符合 NIST SP 800-161r1 标准

CA-2 (2)控制评估 | 专项评估
组织可开展专项评估，包括验证与确认、系统监控、内部威胁评估、恶意用户测试及其他形式的测试。

适用SP 800-161r1网络安全风险管理指南：企业应采用多种评估技术和方法，例如持续监控、内部威胁评估以及恶意用户评估。这些评估机制需结合具体情境实施，要求企业深入了解其供应链，并制定必要的措施体系以评估和验证是否已实施适当的防护措施。

CA-2 (3)控制评估 | 利用外部组织的评估结果
组织可依赖其他（外部）组织对其组织系统进行的控制评估。

适用SP 800-161r1网络安全风险管理指南：对于C-SCRM，企业应针对供应商、开发者、系统集成商、外部系统服务提供商及其他ICT/OT相关服务提供商实施外部安全评估。 外部评估包括认证、第三方评估，以及在联邦层面由其他部门和机构实施的既往评估。国际标准化组织（ISO）、国家信息保障合作组织（通用标准）及开放组可信技术论坛（OTTF）的认证，若符合机构需求，亦可被非联邦及联邦企业共同采用。

Prevalent提供大量现成的第三方风险评估模板库，其中包含专门围绕NIST控制措施构建的模板。借助Prevalent平台，您可在供应商入驻时、合同续签时，或根据合作关系重大变化按需（如季度或年度）开展评估。

评估工作由中央统一管理，并依托工作流、任务管理及自动化证据审查功能，确保团队在整个合作关系生命周期内能够全面掌握第三方风险状况。

重要的是，Prevalent 包括基于风险评估结果的内置补救建议，以确保您的第三方及时、满意地处理风险，并向审计人员提供适当的证据。

在此过程中，Prevalent还持续追踪并分析针对第三方机构的外部威胁。该公司通过监测互联网及暗网中的网络威胁与漏洞，同时追踪公共及私有渠道的声誉制裁信息与财务数据，构建全面的安全防护体系。

所有监控数据均与评估结果相关联，并集中存储于每个供应商的统一风险登记册中，从而简化风险审查、报告、整改及响应措施的实施流程。

Prevalent还整合第三方运营、声誉及财务数据，为网络安全发现提供背景信息，并衡量事件随时间推移产生的影响。

如有需要，您可分析SOC 2报告或ISO适用性声明，以替代供应商的风险评估。我们的服务将审查SOC 2报告中识别出的控制缺口清单，针对第三方创建风险项目，并持续追踪和报告缺陷情况。

作为您更广泛事件管理策略的一部分，Prevalent确保您的第三方事件响应计划能够快速识别、应对、报告并减轻第三方供应商安全事件的影响。 Prevalent托管服务团队配备专职专家，负责集中管理供应商；开展主动事件风险评估；对识别风险进行评分；将风险与持续网络监控情报关联分析；并代表贵组织发布修复指导。托管服务可大幅缩短以下环节所需时间：识别受网络安全事件影响的供应商、与供应商协调沟通、确保修复措施到位。

主流第三方事件响应服务的核心能力包括：

• 不断更新和可定制的事件和事故管理调查表
• 实时跟踪问卷完成进度
• 定义风险所有者，并通过自动追逐提醒，使调查如期进行
• 积极主动的供应商报告
• 每个供应商的风险评级、计数、评分和标记回复的综合视图
• 工作流程规则，根据风险对业务的潜在影响触发自动运行程序，对风险采取行动
• 为内部和外部利益相关者提供内置报告模板
• 来自内置补救建议的指导，以降低风险
• 数据和关系映射可识别组织与第三方、第四方或第 N 方之间的关系，从而直观显示信息路径并揭示风险数据

