什麼是供應商風險管理計畫？

什麼是供應商風險管理計畫？

你的供應商剛剛成為你的入侵破口。凌晨 2:47，攻擊者透過承包商遭入侵的憑證橫向移動進入你的正式環境。你的安全堆疊錯過了這次攻擊，因為威脅源自具有合法存取權限的受信任第三方。

供應商風險管理計畫是一種結構化的資安實務，用於在整個業務關係生命週期中評估並控制第三方供應商所引入的風險。根據 Gartner 的 IT Glossary，VRM 的正式定義為「確保使用服務供應商與 IT 供應商不會造成不可接受的業務中斷潛在風險，或對業務績效產生負面影響的過程」。

這些數據說明了為何 VRM 很重要。IBM《2024 年資料外洩成本報告》分析了 17 個國家的 604 家組織，發現 2024 年有 59% 的組織經歷了由第三方造成的資料外洩。這是首次有過半數的外洩事件源自供應商關係，而非直接針對你邊界的攻擊。

真實世界的事件說明了這些風險。2020 年的 SolarWinds breach影響了超過 18,000 家組織，包括九個聯邦機構與超過 100 家私人公司，當時攻擊者將惡意程式碼插入 Orion 軟體更新中。2013 年的 Target breach起因於 HVAC 供應商遭入侵的憑證，導致 4,000 萬筆信用卡號碼遭竊，並產生 1.62 億美元的外洩相關成本。

你無法控制供應商的安全態勢，但當他們失敗時，後果由你承擔。你的 VRM 計畫決定第三方關係是強化你的安全架構，還是製造出讓攻擊者利用的系統性盲點。

供應商風險管理計畫與資安的關聯

供應商風險管理是供應鏈風險管理的核心組成部分。NIST 的 Computer Security Resource Center 將 C-SCRM 定義為協助「組織管理與資安相關、無論是蓄意或非蓄意的供應鏈遭入侵風險日益增加」的方法。

你的攻擊面遠遠超出防火牆之外。每一個供應商連線、每一個承包商的VPN、每一項雲端服務整合，都代表一條可能的入侵路徑。《 Verizon 2024 DBIR》分析了 94 個國家中 10,626 起已確認的外洩事件，記錄到供應鏈攻擊相較於 2023 年顯著增加。

VRM 計畫涵蓋三個安全面向：

• 治理：建立對誰可連線至你的環境，以及在何種安全條件下連線的控制
• 可視性：持續掌握供應商安全態勢的變化，而不僅限於年度評估之間
• 問責：建立定義安全義務、外洩通報要求與事件回應協調的合約框架

若沒有系統化的 VRM，你就是在防禦一個未定義的邊界，而受信任的供應商憑證會為攻擊者提供已驗證的存取權限，進入你最敏感的系統。

供應商風險類型

在建立 VRM 計畫之前，你需要了解自己要防範的是什麼。你的供應商引入的風險類別不僅限於資安，還延伸至營運、財務與策略領域。了解這些類別可讓你採取有針對性的評估與監控方法。

1. 資安與資料外洩風險是最直接的威脅。具有網路存取權、資料處理責任或軟體整合點的供應商，會在你的環境中形成攻擊向量。SolarWinds 與 Target 外洩事件顯示，攻擊者如何利用受信任的供應商連線來繞過邊界防禦。
2. 營運與業務持續性風險會在供應商服務中斷影響你交付產品或服務的能力時浮現。雲端供應商中斷、supply chain中斷，或供應商破產，都可能在不論你內部能力如何的情況下使營運停擺。
3. 合規與法規風險會在供應商未能維持必要認證或違反適用法規時轉移到你的組織。HIPAA、PCI DSS、GDPR 與特定產業要求都適用於處理你資料的供應商。你的合規態勢取決於供應商的合規情況。
4. 聲譽風險會在供應商失誤成為歸因於你組織的公開事件時具體化。無論實際外洩發生在哪裡，客戶與監管機關都會要求你對影響其資料的供應商安全失敗負責。
5. 集中風險會在關鍵業務功能依賴單一供應商且沒有替代方案時形成。過度依賴單一雲端供應商、單一支付處理商或單一物流夥伴，會造成單點故障，而供應商多元化正是為了解決這個問題。
6. 財務與信用風險會影響供應商的穩定性與長期可行性。面臨財務困境的供應商可能會減少安全投資、流失關鍵人員，或完全停止營運，讓你失去關鍵服務或支援。

