第三方风险端到端：实用术语表

第三方风险不会在签署合同或完成问卷时停止。"端到端"意味着将供应商风险视为生命周期：从考虑某个供应商的那一刻，贯穿整个关系，直到你切断联系并撤销其访问权限。大多数与供应商相关的漏洞发生是因为组织只在一个阶段（通常是入选）管理风险，而忽视了其余部分。

端到端实际涵盖的内容

完整的第三方风险计划涉及四个不同的阶段，每个阶段都有其自身的控制措施：

1. 尽职调查和选择 - 在签署任何协议之前，评估供应商的安全态势。这包括审查 SOC 2 报告、ISO 27001 认证、渗透测试总结及其自身的分包商清单（第四方风险就隐藏在这里）。
2. 入选和合同 - 在合同中定义数据处理条款、漏洞通知时间表、审计权条款和访问范围，而不仅仅是一份旁注问卷。
3. 持续监控 - 连续或定期检查：攻击面扫描、安全评级服务（BitSight、SecurityScorecard）、审查其补丁速度，以及在其更改分处理者或遭受事件时重新评估。
4. 离选和终止 - 撤销 API 密钥、VPN 访问、共享凭证，并确保按合同删除或归还数据。

大多数计划在第 1 和 2 步较强，在第 3 和 4 步较弱。在 2022 年评估为低风险的供应商到 2024 年可能在运行未打补丁的软件，但没人检查过，因为问卷只是一次性的入口。

为什么持续阶段是计划失败的地方

入选问卷是一个快照。它告诉你供应商在填写表单当天的安全状况。攻击面每周都在变化。供应商的暴露 S3 存储桶、过期的 TLS 证书、他们运行的软件中新披露的 CVE — 这些都不会出现在时间点 SIG 或 CAIQ 问卷中。

端到端计划通过以下方式解决这个问题：

• 分级 - 不是每个供应商都需要相同的审查。有权访问 PII 的薪资处理器比办公用品供应商需要更深入和更频繁的审查。按数据敏感性和系统访问权限进行分级，而不是按合同金额。
• 自动化攻击面监控 - 工具持续扫描供应商的公共基础设施，查找开放端口、过期证书、粘贴网站上的泄露凭证和暴露的云存储。
• 触发式重新评估 - 在公开披露漏洞、合并/收购或重大产品变更后立即重新审查供应商，而不是等待年度续签周期。

没人很好地跟踪的访问权限问题

这是一个在事件事后分析中频繁出现的漏洞：供应商随着时间的推移积累访问权限，没人清理它。一个在三个月项目中需要 VPN 访问的承包商十八个月后仍然拥有有效凭证。一个集成合作伙伴的 API 密钥在初始试点后从未被缩小范围。

端到端风险管理需要与供应商生命周期状态相关联的访问清单，而不仅仅是 IT 资产清单。当供应商关系结束时，有人需要一个检查清单：撤销 SSO/SAML 条目、轮换共享 API 密钥、从防火墙和 VPC 的允许列表中删除、确认数据销毁证书。跳过这一步是曾经的供应商如何在合同结束多年后成为事件初始访问向量的原因。

本周可以应用的实用框架

如果你正在建立或审计第三方风险计划，首先检查这些漏洞：

• 是否有记录的分级模型，还是每个供应商都得到相同的问卷，不管访问级别如何？
• 你是否有持续监控，或仅在续签时进行审查？
• 是否有包括凭证撤销和数据确认的正式离选检查清单？
• 你的事件响应计划是否明确涵盖第三方源的事件，包括谁通知谁以及在什么时间范围内？
• 你是否跟踪第四方（你的供应商的供应商），还是可见性仅停留在直接合同？

NIST SP 800-161 和 ISO 27036 等框架为此提供了结构，但实际纪律来自于将供应商风险视为由特定团队拥有的持续过程，而不是每年填写一次的合规复选框。

有关构建这些的更多信息，请查看 Korra Studio 在 Blue Team 中关于供应商风险框架、访问控制生命周期管理和事件响应规划的内容。