Prevalent还分析了包含全球数千家企业多年数据泄露历史的数据库——涵盖被盗数据的类型与数量、合规与监管问题，以及供应商实时数据泄露通知。

有了这些洞察力，您的团队就能更好地了解事件的范围和影响；涉及哪些数据；第三方的运营是否受到影响；以及补救措施何时完成--所有这一切都要借助专家的力量。

PM-9风险管理策略
a. 制定全面策略以管理：
1. 组织系统运行与使用过程中，对组织运营及资产、个人、其他组织及国家造成的安保风险；以及
2. 因授权处理个人身份信息而对个人造成的隐私风险；
b. 在整个组织范围内统一实施风险管理策略；以及
c. 根据组织变化需求，及时审查并更新风险管理策略。

适用SP 800-161r1网络安全风险管理指南：风险管理策略应涵盖整个供应链中的网络安全风险。

PM-30供应链风险管理策略
a. 制定全组织范围的策略，用于管理与系统、系统组件及系统服务的开发、采购、维护和处置相关的供应链风险；
b. 在整个组织内一致实施供应链风险管理策略；以及
c. 根据组织定义的频率或按需审查并更新供应链风险管理策略，以应对组织变更。

适用SP 800-161r1网络安全风险管理指南：供应链风险管理策略（亦称C-SCRM策略）应辅以C-SCRM实施计划，该计划需为企业制定详细的举措与活动，并明确时间节点及责任主体。 该实施计划可独立作为POA&M（计划、行动与测量）文件，或纳入POA&M体系。企业应基于一级C-SCRM战略与实施计划，选定并记录通用C-SCRM控制措施，以满足企业、项目及系统层面的特定需求。

Prevalent助力您的组织构建全面的第三方风险管理（TPRM）或网络安全供应链风险管理（C-SCRM）计划，该计划将与您更广泛的信息安全与治理、企业风险管理及合规计划保持一致。

我们的专家将与您的团队在以下方面展开协作：

• 定义并实施 TPRM 和 C-SCRM 流程和解决方案
• 选择风险评估问卷和框架
• 根据组织的风险偏好优化计划，以应对整个第三方风险生命周期--从采购和尽职调查到终止和离职

在此过程中，我们将协助您明确：

• 明确的角色和职责（如 RACI）
• 第三方库存
• 基于组织风险承受能力的风险评分和阈值

借助Prevalent平台，您的团队能够根据不断变化的业务需求和优先级，持续评估第三方风险管理（TPRM）计划的有效性，通过合作关系生命周期全程监测第三方供应商的关键绩效指标（KPI）和关键风险指标（KRI）。

PM 30 (1)供应链风险管理策略 | 关键或任务关键型物品供应商
识别、优先排序并评估关键或任务关键型技术、产品及服务的供应商。

适用SP 800-161r1网络安全风险管理指南：参见上文。

普瑞瓦尔量化所有第三方固有风险。用于计算第三方固有风险以确定优先级的标准包括：

• 验证控件所需的内容类型
• 对业务绩效和运营的关键性
• 地点及相关法律或监管考虑因素
• 对第四方的依赖程度
• 接触过业务流程或面向客户的流程
• 与受保护数据的交互
• 财务状况和健康
• 声誉

通过这种固有的风险评估，您的团队可以自动对供应商进行分级；设定适当的进一步审查级别；并确定持续评估的范围。

基于规则的分层逻辑通过综合考量数据交互、财务状况、监管合规及声誉风险等因素，实现对供应商的分类管理。

PM-31连续监测策略

制定全组织范围的持续监控策略，并实施包含以下内容的持续监控计划：

a. 建立需监控的全组织范围指标；

b. 建立监测和评估控制措施有效性的明确频率；

c. 根据持续监控策略，对组织定义的指标进行持续监控；

d. 对控制评估和监测所产生的信息进行关联与分析；

e. 为处理控制评估和监测信息分析结果而采取的应对措施；以及

f. 向指定人员报告组织系统的安全与隐私状态。

通过Prevalent持续追踪并分析第三方面临的外部威胁。我们监控互联网及暗网中的网络威胁与漏洞，同时追踪公共及私有渠道中的声誉风险、制裁信息和财务数据。

监测来源包括

• 犯罪论坛；洋葱页面；暗网特权访问论坛；威胁情报源；泄露凭证粘贴网站——以及若干安全社区、代码仓库和漏洞数据库
• 包含全球数千家企业多年数据泄露历史的数据库

所有监控数据都与评估结果相关联，并集中在每个供应商的统一风险登记册中，从而简化了风险审查、报告、补救和应对措施。

当所有评估与监控数据整合至中央风险登记簿后，Prevalent将依据可能性与影响模型实施风险评分与优先级排序。该模型将风险归入矩阵框架，使您能清晰识别影响最大的风险，从而针对这些风险优先部署整改措施。

