4 分重大依赖、数月可替换；5 分关键依赖、无可行替代。
  • 安全态势（权重 15）：5 分无认证、无正式安全计划；4 分有一些安全控制但无外部验证；3 分 SOC 2 Type I 或等效；2 分近 12 个月内 SOC 2 Type II；1 分多项认证（SOC 2 + ISO 27001）、计划强。
  • 监管暴露（权重 10）：1 分无监管要求；2 分一般数据保护（GDPR 基础）；3 分行业特定（HIPAA、PCI）；4 分政府（FedRAMP、ITAR）；5 分多项严格监管。

计算公式：各维度得分乘以权重之和除以 100。风险等级：低（1.0–2.0）、中（2.1–3.0）、高（3.1–4.0）、关键（4.1–5.0）。

示例：支付处理商 X，数据敏感性 5（PCI 数据）、系统访问 4（生产 API 集成）、业务关键性 5（无替代）、安全态势 2（SOC 2 Type II）、监管暴露 3（PCI DSS），得分 (530 + 425 + 520 + 215 + 3*10) / 100 = 4.1，属关键。

供应商登记与合同跟踪

登记表结构包含：

  • 供应商信息：vendor_id（VND-NNNN）、名称、网站、主要联系人邮箱、安全联系人邮箱、类别（SaaS、IaaS、咨询等）。
  • 风险评估：风险层级、风险评分、上次评估日期、下次评估日期、评估状态（current、due、overdue）、未关闭发现数、认证（类型、有效期、报告/证书是否存档）。
  • 合同：合同 ID、起止日期、是否自动续约、取消通知天数、年价值、条款（DPA、NDA、BAA、审计权、违规通知 SLA、数据返还条款、数据销毁条款、是否要求网络保险）。
  • 数据访问：数据类型、数据分类、数据位置、子处理商。
  • SLA 跟踪：正常运行时间 SLA、上月实际正常运行时间、支持响应 SLA、年初至今 SLA 违规次数。
  • 状态：active、under_review、offboarding、inactive；负责人（内部团队/人员）。

SLA 监控

提供 VendorSLAMonitor 类，包含三个方法：

  • check_uptime(vendor)：遍历供应商的健康检查端点，发起请求并记录状态码、响应时间、是否健康及时间戳；请求异常时记录错误。
  • check_status_page(vendor)：读取供应商状态页的 /api/v2/summary.json，返回状态指示、活跃事件数及各组件状态。
  • generate_sla_report(vendor_name, monthly_checks)：根据月度检查计算总检查数、健康检查数、正常运行时间百分比、平均响应时间，并判断是否达到 99.9% 的 SLA。

供应商生命周期管理

  • 准入：请求（业务方提交用例、采购分配 ID、初步风险分级）→ 评估（发送对应层级问卷、审查合规认证、评估回答、评分）→ 合同（按风险层级谈判安全要求、执行 DPA/BAA、记录数据流与访问范围、设定 SLA 预期）→ 配置（以最小权限配置集成、启用供应商访问审计日志、加入登记表、安排首次复评）。
  • 持续管理：监控（每月跟踪 SLA、监控状态页事件、审查安全公告、跟踪子处理商变更）；复评（按层级计划复评、审查更新的 SOC 2 / ISO 27001 报告、验证认证有效、更新风险评分）。
  • 退出：计划（数据迁移或过渡、识别所有集成与访问点、利益相关方沟通计划）→ 执行（撤销所有 API 密钥、凭据与访问、请求数据返还或销毁证书、移除系统集成、禁用 SSO/SAML 连接）→ 验证（确认数据销毁书面证明、验证所有访问已撤销、登记表状态更新为 inactive、按保留期归档记录）。

供应商管理清单

计划建立阶段：定义供应商风险分级标准、创建安全问卷模板、记录风险评分模型、建立供应商登记表、记录准入与退出程序。

限制

资料未提供该技能的具体安装方式、运行环境依赖、支持的平台或工具集成方式，也未说明收费、价格或效果数据。