编者按：本文作者为全球产品与服务高级副总裁阿拉斯泰尔·帕尔，原文发表于《网络安全内幕》。
对于企业而言，管理第三方关系带来的各种风险已成为组织的关键职能，也是合规的重要环节。然而，各组织仍在探索有效第三方风险管理（TPRM）计划的核心要素。
任何成功项目的基石之一便是供应商风险评估问卷，这份文件旨在评估供应商及商业伙伴——以及其合作方——所带来的风险。
在评估第三方风险时，企业应尽可能多地了解其合作伙伴和供应商的情况。问卷调查是通过评估政策、控制措施及相关支持证据，来发现其安全、隐私和合规实践中潜在薄弱环节的一种方式。
风险评估与缓解始于信息收集。问卷调查是获取供应商安全态势的内部视角、建立信任基础的关键途径。它们能帮助组织解答关键问题，例如：
- 该供应商是否具备可接受的风险控制措施？
- 该供应商是否存在需要整改的风险？
- 针对已识别的风险，是否已实施相应的补偿性控制措施？
问卷调查或许只是第三方风险管理（TPRM）体系中的一环，但却是获取第三方风险内部视角的极佳工具。
选择合适的问卷
从零开始创建TPRM评估问卷，只有部分组织具备足够的时间、资源或专业能力完成。因此许多机构选择采用行业标准模板，例如标准信息收集（SIG）问卷或H-ISAC问卷（若为医疗保健机构）。这些模板基于成熟框架构建，涵盖数据安全、运营韧性及法律合规等关键领域，为评估工作提供了良好的起点。
尽管这些问卷各不相同，但许多都包含以下标准组成部分：
- 供应商的数据保护政策。
- 遵守标准、法律和法规。
- 访问管理、信息隐私、事件响应及其他安全控制措施。
- 涉及数字和物理基础设施的安全措施。
行业标准问卷的另一优势在于，供应商（即回答问题的主体）通常已熟悉此类问题，能够随时提供详尽答复。企业不应满足于模板化问卷的千篇一律，而应根据自身业务需求对模板进行定制化调整，针对风险承受能力、行业特性及监管要求进行必要修改。此举可确保问卷收集到相关、准确且及时的信息。
然而，如同商业中大多数重要事物一样，帮助组织评估风险的问卷调查本身也伴随着一系列挑战。
问卷及其面临的挑战
组织必须克服一系列挑战，才能使风险评估问卷充分发挥其潜力。例如，问卷可能存在以下问题：
工作量大：完成问卷调查可能耗时较长，尤其当组织涉及众多供应商时。创建、分发和分析风险评估问卷需要专门的资源和专业知识。
安全问卷调查如同快照而非电影：它们仅能提供供应商在特定时间点的安全状况的有限视角。然而风险的本质时刻在变，当问卷完成归档后，新的漏洞随时可能出现。
供应链复杂性：相互关联的供应链意味着企业必须评估与第三方和第四方供应商相关的风险。这给风险管理流程带来了额外的复杂性。
供应商疲劳：供应商可能因频繁填写问卷而产生疲劳感，从而延迟或降低完成此类问卷的优先级。这将延缓对其风险评估的时间进程。
为缓解这种疲劳感，企业可借助人工智能程序简化问卷流程——这些程序能自动调用旧问卷内容生成新问卷，或从SOC2报告、ISO适用性声明等来源提取细节。根据供应商的具体角色定制问卷也能减轻负担并提升参与度。而采用自动化工作流进行后续跟进，则能进一步减轻工作压力。
如何充分利用问卷调查
当组织克服重重困难，成功制定出完善的风险管理问卷后，就该将其付诸实践了。以下是充分利用该问卷的实用建议：
切勿拘泥于固定僵化的问卷形式。在追求完美问卷的过程中，莫要陷入"分析瘫痪"的陷阱。面对风险的动态特性，"一劳永逸"的做法远远不够。问卷完成的瞬间，信息便开始过时，因此请谨记：保持对风险的实时认知与警觉，需要持续不断的评估。
随时准备定制。随着评估进程的推进，组织应能够导入或创建待审项目，并具备定制选项以在识别出更多独特需求时添加问题。
定期重新评估第三方供应商。风险评估应定期重复进行，尤其当供应商带来额外风险时。重新评估的频率取决于该供应商对业务运营的重要性及其处理数据的敏感程度。在高度监管的行业中，组织可能需要每年或更频繁地重新评估供应商，具体取决于合规要求。
在数字化互联的世界中，风险正以惊人的速度演变。随着新漏洞、安全事件或业务流程变更的浮现，供应商的安全态势可能随时发生变化。正因如此，自动化与持续监控至关重要，它们能帮助企业始终领先于这些变化。
流程的下一步
完善的第三方风险管理计划始于风险评估问卷。这些文件可与实时安全监控、自动化风险管理产品及持续供应商监控相结合，从而最有效地管理和降低第三方风险。
工具与策略的合理组合，将助力任何组织有效规避庞大供应商生态系统带来的风险，确保业务安全无虞。
TPRM最佳实践应始终包含以下要素：运用实时监控持续评估供应商表现，验证控制措施在实际环境中的有效性；定期重新评估供应商以确保其安全措施持续有效；定制化问卷以反映各供应商带来的独特风险。
然而，每个成功的TPRM项目都始于更简单的东西：风险评估问卷。
编者按：本文最初发表于Prevalent.net。2024 年 10 月，Mitratech 收购了人工智能第三方风险管理公司 Prevalent。此后，我们对内容进行了更新，以纳入与我们的产品、监管变化和合规性相一致的信息。
