外包与供应链为何是重点
外包人员与供应商掌握着系统访问权与数据接触面，因此成为等保与个人信息保护检查的共同重点。管理要覆盖全生命周期：准入评估、合同安全条款、远程运维审批与留痕、年度复核、退出交接。若涉及受托处理个人信息，还需与委托处理义务对齐，把个人信息保护要求写进协议，而不是只停留在口头约定。
基本信息
| 依据 | GB/T 22239-2019、个人信息保护法第二十一条、ISO/IEC 27002 |
|---|---|
| 管理环节 | 准入评估、合同条款、运维管控、年度复核、退出交接 |
| 合同要点 | 数据保护、事件通报、运维审批、分包限制、审计权、退出交接 |
| 台账内容 | 资质、协议、复核记录、账号与退出状态 |
| 高风险项 | 无安全条款即开工、外包账号长期有效 |
典型使用场景
- 系统集成商入场：先做准入评估并签署安全条款
- 远程运维：通过堡垒机接入，操作全程留痕并需审批
- 云服务采购：明确数据位置、留存与删除、事件通报时限
- 年度复核：评估供应商当年安全表现与合规状态
- 合同终止：确认数据返还或删除，并回收全部账号与凭据
合同安全条款要点
合同安全条款要点
1 数据保护与保密义务、个人信息委托处理约定
2 安全事件通报时限与配合调查义务
3 远程与现场运维的审批与操作留痕要求
4 分包与转委托限制（未获同意不得转包）
5 审计权与年度复核条款
6 合同终止时的数据返还、删除与交接
7 违反上述义务的违约责任与赔偿约定阶段与管控要点
| 阶段 | 管控要点 |
|---|---|
| 准入 | 资质核查、安全能力评估、保密协议 |
| 合同 | 数据保护、通报、审计权与退出条款 |
| 运维 | 堡垒机接入、申请审批、全程留痕 |
| 复核与退出 | 年度评估、账号回收、数据清理确认 |
等保对重要外包运维有审批与记录要求；供应商台账建议包含资质、协议、复核记录与退出状态，做到一表可查。