供应商信息安全评估表与准入审核流程模板

供应商信息安全评估表与准入审核流程模板第一章总则第一条编制目的为全面规范企业各类合作供应商、外包服务商、技术运维厂商、项目承建单位及第三方合作机构的信息安全准入管理、安全资质核查、专项安全评估、合作全程安全管控工作，筑牢企业供应链网络与数据安全防护防线，从源头防范因第三方供应商安全管理薄弱、防护措施缺失、安全合规不达标引发的网络入侵、数据泄露、系统故障、业务中断、合规处罚及供应链连带安全风险。严格契合网络安全等级保护、数据安全法、个人信息保护法及第三方供应链安全管理相关合规要求，建立供应商安全先评估、后准入、再合作、持续复评、违规退出的全生命周期闭环管理机制，杜绝不合格高风险供应商准入合作，规范供应商信息安全评估全维度核查标准及准入审核全流程操作规范，压实供应商安全合作主体责任，结合企业采购管理、项目合作及信息化运维实际运营情况，特制定本供应商信息安全评估表与准入审核流程模板。第二条整体适用范围本模板适用于企业所有拟合作及已合作的各类第三方供应商及合作机构，全面覆盖信息化软硬件设备供应厂商、网络安全运维服务商、系统开发定制承建商、数据处理及运营服务供应商、办公及业务系统运维外包商、线下工程施工及技术对接服务商、第三方咨询测评合作机构、物资采购配套服务供应商等所有需要与企业内网环境、业务系统、核心数据、办公资源产生对接交互的外部合作主体。适用管理环节包含供应商合作前期初步筛选、安全资质资料初审、信息安全专项综合评估、准入多级审核审批、合作安全协议签署、权限开通接入授权、合作期间常态化安全复评、年度安全年审、合作到期续评审核、违规供应商整改约谈及安全退出全流程工作。适用责任管理主体涵盖企业采购管理归口部门、信息技术安全管理部门、各业务需求对接部门、供应商项目对接负责人及所有参与供应商准入审核与安全评估工作的相关在岗人员，所有供应商准入合作及安全评估工作均严格依照本模板规范执行，无任何特例豁免权限。第三条核心管理工作原则企业供应商信息安全评估与准入审核工作严格遵循安全前置准入优先、分级分类差异化评估、全面核查不留隐患、谁对接谁负责安全、全程审核留痕可溯、动态管控违规清退六大核心工作原则。坚持安全准入优先于业务合作，所有供应商未经安全评估、审核未通过一律不得准入合作、不得开通任何系统对接权限及内网访问权限；坚持按照供应商合作业务类型、数据接触级别、系统访问权限高低实行分级分类差异化安全评估标准，核心高风险供应商从严评估、普通基础供应商常规核查；坚持安全评估全覆盖、无死角，资质合规、技术防护、人员管理、数据安全、应急处置全维度核查，杜绝形式化评估、走过场审核；坚持业务对接部门为合作安全第一责任、安全管理部门为评估审核监管责任，责任到人、追责到位；坚持准入审核全流程资料留存、操作留痕、审批归档，全程可追溯核查；坚持合作期间动态安全管控，定期复评、违规整改、严重失信直接清退，长效保障供应链安全稳定。第四条各部门核心工作职责分工企业采购管理归口部门为供应商合作准入统筹牵头部门，主要负责供应商合作需求提报、供应商初步商务资质筛选、组织各部门联合开展准入审核工作、对接供应商基础资料收集、合作合同流程办理、供应商合作关系日常商务对接及退出手续办理工作，统筹协调准入审核全流程商务协同事宜。企业信息技术安全管理部门为供应商信息安全评估与安全审核专项责任部门，负责制定安全评估标准、开展供应商全维度信息安全专项核查、安全风险研判分级、准入安全审核审批、合作期间安全监督检查、年度安全复评、安全违规处置及安全整改督办工作，出具官方安全评估审核结论，把控供应商安全准入核心关口。各业务需求对接部门为业务协同及实操监管责任部门，负责提报供应商合作业务需求、明确供应商数据接触范围及系统访问权限、配合开展安全评估核验、日常对接供应商实操安全管控、反馈合作期间安全异常问题。