2、供应链安全审核框架：NIST CSF、ISO 28000、C-SCRM框架介绍

在供应链安全审核中，选择合适的框架是确保审核系统性、合规性与有效性的基石。本节将深入解析三大主流框架：NIST CSF（网络安全框架）、ISO 28000（供应链安全管理体系）以及C-SCRM（网络供应链风险管理）。理解它们的核心要素、适用场景及相互关系，是审核员必备的专业素养。

2.1 NIST CSF（网络安全框架）

NIST CSF 由美国国家标准与技术研究院发布，最初为提升关键基础设施网络安全而设计，现已广泛适用于各类组织的供应链安全审核。其核心框架由 五大核心功能 组成，形成一个闭环的风险管理流程。

功能	描述	供应链审核要点
识别 (Identify)	理解组织环境、资产、风险	供应商资产清单、关键依赖关系
保护 (Protect)	实施安全防护措施	访问控制、数据加密、员工培训
检测 (Detect)	及时发现安全事件	入侵检测、日志监控、异常告警
响应 (Respond)	对安全事件采取行动	应急计划、供应商通报机制
恢复 (Recover)	恢复受影响的资产与运营	备份恢复、业务连续性计划

2.2 ISO 28000（供应链安全管理体系）

ISO 28000 是国际标准化组织制定的供应链安全管理体系标准，适用于所有规模和类型的组织，尤其是涉及 物流、运输、仓储 的实体。它采用 PDCA（计划-执行-检查-改进）循环，强调对安全风险的全面评估与控制。

• 📋 计划 (Plan)：建立安全方针、目标，进行风险评估，制定安全计划。
• ⚙️ 执行 (Do)：实施安全控制措施，包括物理安全、人员安全、信息安全。
• 🔍 检查 (Check)：监控安全绩效，进行内部审核与管理评审。
• 🔄 改进 (Act)：采取纠正与预防措施，持续改进体系有效性。

2.3 C-SCRM（网络供应链风险管理）

C-SCRM 是 NIST 专门针对 网络供应链风险 推出的管理框架（NIST SP 800-161）。它聚焦于数字产品与服务的全生命周期，从供应商选择、软件/硬件开发、交付、运维到退役，全面管理网络安全风险。

阶段	关键活动	审核关注点
供应商评估	尽职调查、安全资质审查	供应商安全认证、历史漏洞
产品开发	安全编码、组件溯源	SBOM（软件物料清单）
交付与部署	安全传输、完整性校验	数字签名、安全配置
运维与退役	补丁管理、安全处置	漏洞响应、数据销毁

2.4 框架选择建议

在实际审核中，框架并非互斥，而是可以 组合使用。以下为常见场景的推荐组合：

• 🔹 IT/软件供应链审核：以 NIST CSF 为基础，结合 C-SCRM 深入管理数字风险。
• 🔹 物流/制造供应链审核：以 ISO 28000 为核心，覆盖物理安全与运输安全。
• 🔹 综合供应链审核：采用 NIST CSF 作为顶层框架，ISO 28000 管理物理环节，C-SCRM 管理数字环节。

💡 审核员提示： 无论选择哪个框架，都应确保审核标准与组织业务目标对齐，并定期更新风险登记册。框架是工具，而非目的。