运营
准备供应商风险尽职调查简报
有来源依据的供应商风险简报，支持采购审查，但不做最终选商决定。
流程
按这个顺序做。
- 界定产品或服务、数据访问、运营依赖、地理、支出和风险容忍。
- 从权威来源确认供应商法律身份、所有权、运营地点、产品出处和相关公司记录。
- 审阅公开安全实践、认证、事件史、生命周期支持、分包商和供应链依赖。
- 核验组织选定的适用排除、制裁、许可或资格来源，并保存带日期证据。
- 跨独立来源印证重大发现，并分开已核实事实、供应商主张、未知和指控。
- 按用户批准的关键性和关注标准评级发现，而不是即兴打分。
- 产出带证据链接、未答问题、拟议合同控制和升级项的简报，供采购、安全和法务使用。
先准备
猫会向你要的输入。
- 供应商与产品身份
- 预定用途与数据访问
- 风险标准或供应商关键性
- 相关辖区或所需检查
路由器 + 一份 playbook
先路由。只选一份。
Cat Paw 每次任务只加载一份 playbook，不合并多份。先走这个路由器；其余路径是此 workflow 可检查的候选。
- 路由器：
cybersecurity-pack skills/cybersecurity-skills/managing-third-party-vendor-risk/SKILL.mdskills/cybersecurity-skills/conducting-cyber-risk-assessment-with-nist-800-30/SKILL.md
界限
界限跟着提示一起走。
- 不要把公开发现缺失当作安全证明，或作出无依据指控。
- 仅在必要且合法取得时使用个人数据；避免刻画受保护特征。
- 把合同用语、制裁问题和最终接受转给采购、安全和合格法务。
完成代表
一个可核对的终点。
简报覆盖批准风险域，引用带日期证据，标注未知，并记录人工批准、整改、调查或拒绝决定。
来源
这个流程从哪来。
- www.nist.gov/publications/nist-cybersecurity-supply-chain-management-due-diligence-assessment-quick-start-guide
- www.ftc.gov/business-guidance/resources/start-security-guide-business
- sam.gov/entity-information
来源确立 workflow 的模式。如有 Reddit 或社区帖子，视为实务轶事，不是普遍事实。
