ISO 27001-2022 供应商信息安全管理体系审核与评价手册 - 副本

ISO27001:2022供应商信息安全管理体系审核与评价手册前言随着企业数字化供应链深度融合，第三方供应商、外包服务商、合作厂商已成为企业信息资产访问、数据交互、业务支撑的重要主体，同时也是信息安全风险的高频入口。钓鱼邮件扩散、外包权限滥用、供应链漏洞植入、第三方数据泄露、ICT服务安全缺陷等供应链安全事件频发，已成为ISO27001:2022体系审核、行业监管、客户合规核查的核心重点。ISO27001:2022新版标准大幅强化了A15供应商关系安全管控的强制要求，新增ICT供应链安全、协议安全约束、供应商风险动态管理、第三方服务持续性管控等核心条款，彻底杜绝传统体系“重业务合作、轻安全管控”的合规漏洞。当前多数企业普遍存在供应商准入无审核、合作无约束、履约无监管、年度无复盘、退出无闭环的管理短板，是认证审核、年度监审中最高发的不符合项模块之一。本手册严格对标ISO27001:2022高阶条款与附录A15全部控制要求，结合多年供应链安全审核、整改、体系落地实战经验，标准化搭建供应商信息安全分级分类、准入审核、履约核查、年度评价、问题整改、退出管控、持续迭代全生命周期管理体系，配套量化评分标准、审核流程、核查要点、证据清单、闭环机制，兼具合规性、专业性、实操性，可直接作为企业内部供应商审核标准、体系合规文件、迎审工具书全员落地使用。1总则1.1编制目的规范企业全品类供应商、外包服务商、第三方合作单位的信息安全审核与评价管理，建立适配ISO27001:2022标准的供应链安全管控闭环体系，精准识别、评估、处置供应链信息安全风险，杜绝第三方引入的漏洞、泄露、攻击、业务中断风险，补齐供应链合规短板，确保企业信息安全管理体系全域有效运行，顺利通过内审、外审、监管抽查与客户合规审核。1.2合规依据ISO/IEC27001:2022信息安全管理体系核心条款及附录AISO/IEC27002:2022供应商信息安全管控实践指南ISO27001:2022A15.1供应商信息安全管理、A15.2供应商服务交付安全、A15.3ICT供应链安全管控《网络安全法》《数据安全法》《个人信息保护法》第三方数据与安全合规要求网络安全等级保护2.0供应链安全管理规范1.3适用范围本手册适用于企业所有合作第三方主体，包含软硬件供应商、技术开发服务商、运维外包商、驻场服务厂商、数据处理合作方、云服务供应商、咨询服务机构、物流及办公外包、渠道合作单位等所有可接触企业内网、系统、设备、数据、业务信息的合作主体。覆盖供应商准入、合作、履约、变更、年审、退出全生命周期。1.4核心管理原则风险分级原则：根据供应商接触资产等级、数据敏感度、业务影响范围差异化审核管控，不搞一刀切。全程闭环原则：实现审核、评分、定级、整改、复查、停用、归档全流程闭环可追溯。最小权限原则：严格约束供应商访问权限、操作范围、数据接触层级，杜绝超权访问。动态管控原则：结合安全事件、漏洞风险、业务变更动态更新审核标准与管控要求。合规匹配原则：所有审核流程、记录、证据完全适配ISO27001:2022审核取证要求。2供应商分级分类管理（审核前置基础）依据ISO27001风险导向原则，按供应商安全风险等级划分管控层级，匹配差异化审核频次、审核深度、管控标准，实现精准风控。2.1风险分级标准一级高危供应商（核心管控）：可直接接触企业核心业务系统、敏感数据、用户隐私数据、服务器与数据库、内网核心设备的合作方，包含云服务商、系统开发、运维驻场、数据处理、安全服务供应商。需执行准入全审+季度抽查+年度全面审核。二级中风险供应商（常规管控）：可接触企业普通业务数据、办公系统、内部资料，无核心权限的合作方，包含办公软件服务商、普通技术支持、业务外包服务商。需执行准入审核+年度全面审核。三级低风险供应商（基础管控）：仅提供线下物资、普通服务，不接触企业系统、内网、敏感数据的合作方，包含物料供应、后勤服务、普通咨询厂商。仅执行准入基础审核，年度简易复核。2.2供应商分类清单1.ICT技术类：云服务、服务器设备、网络设备、安全设备、软件开发、系统运维、漏洞测试服务商；2.数据服务类：数据处理、数据标注、隐私信息对接、业务数据共享合作商；3.外包服务类：驻场运维、项目外包、人力外包、客服外包服务商；4.