| 授权方 | 系统所有者（供应商） |
|---|---|
| 委托方 | 采购方或供应商（视合同） |
| 要点 | 明确谁授权、谁接收报告、谁负责整改 |
三方确认
三方确认
系统所有者：供应商 A（授权并接收报告）
委托方：采购方 B（支付与协调）
测试方：C（执行）
三方签署确认范围与数据使用“甲方让我们测你”不构成授权：授权必须来自系统所有者。
供应商评估测试的授权链
对供应商系统做评估时，授权来自供应商本身，而非仅采购方；三方关系要在合同与授权文件中理清。
易错点
- 仅凭采购合同就测试供应商系统
- 报告只发采购方，供应商不知情
数据来源与参考
- 通用供应链安全实践