持续监控与定期复评
sentinel, Lab
v3.0
STABLE
第三方供应商
安全评估
合同约束
持续监控
供应链
场景 4 — 阶段三：持续监控与定期复评
持续安全监控机制
| 监控项 |
说明 |
| 外部攻击面监控 |
供应商暴露面/暗网泄露/证书异常 |
| 供应商安全评级 |
第三方安全评分平台持续跟踪（如 SecurityScorecard） |
| 访问行为审计 |
供应商账号操作日志持续监控 |
| 安全事件联动 |
供应商安全事件情报实时接收 |
| 合规状态跟踪 |
认证有效期/渗透测试报告时效 |
定期复评机制
| 频率 |
供应商 |
内容 |
| 年度全面复评 |
高风险供应商 |
问卷 + 证据 + 技术评估 + 现场审计，安全评分不达标触发整改或退出 |
| 半年度复评 |
中风险供应商 |
问卷更新 + 安全证据刷新，关注认证有效期和安全事件 |
| 年度基础复评 |
低风险供应商 |
资质证书有效性确认，基础安全问卷更新 |
| 事件触发复评 |
全部供应商 |
供应商发生安全事件时立即复评，重大变更（收购/架构变化）触发 |
供应商安全生命周期
| 阶段 |
说明 |
| 准入评估 |
问卷 + 评分 + 决策 |
| 合同签署 |
安全条款 + 基线 + SLA |
| 接入部署 |
权限分配 + 安全配置 |
| 持续监控 |
行为审计 + 风险跟踪 |
| 定期复评 |
问卷刷新 + 资质验证 |
| 退出管理 |
权限回收 + 数据销毁 + 审计 |
供应商退出安全管理
| 步骤 |
说明 |
| 1. 权限即时回收 |
VPN/堡垒机/账号/证书/API Key，确认所有访问通道已切断 |
| 2. 数据交接与销毁 |
企业数据完整回收，供应商侧数据确认销毁 + 销毁证明 |
| 3. 凭证全面轮换 |
供应商曾接触的密码/密钥全部更换，共享的 API 凭证/证书吊销 |
| 4. 退出安全审计 |
确认无遗留后门/权限/数据，退出审计报告存档 |
| 5. 知识转移 |
文档/配置/运维知识完整交接，确保业务平滑过渡 |