各合作供应商为自身信息安全及合作对接安全直接责任主体，需如实提交安全资质资料、配合安全评估核查、落实安全整改要求、严格遵守企业信息安全管理各项规定，承担合作期间所有自身安全及连带企业安全相关责任。第二章供应商安全分级分类管控划定标准第五条供应商安全等级分级划定依据结合供应商合作业务属性、对接企业信息化系统范围、接触企业核心数据敏感程度、内网访问操作权限大小、安全风险影响破坏力、合作服务周期长短六大核心维度，对所有合作供应商统一划分为一级核心安全供应商、二级重要安全供应商、三级普通安全供应商三个安全管控等级，不同等级供应商对应差异化安全评估深度、准入审核严格程度、复评频次及管控力度，等级一经划定全程差异化管理，不得随意降低管控标准放宽准入要求。分级划定工作由信息技术安全管理部门联合采购部门及业务对接部门共同研判确定，分级结果录入供应商安全管理档案，作为后续评估审核及日常管控核心依据，供应商合作业务范围及权限发生变更时，同步重新调整安全等级并更新档案信息。第六条各级别供应商等级具体界定范围一级核心安全供应商特指直接对接企业核心生产业务系统、财务资金管理系统、客户敏感信息数据库、涉密经营数据平台，拥有企业内网核心运维权限、服务器后台管理权限、数据导出及篡改操作权限，能够直接接触、处理、传输企业核心涉密数据及大量个人敏感信息，合作安全风险极高，一旦出现安全管理疏漏将直接引发重大数据泄露、资金安全隐患、核心业务瘫痪及重大合规处罚的合作供应商，包含核心系统开发承建商、核心数据运维服务商、财务系统专属运维厂商等。二级重要安全供应商特指对接企业非核心业务管理系统、办公辅助运营平台，拥有企业普通内网访问权限、基础业务操作权限，可接触企业内部办公非涉密资料及少量业务常规数据，安全风险中等，管理不当会造成局部办公安全隐患及有限数据泄露风险的合作供应商，包含办公系统运维服务商、局部信息化改造施工厂商、业务辅助技术对接服务商等。三级普通安全供应商特指仅提供软硬件设备供货、线下基础物资供应、无任何内网访问权限、无企业核心及普通数据接触权限，仅线下常规合作对接，几乎无网络及数据安全直接风险的基础合作供应商，包含通用办公设备供货厂商、后勤物资采购供应商、线下基础施工不涉及系统对接的合作机构等。第七条分级差异化评估与准入基础要求一级核心安全供应商必须开展全维度全方位现场实地安全评估，核查资料最全、评估流程最严、审核层级最高，需通过企业分管领导最终准入审批，合作期间每半年开展一次专项安全复评，全程双人安全监管对接；二级重要安全供应商开展远程资料核验加抽样现场核查相结合的安全评估模式，常规流程准入审核，由信息技术安全管理部门终审准入，合作期间每年开展一次年度安全复评；三级普通安全供应商仅开展基础安全资质资料线上初审简化评估流程，常规备案准入即可，无需现场核查及高频复评，仅年度常规信息更新备案。所有级别供应商无论管控等级高低，均需如实填报安全相关资料、签署安全合作保密协议及信息安全合规承诺书，未完成基础安全手续一律不得准入合作，严禁简化核心安全必备流程。第三章供应商准入全流程审核实操规范第八条第一阶段：合作需求提报与供应商初步筛选各业务部门因业务运营、系统运维、项目建设及物资采购需要引入外部供应商合作前，必须提前向采购管理归口部门及信息技术安全管理部门提交供应商合作准入需求书面申请，详细说明合作项目具体内容、合作服务周期、供应商对接工作范围、所需系统及内网访问权限、数据接触具体类型及范围、合作安全防护基本要求等关键信息，严禁未提前报备私自对接外部供应商开展合作。