ISO-IEC 27046-2024 中文版 威胁情报管理控制指南

ISO/IEC27046:2024中文版威胁情报管理控制指南前言ISO/IEC27046:2024作为国际标准化组织与国际电工委员会联合发布的专项信息安全与网络安全领域核心管控标准，立足全球数字化转型背景下各类组织面临的常态化网络攻击、漏洞隐患、供应链安全风险、数据泄露威胁等多元化安全挑战，专门针对威胁情报体系化建设、规范化管理、全流程控制、实战化落地等核心工作制定统一国际管控规范与实操指导要求。本指南严格对标ISO/IEC27046:2024原版标准核心条款、管控原则与实施细则，同步适配国内网络安全合规管理要求、各行业数字化安全运营实际场景，全面衔接ISO/IEC27001信息安全管理体系、ISO/IEC27002安全控制实践、ISO/IEC27005信息安全风险管理等系列配套国际标准，为政府机构、企事业单位、各类经营主体及第三方服务机构搭建合规、高效、闭环、可持续的威胁情报管理管控体系提供全维度、可落地、可审核、可迭代的标准化依据与实操指引。当前全球网络威胁呈现攻击手段复杂化、攻击链条产业化、威胁传播快速化、风险影响全域化、攻击目标精准化的发展特征，传统被动式安全防护、单点化安全运维、事后化应急处置模式已无法适配新时期网络安全防护需求。威胁情报作为主动防御、风险预判、隐患前置处置、安全态势感知的核心基础支撑，能够精准识别各类潜在安全威胁、溯源攻击行为脉络、预判攻击发展趋势、指导安全防控策略优化，是构建主动安全防御体系、提升组织网络安全对抗能力、降低安全风险发生概率与损失程度的核心核心抓手。ISO/IEC27046:2024专项标准及本配套中文版控制指南，核心目标是统一全球范围内威胁情报管理的治理架构、生命周期流程、控制要求、运营规范与评估准则，规范威胁情报从规划采集、研判分析、分发共享、处置响应到归档复盘的全链条管理行为，明确组织各层级、各岗位在威胁情报管理工作中的权责边界，统筹技术工具支撑与管理流程约束协同落地，推动威胁情报深度融入组织信息安全风险管理、日常安全运营、应急事件处置、合规自查整改全工作环节，实现威胁情报价值最大化、安全管控闭环化、风险防控前置化。1范围本ISO/IEC27046:2024中文版威胁情报管理控制指南明确了各类组织开展威胁情报规划、建设、运营、管控、评估与持续改进工作的总体治理要求、核心管理原则、全生命周期流程控制规范、专项威胁情报管控细则、组织人员岗位职责、技术基础设施安全约束、第三方合作管控标准及绩效审核改进机制。本指南适用范围覆盖全球所有行业、所有规模类型的组织机构，包括各级政务信息化管理机构、金融、能源、通信、交通、医疗、教育等关键信息基础设施运营单位，大中型企业数字化运营部门，互联网平台企业，网络安全第三方服务机构，信息系统集成运维企业及各类具备数字化业务运营、网络系统建设、数据处理存储传输活动的各类主体。本指南所规范的管控内容涵盖组织内部自建威胁情报体系运营管理、外部第三方威胁情报资源采购与合作管控、跨部门跨机构威胁情报共享联动、不同类型网络安全威胁情报专项处置、威胁情报与现有信息安全管理体系融合对接、威胁情报相关人员与技术全维度安全管控等全部相关工作。本指南聚焦威胁情报管理的通用性、基础性、强制性控制要求与实操性指导规范，不针对特定行业定制专属技术研发标准，各类组织可结合自身业务规模、数字化架构、安全风险等级、行业监管特殊要求，在本指南基础管控框架前提下，细化适配自身运营场景的个性化威胁情报管理实施细则，确保标准化管控与个性化适配有机结合。