ISO/IEC 27036-1:2021 — 供应商关系 — 概述与概念

现代组织依赖于广泛的供应商、厂商和服务提供商生态系统。每个关系都会引入
必须理解和管理的信息安全风险。ISO/IEC 27036-1:2021 为供应商关系中的
信息安全管理提供了基础概念和框架，建立了适用于整个供应链的共同语言
和概念模型。

了解供应商关系安全

标准将供应商关系定义为组织从供应商处获取可能影响组织信息或信息系统
安全的产品或服务的任何安排。这包括传统外包、云服务、软件和硬件采购、
专业服务以及任何其他具有安全含义的第三方参与形式。标准强调安全责任
不能转移——即使供应商参与处理或托管，组织仍保留保护其信息和系统的
最终责任。

标准引入的一个关键概念是供应商关系生命周期，
包括从战略规划和供应商选择、合同管理、运营交付到最终终止或过渡的
各个阶段。每个阶段都有独特的安全考虑因素，需要特定的控制措施。
标准强调，安全必须从供应商参与的最早阶段开始考虑，而不是在合同
签署后才追加。

关键概念与供应链风险态势

ISO/IEC 27036-1 确定了供应商关系安全的几个关键概念。
供应链风险包括通过供应商、其下级供应商以及它们之间
的相互连接引入的风险。标准强调现代供应链是复杂的多层次生态系统，
任何层面的漏洞都可能在整个链条中传播——正如高调软件供应链攻击所
证明的那样。依赖性分析对于了解哪些供应商关系对
业务至关重要、一旦受损或中断将造成重大损害至关重要。

标准还引入了安全需求分配的概念——确定哪些安全
控制应由组织实施、哪些应由供应商实施、哪些应共同管理。此分配必须
记录在案并由双方明确理解。标准强调考虑供应商自身供应链的重要性，
因为安全漏洞可能通过更深层次引入。

管理供应商安全的框架

标准提供了一个全面框架，将供应商关系安全整合到组织的整体信息安全管理
体系中。框架包括：治理（供应商安全的政策、角色、职责
和监督）、风险管理（识别、评估和处理供应商相关的信息
安全风险）、运营控制（供应商关系的日常安全管理活动）
和绩效评估（监控、测量、审计和审查供应商安全绩效）。

框架强调相称性原则——安全活动的深度和严格程度应与每个供应商关系带来的
风险相称。提供非关键服务的低风险供应商可能只需要基线控制，而能够访问
敏感数据或关键系统的高风险供应商则需要全面评估、持续监控和强有力的
合同保护。标准推荐将供应商分级分类作为基础实践。

常见问题