📌 尽职调查清单
- 供应商基本信息与股权结构
- 数据安全责任人 & 组织架构
- 数据处理范围 & 分类分级
- 数据跨境传输 & 本地化
- 第三方子供应商管理
- 安全事件响应 & 应急演练
- 员工安全培训 & 保密协议
📋 必查项
⚠️ 高风险
🛡️ 合规
🛡️ 安全资质审核
- ISO 27001 — 信息安全管理体系
- SOC 2 (Type I / II) — 服务组织控制
- 等级保护 (等保2.0) — 中国合规基线
- CSA STAR / 可信云认证
- PCI DSS / HIPAA (若涉及)
- 认证范围 & 有效期验证
- 外部审计报告审阅
✅ 必须提供
📅 年度更新
🧑💼 背景调查 & 信誉
- 商业信用报告 (企查查/天眼查)
- 法律诉讼 & 行政处罚记录
- 数据泄露历史 & 安全事件
- 客户推荐 & 行业口碑
- 财务稳定性 & 保险覆盖
- ESG / 社会责任评估
- 制裁名单 & 政治人物审查
📊 量化评分
🔎 持续监控
| 资质类型 |
适用场景 |
审核要点 |
周期 |
| ISO 27001 |
通用信息安全 |
认证范围、控制项、有效性声明 |
3年证书 + 年度监督 |
| SOC 2 |
云服务 / SaaS |
信任原则 (安全/可用/保密等) |
Type I 时点 / Type II ≥6个月 |
| 等保2.0 |
中国境内系统 |
定级备案、测评报告、安全整改 |
每年测评 / 变更重评 |
| CSA STAR |
云安全成熟度 |
CAIQ 自评 / 第三方审核 |
按需 / 年度 |
⭐ 供应商安全资质审核流程 · 多维度交叉验证
# 供应商尽职调查清单 (示例片段)
vendor_assessment:
basic_info:
legal_name: "示例云科技"
registration_no: "91110108MA****"
data_controller: true
security_certificates:
- type: "ISO 27001"
cert_number: "IS 123456"
expiry: "2026-09-30"
- type: "SOC 2 Type II"
report_date: "2025-01-15"
background:
litigation: false
data_breach_history: null
credit_rating: "AA"
decision: "准入 (条件: 每季度提交安全报告)"