本指南不适用于单纯网络安全攻击技术研发、恶意代码破解等违规违法场景相关活动，所有管控工作均严格遵循各国网络安全法律法规及国际网络安全合规准则要求。2规范性引用文件下列规范性引用文件对于本指南的应用不可或缺，凡是标注注明日期的引用文件，仅对应注明版本适用本指南；凡是未标注日期的引用文件，其最新有效版本（包含所有修订增补单、改版公告、补充细则）均适用于本指南整体管控与实施工作。核心引用国际标准包括ISO/IEC27001:2022信息安全管理体系要求规范、ISO/IEC27002:2022信息安全控制实践指南、ISO/IEC27005:2024信息安全风险管理指南、ISO/IEC27040系列网络安全情报标准化配套规范、ISO/IEC相关隐私保护与数据安全管理国际标准。各类组织在落实本指南威胁情报管控要求时，需同步对标上述引用标准的相关条款，实现威胁情报管理与整体信息安全管理体系深度融合、管控要求协同一致、运营流程无缝衔接，不得脱离基础信息安全管控标准单独开展威胁情报管理工作，确保整体安全管控体系合规统一、协同高效。3术语和定义3.1威胁情报：指通过合规采集、精准研判、专业分析、合规校验后形成的，与各类网络安全威胁、攻击行为、漏洞隐患、风险态势、攻击溯源信息、安全防护薄弱点相关的结构化与非结构化安全信息集合，涵盖战略层面、战术层面、操作层面三类核心情报类型，具备真实性、时效性、针对性、可用性、保密性五大核心属性，可直接用于组织安全风险预判、防护策略优化、攻击应急处置、安全隐患整改等安全运营工作。3.2战略威胁情报：聚焦组织整体长期网络安全态势、行业整体威胁发展趋势、宏观攻击主体动向、长期安全风险演变规律的高层次情报信息，主要服务于组织安全战略规划、年度安全工作计划制定、长期安全防护体系建设、高层安全决策部署等宏观管理工作，周期覆盖年度、季度等中长期维度。3.3战术威胁情报：针对阶段性高频网络攻击类型、主流攻击工具与攻击方法、行业共性漏洞风险、区域性安全威胁态势的中层级情报信息，主要服务于阶段性安全防护策略调整、专项安全排查整治、安全设备策略优化、内部安全巡检管控等中期安全运营工作，周期覆盖月度、周度等中期维度。3.4操作威胁情报：针对具体单次攻击行为、特定恶意IP地址、恶意域名、恶意样本、漏洞利用路径、数据泄露线索等具象化低层级情报信息，主要服务于实时安全监测告警、攻击溯源处置、漏洞即时修复、安全事件应急响应等实时实操安全工作，周期覆盖实时、每日等短期维度。3.5威胁情报生命周期：指威胁情报从前期规划筹备、多渠道合规采集、多维度研判分析、分级分类分发共享、针对性处置响应、全要素归档复盘直至迭代优化完善的全闭环管理流程，是威胁情报管控工作的核心基础运行框架。3.6威胁情报治理：指组织为保障威胁情报管理工作合规有序开展、权责清晰落地、资源有效配置、管控闭环落实而建立的组织架构、管理制度、岗位职责、考核机制、内审整改体系的统称，是威胁情报体系长效运营的核心保障。4威胁情报管理总体框架与核心管控原则4.1总体管控框架。ISO/IEC27046:2024标准明确，组织威胁情报管理总体框架分为四大核心层级，各层级各司其职、协同联动、闭环衔接，缺一不可。第一层级为组织治理层，核心负责顶层战略规划、管理制度制定、岗位职责划分、资源统筹配置、重大决策审批、整体工作监督考核，统筹把控威胁情报管理整体发展方向与合规底线；第二层级为流程管理层，核心负责威胁情报全生命周期流程标准化落地、各环节工作衔接管控、跨部门协同调度、流程合规自查整改，保障情报管理全流程规范有序运转；第三层级为技术支撑层，核心负责威胁情报采集平台、研判分析工具、存储传输系统、安全防护设备等技术基础设施建设运维，为情报管理提供稳定安全的技术硬件与软件支撑；第四层级为运营执行层，核心负责日常情报采集、研判、分发、处置、复盘等实操工作，严格落实各层级管控要求，完成常态化威胁情报运营落地工作。