sentinel, Lab
技战法概述
随着企业业务的复杂化和数字化转型的深入，越来越多的业务功能依赖于第三方供应商提供的产品和服务，包括 SaaS 应用、云基础设施、外包开发、数据处理、安全服务等。这些第三方供应商拥有对企业系统或数据的一定程度的访问权限，一旦供应商的安全防护出现问题，可能直接导致企业的数据泄露、业务中断或被间接攻击。
近年来，针对第三方供应商的攻击事件频发，如通过外包开发人员的 VPN 账号入侵企业内网、通过被入侵的 SaaS 平台窃取企业数据等。企业在享受第三方服务带来便利的同时，必须建立系统化的供应商安全评估体系，对供应商的安全能力进行准入评估和持续监控。
本技战法旨在帮助企业构建一套覆盖供应商全生命周期的安全评估和持续监控机制。
三阶段技战法
| 阶段 | 名称 | 关键目标 |
|---|---|---|
| 阶段一 | 供应商安全准入评估 | 建立标准化的供应商安全评估流程和评估标准，在供应商引入前完成安全评估 |
| 阶段二 | 合同约束与安全基线约定 | 通过合同条款和安全协议，明确供应商的安全责任和安全基线要求 |
| 阶段三 | 持续监控与定期复评 | 建立对已合作供应商的持续安全监控机制和定期复评机制 |
核心问题
| 问题 | 说明 |
|---|---|
| 供应链攻击频发 | SolarWinds、Codecov 等事件影响深远 |
| 访问权限广泛 | 供应商可能拥有 VPN、API、数据等多种访问权限 |
| 安全责任不清 | 合同未明确安全责任边界 |
| 缺乏持续监控 | 引入后安全状态无人跟踪 |