| 准入 | 资质审查、安全评估问卷、样例条款 |
|---|---|
| 合同 | 数据保护、审计权、事件通知时限、退出 |
| 持续 | 服务报告、事件通报、年度复审与分级 |
分级管理示例
分级管理示例
一级（核心数据/关键系统）：年度现场或等效评估
二级：年度问卷 + 报告审查
三级：两年一次更新评估供应商与外包审计
第三方审计评估供应商的安全与服务水平：合同条款（数据保护、审计权、SLA）、准入评估（资质与能力）、持续监控（报告与事件通知）与年度复审，重点是数据与关键依赖。
易错点
- 合同无审计权：想核查时供应商拒绝配合
- 只评新供应商：存量供应商多年未复评，风险累积
数据来源与参考
- ISO/IEC 27002 供应商关系控制
- 第三方风险管理公开实践