How to Apply NIST SP 800-53 Supply Chain Controls to Your Third-Party Risk Program

组织可开展专项评估，包括验证与确认、系统监控、内部威胁评估、恶意用户测试及其他形式的测试。

CA-2 (3) 控制评估｜利用外部组织的结果

组织可依赖其他（外部）组织对组织系统的控制评估。

评估应集中管理，并以工作流、任务管理和自动证据审查功能为后盾，以确保您的团队在整个关系生命周期中对第三方风险具有可见性。

重要的是，TPRM 解决方案应包括基于风险评估结果的内置补救建议，以确保您的第三方及时、令人满意地处理风险，并能向审计人员提供适当的证据。

As part of this process, continuously track and analyze external threats to third parties. Monitor the Internet and dark web for cyber threats and vulnerabilities, as well as public and private sources of reputational, sanction, and financial information.

所有监控数据都应与评估结果相关联，并集中到每个供应商的统一风险登记册中，从而简化风险审查、报告、补救和应对措施。

务必整合第三方运营、声誉及财务数据，为网络安全发现提供背景信息，并衡量事件随时间推移产生的影响。

If required, substitute third-party auditors SOC 2 reports for a vendor’s risk assessments. Review the list of control gaps identified within the SOC 2 report, create risk items against the third party, and track and report against deficiencies over time.

协调应急预案与外部服务提供商的应急预案，确保应急需求能够得到满足。

IR-4 (10) 事件处理 | 供应链协调

与供应链中的其他相关组织协调处理涉及供应链事件的应急处置活动。

IR-5 事件监测

追踪并记录事件。

IR-6 (3) 事件报告 | 供应链协调

向产品或服务提供商以及参与相关系统或系统组件供应链或供应链治理的其他组织提供事件信息。

IR-8(1) 事件响应计划 | 安全漏洞

在涉及个人身份信息的数据泄露事件响应计划中，应包含以下内容：

(a) 一项用于确定是否需要向个人或其他组织（包括监督机构）发出通知的流程；

(b) 一项评估程序，用于确定对受影响个人造成的损害、困扰、不便或不公的程度，以及任何减轻此类损害的机制；

(c) 适用隐私要求的识别。

主要功能包括

• 不断更新和可定制的事件和事故管理调查表
• 实时跟踪问卷完成进度
• 定义风险所有者，并通过自动追逐提醒，使调查如期进行
• 积极主动的供应商报告
• 每个供应商的风险评级、计数、评分和标记回复的综合视图
• 工作流程规则，根据风险对业务的潜在影响触发自动运行程序，对风险采取行动
• 为内部和外部利益相关者提供内置报告模板
• 来自内置补救建议的指导，以降低风险
• 数据和关系映射可识别组织与第三方、第四方或第 N 方之间的关系，从而直观显示信息路径并揭示风险数据

此外，还可考虑利用包含全球数千家公司数年数据泄露历史记录的数据库，包括被盗数据的类型和数量、合规性和监管问题，以及实时供应商数据泄露通知。

a. 制定全面策略以管理：

1. 与组织系统运行和使用相关的、对组织运营及资产、个人、其他组织以及国家造成的安全风险；以及

2. 因个人身份信息的授权处理而导致的个人隐私风险；

b. 在整个组织范围内一致实施风险管理策略；以及

c. 根据需要审查并更新风险管理策略，以应对组织变革。

PM-30 Supply Chain Risk Management Strategy

a. 制定全组织范围的战略，用于管理与系统、系统组件及系统服务的开发、采购、维护和处置相关的供应链风险；

b. 在整个组织范围内一致实施供应链风险管理策略；以及

c. 根据组织规定的频率或按需审查并更新供应链风险管理策略，以应对组织变革。

Seek out experts to collaborate with your team on:

• 定义并实施 TPRM 和 C-SCRM 流程和解决方案
• 选择风险评估问卷和框架
• 根据组织的风险偏好优化计划，以应对整个第三方风险生命周期--从采购和尽职调查到终止和离职

作为这一过程的一部分，您应该确定：

• 明确的角色和职责（如 RACI）
• 第三方库存
• 基于组织风险承受能力的风险评分和阈值

Continually evaluate the effectiveness of your TPRM program according to changing business needs and priorities, measuring third-party vendor key performance indicators (KPIs) and key risk indicators (KRIs) through the relationship lifecycle.

