2. 供应链信息资产识别与分类

在供应链安全审核中，选择合适的框架是确保审核系统性、合规性与有效性的基石。本节将深入解析三大主流框架：NIST CSF（网络安全框架）、ISO 28000（供应链安全管理体系）以及C-SCRM（网络供应链风险管理）。理解它们的核心要素、适用场景及相互关系，是审核员必备的专业素养。

2.1 NIST CSF（网络安全框架）

NIST CSF 由美国国家标准与技术研究院发布，最初为提升关键基础设施网络安全而设计，现已广泛适用于各类组织的供应链安全审核。其核心框架由 五大核心功能 组成，形成一个闭环的风险管理流程。

2.2 ISO 28000（供应链安全管理体系）

ISO 28000 是国际标准化组织制定的供应链安全管理体系标准，适用于所有规模和类型的组织，尤其是涉及 物流、运输、仓储 的实体。它采用 PDCA（计划-执行-检查-改进）循环，强调对安全风险的全面评估与控制。

• 📋 计划 (Plan)：建立安全方针、目标，进行风险评估，制定安全计划。
• ⚙️ 执行 (Do)：实施安全控制措施，包括物理安全、人员安全、信息安全。
• 🔍 检查 (Check)：监控安全绩效，进行内部审核与管理评审。
• 🔄 改进 (Act)：采取纠正与预防措施，持续改进体系有效性。

2.3 C-SCRM（网络供应链风险管理）

C-SCRM 是 NIST 专门针对 网络供应链风险 推出的管理框架（NIST SP 800-161）。它聚焦于数字产品与服务的全生命周期，从供应商选择、软件/硬件开发、交付、运维到退役，全面管理网络安全风险。

2.4 框架选择建议

在实际审核中，框架并非互斥，而是可以 组合使用。以下为常见场景的推荐组合：

• 🔹 IT/软件供应链审核：以 NIST CSF 为基础，结合 C-SCRM 深入管理数字风险。
• 🔹 物流/制造供应链审核：以 ISO 28000 为核心，覆盖物理安全与运输安全。
• 🔹 综合供应链审核：采用 NIST CSF 作为顶层框架，ISO 28000 管理物理环节，C-SCRM 管理数字环节。

💡 审核员提示： 无论选择哪个框架，都应确保审核标准与组织业务目标对齐，并定期更新风险登记册。框架是工具，而非目的。