4. 第三方准入安全评估
第三方准入安全评估的目标，是在合同签署和系统接入之前，用一套可重复、可举证、可比较的方法判断供应商当前的安全能力是否达到组织可接受的风险水平。它既不是一次性的“填表收资料”，也不等于把供应商的安全白皮书读一遍，而是围绕问卷、资质、能力验证、现场/远程评估、评分卡与准入门槛六个环节形成闭环。准入评估的结论通常只有三类：通过、有条件通过（限期整改并附加合同约束）、不通过。任何结论都必须能追溯到具体证据和评分项。
一、准入评估的整体链路
准入评估的输入是供应商基本信息、拟接入的业务场景与数据敏感级别；处理过程是问卷初筛、资质核验、安全能力验证、现场或远程评估；输出是评分卡得分、风险等级与准入结论。下图给出这一链路的关键对象、证据来源与判断分支，其中“数据敏感级别”和“接入方式”会直接决定评估深度，是整条链路的分流依据。
二、准入问卷的设计要点
问卷是评估的起点，设计质量决定后续工作量。建议按五个域组织：安全治理、数据安全、访问控制、运维与变更、应急与业务连续性。每个问题都要能对应一个可验证的证据，避免“是否有安全管理制度”这类只能回答“有/没有”的封闭题。更好的写法是：“请提供最近一次信息安全风险评估报告的封面与整改跟踪表，并说明评估范围是否覆盖本次接入系统。”
问卷应设置触发式追问：当供应商回答“数据出境”或“使用公有云”时，自动追加数据跨境、云平台合规、密钥管理等子问题。评分时对每个问题给出 0/1/2/3 四档：0 为无措施，1 为有制度无执行记录，2 为有执行记录但不完整，3 为有记录且可验证。这样问卷结果可以直接映射到评分卡，而不是二次主观打分。
三、资质审查与安全能力验证
资质审查关注“主体是否合法、体系是否被第三方确认”。常见材料包括营业执照与经营范围、ISO 27001 或等保测评证明、行业许可证、关键人员背景审查记录、近一年安全事件披露。审查时要核对证书有效期、认证范围、认证机构，避免出现“证书覆盖的是另一个业务线”的情况。
安全能力验证则从“纸面”走向“可观测”。对高敏感场景，可要求供应商提供：
- 最近 6 个月内的漏洞扫描报告与修复闭环记录，重点关注高危漏洞平均修复时长；
- 渗透测试报告（可由甲方指定第三方执行），确认测试范围包含本次接入的接口与账号体系；
- 代码安全或依赖组件清单（SBOM），检查是否存在已知高危组件；
- 日志与审计能力演示，确认能提供登录、数据导出、权限变更三类关键日志。
这些验证项应设置明确的通过条件，例如“高危漏洞修复率 100%，中危修复率 ≥ 90%，SBOM 中无 CVSS ≥ 9.0 的已知漏洞”。达不到时进入有条件通过或直接否决。
四、现场与远程评估流程
现场评估适合核心系统、数据量大或物理接触敏感设备的供应商；远程评估适合 SaaS、云服务或异地供应商。两者流程一致，只是取证方式不同：现场可查看机房门禁、办公区屏幕、纸质记录；远程则通过视频巡场、屏幕共享、远程截图和在线访谈完成。
一次完整的评估通常安排半天到一天，节奏如下：开场说明评估范围与保密要求；按问卷域逐项访谈并索取证据；对关键控制做抽样验证，例如随机抽取 3 个离职账号确认是否已禁用、抽取 5 条数据导出记录确认是否有审批；末次会反馈初步发现并确认整改项。评估员应现场记录证据编号，避免事后补材料。
五、评分卡与准入门槛
评分卡把定性判断转为可比较的分数。下面给出一份可直接使用的示例评分卡，权重按“数据敏感型供应商”设定，实际使用时可根据场景调整。
| 评估域 | 权重 | 关键评分项 | 证据要求 | 否决项 |
|---|---|---|---|---|
| 安全治理 | 20 | 安全组织、制度、培训、风险评估 | 制度文件 + 培训记录 + 风险评估报告 | 无 |
| 数据安全 | 25 | 分类分级、加密、脱敏、跨境 | 数据流图 + 加密配置 + 跨境合规说明 | 数据出境未合规 |
| 访问控制 | 20 | 账号生命周期、最小权限、MFA | 账号清单 + 权限矩阵 + MFA 截图 | 管理员账号无 MFA |
| 运维与变更 | 20 | 漏洞管理、补丁、日志审计、变更审批 | 扫描报告 + 修复记录 + 变更单 | 高危漏洞未修复 |
| 应急与连续性 | 15 | 应急预案、演练、备份恢复 | 预案 + 演练记录 + 恢复测试报告 | 无备份恢复验证 |
准入门槛建议同时设置总分线和单项线：总分 ≥ 80 且无否决项为通过；60–79 为有条件通过，需在 30 天内完成整改并复评；< 60 或触发任一否决项为不通过。单项线可设为数据安全、访问控制均 ≥ 70%，防止总分被治理类高分拉高而掩盖关键风险。
六、一次供应商准入实战评估
假设某电商平台拟接入一家提供订单推送服务的供应商，该供应商将接触用户手机号与收货地址，属于高敏感场景，采用深度评估。评估过程如下：
- 问卷初筛：供应商提交 68 项问卷，其中“数据导出审批”回答为“有制度但无审批记录”，该项得 1 分；“密钥管理”回答为“使用云厂商 KMS”，得 3 分。
- 资质审查：提供 ISO 27001 证书，认证范围包含“订单推送服务”，有效期剩余 8 个月；等保二级备案证明齐全。
- 能力验证：第三方渗透报告显示 1 个高危越权漏洞，供应商在 5 天内修复并提交复测报告；SBOM 中无 CVSS ≥ 9.0 组件。
- 远程评估：视频巡场确认办公区无敏感信息张贴；抽查 3 个离职账号均已禁用；数据导出记录缺少审批，记为整改项。
- 评分结果：治理 17/20，数据 21/25，访问 16/20，运维 17/20，应急 12/15，总分 83。无否决项，但数据导出审批缺失导致数据安全单项 84%，高于 70% 单项线。
- 结论：有条件通过。要求 30 天内上线数据导出审批流并提交截图，复评通过后签署数据处理协议，约定年度复审与事件通知时限。
准入评估完成后，评分卡、证据清单、整改项和结论应归档，作为合同安全条款、年度复审和事件追责的依据。只有把评估结果真正带入合同与持续监控，准入评估才不是一次性的合规动作，而是供应链安全治理的起点。