大多数企业并非只依赖内部系统。它们还依靠云平台、薪酬服务商、营销工具、IT 合作伙伴，以及数十个支撑日常工作运转的 SaaS 帐户。每个供应商都能解决一个问题，同时也会带来一段新的信任关系。
供应商风险管理 (VRM) 是评估、批准、监控和审查与第三方合作所带来的安全风险的过程。它帮助企业了解哪些供应商可以访问敏感系统或数据、这些供应商已部署了哪些控制措施、其安全实践是否足够可靠以证明该访问权限合理，以及如果合同终止或发生事件，访问权限能多快被更改。
我们将说明如何在您的企业内开展供应商风险管理：如何评估已有供应商、如何对第三方供应商风险进行分类、供应商安全清单应包含哪些内容，以及如何在供应商凭证成为长期暴露面之前对其进行管控。
Proton Pass for Business 如何支持供应商访问控制
供应商风险管理涵盖哪些内容
供应商风险管理基于一个简单原则：每一个接触您的数据、系统或业务流程的外部方都会改变您的风险状况。
大多数供应商风险都源于日常工作。例如，企业网络可能会引入一家第三方机构，因为团队需要速度、专业知识或企业自身不具备的软件。访问权限被授予，数据被分享，合作关系也在日常工作中就此建立。
当不清楚该供应商能访问什么、哪些控制措施能在该访问与安全违规之间形成屏障——多重身份验证 (MFA)、具名帐户、加密——或者不清楚该访问能多快被找到并切断时，风险便产生了。撤销访问通常发生在系统内部，或通过 SCIM 预配来完成；对大多数企业来说，困难之处在于知道究竟该去哪里查找。
供应商可能是大型云服务商、利基 SaaS 平台、自由职业开发者或会计师事务所。供应商的规模和行业并非主要问题。他们的访问权限才是。
供应商风险会以多种不同方式显现：
- 数据风险：供应商可以查看、存储、处理、传输或删除企业或个人数据。
- 访问风险：供应商可以登录系统、管理设置、使用集成，或进入管理员面板。
- 运营风险：企业依赖供应商提供关键工作流、服务或面向客户的流程。
- 合规风险：供应商的角色会影响您在数据保护法律（如 GDPR 合规要求）、合同或行业特定要求下的义务。
- 凭证风险：供应商访问权限被分享、重复使用、缺乏记录，或难以撤销。
供应商风险之所以难以发现，是因为它往往通过当时看似合理的小型访问决策逐渐累积：团队成员分享了本不该分享的登录信息，或供应商帐户为了方便而保留权限，又或者承包商权限在项目结束后无人复查。随着时间推移，这些例外会成为企业环境的一部分，即使没有人主动管理它们。
如何建立供应商风险管理 (VRM) 流程
如果执行得当，供应商风险管理不会让每个决策都变得更复杂。它会建立一个可靠的框架，让您的企业以更清晰的限制授予访问权限。我们将探讨您的企业可以采取的关键步骤，以评估自身的供应商风险并制定风险管理策略。
1. 建立供应商清单
不要让供应商风险管理在您被要求提供安全证据或续签合同时才成为被动应对的任务，而应将其变为主动开展的工作。首先，了解已经存在于您运营中的供应商。
建立供应商清单不必复杂。它只需要足够清晰，能够显示：
- 谁负责维护合作关系
- 供应商提供什么服务
- 他们可以访问哪些系统或数据
- 是否涉及个人数据
- 是否使用次级处理者
- 下一次合同或安全审查何时到期
访问权限是需要记录的关键组成部分，因为供应商拥有不同的权限和访问需求。有些供应商使用具名帐户。另一些则依赖共享凭证、管理员访问权限、应用程序接口密钥、共享收件箱，或临时登录信息，而这些临时登录在原始需求过去很久后仍处于活动状态。这些差异很重要，因为它们决定了在离职流程或发生事件期间，访问权限能多快被更改。
清单还应包括可能处于正式采购流程之外的小型供应商。如果插件、顾问、自由职业开发者、代理机构或专业 SaaS 服务会接触敏感数据或关键工作流，就可能带来重大暴露风险。
清单的主要价值在于建立更好的访问控制。当供应商合作关系结束时，您的企业知道应停用哪些帐户、轮换哪些凭证、移除哪些集成，以及应如何处理已存储的数据。
