3. 供应链信息安全威胁建模

审核准备阶段是供应链安全审核的基石，其质量直接决定了后续审核工作的效率与效果。本阶段的核心任务可概括为“人、事、时”三个维度：组建合适的团队（人）、制定详尽的计划（事）、明确清晰的范围与目标（时与界）。

3.1 组建审核团队

审核团队是审核工作的执行主体，其专业性与独立性是审核公信力的保障。团队组建应遵循“能力互补、独立客观、规模适度”的原则。

3.2 制定审核计划

审核计划是审核工作的“路线图”，需明确时间节点、任务分工、资源投入及交付物。计划应具备可操作性，并预留缓冲时间应对突发状况。

3.2.1 审核计划核心要素

• 审核时间表： 包括入场日期、每日议程、末次会议时间、报告提交截止日。
• 任务分配矩阵： 明确每项审核活动的负责人与支持人（RACI模型）。
• 资源需求清单： 会议室、网络接入、系统账号、翻译服务等。
• 沟通计划： 每日站会时间、问题升级路径、紧急联系人。
• 后勤保障： 差旅安排、住宿、安全须知（如涉及现场审核）。

3.2.2 典型审核计划模板（示例）

┌─────────────────────────────────────────────────────────────┐
│              供应链安全审核计划（示例）                        │
├──────────┬──────────┬──────────────┬──────────┬─────────────┤
│ 日期      │ 时间      │ 活动内容      │ 负责人    │ 交付物       │
├──────────┼──────────┼──────────────┼──────────┼─────────────┤
│ Day 1    │ 09:00-10:00 │ 开场会议      │ 审核组长  │ 会议纪要     │
│          │ 10:00-12:00 │ 安全策略审查   │ 合规专家  │ 策略差距清单  │
│          │ 13:00-17:00 │ 技术架构访谈   │ 技术专家  │ 访谈记录     │
├──────────┼──────────┼──────────────┼──────────┼─────────────┤
│ Day 2    │ 09:00-12:00 │ 代码仓库审计   │ 技术专家  │ 审计发现清单  │
│          │ 13:00-15:00 │ 供应商访谈     │ 业务代表  │ 访谈纪要     │
│          │ 15:00-17:00 │ 证据收集与验证 │ 全体成员  │ 证据包       │
├──────────┼──────────┼──────────────┼──────────┼─────────────┤
│ Day 3    │ 09:00-11:00 │ 内部讨论会     │ 审核组长  │ 初步发现清单  │
│          │ 11:00-12:00 │ 末次会议准备   │ 全体成员  │ 演示文稿     │
│          │ 14:00-16:00 │ 末次会议       │ 审核组长  │ 会议纪要     │
└──────────┴──────────┴──────────────┴──────────┴─────────────┘

3.3 确定审核范围与目标

审核范围定义了审核的“边界”，审核目标则明确了“为什么审”以及“审到什么程度”。两者必须清晰、可衡量，并与利益相关方达成共识。

3.3.1 审核范围界定

范围界定需从以下四个维度展开：

3.3.2 审核目标设定（SMART原则）

• S (Specific 具体)： 例如“评估供应商A的软件供应链完整性控制措施”。
• M (Measurable 可衡量)： 例如“发现至少3个高风险漏洞或流程缺失”。
• A (Achievable 可实现)： 例如“在3天内完成对供应商A的文档审查与访谈”。
• R (Relevant 相关)： 例如“目标与公司年度供应链安全战略一致”。
• T (Time-bound 有时限)： 例如“审核报告在末次会议后5个工作日内提交”。

3.4 审核准备阶段检查清单

为确保准备阶段无遗漏，建议使用以下清单进行逐项确认：