识别、优先排序并评估关键或任务关键型技术、产品及服务的供应商。

• 验证控件所需的内容类型
• 对业务绩效和运营的关键性
• 地点及相关法律或监管考虑因素
• 对第四方的依赖程度
• 接触过业务流程或面向客户的流程
• 与受保护数据的交互
• 财务状况和健康
• 声誉

From this inherent risk assessment, your team can automatically tier suppliers, set appropriate levels of further diligence; and determine the scope of ongoing assessments.

基于规则的分层逻辑应通过综合考量数据交互、财务状况、监管合规及声誉风险等因素，实现供应商分类。

制定全组织范围的持续监控策略，并实施包含以下内容的持续监控计划：

a. 建立需监控的全组织范围指标；

b. 建立监测和评估控制措施有效性的明确频率；

c. 根据持续监控策略，对组织定义的指标进行持续监控；

d. 对控制评估和监测所产生的信息进行关联与分析；

e. 为处理控制评估和监测信息分析结果而采取的应对措施；以及

f. 向指定人员报告组织系统的安全与隐私状态。

监测来源通常包括：

• 犯罪论坛；洋葱页面；暗网特权访问论坛；威胁情报源；泄露凭证粘贴网站——以及若干安全社区、代码仓库和漏洞数据库
• 包含全球数千家企业多年数据泄露历史的数据库

所有监控数据都应与评估结果相关联，并集中到每个供应商的统一风险登记册中，从而简化风险审查、报告、补救和应对措施。

将所有评估和监控数据关联到中央风险登记册后，根据可能性和影响模型进行风险评分和优先排序。该模型应将风险框定为一个矩阵，以便于查看影响最大的风险，并优先针对这些风险采取补救措施。

指定负责人并跟踪风险和补救措施，使其达到企业可接受的水平。

开发、记录和传播：

1. 一项风险评估政策，该政策应：

(a) 涉及目的、范围、角色、职责、管理层承诺、组织实体间的协调以及合规性；

(b) 符合适用法律、行政命令、指令、法规、政策、标准和指南；以及

2. 促进风险评估政策及相关风险评估控制措施实施的程序；

b. 指定一名官员负责管理风险评估政策和程序的制定、记录及传播工作；

c. 审查并更新现行风险评估：

1. Policy and

2. Procedures.

对组织系统进行影响层级优先级排序，以获得系统影响层级的更精细化信息。

(a) 评估与系统、组件和服务相关的供应链风险；以及

(b) 当相关供应链发生重大变更时，或当系统、运行环境或其他条件的变化可能需要调整供应链时，应更新供应链风险评估。

评估工作应集中管理，并依托工作流、任务管理及自动化证据审查功能，确保团队在整个合作关系生命周期内能够全面掌握第三方风险状况。

重要的是，TPRM 解决方案应包括基于风险评估结果的内置补救建议，以确保您的第三方及时、令人满意地处理风险，并能向审计人员提供适当的证据。

运用全源情报协助风险分析。

RA-3 (3) 风险评估 | 动态威胁感知

持续评估当前网络威胁态势。

RA-3 (4) 风险评估 | 预测性网络分析

运用先进的自动化和分析能力来预测和识别风险。

RA-7 风险应对

根据组织的风险承受能力，对安全与隐私评估、监控及审计的结果作出响应。

监测来源通常包括：

• 犯罪论坛；洋葱页面；暗网特权访问论坛；威胁情报源；泄露凭证粘贴网站——以及若干安全社区、代码仓库和漏洞数据库
• 包含全球数千家企业多年数据泄露历史的数据库

所有监控数据都应与评估结果相关联，并集中到每个供应商的统一风险登记册中，从而简化风险审查、报告、补救和应对措施。

当所有评估与监控数据整合至中央风险登记册后，应依据可能性与影响模型实施风险评分与优先级排序。该模型需将风险归入矩阵框架，以便清晰识别高影响风险并优先安排整改措施。