然后，您可以指派责任人，并追踪风险与整改措施，直至达到业务可接受的水平。

RA-1政策与程序
制定、记录并发布：
1. 一项风险评估政策，该政策应：
(a) 明确目的、范围、职责分工、管理层承诺、组织实体间的协调机制及合规要求；且
(b) 符合适用法律、行政命令、指令、法规、政策、标准及指南；且
2. 促进风险评估政策及相关风险控制措施实施的程序；
b. 指定专员负责风险评估政策与程序的制定、记录及发布；
c. 审查并更新现行风险评估：
1. 政策及
2. 程序。

适用SP 800-161r1网络安全风险管理指南：风险评估应在企业、任务/项目及运营层面开展。系统级风险评估需同时涵盖供应链基础设施（如开发测试环境与交付系统）及贯穿供应链的信息系统/组件。 系统级风险评估与软件开发生命周期（SDLC）存在显著交集，应与企业更广泛的风险管理框架（RMF）活动相辅相成——后者贯穿整个SDLC过程。关键性分析将确保任务关键型功能与组件获得更高优先级，因其一旦受损将对任务产生重大影响。政策应包含适用于企业范围内执行和协调风险评估的供应链相关网络安全角色（参见第2节中的角色列表及描述）。 需明确供应商、开发者、系统集成商、外部系统服务商及其他ICT/OT相关服务商内部的适用角色。

见PM-9风险管理战略

RA-2 (1)安全分类 | 影响级别优先级排序
对组织系统进行影响级别优先级排序，以获得系统影响级别的更精细化分类。

适用SP 800-161r1网络安全风险管理指南：安全分类对1、2、3级C-SCRM至关重要。除[FIPS 199]分类外，C-SCRM的安全分类应基于软件开发生命周期（SDLC）中实施的关键性分析。 详见第2节及[NISTIR 8179]中对关键性分析的详细描述。

参见PM 30 (1)供应链风险管理策略 | 关键或任务关键物品供应商

RA-3 (1)风险评估 | 供应链风险评估
(a) 评估与系统、组件及服务相关的供应链风险；以及
(b) 当相关供应链发生重大变更，或系统、运行环境或其他条件的变化可能导致供应链需要调整时，应更新供应链风险评估。

适用SP 800-161r1网络安全风险管理指南：风险评估应包含对关键性、威胁、漏洞、发生概率及影响的分析，具体详见附录C。需审查和收集的数据包括C-SCRM特定角色、流程，以及系统/组件与服务采购、实施和集成的结果。 风险评估应在1、2、3级进行。更高层级的风险评估应主要综合较低层级开展的各类风险评估，用于理解该层级（如企业级或任务/职能级）的整体影响。 C-SCRM风险评估应与贯穿软件开发生命周期（SDLC）的持续性风险评估活动相互补充并提供信息支持，相关流程应与企业风险管理（ERM）流程及治理体系保持适配或实现整合。

主流的第三方风险管理平台包含大量预构建的第三方风险评估模板库——其中包括专门围绕NIST控制措施构建的模板。评估可在供应商入驻时、合同续签时或根据重大变更情况按所需频率（如季度或年度）进行。