2. 按风险而非便利性对供应商进行分类
梳理供应商之后，按它们带来的风险进行分组。这样可以让流程保持适度，避免将所有供应商都视为无害或关键。
高风险供应商通常会处理敏感数据、支持关键运营，或拥有特权访问权限。这可能包括云基础设施、身份平台、薪酬、财务、HR 系统、托管 IT、安全服务或核心 SaaS 平台。
中等风险供应商支持重要工作，但访问权限范围较窄。它们可能包括协作平台、分析工具、项目管理系统、帮助台软件，或权限有限的代理机构。
低风险供应商几乎或完全无法访问敏感数据或业务关键系统。它们仍应被记录，但除非其角色发生变化，否则不需要同等深度的审查。
风险层级应依据实际访问权限，而不是供应商的声誉、规模或价格。一个熟悉的平台如果存储敏感数据，也可能变成高风险。一个小型承包商如果拥有管理员权限，也可能处于高风险。
利用风险层级来决定对供应商的评估深度、审查合作关系的频率，以及适用哪些最低控制措施。
3. 在授予访问权限之前设定安全要求
当企业在批准访问权限之前清楚自身的最低要求时，供应商评估效果最好。
对于高风险供应商，这些要求应涵盖保护数据并让访问权限可追责的控制措施：MFA、传输中和静态加密、基于角色的访问控制、审计日志、事件响应程序、漏洞管理、次级处理者控制、数据删除承诺，以及业务连续性规划。
安全证据可以支持该审查。ISO 27001、SOC 2、英国 Cyber Essentials 等国家计划、渗透测试摘要或安全白皮书都能提供帮助，具体取决于供应商的角色和合作关系的敏感程度。
认证和审计报告描述的是供应商如何运营，却很少说明供应商实际上是谁。最近一项对 Passwork 安全性的调查证明，这种区别很重要：欧洲注册地、精美的网站，以及“为信任而构建”的宣传，足以让那些从未追溯所安装代码的所有权、司法管辖区或来源的组织通过门槛。
对于任何拥有敏感访问权限的供应商，控制清单旁边还应列出两个问题：谁拥有并控制该公司，它受哪个国家的法律管辖；以及独立专家能否检查代码，还是企业仅凭供应商的一面之词就信任一个封闭系统？
中等风险供应商可能需要较轻量的审查，但它们仍应能够说明如何保护帐户、限制员工访问、处理数据、向客户通报事件，以及在合作关系结束时移除访问权限。
对于低风险供应商，主要检查可能是它们是否确实无法访问敏感系统或个人数据。如果情况发生变化，就应重新评估该供应商。
好的流程在高风险处严格，在风险确实较低处轻量。它不应把每次供应商审查都变成企业级审计，但应防止仅凭信任就批准敏感访问权限。
4. 供应商入驻后持续监控
供应商会变更其系统、子处理者、策略、人员配置和安全控制措施。您的企业也可能随着时间推移授予他们更多访问权限。如果没有监控，最初的评估就会过时。
切实可行的监控流程可以包括：对高风险和中风险供应商进行年度审查、合同续签前检查、访问范围扩大时重新评估，以及任何已报告事件发生后的复查。关键供应商可能需要更频繁的访问检查。
监控应涵盖凭证层面。检查供应商帐户是否仍属于在职联系人、权限是否与当前范围相符、共享凭证是否仍然存在，以及集成或应用程序接口密钥是否仍有必要。
许多企业正是在这里发现了本可避免的风险敞口：废弃的代理商帐户、闲置的承包商登录名、无人负责的共享密码、为过往项目创建的集成，以及为图方便而授予的管理员权限。
供应商风险也应纳入连续性规划。如果关键供应商无法继续提供服务、报告了违规事件，或迫使企业紧急更改访问权限，企业就需要一种方式来让关键工作继续推进。Proton 关于业务连续性策略的指南解释了为什么韧性所依赖的不只是备份，尤其是在涉及访问权限和凭证时。
5. 管控第三方凭证
许多供应商风险管理方案在纸面上看起来无懈可击，却会在凭证层面出问题。供应商在纸面上可能看起来合规，但仍会因日常访问权限的处理方式而产生风险敞口。
风险存在于正式流程与实际操作之间的落差：凭证存储在未经批准的系统之外、共享帐户没有明确的负责人，或者供应商关系发生变化后应用程序接口密钥仍保持活动状态。
