大多數企業不僅依賴內部系統，還仰賴雲端平台、薪資服務供應商、行銷工具、IT 合作夥伴，以及數十個讓日常工作得以運轉的 SaaS 帳號。每家供應商都能解決一個問題，同時也建立一段新的信任關係。
供應商風險管理 (VRM) 是評估、核准、監控及審查與第三方合作所帶來安全風險的流程。它能協助企業了解哪些供應商可以存取敏感系統或資料、這些供應商已實施哪些控制措施、其安全實務是否足以正當化該存取權，以及若合約終止或發生事件時，存取權能多快被變更。
我們將說明如何在您的企業內推動供應商風險管理：如何評估您目前往來的供應商、如何將第三方供應商風險分類、供應商安全檢查清單應包含哪些項目，以及如何在供應商憑證成為長期曝險之前加以控管。
Proton Pass for Business 如何支援供應商存取控制
供應商風險管理的涵蓋範圍
供應商風險管理奠基於一項簡單原則：每個接觸您資料、系統或業務流程的外部單位，都會改變您的風險概況。
大多數供應商風險來自日常工作。舉例來說，某個團隊可能因為需要速度、專業知識或企業內部沒有的軟體，而讓第三方代理商進入企業網路。存取權被授予、資料被共享，這段關係也就成為日常工作的一部分。
當不清楚該供應商能存取什麼、哪些控制措施介於該存取權與資料外洩之間（例如 多重要素驗證 (MFA)、具名帳號、加密），或不清楚該存取權能多快被找到並切斷時，風險便會產生。撤銷存取權通常是在系統內進行，或透過 SCIM 佈建完成；對大多數企業而言，真正的難題在於知道該從何處著手查找。
供應商可能是大型雲端服務供應商、利基型 SaaS 平台、自由接案開發人員或會計師事務所。供應商的規模與產業並非主要問題，其存取權才是。
供應商風險會以幾種不同方式呈現：
- 資料風險：供應商可以檢視、儲存、處理、傳輸或刪除業務或個人資料。
- 存取風險：供應商可以登入系統、管理設定、使用整合功能，或觸及管理員面板。
- 營運風險：企業在關鍵工作流程、服務或面向客戶的流程上依賴該供應商。
- 合規風險：供應商的角色會影響您在資料保護法規（例如 GDPR 合規要求）、合約或特定產業要求下的義務。
- 憑證風險：供應商的存取權被共享、重複使用、未留下文件紀錄，或難以撤銷。
供應商風險之所以難以察覺，是因為它往往透過當下看似合理的小型存取選擇逐步累積：團隊成員共享了不該共享的登入資訊、供應商帳號為了方便而保留權限，或專案結束後沒有人再檢視的承包商權限。隨著時間過去，這些例外會成為企業環境的一部分，即使沒有人主動管理它們。
如何建立供應商風險管理 (VRM) 流程
若能有效執行，供應商風險管理不會讓每項決策變得更複雜。它會建立一套可靠架構，讓您的企業以更明確的限制授予存取權。我們將探討您的企業可以採取哪些關鍵步驟，來評估自身的供應商風險並建立風險管理策略。
1. 建立供應商清冊
不要等到被要求提供安全證據或續簽合約時，才讓供應商風險管理成為被動任務；應主動處理。首先了解已在您營運體系中的供應商。
進行供應商盤點不必複雜，但必須清楚到足以顯示：
- 誰負責維護這段關係
- 供應商提供什麼服務
- 其可存取哪些系統或資料
- 是否涉及個人資料
- 是否使用子處理者
- 下次合約或安全審查何時到期
存取權是必須記錄的關鍵要素，因為供應商有不同的權限與存取需求。有些供應商使用具名帳號，其他供應商則依賴共享憑證、管理員存取權、應用程式介面 (API) 金鑰、共享信箱，或是在原始需求早已消失後仍保持啟用的臨時登入資訊。這些差異很重要，因為它們決定在退出流程或事件發生期間，存取權能多快被變更。
清冊也應納入可能不在正式採購流程內的小型供應商。外掛程式、顧問、自由接案開發人員、代理商或專業 SaaS 服務，只要接觸到敏感資料或關鍵工作流程，就可能造成重大曝險。
清冊的主要價值在於建立更好的存取控制。當供應商關係結束時，您的企業會知道要停用哪些帳號、輪換哪些憑證、移除哪些整合功能，以及已儲存資料應如何處理。