四大层级自上而下统筹管控、自下而上反馈优化，形成权责明晰、上下联动、技术与管理融合、运营与治理协同的完整威胁情报管理管控体系。4.2核心管控原则。组织开展ISO/IEC27046:2024合规威胁情报管理工作，必须严格遵循五大核心基本原则，所有管控流程、运营动作、制度规范均不得偏离核心原则要求。一是风险导向合规管控原则，所有威胁情报管理工作均以组织信息安全风险管理为核心出发点，聚焦高风险领域、关键信息资产、核心业务系统配置差异化管控措施，严格遵循国内外网络安全合规要求，杜绝违规采集、违规共享、违规使用威胁情报信息；二是全生命周期闭环管控原则，严格覆盖威胁情报规划、采集、研判、分发、处置、复盘全流程，杜绝单一环节管控缺失、流程断点、管理脱节问题，实现每一条威胁情报全流程可追溯、可管控、可复盘；三是协同联动共建共享原则，强化组织内部各部门、各岗位协同配合，推进与行业主管单位、同类机构、合规第三方机构情报联动共享，打破信息壁垒，凝聚安全防护合力；四是持续迭代动态优化原则，结合网络威胁态势变化、组织业务数字化升级、安全防护能力提升、标准规范更新情况，持续优化威胁情报管理流程、技术工具、管控策略与人员能力，适配动态安全防护需求；五是最小权限安全保密原则，严格管控威胁情报访问、使用、传输、存储权限，遵循最小必要授权要求，分级分类做好情报保密管理，严防威胁情报信息泄露、篡改、滥用、丢失等安全问题发生。5威胁情报治理组织与人员岗位管控要求5.1治理架构搭建管控。组织必须按照ISO/IEC27046:2024标准要求，建立专属威胁情报治理专项工作架构，不得由其他安全管理部门兼职替代核心治理职能。组织需设立高层威胁情报管理决策小组，由组织主要安全负责人、信息化分管领导、核心业务部门负责人共同组成，主要负责审批威胁情报管理年度规划、专项管理制度、重大情报处置方案、大额技术资源投入、跨机构情报共享合作协议等重大事项，统筹解决情报管理工作中的重大问题与资源保障事宜。同时需设立专职威胁情报管理执行部门，配备专职情报运营、研判、运维工作人员，独立负责日常威胁情报全流程运营管理、制度落地执行、流程监督管控、日常对接协调等实操工作，不得将专职工作外包无资质第三方机构。各业务部门、信息化运维部门、安全运维部门需设立兼职威胁情报联络专员，负责本部门情报线索上报、情报信息接收、相关处置工作落实、内部协同对接等工作，形成高层决策统筹、专职部门执行、各部门联动配合的三级治理组织架构。5.2岗位职责清晰管控。组织需制定书面化威胁情报岗位权责说明书，明确决策层、管理层、执行层、联络层所有相关岗位的具体工作职责、工作权限、工作流程、考核标准、追责机制，杜绝岗位职责模糊、权责交叉重叠、工作推诿缺位等问题。高层决策小组核心权责为战略规划审批、资源配置审批、重大风险决策、工作考核监督；专职情报管理部门负责人权责为日常工作统筹、流程优化管控、人员管理调度、工作对接协调、问题整改督办；专职情报研判人员权责为情报采集校验、专业研判分析、情报分级分类、态势汇总分析；专职情报运营人员权责为情报分发推送、处置跟踪督办、归档复盘管理、数据统计上报；技术运维人员权责为情报平台运维、技术设备保障、数据安全防护、系统迭代优化；各部门兼职联络专员权责为内部线索收集上报、情报落地处置、处置结果反馈、部门安全协同。