4、供应商风险评估：供应商分类、风险等级划分、初步尽职调查

4.1 供应商分类模型

供应商分类是风险评估的基础。根据供应商提供的产品/服务对业务的关键程度以及替代难度，我们将供应商划分为以下四类：

分类管理要点：

• 战略型供应商：实施最高级别的安全管控，包括现场审计、源代码审查、持续监控
• 杠杆型供应商：利用市场优势推动安全改进，定期进行安全绩效评估
• 瓶颈型供应商：建立备选供应商清单，降低单一依赖风险
• 常规型供应商：采用标准化安全问卷，简化审核流程

4.2 风险等级划分标准

基于供应商分类结果，结合以下五个维度进行风险等级评定：

评估维度	低风险（1分）	中风险（2分）	高风险（3分）	严重风险（4分）
数据安全	不接触敏感数据	接触内部数据	接触客户数据	接触核心机密数据
系统接入	无系统接入	只读访问	读写访问	管理员权限
物理安全	远程服务	定期现场访问	常驻现场	核心区域访问
供应链层级	三级以上供应商	二级供应商	一级供应商	独家供应商
合规要求	无特殊合规要求	行业标准合规	法规合规（GDPR等）	跨境合规+出口管制

4.3 初步尽职调查实施指南

初步尽职调查是供应商风险评估的起点，旨在快速筛选出需要重点关注的高风险供应商。调查应覆盖以下核心领域：

初步尽职调查工具模板

以下为供应商安全问卷（SSQ）的核心问题示例，可根据实际情况调整：

【供应商安全问卷 - 核心问题示例】

1. 基本信息
   - 公司全称及注册地：
   - 成立时间及员工总数：
   - 是否通过ISO 27001认证？[是/否/进行中]

2. 数据安全
   - 是否处理我方客户数据？[是/否]
   - 数据存储位置（国家/地区）：
   - 数据加密标准（传输/存储）：

3. 访问控制
   - 是否采用多因素认证？[是/否]
   - 特权账号管理机制：
   - 访问日志保留期限：

4. 安全事件
   - 近3年是否发生安全事件？[是/否]
   - 事件响应时间（SLA）：
   - 是否购买网络安全保险？[是/否]

5. 供应链安全
   - 是否对下级供应商进行安全评估？[是/否]
   - 关键物料来源可追溯性：
   - 业务连续性计划是否经过演练？[是/否]