2. 第三方数据安全风险全景
第三方数据安全治理的第一步，不是急着写制度或上工具，而是把“风险从哪里来、沿什么路径走、最终会伤到什么”看清楚。第三方风险的本质是信任边界的外移：数据一旦离开自有可控环境，就进入了由他人的人员、系统、流程和基础设施共同构成的“半可控区”。本节按第三方类型逐一拆解典型风险与威胁路径，帮助建立一张可对照、可排查的风险全景图。
一、先建立统一的威胁路径视角
无论第三方是供应商、合作方、外包方还是云服务商，风险最终都表现为一条或多条威胁路径。建议用“入口—载体—权限—出口”四要素来刻画：入口是数据或访问权如何交给第三方；载体是数据在第三方侧以什么形式存在（数据库、文件、日志、缓存、备份、模型训练集）；权限是第三方人员与系统被授予了多大范围的访问与操作能力；出口是数据可能以何种方式被泄露、滥用或二次流转。把每条风险都落到这四个要素上，就能避免“风险描述很吓人、但不知道从哪查”的问题。
二、五类第三方的典型风险与威胁路径
1. 供应商（软件与系统供应商）。典型风险是产品自带后门、默认口令、未修复漏洞，以及供应商运维通道被滥用。威胁路径常见为：供应商为远程运维开通 VPN 或跳板机 → 该通道凭据被钓鱼窃取 → 攻击者借道进入内网 → 横向移动到数据库。识别要点是核查供应商远程接入的账号数量、认证方式（是否强制 MFA）、会话是否留痕、权限是否可临时开通并按需回收。
2. 合作方（联合运营、营销、数据合作）。典型风险是数据共享范围失控与二次使用。威胁路径常见为：业务为联合建模提供一批用户标识 → 合作方将其与自有数据拼接 → 形成更完整的画像并用于约定外场景 → 数据实际控制权扩散。识别要点是明确“共享的是标识、标签还是原始记录”，是否做了去标识化，是否约定禁止再识别与转授权，以及能否追溯每一批数据的流向。
3. 外包方（开发、测试、客服、数据标注）。典型风险是人员流动性高、权限长期不回收、生产数据被带入非生产环境。威胁路径常见为：外包开发人员为调试方便，将生产库数据导出到本地或测试环境 → 数据在个人终端留存 → 离职后仍可访问或外带。识别要点是生产数据是否脱敏后才可用于测试、外包账号是否与正式员工同权、离场时账号与终端是否同步清理。
4. 云服务商（IaaS/PaaS/SaaS）。典型风险是配置错误、多租户隔离失效、密钥管理不当与跨境存储。威胁路径常见为：对象存储桶权限被误设为公开 → 爬虫或搜索引擎抓取 → 敏感文件外泄；或访问密钥硬编码在代码仓库中 → 被扫描后用于调用云 API 拉取数据。识别要点是存储与数据库的公网暴露面、密钥是否集中托管并轮换、日志与备份的加密及驻留地域。
5. 数据接口（API、SDK、数据交换通道）。典型风险是越权访问、批量拉取、参数遍历与鉴权缺失。威胁路径常见为：接口仅校验登录态而不校验对象归属 → 攻击者修改资源 ID 遍历他人数据；或接口未做频率限制 → 被脚本批量导出全量记录。识别要点是每个接口的鉴权粒度、返回字段最小化、调用频次与异常行为监控。
三、把风险落到可核查的识别要点
风险全景图的价值在于“可对照排查”。对每一类第三方，建议固定核查四件事：数据给了什么、权限开了多大、通道是否留痕、退出是否回收。例如云服务商场景，重点看存储桶与数据库的公网可达性、访问密钥是否集中托管并定期轮换、日志与备份是否加密及驻留境内；数据接口场景，重点看每个接口是否做对象级鉴权、返回字段是否最小化、是否设置调用频次上限并对异常批量行为告警。