办公配套类：办公软件、打印销毁、场地运维、后勤服务供应商；5.其他合作类：渠道合作、咨询服务、第三方审计、供应链配套厂商。3审核组织与岗位职责3.1审核小组架构建立固定供应商安全审核小组，由采购部门、信息安全部门、业务部门、合规部门联合组成，确保审核专业性、客观性、全面性，适配ISO27001资源保障与履职要求。3.2岗位职责采购部门：负责供应商台账管理、审核发起、合作协议对接、整改督促、资料归档；信息安全部门：负责安全审核标准制定、现场核查、风险判定、漏洞评估、整改验收；业务部门：负责评估供应商业务影响、服务质量、业务适配性、现场履约核查；合规部门：负责合规条款审核、协议合规校验、审核资料合规性把关、体系证据留存。4全流程审核实施规范（适配A15全条款）本章节覆盖ISO27001:2022A15.1、A15.2、A15.3全部管控要求，标准化定义供应商准入审核、履约过程审核、年度综合审核、退出审核四大核心流程，所有流程可直接落地、全程可审计。4.1供应商准入安全审核（合作前置必审）所有新增供应商在签约、进场、系统接入、数据交互前，必须100%完成准入安全审核，审核不通过禁止合作、禁止进场、禁止接入内网系统，从源头杜绝供应链安全风险。4.1.1资质合规审核核查供应商营业执照、行业资质、信息安全相关认证、服务资质有效性；排查供应商是否存在安全违法违规记录、重大安全事故、舆情风险、监管处罚记录，杜绝高风险合作主体。4.1.2制度体系审核核查供应商自身信息安全管理制度、人员安全管控、数据保护机制、应急响应机制、漏洞管理体系是否健全，一级高危供应商需优先具备ISO27001等合规资质。4.1.3协议条款审核（核心合规项）严格落实ISO27001:2022A15.1.2协议安全要求，合作协议或保密协议必须包含：信息安全约束条款、数据保密条款、禁止越权操作条款、数据泄露追责条款、安全事件上报条款、服务连续性条款、违约处罚条款、合作终止数据清理条款。无安全协议、条款缺失不予签约。4.1.4人员与权限审核核查驻场、对接人员身份信息、从业资质、安全培训记录；明确人员权限范围、访问边界、操作禁区，提前配置最小权限策略，禁止超范围授权。4.1.5技术安全审核针对ICT类供应商，核查其产品、服务、系统的安全防护能力，排查后门、漏洞、植入风险；核查数据传输加密、存储加密、访问审计等安全机制，满足供应链安全管控要求。4.2履约过程动态审核（常态化管控）针对在合作供应商，建立常态化抽查审核机制，避免准入审核后管控松懈、风险失控，是ISO27001持续运行的核心佐证。1.权限动态核查：每月抽查供应商账号、访问权限，清理闲置权限、超额权限，杜绝权限滥用；2.操作行为审计：定期审计供应商操作日志、访问记录、数据操作记录，排查异常访问、批量导出、越权操作；3.服务安全核查：核查供应商服务交付过程中的安全合规性，是否存在违规操作、私自篡改配置、泄露内部信息等行为；4.风险动态排查：跟进供应商行业安全漏洞、安全事件，及时开展专项核查，防范链式供应链风险。4.3年度综合评价审核（体系年审必备）每年12月完成全量合作供应商年度安全审核评价，覆盖所有存续合作主体，形成年度审核报告与评级结果，作为次年合作、续约、淘汰的核心依据，是ISO27001年度体系运行、管理评审的重要输入资料。年度审核核心维度：资质有效性、协议合规性、权限管控规范性、操作安全记录、漏洞整改情况、安全事件情况、保密执行情况、服务安全质量、应急配合度。4.4合作终止退出审核（闭环收尾）供应商合同到期、终止合作、更换服务商时，必须完成退出安全审核，杜绝收尾风险遗漏：1.全面回收所有系统账号、内网权限、设备访问权限、物理门禁权限；2.督促供应商清理留存的企业数据、文档、配置信息，完成数据销毁与清零；3.核查离场人员操作记录，确认无未上传数据、无留存后门、无违规备份；4.完成离场安全交底、责任确认，留存退出审核台账与闭环记录。5量化评分与评级标准（可直接落地）为解决审核主观化、无依据、无评级的问题，建立100分制量化评分体系，统一评级口径，所有评分记录纳入体系归档，满足审核可追溯要求。5.1评分维度及权重1.资质与合规性（20分）：资质齐全有效、无违规处罚、合规体系健全；2.协议安全合规（25分）：安全协议条款完整、保密约束、追责机制完善；3.权限与人员管控（20分）：权限最小化、人员合规、无超权操作；4.