📋 供应商风险分类

数据安全合规 · 实战课程
📌 模块 3 · 供应商风险分层 & 触发因素
供应商类型 典型示例 风险等级 核心风险触发因素
IT服务商 (开发/运维/集成) 软件外包、IT运维、系统集成 高 代码后门、越权访问、数据泄露、漏洞未修复
云服务商 (IaaS/PaaS) 阿里云、腾讯云、AWS、Azure 高 共享责任边界模糊、数据驻留、合规认证失效、超大规模故障
SaaS提供商 (软件即服务) 钉钉、飞书、Salesforce、企业 中 身份管理薄弱、数据隔离不足、API滥用、服务中断
数据处理商 (数据标注/分析/外包) 数据标注公司、BI分析、客服外包 低～中 数据二次使用、人员违规、脱敏不彻底、跨境传输

📊 风险等级划分

  • 高 直接访问核心数据 / 特权账号 数据泄露 · 合规罚款
  • 中 间接处理数据 / 共享平台 配置错误 · 访问失控
  • 低 匿名/聚合数据 / 工具支持 残余风险 · 人员疏忽

⚡ 风险触发因素 (典型)

  • 🔹 未签署DPA / 安全附录
  • 🔹 子供应商未纳入管控
  • 🔹 跨境数据传输无机制
  • 🔹 安全事件响应缺失
  • 🔹 权限泛滥 / 弱认证

🧩 供应商风险分类 · 架构关系

供应商风险分类 IT服务商 风险等级：高 云服务商 风险等级：高 SaaS提供商 风险等级：中 数据处理商 风险等级：低～中 ⚡ 触发因素：DPA缺失 · 跨境 · 子供应商 · 权限

风险分类与触发因素 · 架构示意

// 供应商风险等级划分参考 (伪代码)
{
  "供应商类型": {
    "IT服务商":       { "风险等级": "高", "触发因素": ["代码后门", "越权", "漏洞"] },
    "云服务商":       { "风险等级": "高", "触发因素": ["责任边界", "数据驻留", "合规失效"] },
    "SaaS提供商":     { "风险等级": "中", "触发因素": ["身份管理", "数据隔离", "API滥用"] },
    "数据处理商":     { "风险等级": "低～中", "触发因素": ["二次使用", "脱敏不彻底", "跨境"] }
  },
  "风险等级划分": "基于数据访问程度 & 合规影响",
  "风险触发因素": "DPA缺失 / 子供应商 / 跨境 / 响应缺失 / 权限泛滥"
}
📘 课程资料