如何利用 NIST SP 800-53 改进第三方供应链风险管理

组织可开展专项评估，包括验证与确认、系统监控、内部威胁评估、恶意用户测试及其他形式的测试。

CA-2 (3) 控制评估｜利用外部组织的结果

组织可依赖其他（外部）组织对组织系统的控制评估。

评估应集中管理，并以工作流、任务管理和自动证据审查功能为后盾，以确保您的团队在整个关系生命周期中对第三方风险具有可见性。

重要的是，TPRM 解决方案应包括基于风险评估结果的内置补救建议，以确保您的第三方及时、令人满意地处理风险，并能向审计人员提供适当的证据。

在此过程中，需持续追踪并分析[针对第三方机构的外部威胁](/products/vendor-risk-monitoring/)。通过监控互联网及暗网中的网络威胁与漏洞，同时整合公共及私有渠道的声誉、制裁及财务信息来源，实现全面风险管控。

所有监控数据都应与评估结果相关联，并集中到每个供应商的统一风险登记册中，从而简化风险审查、报告、补救和应对措施。

务必整合第三方运营、声誉及财务数据，为网络安全发现提供背景信息，并衡量事件随时间推移产生的影响。

如有必要，可用第三方审计机构的[SOC 2报告](/blog/aicpa-soc-2-third-party-risk-management/)替代供应商的风险评估。审查SOC 2报告中指出的控制缺口清单，针对第三方建立风险项目，并持续跟踪和报告缺陷情况。

协调应急预案与外部服务提供商的应急预案，确保应急需求能够得到满足。

IR-4 (10) 事件处理 | 供应链协调

与供应链中的其他相关组织协调处理涉及供应链事件的应急处置活动。

IR-5 事件监测

追踪并记录事件。

IR-6 (3) 事件报告 | 供应链协调

向产品或服务提供商以及参与相关系统或系统组件供应链或供应链治理的其他组织提供事件信息。

IR-8(1) 事件响应计划 | 安全漏洞

在涉及个人身份信息的数据泄露事件响应计划中，应包含以下内容：

(a) 一项用于确定是否需要向个人或其他组织（包括监督机构）发出通知的流程；

(b) 一项评估程序，用于确定对受影响个人造成的损害、困扰、不便或不公的程度，以及任何减轻此类损害的机制；

(c) 适用隐私要求的识别。

[第三方事件响应服务](/services/third-party-incident-response-service/)的核心功能包括：
* 持续更新且可定制的事件与事故管理问卷
* 实时追踪问卷完成进度
* 明确风险责任人并自动发送催收提醒以确保问卷按时完成
* 主动供应商报告机制
* 供应商风险评级、数量、评分及标记响应的整合视图
* 基于业务潜在影响的风险响应工作流规则，触发自动化处理方案
* 内置面向内外部利益相关方的报告模板
* 内置整改建议指导，有效降低风险
* 数据关联映射功能，可视化信息流路径，识别组织与第三方、第四方及N方关联关系，揭示高风险数据

此外，还可考虑利用包含全球数千家公司数年数据泄露历史记录的数据库，包括被盗数据的类型和数量、合规性和监管问题，以及实时供应商数据泄露通知。

a. 制定全面策略以管理：

1. 与组织系统运行和使用相关的、对组织运营及资产、个人、其他组织以及国家造成的安全风险；以及

2. 因个人身份信息的授权处理而导致的个人隐私风险；

b. 在整个组织范围内一致实施风险管理策略；以及

c. 根据需要审查并更新风险管理策略，以应对组织变革。

PM-30供应链风险管理策略

a. 制定全组织范围的战略，用于管理与系统、系统组件及系统服务的开发、采购、维护和处置相关的供应链风险；

b. 在整个组织范围内一致实施供应链风险管理策略；以及

c. 根据组织规定的频率或按需审查并更新供应链风险管理策略，以应对组织变革。

寻求[专家](/services/professional-services/)与您的团队协作：
* 制定并实施第三方风险管理（TPRM）与合规供应商风险管理（C-SCRM）流程及解决方案
* 筛选风险评估问卷与框架
* 根据贵机构的风险偏好，优化项目以覆盖第三方风险全生命周期——从供应商遴选与尽职调查到终止合作与退出管理

作为这一过程的一部分，您应该确定
* 明确角色和职责（如 RACI）
* 第三方清单
* 基于组织风险承受能力的风险评分和阈值

根据不断变化的业务需求和优先级，持续评估第三方风险管理计划的有效性，通过合作关系生命周期全程衡量第三方供应商的关键绩效指标（KPI）和关键风险指标（KRI）。

识别、优先排序并评估关键或任务关键型技术、产品及服务的供应商。

制定全组织范围的持续监控策略，并实施包含以下内容的持续监控计划：

a. 建立需监控的全组织范围指标；

b. 建立监测和评估控制措施有效性的明确频率；

c. 根据持续监控策略，对组织定义的指标进行持续监控；

d. 对控制评估和监测所产生的信息进行关联与分析；

e. 为处理控制评估和监测信息分析结果而采取的应对措施；以及

f. 向指定人员报告组织系统的安全与隐私状态。

监控来源通常包括
* 犯罪论坛；洋葱页面；暗网特殊访问论坛；威胁信息源；泄漏凭证的粘贴网站--以及一些安全社区、代码库和漏洞数据库
* 包含全球数千家公司数年数据泄露历史的数据库

所有监控数据都应与评估结果相关联，并集中到每个供应商的统一风险登记册中，从而简化风险审查、报告、补救和应对措施。

将所有评估和监控数据关联到中央风险登记册后，根据可能性和影响模型进行风险评分和优先排序。该模型应将风险框定为一个矩阵，以便于查看影响最大的风险，并优先针对这些风险采取补救措施。

