供应商系统的授权链
对供应商系统做安全评估时，授权必须来自系统所有者，而不是采购方：采购合同赋予的是采购方对服务的要求权，不等于允许第三方对其系统做渗透测试。「甲方让我们测你」在授权链上是断的，测试方会直接面对未经授权测试的指控。
基本信息
| 授权方 | 系统所有者，即供应商本身 |
|---|---|
| 委托方 | 采购方或供应商，视合同约定而定 |
| 必备条款 | 明确谁授权、谁接收报告、谁负责整改 |
| 数据约定 | 测试数据的范围、留存与销毁方式 |
| 留档要求 | 三方签署的范围确认与授权文件 |
典型使用场景
- 采购前对供应商系统做安全尽职调查
- 供应商系统中包含甲方数据时的边界与合规评估
- 多供应商集成场景下确定由谁授权与协调
- 供应商系统由云服务商托管时的授权链梳理
- 评估结论需要同时交付采购方与供应商时的报告分发规则
三方确认示例
三方确认示例
# 系统所有者：供应商 A（授权测试并接收报告）
# 委托方：采购方 B（支付费用与协调进度）
# 测试方：服务方 C（执行测试与交付报告）
# 三方共同签署：范围清单、测试窗口、数据使用与销毁约定
# 报告分发：默认发系统所有者，采购方按约定获取摘要或全文授权链要素读法
| 要素 | 含义 | 缺失后果 |
|---|---|---|
| 系统所有者授权 | 明确允许评估其系统 | 测试直接构成未授权访问 |
| 委托关系 | 谁付费、谁协调 | 测试窗口与配合无人负责 |
| 报告接收方 | 报告交给谁、谁会整改 | 结论无人处置，风险长期留存 |
| 数据约定 | 测试数据的范围与销毁 | 数据留存不合规，双方都有风险 |
授权必须来自系统所有者：采购合同只能证明商务关系，不能作为渗透测试的授权依据。
报告分发提前约定：只发采购方而不告知供应商，既无法推动整改，也可能被质疑信息传播不当。