2. 依風險而非便利性分類供應商
在盤點您的供應商之後，依它們造成的風險分組。這能讓流程保持適度，並避免將每家供應商都視為無害或關鍵。
高風險供應商通常會處理敏感資料、支援必要營運，或握有特權存取權。這可能包括雲端基礎架構、身分平台、薪資、財務、人力資源系統、託管 IT、安全服務或核心 SaaS 平台。
中風險供應商支援重要工作，但存取範圍較窄。它們可能包括協作平台、分析工具、專案管理系統、服務台軟體，或權限有限的代理商。
低風險供應商對敏感資料或業務關鍵系統幾乎沒有或完全沒有存取權。它們仍應被記錄，但除非角色改變，否則不需要同等深度的審查。
分級應依實際存取權而定，而非供應商的聲譽、規模或價格。熟悉的平台若儲存敏感資料，也可能成為高風險。小型承包商若握有管理員權限，也可能屬於高風險。
請使用風險分級來決定要對供應商進行多深入的評估、多久審查一次關係，以及應套用哪些最低控制措施。
3. 在授予存取權之前設定安全要求
當企業在核准存取權之前已知道自身的最低要求時，供應商評估的效果最好。
對於高風險供應商，這些要求應涵蓋可保護資料並讓存取權可歸責的控制措施：MFA、傳輸中與靜態加密、角色型存取控制、稽核日誌、事件應變程序、弱點管理、子處理者控制措施、資料刪除承諾，以及業務持續性規劃。
安全證據可以支援該審查。ISO 27001、SOC 2、英國的 Cyber Essentials 等國家級方案、滲透測試摘要或安全白皮書，都可能有所幫助，具體取決於供應商的角色與這段關係的敏感程度。
認證與稽核報告描述的是供應商如何營運，對於供應商實際上是誰卻著墨甚少。近期一項 對 Passwork 安全性的調查 證明這項區別很重要：歐洲註冊、精美網站，以及「為信任而打造」的訊息，就足以讓那些從未追查所有權、司法管轄權或所安裝代碼來源的組織達到門檻。
對於任何握有敏感存取權的供應商，有兩個問題應與控制措施檢查清單並列：誰擁有並控制該公司，以及該公司受哪個國家的法律管轄；還有，獨立專家能否檢查代碼，或者企業是否僅憑供應商的一面之詞就信任封閉系統？
中風險供應商可能需要較輕量的審查，但仍應能說明他們如何保護帳號、限制員工存取、處理資料、通知客戶事件，以及在關係結束時移除存取權。
對於低風險供應商，主要檢查可能只是它們是否確實無法存取敏感系統或個人資料。若情況改變，就應重新評估該供應商。
好的流程會在高風險處從嚴，在風險確實較低處保持輕量。它不應將每次供應商審查都變成企業稽核，但應防止敏感存取權僅憑信任就獲得核准。
4. 在導入後監控供應商
供應商會變更其系統、子處理者、政策、人員配置和安全控制。您的企業也可能隨時間給予他們更多存取權限。若沒有監控，您最初的評估就會過時。
實用的監控流程可以包括：對高風險和中風險供應商進行年度審查、續約前的檢查、存取範圍擴大時重新評估，以及在任何回報事件後進行審查。關鍵供應商可能需要更頻繁的存取檢查。
監控應涵蓋憑證層面。檢查供應商帳號是否仍屬於現任聯絡人、權限是否符合目前範圍、共享憑證是否仍然存在，以及整合或 API 金鑰是否仍需要。
這正是許多企業發現可避免風險暴露的地方：舊的代理商帳號、未使用的承包商登入資訊、無人負責的共享密碼、為過去專案建立的整合，以及為方便而授予的管理員權限。
供應商風險也屬於營運持續規劃的一環。如果關鍵供應商變得無法提供服務、回報資料外洩，或迫使緊急變更存取權限，企業就需要有辦法讓重要工作持續運作。Proton 的營運持續策略指南說明了為何韌性不僅取決於備份，尤其是在涉及存取和憑證時。
5. 控制第三方憑證
許多供應商風險計畫在紙上看起來很扎實，卻在憑證層面失敗。供應商可能在紙上看似合規，卻仍因日常存取處理方式而產生風險暴露。
風險存在於正式流程與實際做法之間的落差：憑證儲存在核准系統之外、沒有明確負責人的共享帳號，或在供應商關係改變後仍保持啟用的 API 金鑰。