指定负责人并跟踪风险和补救措施，使其达到企业可接受的水平。

开发、记录和传播：

1. 一项风险评估政策，该政策应：

(a) 涉及目的、范围、角色、职责、管理层承诺、组织实体间的协调以及合规性；

(b) 符合适用法律、行政命令、指令、法规、政策、标准和指南；以及

2. 促进风险评估政策及相关风险评估控制措施实施的程序；

b. 指定一名官员负责管理风险评估政策和程序的制定、记录及传播工作；

c. 审查并更新现行风险评估：

1. 政策与
2. 程序。

对组织系统进行影响层级优先级排序，以获得系统影响层级的更精细化信息。

(a) 评估与系统、组件和服务相关的供应链风险；以及

(b) 当相关供应链发生重大变更时，或当系统、运行环境或其他条件的变化可能需要调整供应链时，应更新供应链风险评估。

评估工作应集中管理，并依托工作流、任务管理及自动化证据审查功能，确保团队在整个合作关系生命周期内能够全面掌握第三方风险状况。

重要的是，TPRM 解决方案应包括基于风险评估结果的内置补救建议，以确保您的第三方及时、令人满意地处理风险，并能向审计人员提供适当的证据。

运用全源情报协助风险分析。

RA-3 (3) 风险评估 | 动态威胁感知

持续评估当前网络威胁态势。

RA-3 (4) 风险评估 | 预测性网络分析

运用先进的自动化和分析能力来预测和识别风险。

RA-7 风险应对

根据组织的风险承受能力，对安全与隐私评估、监控及审计的结果作出响应。

监测来源通常包括：

* 犯罪论坛；洋葱网页；暗网特权访问论坛；威胁情报源；泄露凭证粘贴网站——以及多个安全社区、代码仓库和漏洞数据库
* 收录全球数千家企业多年数据泄露历史的数据库

所有监控数据都应与评估结果相关联，并集中到每个供应商的统一风险登记册中，从而简化风险审查、报告、补救和应对措施。

当所有评估与监控数据整合至中央风险登记册后，应依据可能性与影响模型实施风险评分与优先级排序。该模型需将风险归入矩阵框架，以便清晰识别高影响风险并优先安排整改措施。

指定负责人并跟踪风险和补救措施，使其达到企业可接受的水平。

通过在系统开发生命周期的规定决策点进行关键性分析，识别关键系统组件和功能。

开发、记录和传播：

1. 一项供应链风险管理政策，该政策应：

(a) 涉及目的、范围、角色、职责、管理层承诺、组织实体间的协调以及合规性；

(b) 符合适用法律、行政命令、指令、法规、政策、标准和指南；以及

2. 促进供应链风险管理政策及相关供应链风险管理控制措施实施的程序；

b. 指定一名官员负责管理供应链风险管理政策和程序的制定、记录及传播工作；以及

c. 审查并更新现行供应链风险管理：

1. 政策与
2. 程序

a.制定计划，管理与系统、系统组件或系统服务的研发、设计、制造、采购、交付、集成、运营和维护以及处置相关的供应链风险

b.根据需要审查和更新供应链风险管理计划，以应对威胁、组织或环境变化；以及

c.保护供应链风险管理计划，防止未经授权的披露和修改。

a. 与供应链人员协同建立流程，以识别并解决供应链要素及流程中的薄弱环节或缺陷；

b. 采用以下控制措施，以防范系统、系统组件或系统服务面临的供应链风险，并限制供应链相关事件造成的危害或后果；以及

c. 在供应链风险管理计划中记录所选定并实施的供应链流程与控制措施。

通过验证关键或任务必要技术、产品和服务的内部构成和来源，实施控制和分析，确保系统和系统组件的完整性。

采用采购战略、合同工具和采购方法来防范、识别和降低供应链风险。

随着所有服务供应商正被集中管理并接受审查，团队应创建[全面的供应商档案](/content-library/risk-profiling-snapshot/)，其中需包含对供应商人口统计信息、第四方技术、ESG评分、近期业务与声誉动态、数据泄露历史及最新财务表现的深度洞察。

此级别的尽职调查为[供应商选择](/products/rfp-rfi-management/)决策提供了更全面的背景信息。

评估和审查与供应商或承包商及其提供的系统、系统组件或系统服务有关的供应链相关风险。

与参与系统、系统组件或系统服务供应链的实体制定协议和程序，以通报供应链受损情况以及评估或审计结果。

a. 建立、记录并维护供应商名录，该名录应：

1. 准确且简明地反映可能在供应链中构成网络安全风险的组织一级供应商；

2. 是否达到评估关键性与供应链风险、追踪及报告所需的粒度水平；

3. 为每个一级供应商（例如总承包商）记录以下信息：审查并更新供应商清单。

i. 采购工具（即合同、任务或交货单）的唯一标识；

ii. 所供产品和/或服务的描述；

iii. 使用供应商产品和/或服务的项目、计划和/或系统；以及

iv. 分配的严重性等级应与程序、项目和/或系统（或系统组件）的严重性相匹配。

b. 审查并更新供应商库存。

通过电子表格模板或与现有采购解决方案的 API 连接导入供应商，从而消除容易出错的手动流程。

使用集中化、可定制的接收表单和相关工作流程填充关键供应商详细信息。每个人都可以通过电子邮件邀请获得这些信息，无需任何培训或解决方案专业知识。

建立[综合供应商档案](/assets/documents/resources/Prevalent-Risk-Profiling-Snapshot-Data-Sheet.pdf)，用于比较和监控供应商的人口统计特征、地理位置、第四方技术以及近期运营洞察。积累这些数据将使您能够针对地理和技术集中风险进行特别报告并采取行动。

普瑞凡如何助力应对NIST SP 800-53供应链风险管理指南