所有岗位权责需同步纳入组织人员绩效考核体系，定期开展履职情况核查，确保各岗位工作落实到位。5.3人员能力与培训管控。从事威胁情报管理、研判、运营、技术运维的所有专职工作人员，必须具备对应的网络安全专业能力、威胁情报研判实操能力、网络攻击溯源基础能力、合规管理认知能力，熟悉ISO/IEC27046:2024标准及配套信息安全管理标准要求，掌握各类威胁情报工具使用、情报分析方法、应急处置流程等实操技能。组织需建立常态化威胁情报专项培训机制，定期组织工作人员开展标准规范培训、新型网络威胁培训、情报研判技能培训、合规管理培训、应急处置实操培训，每年培训频次不得低于规定要求，新入职相关岗位人员必须先完成岗前专项培训并考核合格后，方可上岗开展工作。同时需建立人员能力评估机制，定期对工作人员专业能力、履职情况、工作成效进行综合评估，对能力不达标人员及时开展专项补强培训或岗位调整，杜绝专业能力不足导致情报管理工作失效、研判失误、处置不当等问题。5.4内外协同机制管控。组织需建立内部跨部门威胁情报协同工作机制，明确内部情报上报、信息同步、工作对接、联合处置的标准化流程，定期召开内部威胁情报工作协同会议，汇总阶段性情报管理工作情况，协调解决跨部门工作难点问题。同时需建立外部合规协同联动机制，在符合网络安全保密与合规管理要求的前提下，与行业主管单位、同类合规机构、正规第三方威胁情报服务机构建立情报共享、态势互通、联合应急处置合作关系，明确外部情报对接流程、共享范围、保密要求、合作权责，杜绝与无资质、不合规第三方机构开展情报合作，严防外部情报对接过程中的信息泄露与合规风险。6威胁情报全生命周期标准化核心控制要求6.1威胁情报规划阶段控制。规划阶段是威胁情报管理工作的前置基础环节，组织需结合自身业务规模、数字化系统架构、核心信息资产等级、历史安全事件情况、行业威胁态势、合规监管要求，编制中长期威胁情报管理专项规划与年度实施计划。规划内容需明确情报管理工作总体目标、阶段建设任务、资源投入保障、技术平台建设计划、人员配置方案、管控流程优化方向、绩效评估指标等核心内容，精准匹配组织安全防护实际需求，杜绝盲目建设、重复投入、规划与实操脱节等问题。规划编制完成后需提交高层决策小组审批通过后方可实施，每年结合年度工作落实情况、威胁态势变化、合规要求更新情况，对规划进行年度修订优化，确保规划始终适配组织安全防护与情报管理工作实际需要。同时规划阶段需明确威胁情报采集范围、研判标准、分发层级、处置优先级、归档保存周期等基础核心规则，为后续全流程情报管理工作提供统一标准依据。6.2威胁情报采集阶段控制。采集阶段需严格遵循合规性、真实性、安全性、必要性四大核心要求，组织需规范搭建多维度、多渠道、可管控的威胁情报采集体系，明确合法合规的情报内部采集来源与外部采集来源。内部采集来源主要包括组织自身网络安全监测设备告警信息、系统运维日志数据、安全巡检排查隐患信息、历史安全事件处置记录、内部漏洞扫描检测结果等内部原生安全数据；外部采集来源主要包括合规第三方威胁情报服务商提供的标准化情报数据、行业主管部门发布的安全预警情报、国际正规安全组织公开合规威胁通报、同业机构合规共享的安全情报等外部合规情报资源。所有情报采集工作必须符合数据安全与个人信息保护相关法律法规要求，严禁非法采集个人隐私信息、违规窃取其他机构涉密安全数据、未经授权采集第三方敏感信息。采集完成后需第一时间开展情报真实性、有效性、合规性校验工作，剔除虚假情报、无效情报、重复情报、违规情报，确保进入研判环节的所有威胁情报真实可靠、合规可用，从源头保障情报管理工作质量。6.3威胁情报研判分析阶段控制。