采购管理部门收到合作需求后，先开展商务资质初步筛选工作，核查供应商营业执照、经营资质、行业从业许可、合作履约信誉、过往合作业绩等基础商务条件，剔除无正规经营资质、失信经营、履约记录不良、行业口碑较差的高风险供应商，仅将商务初审合格的合规供应商推送至下一环节信息安全专项评估审核，商务初审不合格供应商直接淘汰，无需进入安全评估流程，从源头拦截基础资质不合格合作主体。第九条第二阶段：安全资料收集与基础合规初审商务初审合格的拟合作供应商，由采购管理部门统一收集整理供应商全套信息安全相关资质资料，供应商需如实完整提交且确保所有资料真实有效、最新合规，严禁伪造资料、虚假填报、缺项漏项。需提交的核心安全资料包含企业正规经营证照及法人信息、信息安全相关资质认证证书、内部信息安全管理制度汇编、数据安全及保密管理专项制度、员工安全培训及保密管控记录、过往安全合作无违规证明、安全事件应急处置预案、核心运维人员背景审查资料、数据处理合规承诺书、信息安全合作履约保证书等相关材料。资料收集完成后，由信息技术安全管理部门开展安全基础合规初审工作，核查资料完整性、真实性、有效性、合规性，核对供应商安全管理制度是否健全、安全资质是否在有效期内、合规承诺是否到位，资料缺失或不合规的供应商限期补充整改，逾期未补充整改或资料造假的直接驳回准入申请，取消合作资格，资料初审合格后方可进入专项安全综合评估环节。第十条第三阶段：信息安全专项综合评估核查实施安全资料基础初审合格后，由信息技术安全管理部门按照供应商对应安全分级等级，组织开展针对性信息安全专项综合评估核查工作，严格对照企业安全评估核心标准逐项核验、逐项研判、逐项记录，不简化、不走过场、不降低评估标准。针对一级核心安全供应商，组建专项安全评估小组，赴供应商经营及运维办公场地开展现场实地核查，实地查看供应商机房运维环境、网络安全防护设施、数据存储管控条件、人员安全管理模式、应急处置实操能力、安全制度落地执行情况，现场核验安全防护真实有效性；针对二级重要安全供应商，采取远程资料深度核验加关键环节抽样核查模式，线上核查安全制度执行记录、安全运维台账、过往安全事件处置记录，按需抽样核查核心安全管控环节；针对三级普通安全供应商，仅开展线上资料深度复核确认即可，重点核查基础安全合规承诺及资质有效性。评估工作全程做好详细评估记录、核查情况登记、风险隐患标注，形成供应商专属信息安全专项评估报告，明确评估初步意见及风险提示内容。第十一条第四阶段：安全风险研判与准入多级审批专项安全评估工作完成后，信息技术安全管理部门结合评估核查结果、供应商安全风险隐患数量、风险等级高低、隐患整改难易程度、合作安全影响程度，开展供应商安全风险综合研判工作，精准判定供应商安全准入风险等级，分为低风险可准入、中风险整改后准入、高风险禁止准入三类研判结论。研判完成后启动多级准入审批流程，按照供应商安全等级逐级上报签字审批，三级普通供应商由安全管理部门专员审批即可；二级重要供应商需安全管理部门负责人审批；一级核心供应商需企业分管安全领导最终审批。审批过程中重点审核评估报告真实性、风险研判准确性、整改措施可行性，审批人员严格依规履职，不得违规审批、人情审批、越级审批。审批通过确定准入资格，审批驳回的供应商按照驳回意见整改或直接取消合作意向，严禁审批未通过提前开展合作对接及权限开通工作。第十二条第五阶段：安全协议签署与权限开通备案供应商准入多级审批全部通过后，采购管理部门牵头组织签署正式合作商务合同及配套信息安全专项合作协议、保密责任协议，协议中必须明确标注供应商信息安全主体责任、数据保密管控要求、系统操作权限规范、安全违规处罚标准、数据泄露及安全事件赔偿责任、合作到期权限注销及资料回收要求、违约责任及追责依据等核心安全条款，未签署安全专项协议及保密协议的供应商，一律不得生效合作、不得开通任何对接权限。