營運
準備供應商風險盡職調查簡報
有來源依據的供應商風險簡報，支援採購審查，但不做最終選商決定。
流程
照這個順序做。
- 定義產品或服務、資料存取、營運依賴、地理、支出與風險容忍。
- 從權威來源確認供應商法律身分、所有權、營運地點、產品來源與相關公司紀錄。
- 審查公開安全實務、認證、事件歷程、生命週期支援、分包商與供應鏈依賴。
- 檢查組織選定的適用排除、制裁、授權或資格來源，並保存附日期證據。
- 用獨立來源交叉核實重大發現，並分開已驗證事實、供應商主張、未知與指控。
- 依使用者核准的關鍵性與關注準則評級發現，而不是即興分數。
- 產出含證據連結、未決問題、建議合約控制與升級項目的簡報，供採購、安全與法務使用。
先準備
貓會向你要的輸入。
- 供應商與產品身分
- 預定用途與資料存取
- 風險準則或供應商關鍵性
- 相關管轄或必要檢查
路由器 + 一份 playbook
先路由。只選一份。
Cat Paw 每次任務只載入一份 playbook，不合併多份。先走這個路由器；其餘路徑是此 workflow 可檢查的候選。
- 路由器：
cybersecurity-pack skills/cybersecurity-skills/managing-third-party-vendor-risk/SKILL.mdskills/cybersecurity-skills/conducting-cyber-risk-assessment-with-nist-800-30/SKILL.md
界線
界線跟著提示一起走。
- 不要把缺少公開發現當成安全證明，或做無依據指控。
- 只在必要且合法取得時使用個人資料；避免剖析受保護特質。
- 把合約用語、制裁問題與最終接受轉給採購、安全與合格法務。
完成代表
一個可核對的終點。
簡報涵蓋核准風險領域、引用附日期證據、標示未知，並記錄人工核准、修復、調查或拒絕決策。
來源
這個流程從哪來。
- www.nist.gov/publications/nist-cybersecurity-supply-chain-management-due-diligence-assessment-quick-start-guide
- www.ftc.gov/business-guidance/resources/start-security-guide-business
- sam.gov/entity-information
來源確立 workflow 的模式。若有 Reddit 或社群貼文，視為實務軼事，不是普遍事實。