研判分析阶段是威胁情报价值转化的核心关键环节，组织专职研判人员需按照统一研判标准，对采集校验后的威胁情报开展分级分类、深度分析、风险定级、态势研判全流程工作。首先开展情报分级分类管控，按照战略、战术、操作三类情报类型完成基础分类，同时按照威胁风险严重程度划分为极高、高、中、低四个风险等级，明确不同等级情报的处置优先级与管控力度。其次开展深度研判分析工作，针对单一威胁情报核查攻击来源、攻击手段、攻击目标、影响范围、潜在危害、利用路径等核心要素，针对批量情报汇总分析阶段性威胁发展趋势、高频攻击弱点、防护薄弱环节、整体安全态势等宏观内容，形成精准详实的情报研判报告。研判工作必须坚持客观公正、数据支撑、事实依据原则，杜绝主观臆断、研判流于形式、风险定级偏差等问题，研判报告需明确核心风险点、潜在影响范围、针对性防护建议、后续处置要求等核心内容，为后续情报分发与处置工作提供精准支撑。研判完成后需实行研判复核机制，由资深研判人员对研判结果、风险定级、报告内容进行二次复核，确保研判结果准确无误。6.4威胁情报分发共享阶段控制。分发共享阶段需严格遵循分级授权、按需分发、保密管控、精准送达的核心要求，杜绝情报随意分发、全员无差别共享、涉密情报外泄等安全问题。组织需根据威胁情报风险等级、涉密程度、适用范围、岗位工作必要需求，制定差异化情报分发共享规则，极高风险涉密情报仅定向分发至高层决策小组、专职安全管理部门及核心处置岗位人员，高、中风险情报分发至相关业务部门与安全运维岗位，低风险常规安全预警情报可按需适度内部全员同步。内部情报分发需通过组织专属安全内部办公系统、加密通讯渠道传输，严禁通过公开网络、私人社交软件、非加密通道传递涉密威胁情报信息。外部情报共享仅限合规合作机构与行业主管单位，共享前需签订保密合作协议，明确共享情报使用范围、保密责任、禁止外传要求，严控外部共享边界。情报分发后需做好分发记录登记，记录分发时间、分发对象、情报内容、接收确认情况等信息，实现分发共享全程可追溯管控。6.5威胁情报处置响应阶段控制。处置响应阶段是落实威胁情报防护价值、化解安全风险的实操核心环节，相关接收部门与岗位人员需按照情报处置要求与应急管理流程，第一时间开展针对性处置整改工作。针对操作级实时攻击类情报，需立即启动实时应急处置流程，开展攻击拦截、恶意IP封禁、漏洞临时加固、系统应急防护、攻击溯源排查等实操工作，快速阻断攻击行为，降低实时安全损失；针对战术级阶段性隐患类情报，需开展专项安全排查、系统策略优化、漏洞全面修复、安全设备升级、内部防护强化等专项整治工作，限期完成隐患整改闭环；针对战略级宏观态势类情报，需优化组织长期安全防护战略、调整年度安全工作计划、升级整体安全防护体系、强化长期风险防控布局。处置工作需明确处置责任人、处置完成时限、处置工作标准，处置过程全程留痕记录，处置完成后需及时反馈处置结果至专职威胁情报管理部门，由管理部门核查处置成效，对处置不到位、整改不彻底的情况责令限期二次整改，确保所有威胁情报对应的安全风险全部闭环化解。6.6威胁情报归档复盘阶段控制。归档复盘阶段是实现威胁情报管理持续优化、闭环提升的收尾核心环节，组织需对所有已完成处置响应的威胁情报及对应研判报告、分发记录、处置过程材料、整改结果文件等全要素资料进行统一归档管理。归档工作需按照情报风险等级、情报类型、处置时间维度分类建档，采用加密存储方式留存归档资料，明确归档资料保存周期，涉密情报资料按照保密管理要求长期留存，常规情报资料按规定周期留存备查，归档资料严禁随意删除、篡改、外泄。