供应商尽职调查：一套流程覆盖多个框架

每个主要框架都要求你管理供应商风险，正如我们的供应商与供应链要求对比所示。这些要求高度重叠，因此只需设计一次的流程即可满足所有要求。下面是一种可以做到这一点的结构。

第 1 步：统一清单

列出所有可以访问你的系统、数据或场所的供应商，并为每家记录：其业务内容、接触的数据类型，以及由此涉及的框架（PCI DSS 涉及持卡人数据，HIPAA 涉及 ePHI，GDPR 涉及个人数据，NIS2 涉及支持受监管服务的服务商）。PCI DSS（12.8.1）、ISO 27001（A.5.19）和 CIS Controls（15.1）都从这一步开始。

第 2 步：分级

• 一级：可访问敏感数据或生产系统，或对你的服务至关重要。
• 二级：访问权限有限，或关键性中等。
• 三级：不接触敏感数据；若其出现故障，影响较小。

分级是确保流程与风险相称的关键。CIS 将其称为对服务提供商进行分类（15.3）。

第 3 步：按级别评估

• 一级：涵盖你所用服务的独立保证报告（SOC 2 Type II 报告，或范围相关的 ISO 27001 证书），外加一份针对报告未涵盖内容的简短问卷。仔细阅读报告：范围、期间、例外事项、排除范围及你需要运行的控制措施。
• 二级：标准问卷；若对方有报告，则提供报告即可。
• 三级：入职时进行基础核查。

第 4 步：一次签约，覆盖全部要求

撰写一套同时覆盖所有框架的安全条款：

• 与服务相称的安全义务。
• 向你通报安全事件，且时限足够短，以满足你自身的义务（NIS2 的 24 小时、GDPR 的 72 小时）。
• 若供应商代你处理个人数据，适用 GDPR 第 28 条条款；若适用 HIPAA，则签订业务伙伴协议。
• 审计或评估权利，以及退出时的数据返还或删除。
• 对于 PCI DSS，需要供应商确认其对持卡人数据的责任（12.8.2），并形成书面的责任划分（12.8.5）。

第 5 步：持续监控与终止合作

每年重新评估一级供应商（PCI DSS 要求对服务提供商的合规性进行年度监控，12.8.4），二级供应商每一到两年评估一次，并对事件和变更作出响应。终止合作时，撤销访问权限，回收或删除数据，并予以记录（CIS 15.7）。

行之有效的简短问卷

对于没有独立保证报告的供应商，简短问卷优于冗长问卷，因为人们更愿意认真回答简短的问题。十个问题即可涵盖各框架要求的大部分内容：

1. 你将访问、存储或处理我方的哪些数据，位于何处？
2. 你是否持有涵盖本服务的有效 SOC 2 报告或 ISO 27001 证书？
3. 是否对所有访问包含我方数据的系统强制执行 MFA？
4. 关键漏洞的修补速度如何？
5. 我方数据在静态和传输过程中是否加密？
6. 是否进行备份，备份是否受保护并经过测试？
7. 对于影响我方数据的事件，你将如何及多快通知我方？
8. 哪些分包商处理我方数据？
9. 合同终止时，我方数据将如何返还或删除？
10. 你的安全联系人是谁？

将每个答案一次性映射到你的要求，并在每家供应商上复用该映射。差距分析和供应链风险主题展示了各框架如何表述这些要求。

核心要点

• 一份按风险分级的供应商清单即可服务所有框架。
• 在报告范围吻合时接受独立报告，并认真阅读。
• 一次性撰写合同条款，覆盖所有义务。

每家供应商一份档案

将所有内容（级别、评估、已阅读的报告、合同条款、审查记录）统一保存在每家供应商的一份档案中。各框架的审计人员便可在同一份记录中找到其所需证据。

供应商风险主题页面列出了每项要求及其来源；我们的文章为什么“通过 SOC 2 认证”是错误的问题介绍了如何阅读供应商报告。

常见问题

我能否接受供应商的 SOC 2 报告，而不用问卷？

通常可以，前提是该报告为 Type II 类型、较新、涵盖你所使用的服务，并且你已阅读例外事项和互补用户实体控制。未涵盖你所用服务的报告，参考价值有限。

哪些框架要求供应商合同包含安全条款？

ISO 27001（A.5.20）、PCI DSS（12.8.2）、针对处理者的 GDPR（第 28 条）、HIPAA 业务伙伴协议，以及 NIS2 的供应链措施，均要求供应商协议中包含安全条款。

供应商应多久重新评估一次？

关键供应商至少每年一次（PCI DSS 要求对服务提供商的合规性进行年度监控），其他供应商每一到两年一次，并且在发生重大事件或服务发生重大变更后，对任何供应商都应重新评估。