你的風險評估方法必須以適當的評估標準與監控頻率涵蓋每一類別，並與業務影響保持一致。

供應商風險管理計畫的核心組成要素

管理這些多樣化的風險類別需要一套結構化計畫。您的 VRM 計畫需要六個相互關聯的組成要素，將供應商關係從安全負債轉變為可管理的風險。

• 治理與政策框架: NIST Cybersecurity Framework 2.0，於 2024 年 2 月 26 日發布，將 Cybersecurity Supply Chain Risk Management (GV.SC) 確立為 GOVERN 功能中的專屬類別。這要求董事會對第三方風險負責。您的董事會與高階管理層承擔最終責任，包括建立風險胃納、治理結構與監督機制。
• 供應商清冊與風險分類: 你無法保護你看不見的事物。 NIST SP 800-161 Rev. 1 要求透過供應鏈可視性計畫進行系統化的供應商識別。您的 風險分級決定評估深度：關鍵供應商接受持續監控，而低風險的商品型供應商則僅接受最低程度的監督。
• 盡職調查與風險評估: 您的評估流程會在您授予存取權限之前，評估供應商的安全能力。擬議中的 NIST third-party framework要求對潛在第三方進行與風險等級相稱的徹底盡職調查、評估技術與網路安全能力，並驗證第三方產品符合您的安全要求。
• 合約管理與風險分配: 合約定義的是可執行的安全義務，而非理想性的承諾。 CISA emphasizes 指出，「organizations should define the vendor's required privilege and access levels prior to contract award」，以確保供應商在關係開始前能夠滿足安全要求。
• 持續監控與重新評估: 時點式評估在完成隔天就會過時。擬議中的 NIST framework要求監控關鍵供應商，以確認其履行義務，並進行定期審查。您的 監控計畫追蹤安全態勢變化、合規認證到期，以及供應商提供系統中的新興弱點。
• 事件回應與關係終止: 您的 VRM 計畫會預先因應供應商遭入侵與關係終止的情況。這包括資料外洩通知要求、鑑識協調、法規通報協助，以及在關係終止時的安全資料返還程序。

這些組成要素共同建立了一套以系統化而非被動反應方式管理供應商風險的框架。

供應商風險管理計畫如何運作

這六個組成要素在結構化生命週期中運作。您的 VRM 生命週期涵蓋五個明確階段，將供應商關係從初始評估轉變為持續監督。

規劃階段: 您會在開始選擇供應商之前，定義關係範圍與關鍵性。這包括法規要求、風險容忍度，以及根據供應商分級分類制定的評估方法。

盡職調查與選擇: 您透過財務穩定性評估、網路安全態勢評估，以及合規認證驗證來評估供應商能力。根據 SOC 2 Common Criteria CC9.2，組織必須在建立關係前，透過問卷、認證與 SOC 報告評估供應商安全性。

合約協商: 您將安全要求納入具約束力的協議中，包括:

• 特定安全控制要求
• 含效能指標的 SLA 定義
• 安全失敗的責任分配
• 稽核與評估權利
• 資料外洩通知時限

持續監控: 您透過排定的重新評估與持續性的外部監控來追蹤供應商安全態勢。對於關鍵供應商，這包括在更新的 SOC 報告發布時進行審查、監控安全事件或服務中斷，以及根據合約承諾追蹤 SLA 合規情況。

終止: 當關係結束時，您會執行具備資料安全保護的結構化退場流程。這包括驗證資料清除程序、撤銷所有存取憑證，以及確認退出程序已完成。

在這些階段中，持續監控代表最重大的營運挑戰，也是最大的改進機會。

供應商風險的持續監控

時間點評估僅能擷取供應商在單一日期的安全態勢，而威脅卻持續演變。持續監控可透過即時追蹤供應商風險指標而非每年一次來彌補此落差。

• 安全態勢監控 追蹤供應商網路安全健康狀況的外部指標。BitSight 和 SecurityScorecard 等安全評級服務可持續提供供應商修補頻率、已暴露弱點、惡意軟體感染及憑證外洩的可視性。當供應商安全分數低於已定義門檻時，您的監控計畫應觸發重新評估。
• 合規與認證追蹤 監控供應商認證的到期日與續期狀態，包括 SOC 2、ISO 27001、PCI DSS 和 FedRAMP。當認證接近到期或供應商失去合規狀態時，自動化警示會通知您的團隊。
• 威脅情報整合 將供應商識別資訊與外洩資料庫、暗網監控 摘要，以及威脅行為者鎖定清單進行關聯。及早預警供應商遭入侵，可在攻擊者轉向進入您的環境之前啟動主動回應。
• 網路與存取監控 偵測您環境中來自供應商連線的異常行為。 Behavioral AI 可識別異常存取模式、不可能旅行情境、權限提升嘗試，以及來自與供應商相關帳戶和裝置的 橫向移動。
• 財務健康監控 追蹤供應商穩定性指標，包括信用評等、新聞報導、領導層變動及監管行動。及早預警財務困境，可在服務中斷前啟動應變規劃。

