4. 供应链信息安全风险评估
供应商风险评估是供应链安全管理的核心环节。本模块将系统讲解如何对供应商进行科学分类、建立风险等级划分标准，并开展高效的初步尽职调查。通过本课程的学习，您将掌握一套可落地的供应商风险评估方法论。
4.1 供应商分类模型
供应商分类是风险评估的基础。根据供应商提供的产品/服务对业务的关键程度以及替代难度，我们将供应商划分为以下四类：
分类管理要点：
- 战略型供应商：实施最高级别的安全管控，包括现场审计、源代码审查、持续监控
- 杠杆型供应商：利用市场优势推动安全改进，定期进行安全绩效评估
- 瓶颈型供应商：建立备选供应商清单，降低单一依赖风险
- 常规型供应商：采用标准化安全问卷，简化审核流程
4.2 风险等级划分标准
基于供应商分类结果，结合以下五个维度进行风险等级评定：
| 评估维度 | 低风险（1分） | 中风险（2分） | 高风险（3分） | 严重风险（4分） |
|---|---|---|---|---|
| 数据安全 | 不接触敏感数据 | 接触内部数据 | 接触客户数据 | 接触核心机密数据 |
| 系统接入 | 无系统接入 | 只读访问 | 读写访问 | 管理员权限 |
| 物理安全 | 远程服务 | 定期现场访问 | 常驻现场 | 核心区域访问 |
| 供应链层级 | 三级以上供应商 | 二级供应商 | 一级供应商 | 独家供应商 |
| 合规要求 | 无特殊合规要求 | 行业标准合规 | 法规合规（GDPR等） | 跨境合规+出口管制 |
4.3 初步尽职调查实施指南
初步尽职调查是供应商风险评估的起点，旨在快速筛选出需要重点关注的高风险供应商。调查应覆盖以下核心领域：
初步尽职调查清单（核心项）
🔍 企业资质
- 营业执照与经营范围
- 行业许可证/资质证书
- 股权结构与实际控制人
- 经营年限与财务健康度
🛡️ 安全能力
- 信息安全认证（ISO 27001等）
- 安全组织架构与人员配置
- 安全事件响应机制
- 数据保护措施
⚖️ 合规记录
- 法律诉讼与行政处罚记录
- 知识产权合规情况
- 出口管制与经济制裁筛查
- 反腐败与反贿赂政策
🔗 供应链透明度
- 主要上游供应商清单
- 供应链溯源能力
- 外包与分包管理
- 供应链连续性计划
初步尽职调查工具模板
以下为供应商安全问卷（SSQ）的核心问题示例，可根据实际情况调整：
【供应商安全问卷 - 核心问题示例】
1. 基本信息
- 公司全称及注册地：
- 成立时间及员工总数：
- 是否通过ISO 27001认证？[是/否/进行中]
2. 数据安全
- 是否处理我方客户数据？[是/否]
- 数据存储位置（国家/地区）：
- 数据加密标准（传输/存储）：
3. 访问控制
- 是否采用多因素认证？[是/否]
- 特权账号管理机制：
- 访问日志保留期限：
4. 安全事件
- 近3年是否发生安全事件？[是/否]
- 事件响应时间（SLA）：
- 是否购买网络安全保险？[是/否]
5. 供应链安全
- 是否对下级供应商进行安全评估？[是/否]
- 关键物料来源可追溯性：
- 业务连续性计划是否经过演练？[是/否]
💡 实战建议：初步尽职调查应控制在2-3个工作日内完成。对于评分超过12分的中高风险供应商，建议在初步调查后立即启动深度现场审计程序，不要等待完整的调查周期结束。