TPRM — 第三方风险管理技能
最后验证：2026-09-14
该技能将自身定位为一名专家级供应商风险分析师，帮助安全、采购与合规团队把第三方风险管理（TPRM）作为一项反复执行的纪律来运行，而不是一次性项目。它强调供应商风险工作是各大框架之间的连接组织，并始终把建议建立在用户组织必须满足的具体框架之上。
一、监管锚点（要求精确引用）
技能内置了一张框架与要求对照表：
- ISO/IEC 27001:2022：附录 A 5.19（供应商关系中的信息安全）、5.20（在供应商协议中处理安全）、5.21（ICT 供应链）、5.22（供应商服务的监控、评审与变更管理）、5.23（云服务）。
- SOC 2：CC9.2 —— 实体评估并管理与供应商和业务伙伴相关的风险。
- NIS2：第 21(2)(d) 条供应链安全；第 21(3) 条 —— 评估每个直接供应商特有的漏洞以及整体质量/安全开发实践（ENISA 技术实施指南 v1.0，2025 年 6 月）。
- DORA（条例 (EU) 2022/2554，自 2025 年 1 月 17 日起适用）：第五章：第 28 条（ICT 第三方风险战略；第 28(3) 条信息登记册 —— 2025 年 4 月首次提交；合同前评估；退出策略）、第 29 条（集中度风险，含可替代性）、第 30 条（强制性合同条款；对关键/重要职能的增强条款集）。首份 CTPP 名单于 2025 年 11 月 18 日发布（主要云服务商被指定）。
- HIPAA：45 CFR 164.308(b)（在业务伙伴接触 ePHI 之前必须签订 BAA；延伸至分包商链条）和 164.314(a)（BAA 内容）。
- GDPR：第 28 条处理者合同；第 28(2)/(4) 条子处理者授权与条款传递。
生命周期（美国跨机构第三方关系指南，2023 年 6 月 —— OCC 2023-17）：规划 → 尽职调查与选择 → 合同谈判 → 持续监控 → 终止。技能要求围绕这些阶段来组织项目和回答。
二、核心工作流
-
供应商分级 按数据访问（类别、数量、PII/PHI/持卡人数据）、关键性（没有它业务是否停摆？DORA 的关键或重要职能测试）和可替代性（DORA 第 29 条的集中度视角 —— 替换有多难？）进行分级。技能如实说明：这一三元组是通行实践，并非标准机构强制要求；监管挂钩是跨机构指南的风险为本严谨性和 DORA 的比例原则。输出：3–4 级模型，含每级尽职调查深度、重新评估节奏（例如 Tier 1 每年全面评估，Tier 3 仅在合同续签时）和合同要求。
-
尽职调查问卷 生成定制问卷：按供应商层级和服务类型限定范围，映射到客户必须满足的框架（每个问题引用上表中的确切控制项）。行业标准：Shared Assessments SIG 2026 —— SIG Core（约 600+ 问题，较高风险/关键供应商）对比 SIG Lite（约 125–130，基线）—— 属授权产品（应答方无需许可；发放方需要）。技能要求不复制 SIG 内容，而是以 SIG-Lite 风格生成原创的、映射框架的问题：按域组织，每个问题为是/否 + 证据请求。
-
SOC 2 Type II 报告审阅（最高价值工作流 —— 要求详尽） 逐节走查五个部分：(1) 独立服务审计师报告 —— 先看意见（无保留 vs 保留），再看期间（Type II 覆盖一个期间；通常 ≥6 个月）；(2) 管理层声明；(3) 系统描述 —— 确认你购买的服务确实在范围内；(4) TSC、测试与结果 —— 阅读每一条例外，评估与你用途的相关性；(5) 其他信息 —— 管理层对例外的回应。 始终检查：子服务组织 —— carve-out 方法（其控制被排除；报告列出你必须单独审查的 CSOC —— 被剥离的基础设施提供商本身是否经过审计？）对比 inclusive 方法；CUEC —— 为使供应商控制生效而必须由你操作的控制：将其提取为内部责任清单；覆盖缺口 —— 如果期间在数月前结束，请求桥接函（由供应商管理层出具，而非审计师；合理期限约至 3 个月；它是声明，不是保证）；范围内的信任服务类别（仅 Security 对比 +Availability/Confidentiality）。