评估工作由中央统一管理，并依托工作流、任务管理及自动化证据审查功能，确保团队在整个合作关系生命周期内能够全面掌握第三方风险状况。

重要的是，Prevalent 包括基于风险评估结果的内置补救建议，以确保您的第三方及时、满意地处理风险，并向审计人员提供适当的证据。

RA-3 (2)风险评估 | 全源情报的使用
运用全源情报辅助风险分析。

RA-3 (3)风险评估 | 动态威胁感知
持续评估当前网络威胁态势。

RA-3 (4)风险评估 | 预测性网络分析
运用先进的自动化和分析能力来预测和识别风险。

适用SP 800-161r1网络安全风险管理指南：参见RA-3 (1)

借助Prevalent，您可以持续追踪并分析第三方面临的外部威胁。为此，我们监控互联网和暗网中的网络威胁与漏洞，同时追踪公共及私有渠道的声誉、制裁和财务信息。

监测来源包括

• 犯罪论坛；洋葱页面；暗网特权访问论坛；威胁情报源；泄露凭证粘贴网站——以及若干安全社区、代码仓库和漏洞数据库
• 包含全球数千家企业多年数据泄露历史的数据库

所有监控数据都与评估结果相关联，并集中在每个供应商的统一风险登记册中，从而简化了风险审查、报告、补救和应对措施。

RA-7风险响应
根据组织的风险承受能力，对安全和隐私评估、监控及审计的发现结果作出响应。

适用SP 800-161r1网络安全风险管理指南：企业应将应对供应链中网络安全风险的能力整合到企业整体响应态势中，确保这些响应措施符合企业风险承受能力并处于其边界之内。风险响应应包括风险响应识别、替代方案评估及风险响应决策活动。

当所有评估与监控数据整合至中央风险登记簿后，Prevalent将依据可能性与影响模型实施风险评分与优先级排序。该模型将风险归入矩阵框架，使您能清晰识别影响最大的风险，从而针对这些风险优先部署整改措施。

最后，在平台中指派责任人，并追踪风险与整改措施，直至达到企业可接受的水平。

RA-9关键性分析
通过在系统开发生命周期中定义的决策点执行关键性分析，识别关键系统组件和功能。

适用SP 800-161r1网络安全风险管理指南：企业应完成关键性分析作为评估网络安全供应链风险管理活动的先决条件。首先，企业应在C-SCRM风险管理流程的框架阶段完成关键性分析。 随后，评估步骤活动（如关键性分析、威胁分析、漏洞分析及缓解策略）所产生的结果将更新并优化关键性分析。关键性分析与其他评估步骤活动存在共生关系，彼此相互影响并形成强化。为实现高质量的关键性分析，企业应在软件生命周期开发（SLDC）全过程中反复运用该分析，并在三个层级间同步实施。 企业应要求总承包商实施此项控制措施，并将该要求逐级传达至相关分包商。各部门及机构还应参照附录F，依据《第14028号行政命令：提升国家网络安全》对本指南进行补充。

参见PM 30 (1)供应链风险管理策略 | 关键或任务关键物品供应商

SR-1政策与程序
制定、记录并发布：
1. 一项供应链风险管理政策，该政策应：
(a) 明确目的、范围、职责分工、管理层承诺、组织实体间的协调机制及合规要求；且
(b) 符合适用法律、行政命令、指令、法规、政策、标准及指南；且
2. 促进供应链风险管理政策及相关控制措施实施的程序；
b. 指定专员负责管理供应链风险管理政策与程序的制定、记录及发布；
c. 审查并更新现行供应链风险管理：
1. 政策及
2. 程序

适用SP 800-161r1网络安全风险管理指南：C-SCRM政策在第1级制定适用于整个企业，在第2级制定适用于特定任务和职能。C-SCRM政策可根据深度和细节程度在第1、2、3级实施。 C-SCRM程序在二级制定用于特定任务和职能，在三级制定用于特定系统。企业职能部门（包括但不限于信息安全、法律、风险管理和采购部门）应审查并同意C-SCRM政策和程序的制定，或为系统所有者制定特定系统C-SCRM程序提供指导。