同时需定期开展威胁情报管理工作复盘总结，月度开展常规工作复盘，季度开展专项成效复盘，年度开展全面整体复盘，复盘内容涵盖情报采集质量、研判精准度、分发及时性、处置有效性、管控流程短板、人员工作不足、技术支撑薄弱点等核心内容，梳理工作存在的问题与短板，制定针对性优化改进措施，明确改进责任人与完成时限，持续优化威胁情报全生命周期管理工作质量与管控效能。7专项类型威胁情报差异化管控要求7.1网络攻击类威胁情报专项管控。针对勒索攻击、APT定向攻击、挖矿木马攻击、网络钓鱼攻击、DDoS流量攻击等各类网络攻击类威胁情报，组织需实行专项重点管控机制，此类情报一律按照高优先级处置标准执行，第一时间触发应急响应流程。采集环节需重点精准采集攻击样本、攻击IP、攻击域名、攻击链路、攻击工具等核心具象化信息；研判环节需重点核查攻击溯源、攻击目标偏好、攻击破坏能力、后续衍生攻击风险；分发环节仅限核心安全处置岗位定向快速分发，杜绝大范围扩散；处置环节需快速落实攻击阻断、系统隔离、数据防护、溯源反制、事后加固等全维度处置措施；复盘环节需重点总结攻击防护短板、应急处置不足、防护策略缺陷，针对性优化网络攻击专项防护体系，提升定向攻击与高频攻击抵御能力。7.2漏洞隐患类威胁情报专项管控。针对操作系统漏洞、应用程序漏洞、网络设备漏洞、业务系统漏洞、开源组件漏洞等各类漏洞隐患类威胁情报，组织需建立漏洞情报与漏洞修复联动闭环管控机制，精准匹配漏洞危害等级与修复优先级。高危及critical级别漏洞情报需当日完成核查、三日完成全量修复加固，中低危漏洞情报按期完成分批整改修复。研判环节需重点分析漏洞影响系统范围、漏洞利用难度、潜在被攻击风险、临时替代防护措施；处置环节需同步落实漏洞补丁升级、设备策略加固、临时防护配置、漏洞复测验证等工作，修复完成后必须开展漏洞复测，确认漏洞彻底整改闭合；同时需将漏洞情报管控纳入常态化安全运维工作，定期汇总漏洞情报整改情况，梳理高频高发漏洞类型，优化系统开发与设备采购安全准入标准，从源头减少漏洞滋生风险。7.3数据泄露类威胁情报专项管控。针对核心业务数据、用户个人信息、企业涉密数据、经营管理数据等数据泄露相关威胁情报，组织需严格对标数据安全合规管理要求，实行最高等级保密与应急管控。采集环节需精准核查泄露数据类型、泄露范围、泄露渠道、泄露量级；研判环节需重点评估数据泄露合规风险、声誉影响、经济损失、法律追责风险；处置环节需第一时间切断泄露渠道、排查泄露源头、开展数据安全加固、落实合规上报与应急告知要求；复盘环节需全面排查数据安全管理短板、数据防护薄弱点、权限管控漏洞，优化数据分级分类防护、数据访问权限管控、数据传输存储加密等核心管控措施，严防数据泄露事件复发。7.4供应链安全威胁情报专项管控。针对第三方供应商、软硬件服务商、外包运维机构、供应链上下游关联机构引发的供应链安全威胁情报，组织需建立供应链情报专项联动管控机制。情报采集需同步对接供应链合作方安全信息，研判环节重点评估供应链威胁对自身业务系统与安全体系的传导风险，分发处置需同步联动供应链合作方落实整改加固工作，定期汇总供应链威胁情报情况，优化供应商安全准入审核、常态化安全考核、供应商退出追责机制，从供应链源头防范外部关联安全风险传导。8威胁情报技术基础设施与工具安全管控8.1情报管理平台建设运维管控。组织需配套建设专属威胁情报综合管理平台，统筹实现情报采集汇聚、研判分析、分级分类、分发推送、处置跟踪、归档存储、统计复盘全流程线上化管控，不得依靠人工零散记录开展情报管理核心工作。情报平台建设需符合网络安全等级保护、数据安全防护相关要求，平台部署需做好网络分区隔离、访问安全防护、边界安全管控，杜绝平台自身被攻击、数据被篡改、情报数据泄露等问题。