指定负责人并跟踪风险和补救措施，使其达到企业可接受的水平。

通过在系统开发生命周期的规定决策点进行关键性分析，识别关键系统组件和功能。

开发、记录和传播：

1. 一项供应链风险管理政策，该政策应：

(a) 涉及目的、范围、角色、职责、管理层承诺、组织实体间的协调以及合规性；

(b) 符合适用法律、行政命令、指令、法规、政策、标准和指南；以及

2. 促进供应链风险管理政策及相关供应链风险管理控制措施实施的程序；

b. 指定一名官员负责管理供应链风险管理政策和程序的制定、记录及传播工作；以及

c. 审查并更新现行供应链风险管理：

1. Policy and

2. Procedures

a.制定计划，管理与系统、系统组件或系统服务的研发、设计、制造、采购、交付、集成、运营和维护以及处置相关的供应链风险

b.根据需要审查和更新供应链风险管理计划，以应对威胁、组织或环境变化；以及

c.保护供应链风险管理计划，防止未经授权的披露和修改。

a. 与供应链人员协同建立流程，以识别并解决供应链要素及流程中的薄弱环节或缺陷；

b. 采用以下控制措施，以防范系统、系统组件或系统服务面临的供应链风险，并限制供应链相关事件造成的危害或后果；以及

c. 在供应链风险管理计划中记录所选定并实施的供应链流程与控制措施。

通过验证关键或任务必要技术、产品和服务的内部构成和来源，实施控制和分析，确保系统和系统组件的完整性。

采用采购战略、合同工具和采购方法来防范、识别和降低供应链风险。

As all service providers are being centralized and reviewed, teams should create comprehensive vendor profiles that contain insight into a vendor’s demographic information, 4th-party technologies, ESG scores, recent business and reputational insights, data breach history, and recent financial performance.

这种程度的尽职调查为供应商选择决策提供了更多的背景资料。

评估和审查与供应商或承包商及其提供的系统、系统组件或系统服务有关的供应链相关风险。

与参与系统、系统组件或系统服务供应链的实体制定协议和程序，以通报供应链受损情况以及评估或审计结果。

• 集中跟踪所有合同和合同属性，如类型、关键日期、价值、提醒和状态，并提供基于角色的自定义视图
• 工作流程功能（基于用户或合同类型），实现合同管理生命周期自动化
• 自动提醒和逾期通知，以简化合同审查
• 集中合同讨论和意见跟踪
• 合同和文件存储，具有基于角色的权限，并对所有访问进行审计跟踪
• 支持离线合同和文件编辑的版本控制跟踪
• Role-based permissions that enable allocation of duties, access to contracts, and read/write/modify access. With this capability, you can ensure that clear responsibilities and right-to-audit clauses are articulated in the vendor contract, and SLAs tracked and managed accordingly.

a. 建立、记录并维护供应商名录，该名录应：

1. 准确且简明地反映可能在供应链中构成网络安全风险的组织一级供应商；

2. 是否达到评估关键性与供应链风险、追踪及报告所需的粒度水平；

3. 为每个一级供应商（例如总承包商）记录以下信息：审查并更新供应商清单。

i. 采购工具（即合同、任务或交货单）的唯一标识；

ii. 所供产品和/或服务的描述；

iii. 使用供应商产品和/或服务的项目、计划和/或系统；以及

iv. 分配的严重性等级应与程序、项目和/或系统（或系统组件）的严重性相匹配。

b. 审查并更新供应商库存。

通过电子表格模板或与现有采购解决方案的 API 连接导入供应商，从而消除容易出错的手动流程。

使用集中化、可定制的接收表单和相关工作流程填充关键供应商详细信息。每个人都可以通过电子邮件邀请获得这些信息，无需任何培训或解决方案专业知识。

Build comprehensive supplier profiles that compare and monitor supplier demographics, geographic location, fourth-party technologies, and recent operational insights. Having this accumulated data will enable you to report on and take action against geographic and technology concentration risks especially.