协议签署完成后，信息技术安全管理部门按照最小权限分配原则，按需开通供应商所需内网访问、系统操作、数据对接相关权限，严禁超范围、超权限开通运维及访问权限，所有权限开通情况全程登记备案，明确权限使用期限及管控责任人，权限开通备案完成后供应商方可正式开展合作对接工作。第四章供应商信息安全专项评估核心核查内容第十三条安全资质与合规管理体系核查评估重点核查供应商合法经营基础资质及信息安全合规管理体系建设完善情况，核查供应商是否具备合法有效的营业执照、行业专项经营许可、信息安全相关专业资质认证，所有资质证书是否在有效期内、年审是否合格、无资质吊销及异常经营记录。核查供应商内部是否建立完善的信息安全综合管理制度、数据安全管理制度、保密管理办法、运维安全操作规范、人员安全管理细则等全套制度体系，制度是否贴合自身经营及合作服务实际、是否具备可落地执行性、是否定期更新修订。核查供应商是否严格遵守国家网络安全、数据安全、个人信息保护相关法律法规及行业监管合规要求，过往经营期间无重大安全违规处罚、无合规失信记录、无重大安全违法违规事件发生，确保供应商基础合规资质达标、安全管理体系健全完善，具备基础安全合作保障能力。第十四条网络运维与系统技术安全防护评估专项核查供应商自身网络环境、运维设备、技术防护设施及合作对接系统安全防护配置情况，核查供应商是否配备防火墙、安全审计、入侵检测、病毒防护等基础网络安全防护设备，防护设备是否正常运维升级、策略配置合规有效。核查供应商系统运维操作是否实行最小权限管控、账号专人专用、密码规范管理、多因素认证防护，运维操作全程日志留存、操作可追溯；是否定期开展漏洞扫描、安全巡检、备份恢复等常规安全运维工作，有无常态化安全防护工作记录。核查供应商与企业对接的网络链路、数据传输通道是否采取加密防护措施，有无明文传输、违规外联、端口滥用等安全隐患；是否定期开展系统安全加固、漏洞修复、策略优化工作，无高危漏洞长期遗留、防护策略薄弱等问题，确保技术层面安全防护到位，不会因供应商自身防护缺失引发企业网络安全风险。第十五条数据安全与保密管控能力评估深度核查供应商数据处理、数据存储、数据传输、数据销毁全流程安全保密管控能力，重点核查供应商是否建立专项数据分级分类管理机制，针对接触的企业核心涉密数据、客户敏感信息是否实行专项加密存储、隔离管控、专人管理。核查供应商数据传输全程加密、数据使用按需调取、数据禁止私自导出复制、禁止私自外传共享，有无数据违规流转、违规使用相关管控措施；核查供应商数据备份与恢复机制是否健全，是否严格落实备份管理要求，保障数据安全不丢失、不泄露。核查供应商保密管理措施是否到位，核心数据接触人员是否签署保密协议，离职人员数据权限及时注销、保密责任持续有效；合作期间严禁私自留存、复制、篡改、泄露企业任何内部数据及涉密资料，合作到期后及时销毁或归还所有企业涉密数据及资料，无数据私自留存隐患。第十六条人员安全与运维操作规范评估全面核查供应商从业人员安全管理及运维操作规范管控情况，核查供应商核心运维人员、对接工作人员是否完成背景安全审查、无不良从业记录及违法违规履历，上岗前是否开展信息安全意识培训、运维安全操作培训及保密专项培训，培训合格后方可上岗作业。核查供应商工作人员是否严格遵守企业现场运维管理规定、机房准入管理要求、内网操作规范，严禁违规操作、越权操作、私自安装软件、私自接入设备、私自拷贝数据等违规行为。核查供应商人员离岗、离职、岗位调整时，及时注销相关运维权限、回收工作资料、解除涉密对接资格，杜绝离职人员留存访问权限引发安全隐患；所有对接人员实行实名登记备案，人员变动第一时间同步企业安全管理部门更新备案信息，人员管理全程可控可追溯。第十七条应急处置与安全事件管控评估重点核查供应商网络安全事件应急处置能力及突发事件应对管控情况，核查供应商是否制定完善的网络安全事件应急预案、数据泄露应急处置流程、故障应急恢复方案，明确应急处置责任人及处置流程步骤，具备突发事件快速响应处置能力。