平台日常运维需由专职技术人员负责，定期开展平台漏洞扫描、安全加固、版本升级、运维巡检工作，建立平台运维日志记录，及时处置平台运行故障与安全隐患，保障情报平台长期稳定安全运行。平台所有操作均需留存操作日志，实现平台操作全程可追溯、可审计。8.2情报数据存储与传输安全管控。威胁情报相关所有数据资料在存储环节需实行加密存储管控，区分涉密情报与常规情报设置差异化加密等级，采用国密算法或合规高强度加密算法进行数据加密防护，存储设备需做好物理安全防护与网络安全隔离，定期开展存储数据备份工作，防止情报数据丢失、损坏、篡改。情报数据传输环节需全程采用加密传输通道，内部传输使用专属加密内网通道，外部传输使用合规加密专线或加密传输协议，严禁明文传输涉密威胁情报数据。同时需严格管控数据访问权限，遵循最小授权原则，仅为必要岗位人员开放对应情报数据访问权限，定期清理冗余访问权限，关停离职人员、调岗人员访问权限，严防非法访问、越权访问情报数据。8.3情报工具与辅助设备安全管控。组织开展威胁情报研判、采集、溯源工作所使用的各类专业安全工具、研判软件、监测设备、终端设备，均需选用合规正规产品，严禁使用来源不明、无安全资质、存在后门风险的非法工具。所有情报工作专用终端设备需与互联网公共网络做好安全隔离，安装安全防护软件、终端检测响应工具，定期开展终端安全查杀与漏洞加固，杜绝专用终端被植入恶意程序导致情报数据泄露。所有情报工具使用需规范登记管理，记录工具使用人员、使用时间、使用用途，定期开展工具安全检测与合规核查，确保各类辅助技术工具安全可控、合规可用。9第三方威胁情报合作服务管控9.1第三方服务商准入管控。组织如需采购外部第三方威胁情报服务、对接外部情报合作机构，必须建立严格的服务商准入审核机制，仅选择符合ISO/IEC27046:2024标准要求、具备正规安全服务资质、行业信誉良好、无安全违规记录、具备专业服务能力的合规第三方机构合作。准入审核需核查服务商资质证书、专业团队能力、情报服务质量标准、安全保密管控体系、过往服务案例、合规经营情况等核心内容，严格筛查资质不全、能力不足、信誉较差、合规不达标的服务商，严禁违规合作。准入审核合格后建立合规服务商名录，实行动态名录管理，定期复核服务商合规资质与服务能力。9.2合作协议与保密管控。组织与第三方威胁情报服务商开展合作前，必须签订正式合规的服务合作协议与专项保密协议，明确情报服务范围、服务标准、服务期限、服务费用、双方权责边界、情报共享边界、数据保密责任、信息安全防护要求、违约追责条款、合作终止善后事宜等核心内容。专项保密协议需重点明确第三方服务商不得泄露组织涉密安全信息、不得滥用组织内部情报数据、不得对外扩散合作获取的敏感情报、不得利用合作便利开展违规攻击等约束要求，明确泄密、违规操作对应的违约责任与赔偿标准，以书面形式固化合作安全底线，杜绝第三方合作带来的情报泄露与合规风险。9.3服务过程监督与退出管控。组织需对第三方威胁情报服务商日常服务过程实行常态化监督管控，定期核查情报服务质量、情报时效性、情报准确性、保密落实情况，定期开展服务商服务成效考核，对服务质量不达标、保密落实不到位、存在违规操作行为的服务商，及时责令限期整改，整改仍不达标的立即终止合作，移出合规服务商名录。合作终止后需及时收回所有情报数据访问权限，销毁第三方留存的组织敏感情报资料，做好合作终止后续安全收尾工作，杜绝合作退出后出现情报泄露与安全遗留风险。10绩效评估、内部审核与持续改进管控10.1绩效指标考核管控。组织