合規
評估科技供應商的資安風險
採購或續約決策納入有證據的供應鏈風險、合約保障，以及受監控的改善承諾。
流程
照這個順序做。
- 依資料敏感度、存取、連線、服務關鍵性、可替代性、集中度與下游依賴，為合作分級。
- 訂定盡職調查深度，並按比例索取架構、獨立評估、事件紀錄、弱點實務、存取控制、韌性測試、SBOM 能力與子處理者資訊等證據。
- 用現行證據核對高影響主張，釐清範圍與例外，避免把問卷或認證當成完整保證。
- 評估固有風險、控制成效、剩餘風險與可信失敗情境，包含入侵、中斷、資料濫用與供應商依賴。
- 記錄缺口，並寫明修復承諾、負責人、日期、驗證證據與補償控制。
- 訂定安全、事件通知、稽核權、資料處理、弱點揭露、分包、持續營運與安全終止的合約要求，並經法務審查。
- 上線前取得可究責的風險接受，並依層級與重大變更安排持續監控與再評估。
先準備
貓會向你要的輸入。
- 供應商與服務說明
- 資料流與存取模型
- 業務關鍵性與風險準則
- 供應商證據與建議合約
路由器 + 一份 playbook
先路由。只選一份。
Cat Paw 每次任務只載入一份 playbook，不合併多份。先走這個路由器；其餘路徑是此 workflow 可檢查的候選。
- 路由器：
cybersecurity-pack skills/cybersecurity-skills/managing-third-party-vendor-risk/SKILL.mdskills/cybersecurity-skills/conducting-cyber-risk-assessment-with-nist-800-30/SKILL.md
界線
界線跟著提示一起走。
- 只經授權管道蒐集供應商資訊，並遵守保密限制。
- 不要把評估說成法律意見，或保證供應商安全。
- 未解決的重大風險在進入正式環境前，需有明確可究責的接受。
完成代表
一個可核對的終點。
供應商已有書面風險層級與剩餘風險決策，重大缺口已有合約或修復處理，且監控與再評估負責人都已指定。
來源
這個流程從哪來。
來源確立 workflow 的模式。若有 Reddit 或社群貼文，視為實務軼事，不是普遍事實。