您的實作需要明確定義會觸發行動的門檻。請針對以下情況建立升級程序：

1. 安全評級下降超過 10%
2. 認證將於 90 天內到期
3. 威脅情報比對到供應商識別資訊
4. 來自供應商存取點的行為異常

將監控輸出整合至您的事件回應工作流程，以確保當指標顯示供應商可能遭入侵時能迅速展開調查。

供應商風險管理計畫的主要效益

若有效實作，您的 VRM 計畫可在法規遵循、財務風險降低及營運韌性方面帶來可衡量的業務價值。

1. 法規遵循與框架對齊： 您可透過系統化的 VRM 實作滿足日益嚴格的法規要求。三個主要的聯邦框架為 VRM 計畫提供指引： NIST SP 800-161 用於網路供應鏈風險管理、 NIST CSF 2.0 透過專屬的 GV.SC 類別將供應鏈風險納入核心功能，以及 NIST SP 800-53 用於基礎安全控制。對金融機構而言，與 2023 Interagency Guidance 對齊成為強制要求，該指引由 Federal Reserve、FDIC 和 OCC 發布。
2. 可量化的外洩風險與成本降低： 您的 VRM 計畫可在攻擊到達關鍵系統前加以阻止。 IBM 2024 report 發現，與供應商相關的外洩事件平均每起成本達 491 萬美元。部署 AI in security operations 的組織，相較於依賴手動流程的組織，平均可節省 220 萬美元的外洩成本。
3. 強化可視性與業務持續性： 您可掌握手動追蹤無法維持的第三方存取路徑。您的 VRM 計畫可發現 影子 IT 供應商裝置、追蹤您網路上的承包商設備、監控供應商提供的 IoT 感測器，並阻止透過遭入侵供應商端點進行的橫向移動。

這些效益相當顯著，但要實現它們，必須克服數項營運挑戰。

供應商風險管理計畫的挑戰與限制

• 超出計畫容量的可擴展性： 您的供應商組合成長速度快於評估能力。根據 Gartner 研究，大多數組織的合約第三方數量都有所增加，而每一個供應商關係都會造成對呈指數增加的第四方與第五方的間接曝險。
• 供應商評估疲乏與未回應： 供應商通常需要數個月才會回應風險評估請求，且許多供應商根本不會回應。您在缺乏最新風險評估資料的情況下持續依賴供應商服務。
• 第四方風險在很大程度上仍未受到管理： 您的可視性止於直接供應商關係，而威脅卻源自分包商。 NIST SP 800-161 Rev. 1 要求採用多層級供應鏈方法，但營運複雜性超出大多數計畫目前的能力。

認識這些限制，有助於說明為何許多 VRM 計畫未能達成其目標。

常見的供應商風險管理計畫錯誤

五個實作缺口削弱了計畫成效。

• 錯誤 1： 時點式評估依賴。您每年評估一次供應商，而威脅卻持續演變。 SOC 2 Common Criteria CC9.2 明確要求持續監控，以維持對供應商風險態勢的認知。您的年度問卷雖滿足文件要求，卻無法提供兩次評估之間 364 天的任何可視性。
• 錯誤 2： 風險分級與供應商區隔不足。您不論供應商關鍵性高低，都套用一致的評估流程。 OCC Bulletin 2023-17 指出「並非所有第三方關係對營運都呈現相同程度的風險或關鍵性」。您的一般辦公用品供應商，所需監督應不同於可直接存取客戶資料的雲端基礎架構供應商。
• 錯誤 3： 第四方風險盲點。您將監督止於直接供應商關係，而攻擊者卻入侵分包商。 NIST SP 800-161 Rev. 1 要求採用多層級供應鏈方法，但您缺乏要求揭露分包商或對重大分包商進行核准流程的合約條款。
• 錯誤 4： 合約風險控制不足。您的合約記錄了服務內容，卻未定義可執行的安全義務。 2023 Interagency Guidance 強調合約協商是關係生命週期的一部分。您可能遺漏了特定安全控制要求、事件通報時限以及稽核權。
• 錯誤 5： 盡職調查流程不足。您根據銷售承諾而非經驗證的安全能力來導入供應商。初始導入時不足的盡職調查，會造成下游風險管理失效，並在整個關係期間持續存在。

