合规
评估科技供应商的网络安全风险
采购或续约决策纳入有证据的供应链风险、合同保障，以及受监控的整改承诺。
流程
按这个顺序做。
- 按数据敏感度、访问、连通、服务关键性、可替代性、集中度和下游依赖对合作分级。
- 确定尽职深度，并按比例索要架构、独立评估、事件史、漏洞实践、访问控制、韧性测试、SBOM 能力和子处理方等信息。
- 用当前证据核验高影响主张，澄清范围与例外，避免把问卷或认证当作完整保证。
- 评估固有风险、控制有效性、剩余风险和可信失败情景，包括失陷、中断、数据滥用与供应商依赖。
- 记录缺口及整改承诺、责任人、日期、核验证据和补偿控制。
- 在法务审阅下设定安全、事件通知、审计权、数据处理、漏洞披露、分包、连续性与安全终止的合同要求。
- 上线前取得可追责的风险接受，并按层级与重大变更安排持续监控和再评估。
先准备
猫会向你要的输入。
- 供应商与服务说明
- 数据流与访问模型
- 业务关键性与风险标准
- 供应商证据与拟议合同
路由器 + 一份 playbook
先路由。只选一份。
Cat Paw 每次任务只加载一份 playbook，不合并多份。先走这个路由器；其余路径是此 workflow 可检查的候选。
- 路由器：
cybersecurity-pack skills/cybersecurity-skills/managing-third-party-vendor-risk/SKILL.mdskills/cybersecurity-skills/conducting-cyber-risk-assessment-with-nist-800-30/SKILL.md
界限
界限跟着提示一起走。
- 通过授权渠道收集供应商信息，并遵守保密限制。
- 不要把评估表述为法律意见或保证供应商安全。
- 生产访问前，对未解决的重大风险要求明确的可追责接受。
完成代表
一个可核对的终点。
供应商已有记录的风险层级与剩余风险决定，重大缺口已有合同或整改处理，监控与再评估责任人已指定。
来源
这个流程从哪来。
来源确立 workflow 的模式。如有 Reddit 或社区帖子，视为实务轶事，不是普遍事实。