见PM-9风险管理战略

SR-2供应链风险管理计划
a. 制定计划以管理与系统、系统组件或系统服务的研发、设计、制造、采购、交付、集成、运行维护及处置相关的供应链风险
b. 根据需要审查并更新供应链风险管理计划，以应对威胁、组织或环境变化；以及
c. 保护供应链风险管理计划免遭未经授权的披露和修改。

适用SP 800-161r1网络安全风险管理指南：C-SCRM计划描述系统层面的实施措施、要求、限制及影响。C-SCRM计划受企业其他风险评估活动影响，可继承并调整在第1级和第2级定义的通用控制基线。 三级定义的C-SCRM计划需协同企业C-SCRM战略与政策（一级和二级）及C-SCRM实施计划（一级和二级），为全企业范围的网络安全供应链风险管理提供系统化、整体化的方法论。 C-SCRM计划应作为独立文件制定，仅在企业约束条件要求时才需整合至现有系统安全计划中。

见PM-9风险管理战略

SR-3供应链控制与流程
a. 建立流程或系列流程，协同供应链人员识别并解决供应链要素及流程中的薄弱环节或缺陷；
b. 采用以下控制措施，防范供应链风险对系统、系统组件或系统服务造成的危害，并限制供应链相关事件的损害或后果；以及
c. 将选定并实施的供应链流程与控制措施记录于供应链风险管理计划中。

适用SP 800-161r1网络安全风险管理指南：本文件第2节及附录C提供了实施此控制措施的详细指导。各部门及机构应参照附录F，依据《关于加强国家网络安全的第14028号行政命令》实施本指南。

见PM-9风险管理战略

SR-4 (4)来源追溯 | 供应链完整性——溯源性
通过验证关键或任务关键型技术、产品及服务的内部构成与来源，实施控制措施并进行分析，以确保系统及系统组件的完整性。

适用SP 800-161r1网络安全风险管理指南：应在整个软件开发生命周期（SDLC）中记录系统、系统组件及相关数据的来源。 企业应考虑为适用且适当的软件类别（包括采购软件、开源软件和内部开发软件）生成软件物料清单（SBOM）。SBOM应仅采用符合[NTIA SBOM]行政令14028中NTIA最低SBOM要素要求的NTIA支持格式。生成SBOM的企业应以[NTIA SBOM]最低要素为框架纳入主要组件。 SBOM应使用可验证的可信密钥进行数字签名。SBOM在帮助组织维护溯源能力方面至关重要。但随着SBOM技术成熟，组织应避免因错误认为SBOM可替代现有C-SCRM能力（如漏洞管理实践和供应商风险评估）而降低其优先级。 SBOM及其旨在为组织提升的透明度属于互补能力而非替代能力。若组织无法妥善采集、分析并有效运用SBOM提供的数据，其整体C-SCRM态势恐难改善。联邦机构应参照附录F，依据《关于提升国家网络安全的第14028号行政命令》实施本指南。

作为尽职调查流程的一部分，Prevalent 支持供应商为其软件产品提供最新的软件物料清单（SBOM）。这有助于您识别可能影响组织安全与合规性的潜在漏洞或许可问题。

SR-5采购策略、工具与方法
运用采购策略、合同工具及采购方法，防范、识别并缓解供应链风险。

适用SP 800-161r1《网络安全风险管理指南》：第3节及补充控制措施（SA controls）就采购策略、工具及方法提供补充指导。各部门及机构应参照附录F，依据《关于提升国家网络安全的第14028号行政命令》实施本指南。

Prevalent使您的团队能够通过单一解决方案集中管理并自动化处理提案请求（RFP）和信息请求（RFI）的分发、比较及管理，该方案支持对关键属性进行对比分析。

随着所有服务提供商正被集中管理并接受审查，普瑞维兰平台创建了全面的供应商档案，其中包含对供应商人口统计信息、第四方技术、ESG评分、近期业务与声誉洞察、数据泄露历史以及近期财务表现的深入分析。