如果這些存取路徑未經審查和撤銷，企業可能在原始工作結束後很久仍持續背負供應商風險。
第三方存取應遵循與內部存取相同的紀律，並採用相同的密碼政策：
- 只授予供應商所需的存取權限
- 盡可能使用具名帳號
- 除非別無選擇，否則避免使用共享憑證
- 將共享憑證儲存在受控的憑證管理系統中
- 透過具有到期連結的加密企業雲端儲存空間與供應商共享檔案，而非使用電子郵件附件
- 定期審查存取權限
- 工作結束時撤銷存取權限
- 供應商人員變動或發生事件後輪換憑證
- 只要服務支援，就要求使用 MFA
企業密碼管理程式能讓這些規則易於落實。它為團隊提供安全的地方來儲存供應商憑證、在不透過聊天或電子郵件傳送密碼的情況下共享存取權限、輪換密碼，並在供應商關係結束時移除存取權限。
您的供應商安全檢查清單
供應商安全檢查清單應能協助您的企業安全地導入新供應商。
用它來清楚了解這段關係：
- 供應商將存取、處理或儲存哪些資料？
- 供應商是否會代表我們處理個人資料？
- 供應商是否會簽署資料處理協議 (DPA)，並在合約結束時刪除我們的資料？
- 資料將儲存和處理於何處？
- 供應商是否使用子處理者？
- 供應商是否強制執行 MFA？
- 供應商如何控制員工對客戶資料的存取？
- 我們的企業能否指派角色型權限？
- 能否立即移除存取權限？
- 供應商是否提供稽核日誌或管理員活動報告？
- 供應商如何加密資料？
- 供應商會多快通知我們發生安全事件？
- 供應商是否有營運持續或災難復原程序？
- 供應商能否提供安全文件、認證或稽核摘要？
- 供應商是否曾發生公開報導的安全事件，他們如何處理？
- 誰擁有和控制該公司，它在哪個司法管轄區營運？
- 該產品是否為開放原始碼或經獨立稽核，以便驗證其安全聲明？
檢查清單應顯示您的企業正在接受的任何風險。缺乏正式認證的供應商可能仍適合低風險的工作。具有管理員存取權限、驗證機制薄弱、事件時程不明確，或沒有明確刪除程序的供應商，則是完全不同的決定。
對於已在使用的供應商，請在續約和定期審查時重新使用檢查清單。最初的核准可能不再反映該工具現今的使用方式。為小型專案引進的供應商，可能悄悄地成為客戶營運、財務工作流程或關鍵整合的一部分。
Proton Pass for Business 如何支援供應商存取控制
當第三方存取在受控系統之外管理時，供應商風險管理會變得困難許多。供應商可能已獲核准、有文件記錄並受合約保障，但真正的風險暴露往往取決於日常存取路徑：共享憑證、權限、通行密鑰、復原代碼、API 金鑰，以及隨著關係變化而需要審查或移除的帳號。
像 Proton Pass for Business 這樣的企業密碼管理程式，能協助企業將該存取納入更安全且可稽核的流程。團隊可以將供應商憑證儲存在端對端加密的保管庫中、產生強大且獨特的密碼、使用自動填入以減少手動處理、管理通行密鑰，並在不透過電子郵件、聊天或專案文件傳送密碼的情況下共享存取權限。
就供應商存取而言，共享保管庫可協助依供應商、專案、團隊或敏感性等級區分憑證。這使得存取更易於保持井然有序、審查誰對什麼有存取權限，並在合約結束、供應商聯絡人變更，或事件需要快速圍堵時移除存取權限。
適用於 IT 團隊的密碼管理程式，能在流程變得更正式時加入所需的管理層。政策、報告、日誌、角色型存取控制、SCIM 佈建，以及單一登入整合，能協助企業跨團隊一致地管理存取，而非依賴個人習慣。
Proton Pass for Business 透過控制供應商用來與您的企業合作的憑證和存取路徑，來支援您的企業。它也是開放原始碼並經獨立稽核，因此通過了我們建議您套用於自身供應商的相同檢查清單。當供應商存取在受控環境中儲存、共享、審查和撤銷時，供應商風險在初步評估之後就更容易管理。
使用企業密碼管理程式安全地控制第三方憑證存取。