核查供应商过往是否发生过数据泄露、网络攻击、系统瘫痪等安全事件，若有相关事件需核查处置过程、整改情况、后续加固措施，确保同类事件不再复发。核查供应商与企业建立安全事件联动应急机制，一旦发生关联安全事件，第一时间上报企业安全管理部门，配合企业开展应急隔离、处置、溯源、整改工作，不得瞒报、迟报、漏报安全事件；具备安全事件事后复盘优化能力，持续完善自身安全防护及应急处置体系，降低合作安全突发风险。第五章准入评估结果判定与准入后续管理第十八条准入评估三类结果判定标准结合供应商信息安全专项综合评估核查及风险研判情况，统一划分三类准入判定结果，严格依规执行对应处置措施。第一类为安全评估合格低风险准予准入，判定标准为供应商安全资质齐全、管理制度健全、技术防护到位、数据保密合规、人员管理规范、无任何高危及中危安全隐患，仅存在少量不影响合作安全的低危轻微问题，且承诺即时整改到位，直接准予办理准入审批及合作签约手续。第二类为安全评估基本合格中风险整改后准入，判定标准为供应商基础资质及核心防护达标，存在部分中低危安全隐患，无高危致命安全风险，具备快速整改条件，由安全管理部门明确整改清单及整改时限，供应商限期完成整改并提交整改佐证资料，整改复检合格后方可准入合作，整改逾期或整改不合格直接取消准入资格。第三类为安全评估不合格高风险禁止准入，判定标准为供应商安全资质缺失、安全管理制度形同虚设、存在高危致命安全隐患、数据保密管控严重不达标、过往安全事件频发且整改无效、无法保障企业合作安全，直接判定禁止准入合作，永久纳入企业供应商安全黑名单，不得开展任何形式合作对接。第十九条合作期间常态化安全动态复评管理供应商准入合作后实行常态化动态安全管控及定期安全复评机制，不搞一次评估终身准入，持续强化合作全程安全监管。一级核心安全供应商每半年开展一次专项安全复评，二级重要安全供应商每年开展一次年度安全复评，三级普通供应商实行年度基础信息备案更新，复评流程及评估标准参照准入初次评估简化执行，重点核查前期隐患整改落实情况、当前安全管控状态、权限使用合规情况、有无新增安全风险及违规操作。复评合格的供应商继续正常合作，复评发现安全隐患的限期整改，整改期间暂停相关对接权限，复评严重不合格、整改无效的供应商立即暂停合作，启动安全退出流程。合作期间若供应商合作业务范围、系统访问权限、数据接触级别发生变更，必须重新开展安全评估及准入审批，严禁权限变更不评估、不审核私自扩大合作范围。第二十条合作到期续合作与安全退出管理供应商合作周期到期如需续签续合作，必须重新开展新一轮信息安全专项准入评估及审核流程，按照新准入供应商标准重新核查评估，评估审核通过后方可续签合作协议，未重新评估或评估不合格的一律不予续签，到期终止合作。供应商合作到期、项目结束或中途终止合作的，严格执行安全退出闭环管理流程，信息技术安全管理部门第一时间注销供应商所有内网访问权限、系统操作账号、数据对接通道及后台运维权限，回收所有企业涉密资料、运维设备及对接密钥，督促供应商销毁所有私自留存的企业涉密数据及内部资料，全程记录权限注销及资料回收销毁情况，做好退出安全核验确认工作，确保供应商退出后无任何残留访问权限、无数据留存泄露风险，彻底切断后续非法访问及数据安全隐患。第六章安全违规整改与责任追究管理第二十一条供应商安全违规问题整改督办管理在准入评估及合作复评、日常安全监管过程中，发现供应商存在安全管理不规范、防护措施不到位、违规操作、数据管控不严、隐患未及时整改等安全违规问题，由信息技术安全管理部门下发专项安全整改通知书，明确违规问题明细、整改具体要求、整改完成时限、整改责任人，实行整改全程跟踪督办、闭环销号管理。供应商需严格按照整改要求按期完成整改