Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
BS ISO IEC 27036——供应商关系信息安全标准系列
Information Technology — Security Techniques — Information Security for Supplier Relationships
🔐 BS ISO/IEC 27036 系列是 ISO/IEC 27000 信息安全管理标准家族的重要成员，由 BSI 等同采用国际标准发布。该系列专门处理供应商关系中的信息安全问题，帮助采购方（客户）与供应商在信息交换、产品与服务的开发与交付、ICT 供应链以及云服务使用等场景中识别并管理信息安全风险。英国方面由 BSI 技术委员会 IST/33（IT 安全技术）负责该系列工作，ICS 分类号 35.040。本文从系列整体结构出发，介绍其各分部的定位、关键技术要求与实践应用。
⚠️ 供应商（第三方）已成为企业信息安全风险管理中最突出的盲区之一：数据泄露事件中相当比例与供应链伙伴或服务提供商有关。ISO/IEC 27036 正是为填补这一治理空白而制定的系列标准。
一、标准系列概述 📌
ISO/IEC 27036 系列定义了”供应商关系信息安全”的术语、概念、要求与指南，覆盖从传统产品与服务采购，到 ICT 供应链，再到云服务等一系列关系类型。各分部发布年份不同，内容递进衔接，构成完整的供应商信息安全治理框架：
| 分部 | 版本 | 中文主题 | 主要内容 |
|---|---|---|---|
| BS ISO/IEC 27036-1 | 2014 | 第1部分：概述与概念 | 界定问题域与关键概念：供应商关系类型、信息安全风险来源、本标准系列与其他 27000 家族标准的关系。 |
| BS ISO/IEC 27036-2 | 2014 | 第2部分：要求 | 规定供应商关系管理中的信息安全要求，包括协议过程、生命周期管理、信息安全职责与监测评审。 |
| BS ISO/IEC 27036-3 | 2013 | 第3部分：ICT 供应链安全指南 | 针对信息与通信技术供应链的安全指南，覆盖产品开发、采购、交付与维护等环节。 |
| BS ISO/IEC 27036-4 | 2016 | 第4部分：云服务安全指南 | 提供使用云服务时的供应商关系信息安全指南（扫描版本，依据公开领域知识撰写）。 |
💡 第4部分（27036-4:2016）在素材库中为扫描版本，相关细节依据公开领域知识概括；采购与合规工作请以 BSI 官方发布版本为准。
二、核心概念与框架 🧩
第1部分（概述与概念）建立了整系列的基础。它分析了企业建立供应商关系的动机，并把供应商关系区分为若干类型：产品/服务供应关系、业务过程外包关系、ICT 供应链关系、云服务关系等。针对每种关系，标准指出其特有的信息安全风险来源——例如共享信息过度暴露、供应链组件被植入恶意功能、服务中断、数据跨境与合规冲突等。
第2部分（要求）是系列中面向合规的部分，规定了供应商关系管理各阶段的信息安全要求：从供应商选择与风险评估、协议（合同）的信息安全条款、到关系运行期间的监测、评审、变更管理与终止清算。其要求与 ISO/IEC 27001 ／ 27002 的控制体系衔接，可作为认证审计的扩展依据。
| 供应商关系类型 | 典型场景 | 主要风险 | 对应标准分部 |
|---|---|---|---|
| 产品/服务供应 | 采购软硬件产品、外包开发服务 | 知识产权泄露、恶意组件、交付质量 | 27036-1、-2 |
| ICT 供应链 | ICT 产品设计、制造、分销链条 | 供应链注入、源头不可控 | 27036-3 |
| 云服务 | SaaS/PaaS/IaaS 使用 | 数据主权、多租户隔离、依存性 | 27036-4 |
| 业务过程外包 | IT 运维、客服等流程外包 | 职责边界、持续运营能力 | 27036-1、-2 |
三、关键技术要求 🔧
- 协议过程（Agreement processes）：在合同中明确信息安全职责、数据保护义务、事件报告机制、审计权与违约责任，将安全要求法律化、可追责。
- 风险评估前置：在选定供应商前开展信息安全风险评估，评估其信息安全管理体系（ISMS）、控制措施与历史安全记录。
- 生命周期管理：把信息安全要求贯穿供应商关系全生命周期——准入、运行、变更、退出与数据销毁。
- ICT 供应链纵深防御：对组件来源、供应链节点、软件供应链（含开源依赖）进行管控，防止上游污染下游。
- 云服务治理：明确云服务模式与部署模式下的责任共担模型（shared responsibility model）、数据跨境与合规要求。
四、工程实践应用 🛠️
- 🔍 供应商准入：把 ISO/IEC 27036 要求纳入供应商尽调与准入评估问卷，优先选择具备成熟 ISMS 的供应商。
- 📄 合同与 SLA：在采购合同与服务水平协议中固化信息安全条款、事件响应时限、审计与合规条款。
- 🔄 供应链管理：对关键 ICT 供应商实施分级管理，定期开展安全评估、渗透测试与供应中断演练。
- ☁️ 云服务安全：依据 27036-4 明确云安全责任边界，建立云配置基线、访问控制与数据保护策略，并与 ISO/IEC 27017 等云安全标准配合使用。
- 📋 审计与改进：将供应商信息安全纳入内部与第三方审计范围，持续监测并改进。
🚨 切勿把供应商信息安全仅当作”合同文本”。近年多起重大数据泄露源于第三方运维账户失守或供应链软件被污染；必须把对供应商的安全要求转化为可验证的控制与持续监测。
五、常见问题解答 ❓
❓ 问：ISO/IEC 27036 与 ISO/IEC 27001 是什么关系？
答：ISO/IEC 27001 是信息安全管理体系（ISMS）的认证标准，规定了组织整体信息安全管理的框架；ISO/IEC 27036 是 27000 家族中的一个专门系列，聚焦供应商关系这一特定领域，提供与 ISMS 相衔接的补充要求与指南。
答：ISO/IEC 27001 是信息安全管理体系（ISMS）的认证标准，规定了组织整体信息安全管理的框架；ISO/IEC 27036 是 27000 家族中的一个专门系列，聚焦供应商关系这一特定领域，提供与 ISMS 相衔接的补充要求与指南。
❓ 问：27036-3（ICT 供应链安全）主要解决什么问题？
答：ICT 供应链涉及硬件、软件、固件与服务的层层供给。该部分针对供应链中可能的信息安全威胁（如恶意代码注入、组件替换、供应链中断）提供识别、评估与控制的指南。
答：ICT 供应链涉及硬件、软件、固件与服务的层层供给。该部分针对供应链中可能的信息安全威胁（如恶意代码注入、组件替换、供应链中断）提供识别、评估与控制的指南。
❓ 问：使用云服务时应如何运用本系列？
答：结合第4部分与 ISO/IEC 27017（云安全控制）、ISO/IEC 27018（个人信息保护）等，明确云服务商与客户的责任边界，把数据安全、访问控制、事件管理要求写入合同并持续监测。
答：结合第4部分与 ISO/IEC 27017（云安全控制）、ISO/IEC 27018（个人信息保护）等，明确云服务商与客户的责任边界，把数据安全、访问控制、事件管理要求写入合同并持续监测。
❓ 问：中小企业是否可以只部分应用本系列？
答：可以。标准允许按风险与资源进行裁剪（scoping and tailoring）：先识别关键供应商与高风险关系，优先落实第2部分中与自身相关的要求，再逐步扩展。
答：可以。标准允许按风险与资源进行裁剪（scoping and tailoring）：先识别关键供应商与高风险关系，优先落实第2部分中与自身相关的要求，再逐步扩展。