-
DPA 与子处理者审查 GDPR 第 28(3) 条清单：书面指示、保密、安全（第 32 条）、子处理者授权机制（特定 vs 一般 + 反对权，第 28(2) 条）、数据主体权利协助、违规通知、删除/返还、审计权。审查子处理者清单：第四方集中度、传输目的地/机制、变更通知提前期。对于健康数据：按 164.314(a) 签订 BAA（安全规则合规、分包商条款传递、事件报告）—— DPA 不是 BAA。
-
合同安全附录 按层级起草附录：安全计划 + 具名框架对齐、违规通知 SLA（对齐最严格的适用制度：GDPR 对客户作为控制者的 72 小时“不无故延迟”、DORA/NIS2 报告支持、HIPAA 60 天外部上限）、审计/保证权（报告交付 + 质疑例外的权利）、子处理者条款传递、带认证的数据返还/删除、终止协助。对于受 DORA 监管、涉及关键/重要职能的客户：完整的第 30(3) 条条款集（退出策略、不受限的审计/访问权、ICT 事件支持、在适用时参与 TLPT）。
-
持续监控与退出 按层级监控：年度重新评估/刷新报告、持续信号（违规披露、信用事件、子处理者变更、供应商技术栈中的 CVE 暴露）、SLA 评审，以及集成风险检查 —— OAuth 授权和 API 令牌是现代第四方的爆炸半径（案例：Salesloft Drift，2025 年 8 月 —— 被盗 OAuth 令牌暴露了 700+ 组织的 Salesforce 数据；另有 Shai-Hulud npm 蠕虫，2025 年 9 月，针对软件供应链）。退出清单：访问/令牌/OAuth 撤销（SSO、API 密钥、VPN、物理）、数据返还 + 认证删除（含备份时间线）、知识转移、许可证/DNS/webhook 清理、最终发票/记录保留、经验教训回馈到分级模型。
三、如何回应（输出格式）
- 分级：层级模型表 + 具名供应商的分类走查
- 问卷：按域组织的问题集，每个问题附框架引用
- SOC 2 审阅：发现备忘录：意见/期间/范围 → 例外表（例外 | 相关性 | 后续）→ CUEC 责任清单 → 子服务/carve-out 分析 → 带条件的结论
- DPA 审阅：逐条第 28(3) 条清单：存在/缺失/有缺陷 + 建议措辞
- 附录：编号合同条款，按层级缩放
- 监控/退出：可操作清单，含责任人和节奏
回答完整性规则（即使未被问及也要包含）：说明供应商层级（或询问）；每次 SOC 2 审阅必须涉及意见、期间覆盖、子服务方法、CUEC 和例外；桥接函是管理层声明，不是审计师保证；将建议映射到表中客户适用的框架；明确标记第四方/子处理者。
四、参考文件
- references/soc2-report-review.md —— 深入的 SOC 2 Type II 审阅方法、例外分诊、CUEC 提取
- references/framework-mappings.md —— 完整控制文本与跨框架 TPRM 映射
- references/questionnaires-and-contracts.md —— 问卷域库与附录条款库
- references/lifecycle-and-monitoring.md —— 生命周期阶段细节、监控信号、退出
五、限制
该技能提供一般合规信息，不构成法律建议。技能要求对照官方来源核实当前要求；就决策咨询合格律师或认可评估师。
（说明：以上内容依据所提供资料整理；资料未提供该技能的收费、价格、平台支持、安装命令或具体使用步骤等信息，故暂未提供。）