此级别的尽职调查为供应商选择决策提供了更全面的背景信息。

SR-6供应商评估与审查
评估和审查与供应商或承包商相关的供应链风险，以及他们所提供的系统、系统组件或系统服务。

适用SP 800-161r1网络安全风险管理指南：企业通常应考虑与供应商及其所提供服务或产品的安全性、完整性、弹性、质量、可信度或真实性相关的任何信息。 企业应采用统一的核心基准要素和评估标准来应用这些信息，以促进供应商间及时间维度的公平比较。根据评估的具体背景和目的，企业可选择补充要素。评估所依据信息的质量（如相关性、完整性、准确性等）亦是重要考量因素。评估信息的参考来源应予以记录。 C-SCRM项目管理办公室可协助企业制定供应商评估的要求、方法及工具。各部门及机构应参照附录E获取基准风险因素及评估记录的进一步指引，并依据《第14028号行政命令：提升国家网络安全》附录F实施本指南。

参见RA-3 (1)风险评估 | 供应链风险评估

SR-8通知协议
与系统、系统组件或系统服务供应链相关实体建立协议和程序，用于通报供应链安全漏洞；以及评估或审计结果。

适用SP 800-161r1网络安全风险管理指南：企业至少应要求其供应商与供应链中承担关键服务或产品相关职责的实体建立通知协议。各部门及机构应参照附录F，依据《改善国家网络安全》第14028号行政命令实施本指南。

Prevalent 使您的团队能够集中管理供应商合同的分发、讨论、归档和审查，从而实现合同生命周期的自动化管理，并确保关键条款得到严格执行。

主要功能包括

• 集中跟踪所有合同和合同属性，如类型、关键日期、价值、提醒和状态，并提供基于角色的自定义视图
• 工作流程功能（基于用户或合同类型），实现合同管理生命周期自动化
• 自动提醒和逾期通知，以简化合同审查
• 集中合同讨论和意见跟踪
• 合同和文件存储，具有基于角色的权限，并对所有访问进行审计跟踪
• 支持离线合同和文件编辑的版本控制跟踪
• 基于角色的权限，可分配职责、访问合同和读/写/修改访问权限

有了这种能力，您就可以确保在供应商合同中明确规定责任和审计权条款，并相应跟踪和管理 SLA。

SR-13供应商清单
建立、记录并维护供应商清单，该清单需满足：
1. 准确且精简地反映可能对供应链构成网络安全风险的一级供应商；
2. 具备评估关键性与供应链风险、追踪及报告所需的细化程度；
3. 为每家一级供应商（如总承包商）记录以下信息：审查并更新供应商清单。
i. 采购文件（即合同、任务或交货单）的唯一标识；
ii. 所供产品和/或服务的描述；
iii. 使用供应商产品和/或服务的项目、计划和/或系统；
iv. 根据项目、计划和/或系统（或系统组件）重要性确定的对应关键性等级。
b. 审查并更新供应商清单。

适用SP 800-161r1网络安全风险管理指南：企业依赖众多供应商来执行其使命和职能。许多供应商提供的产品和服务支持着多个使命、职能、计划、项目和系统。根据其产品和服务所支持的使命、职能、计划、项目和系统的关键性，以及企业对供应商的依赖程度，某些供应商比其他供应商更为关键。 企业应运用关键性分析法，确定哪些产品与服务对供应商关键性评估具有决定性影响，并将评估结果记录于供应商清单。关键性分析实施指南详见第2节、附录C及RA-9条款。

主流的供应商风险管理平台将所有供应商信息整合至单一供应商档案中，确保所有与供应商合作的部门均基于统一信息开展工作，从而提升透明度并优化决策过程。

通过电子表格模板或与现有采购解决方案的 API 连接导入供应商，从而消除容易出错的手动流程。

通过集中化、可定制的接收表单和相关工作流程填充关键供应商详细信息。每个人都可以通过电子邮件邀请获得这些信息，无需任何培训或解决方案专业知识。

借助Prevalent平台，您可创建全面的供应商档案，用于比较和监控供应商的人口统计特征、地理位置、第四方技术以及近期运营洞察。通过积累这些数据，您将能够针对地理和技术集中风险进行特别报告并采取应对措施。