供应商安全准入评估
sentinel, Lab
v3.0
STABLE
第三方供应商
安全评估
合同约束
持续监控
供应链
场景 2 — 阶段一：供应商安全准入评估
标准化评估流程
| 步骤 |
名称 |
说明 |
| 1 |
供应商分类定级 |
根据数据访问/系统权限/业务影响分为高/中/低风险三个等级 |
| 2 |
安全问卷发放 |
基于 CAIQ/CSA STAR 等标准问卷，定制化补充企业特有要求 |
| 3 |
证据收集与验证 |
安全认证证书（ISO 27001/SOC 2）、渗透测试报告/漏洞修复记录 |
| 4 |
技术评估 |
安全架构审查/渗透测试、API 安全性/数据加密评估 |
| 5 |
综合评分与决策 |
加权评分 → 通过/有条件通过/拒绝，高风险供应商需安全委员会审批 |
安全评估维度
| 维度 |
说明 |
| 安全管理体系 |
ISO 27001/SOC 2 认证，安全组织/制度/流程完备性 |
| 技术安全能力 |
漏洞管理/安全开发(SDL)，加密/访问控制/日志审计 |
| 合规与法律 |
数据保护法规遵从(GDPR/个保法)，行业合规要求/知识产权保护 |
| 业务连续性 |
灾备能力/SLA 承诺，应急响应/恢复时间目标 |
| 人员安全 |
背景审查/安全培训，离职管理/保密协议 |
| 事件响应能力 |
安全事件通报机制，协同响应能力和时效承诺 |
综合评分模型
| 维度 |
权重 |
| 安全管理体系 |
20% |
| 技术安全能力 |
25% |
| 合规与法律 |
15% |
| 业务连续性 |
15% |
| 人员安全 |
10% |
| 事件响应 |
15% |
评分决策：
| 分数 |
决策 |
| ≥ 80 |
直接通过 |
| 60-79 |
有条件通过（需整改后复评） |
| < 60 |
拒绝引入 |
供应商风险分级
| 等级 |
说明 |
评估要求 |
| 高风险供应商 |
持有核心数据/系统最高权限，如：云基础设施/核心 SaaS/安全外包 |
全面深度评估 + 现场审计 |
| 中风险供应商 |
有限数据访问/部分系统权限，如：外包开发/数据处理/运维服务 |
问卷 + 证据验证 + 技术评估 |
| 低风险供应商 |
无数据访问/无系统权限，如：硬件采购/办公用品/设施维护 |
基础问卷 + 资质审查 |