安全运维与漏洞整改（20分）：无高危漏洞、整改及时、运维规范；5.安全事件与配合度（15分）：无安全事故、配合审核与整改、响应及时。5.2评级判定标准A级（优秀）90-100分：安全管控完善、无风险隐患、无违规记录，优先续约、优先合作；B级（合格）70-89分：整体合规、存在轻微瑕疵、无高危风险，正常合作，限期优化细节问题；C级（整改合格）60-69分：存在明显安全短板、中风险隐患，暂停新增业务，限期全面整改，整改验收通过后方可继续合作；D级（不合格）60分以下：存在高危漏洞、安全事件、合规严重缺失，立即终止合作、纳入黑名单，永久禁止合作。6高频不符合项与专项整改规范结合ISO27001历年审核问题，梳理供应商安全模块高频不合格项，配套标准整改方案与证据清单，彻底解决复审重复问题。6.1高频问题1：供应商安全协议缺失、条款不全问题现象：合作无专项信息安全协议、通用合同无安全约束条款、无数据保密与追责内容，不符合A15.1.2要求。整改方案：立即补签《供应商信息安全保密协议》，完善数据保护、权限管控、事件上报、违约追责、终止清零等必备条款；建立新合作供应商协议前置审核机制，杜绝条款缺失。必备证据：标准化安全协议模板、全部供应商协议签署台账、协议审核记录。6.2高频问题2：供应商权限管控混乱问题现象：外包人员权限过大、离职人员权限未回收、闲置账号未清理、无权限定期审计记录。整改方案：全面排查清理超标、闲置、过期权限；建立供应商账号台账，落实“一人一权、到期回收”机制；每月开展权限审计，留存核查记录。必备证据：供应商账号权限台账、权限排查整改记录、月度权限审计报告。6.3高频问题3：供应商无风险评估记录问题现象：未开展供应商准入与年度风险评估，无风险分级、无风险处置记录，体系管控失效。整改方案：完成全量供应商风险分级与全覆盖风险评估，针对中高风险供应商制定专项管控措施；建立准入必评、年度复评、变更即评的动态评估机制。必备证据：供应商分级清单、风险评估报告、中高风险处置台账。6.4高频问题4：外包人员无安全培训与交底记录问题现象：驻场外包人员未开展岗前安全培训、无安全交底、无考核记录，存在人为风险隐患。整改方案：补全所有外包人员岗前培训、安全交底、考核记录；固化进场必训、必考机制，不合格禁止进场作业。必备证据：外包培训课件、签到表、考核台账、安全交底记录。6.5高频问题5：合作终止无闭环管控问题现象：供应商离场无权限回收、无数据清理、无退出审核记录，存在后续泄露风险。整改方案：完善供应商离场全流程管控，新增退出审核表单、权限回收记录、数据清零确认单；建立离场闭环核查机制，做到离场无遗留风险。7审核闭环与长效管理机制7.1问题整改闭环机制所有审核发现的问题，统一录入《供应商安全问题整改台账》，明确问题描述、风险等级、整改责任人、整改时限、整改措施、验收标准、复查结果，实现“发现-派单-整改-验证-闭环”全流程管控，杜绝问题挂账、重复发生。7.2动态更新机制结合新型供应链攻击、行业安全事件、标准更新、业务迭代，每年更新本手册审核标准、评分维度、核查要点，确保审核体系适配最新合规与风控要求。7.3体系联动机制将供应商审核结果、风险数据、整改情况纳入企业年度内审、管理评审输入，作为体系持续改进、风险优化、资源调配的重要依据，实现ISO27001体系全域闭环运行。7.4黑名单管控机制建立供应商安全黑名单制度，对存在数据泄露、恶意攻击、违规操作、整改拒不落实的合作方，纳入黑名单，永久终止合作，杜绝高风险主体反复合作。8审核归档证据清单（27001审核必备）所有审核资料分类、编号、归档，长期留存，作为体系内审、外审、监管核查核心证据，完整清单如下：1.供应商全量台账（分级分类清单）；2.供应商准入审核全套资料（资质、制度、协议、权限、培训记录）；3.供应商信息安全风险评估报告、风险处置台账；4.月度权限审计、季度抽查、年度综合审核评价报告；5.供应商安全问题整改台账、复查验收记录；6.合作终止退出审核、权限回收、数据清零记录；7.供应商黑名单台账、奖惩记录；8.年度供应商安全管理复盘报告。9手册附则1.本手册依据ISO27001:2022标准编制，为企业供应商信息安全审核与评价唯一执行标准，全员、全合作主体严格遵照执行；2.本手册由企业信息安全部门、采购部门联合负责解释、落地、更新与监督；3.本