4. 供应链安全审核框架与标准
供应链安全审核不能靠审核员凭经验“想到哪查到哪”，否则不同项目、不同供应商之间的结论无法比较，也无法向管理层证明覆盖度。国际与国内标准给出的价值，正是把“应该关注什么”固化为可复用的控制域，再让企业把控制域翻译成自己的审核动作、证据要求和判定准则。本节聚焦三套最常被引用的标准——ISO/IEC 27036、NIST SP 800-161 与 GB/T 36637，说明它们的定位差异，并给出一条可落地的映射路径。
三套标准的定位差异
ISO/IEC 27036 是“关系视角”的标准族，核心是把供应商关系按生命周期划分为立项与需求、评估与选择、协议与签约、运行与交付、变更与终止等阶段，强调信息安全管理要嵌入采购与供应商管理的每个阶段，而不是只在准入时做一次评估。它回答的是“在供应商关系的哪个阶段，应该施加哪些安全要求”。
NIST SP 800-161 是“控制视角”的标准，它建立在 NIST SP 800-53 控制目录之上，把供应链风险管理（C-SCRM）要求逐条映射到治理、采购、研发、生产、交付、运维等环节，并强调多级供应商（Tier 1、Tier 2……）的级联风险。它回答的是“针对供应链特有威胁，应落实哪些具体控制项，以及如何分级”。
GB/T 36637《信息安全技术 ICT供应链安全风险管理指南》是“流程与方法视角”的国家标准，给出ICT供应链安全风险的识别、分析、评价、处置与监控方法，并明确组织应建立供应链安全管理策略、明确角色职责、对供应商进行分级分类管理。它回答的是“在中国监管与合规语境下，如何组织一套可审计的供应链风险管理过程”。
三者的关系可以概括为：ISO 27036 提供阶段骨架，NIST SP 800-161 提供控制颗粒度，GB/T 36637 提供风险管理流程与合规落点。企业实际审核时，通常以阶段为纵轴、以控制域为横轴，形成审核矩阵。
把标准条款翻译成审核检查表
映射的第一步是建立“阶段 × 控制域”矩阵。以一家企业采购云托管数据库服务为例，供应商属于关键供应商（承载客户个人信息），审核矩阵可按如下方式展开：
| 关系阶段（ISO 27036） | 控制域（NIST SP 800-161 提炼） | 审核动作与证据 | 判定准则 |
|---|---|---|---|
| 评估与选择 | 供应商风险评估、资质与合规 | 查阅供应商安全白皮书、等保测评报告、ISO 27001 证书有效期 | 证书在有效期内且覆盖本次服务范围 |
| 协议与签约 | 合同安全条款、数据权属、事件通报 | 核对合同中的数据保护条款、SLA 可用性指标、通报时限 | 安全事件通报时限 ≤ 24 小时，数据删除条款明确 |
| 运行与交付 | 访问控制、加密、日志、漏洞管理 | 核查租户隔离配置、传输与静态加密算法、审计日志留存周期 | 加密算法不低于 AES-256，日志留存 ≥ 180 天 |
| 变更与终止 | 变更通知、数据迁移与销毁 | 查阅变更通知机制、数据导出与销毁证明 | 重大变更提前 15 天通知，销毁提供书面证明 |
这张表的关键在于：每一行都必须能落到“可查、可看、可判定”的证据上。如果某个控制项找不到对应证据，说明它要么不适用，要么审核方法还没设计出来，不能简单记为“符合”。
供应商分级决定审核深度
GB/T 36637 强调分级分类管理，NIST SP 800-161 也要求按风险调整控制强度。企业可先按两个维度打分：一是供应商可访问的数据敏感度（公开/内部/敏感/核心），二是服务中断对业务的影响程度（低/中/高/关键）。两者组合后划分四级：
- 一级（关键）：核心数据 + 关键业务，每年现场审核一次，季度远程复核，要求提供渗透测试报告与灾备演练记录。
- 二级（重要）：敏感数据或高影响业务，每两年现场审核一次，年度问卷 + 抽样验证。
- 三级（一般）：内部数据、中等影响，以问卷和公开信息核查为主，必要时远程访谈。
- 四级（低风险）：公开数据、低影响，准入时做一次基线核查，之后纳入年度抽检。
分级不是给供应商贴标签，而是决定审核资源投向。若把四级供应商按一级标准审核，团队会被大量低价值工作拖垮；反之，把一级供应商当四级处理，则关键风险会长期暴露。
审核执行中的关键动作
以“运行与交付”阶段的访问控制审核为例，审核员不应只问“你们有没有做权限管理”，而应要求供应商演示或提供证据：
核查项：租户数据隔离
证据要求：
1. 提供最近一次权限矩阵导出（角色 → 可访问资源 → 操作权限）
2. 演示跨租户访问尝试被拒绝的日志记录
3. 提供特权账号清单及双人审批记录
判定：
- 若存在共享账号或权限长期未复核 → 不符合
- 若权限矩阵完整但复核周期超过 90 天 → 部分符合
- 若隔离机制有效且复核记录完整 → 符合这种写法把标准中的“访问控制”控制项，转化为审核员可执行、供应商可准备的具体动作。NIST SP 800-161 中关于最小权限、职责分离的要求，也正是在这个层面被验证。
常见映射误区
第一个误区是“逐条照搬”。ISO 27036 有大量关系管理要求，NIST SP 800-161 控制项数以百计，若不加裁剪全部塞进检查表，审核会变成填表游戏。正确做法是先按供应商分级筛选适用控制项，再按阶段组织。
第二个误区是“只映射技术控制”。供应链风险大量来自管理环节：分包商未告知、数据跨境未评估、终止时数据未销毁。GB/T 36637 的风险管理流程恰恰提醒我们，治理、采购、法务、安全必须共同参与审核设计。
第三个误区是“映射一次就固化”。供应商的服务模式、数据流向、分包结构会变化，映射表应至少每年复核一次，并在供应商发生重大变更时触发更新。只有让标准要求持续对齐企业实际审核动作，供应链安全审核才不是一次性合规表演，而是可运行的风险治理机制。