好消息是：上述每一項錯誤都有經驗證的對應措施。

供應商風險管理計畫最佳實務

六項實作做法可將 VRM 計畫從文件作業轉變為營運安全控制。

實施基於風險的分級與差異化監督： 根據業務影響與資料敏感性將供應商分類分級：

• 關鍵供應商： 透過安全評等服務進行持續監控，並每季審查
• 高風險供應商： 每半年評估一次
• 中風險供應商： 每年審查一次
• 低風險供應商： 僅於合約續約時進行最低限度監督

部署持續監控計畫： 以外部評等服務進行即時安全態勢追蹤，取代年度問卷， 弱點監控，以及合規認證追蹤。自主監控工具會持續分析存取模式，找出顯示認證遭入侵的行為異常。

建立第四方風險管理： 您透過要求揭露分包商、重大分包商核准流程，以及安全義務向下傳遞的合約要求，將可視性延伸至直接供應商關係之外。您的合約明定，供應商必須通知您重大分包商變更，並在聘用關鍵分包商前取得核准。

將安全要求整合至合約中： 您的協議定義了與供應商分級分類一致的特定安全控制要求、合規認證維護義務、安全測試權利，包括 滲透測試 授權、資料外洩通知時限、事件回應協調程序，以及鑑識支援要求。

部署自主評估與上線工作流程： 您可消除造成瓶頸的手動流程。這包括具備智慧路由的安全問卷處理、優先處理高風險發現的風險評分演算法、用於核准流程的自主工作流程，以及與安全監控平台的整合。

繪製完整的供應商生態系： 記錄所有供應商關係、存取點與資料流，以了解完整的第三方曝險情況。這種可視性可實現有針對性的安全投資，並揭露需要額外控制措施的缺口。

使用 SentinelOne 強化供應商風險管理計畫

實作這些最佳實務需要能夠偵測源自供應商連線之威脅的安全工具。您的 VRM 計畫需要自主威脅發掘能力，以便在攻擊者完成其目標之前，識別源自供應商連線的入侵。

• 使用 Purple AI 進行自主威脅發掘： SentinelOne Purple AI 提供單一統一、由 AI 驅動的控制平面，可在整個企業中擴展自主防護。該平台已取得 FedRAMP High authorization，提供聯邦等級的安全認證。延續 SentinelOne 在 2024 年 MITRE ATT&CK 的領導地位，我們實現了 100% 威脅識別率與減少 88% 警示，SentinelOne 於 2025 年推出了 Purple AI Athena，這是一種代理式 AI，可自主進行安全事件的分流、調查與修復。當認證憑證遭到入侵時，Singularity Identity 的 Compromised Credential Protection 會偵測存取模式中的行為異常，並阻止橫向移動嘗試。
• 未經授權的供應商裝置探索: Singularity Network Discovery 透過回報其在網路上所見內容並啟用未經授權裝置封鎖，擴展了 Sentinel Agent 的功能。Singularity Network Discovery 會主動搜尋您網路中的未知供應商設備，透過找出影子 IT 供應商裝置、監控未經授權的第三方設備連線，以及追蹤供應商提供的 IoT 感測器，提供 VRM 功能。
• 供應鏈安全與第三方可視性： 根據 SentinelOne SBOM guidance，軟體物料清單可提供深度可視性，使安全專家更容易找出軟體供應鏈中的潛在弱點。您可追蹤供應商使用的第三方軟體元件、在部署前識別供應鏈弱點，並監控供應商提供解決方案中的軟體相依性。
• 用於統一供應商監控的延伸式偵測與回應： Singularity XDR 可從任何來源擷取安全資料，讓分析師能夠掌握整個生態系的可視性。這種第三方資料擷取可跨身分、雲端、電子郵件與網路安全層，實現對供應商存取路徑的統一監控。請查看 Singularity Marketplace 以了解我們的其他整合。

您的 Singularity Platform 在您的 VRM 計畫中作為威脅發掘與回應層。該平台擅長識別並消除來自第三方連線的威脅，但需要與專用的 VRM 平台整合，以支援供應商風險評分、安全問卷處理、合約管理與供應商評估工作流程。

申請 SentinelOne 示範，了解自主威脅識別與回應如何強化您的供應商風險管理計畫。

Unleash AI-Powered Cybersecurity

Elevate your security posture with real-time detection, machine-speed response, and total visibility of your entire digital environment.

Get a Demo

重點整理

供應商風險管理計畫可處理源自第三方關係的資料外洩，而這類事件如今占安全事件的 59%。您的計畫需要基於風險的分級、NIST SP 800-161 Rev. 1 所要求的持續監控，以及第四方可視性，而非依賴年度問卷。 

最佳實務整合了持續性的安全態勢監控、用於發現供應商帳戶遭入侵的行為分析，以及即時威脅發掘能力。使用 AI 驅動安全的組織平均可節省 220 萬美元的資料外洩成本