如果这些访问路径未经过审查和撤销，即使原有工作早已结束，企业仍可能继续背负供应商风险。
第三方访问应遵循与内部访问相同的规范，并使用相同的密码策略：
- 仅授予供应商所需的访问权限
- 尽可能使用具名帐户
- 除非别无选择，否则避免使用共享凭证
- 将共享凭证存储在受控的凭证管理系统中
- 通过带过期链接的已加密企业云存储与供应商分享文件，而不是使用电子邮件附件
- 定期审查访问权限
- 工作结束后撤销访问权限
- 供应商人员变动或发生事件后轮换凭证
- 只要服务支持，就要求使用 MFA
企业密码管理器让这些规则易于落实。它为团队提供了一个安全的空间，用于存储供应商凭证、在不通过聊天或电子邮件发送密码的情况下分享访问权限、轮换密码，并在供应商关系结束时移除访问权限。
您的供应商安全清单
供应商安全清单应帮助您的企业安全地引入新供应商。
借助它来明确了解双方的合作关系：
- 供应商将访问、处理或存储哪些数据？
- 供应商是否会代表我们处理个人数据？
- 供应商是否会签署数据处理协议 (DPA)，并在合同结束时删除我们的数据？
- 数据将存储在何处并进行处理？
- 供应商是否使用子处理者？
- 供应商是否强制使用 MFA？
- 供应商如何管控员工对客户数据的访问？
- 我们的企业能否分配基于角色的权限？
- 访问权限能否立即移除？
- 供应商是否提供审计日志或管理员活动报告？
- 供应商如何加密数据？
- 发生安全事件时，供应商会多快通知我们？
- 供应商是否具备业务连续性或灾难恢复流程？
- 供应商能否提供安全文档、认证或审计摘要？
- 供应商是否曾发生公开报道的安全事件，当时是如何处理的？
- 该公司的所有者是谁、由谁控制，以及在哪个司法管辖区运营？
- 该产品是否为开放源码或经过独立审计，从而可以验证其安全声明？
这份清单应显示您的企业正在接受的风险。缺少正式认证的供应商可能仍适合低风险工作。而拥有管理员访问权限、身份验证薄弱、事件时间表含糊不清，或没有明确删除流程的供应商，则完全是另一项决策。
对于已在使用的供应商，应在续签和定期审查时重新使用这份清单。最初的审批可能已无法反映该工具如今的使用方式。为小型项目引入的供应商，可能悄然成为客户运营、财务工作流程或关键集成的一部分。
Proton Pass for Business 如何支持供应商访问控制
当第三方访问权限在受控系统之外进行管理时，供应商风险管理会变得困难得多。供应商可能已获得批准、有文档记录并受合同约束，但真正的风险敞口往往取决于日常的访问路径：共享凭证、权限、通行密钥、恢复码、应用程序接口密钥，以及随着合作关系变化需要审查或移除的帐户。
像 Proton Pass for Business 这样的企业密码管理器可帮助企业将这类访问纳入更安全、更可审计的流程。团队可以在端到端加密的保险库中存储供应商凭证、生成强大且唯一的密码、使用自动填充减少人工操作、管理通行密钥，并在无需通过电子邮件、聊天或项目文档发送密码的情况下分享访问权限。
具体到供应商访问，共享保险库有助于按供应商、项目、团队或敏感级别区分凭证。这样可以更轻松地保持访问权限井然有序、审查谁拥有哪些访问权限，并在合同结束、供应商联系人变更或事件需要快速遏制时移除访问权限。
面向 IT 团队的密码管理器可提供流程日益规范时所需的管理层。策略、报告、日志、基于角色的访问控制、SCIM 预配以及单点登录集成，可帮助企业跨团队一致地管理访问权限，而不必依赖个人习惯。
Proton Pass for Business 通过管控供应商与贵企业协作所使用的凭证和访问路径，为您的企业提供支持。它同样是开放源码并经过独立审计的，因此能通过我们建议您用于自身供应商的同一份清单。当供应商访问权限在受控环境中被存储、共享、审查和撤销时，供应商风险在初次评估之后也会更容易管理。
使用企业密码管理器安全地管控第三方凭证访问。
