Codex 企业如何做供应商安全评估

建议从制度、技术与交付三方面核查

可重点查看供应商是否具备安全管理制度、访问控制、数据保护、漏洞管理、日志审计、人员权限分级、应急响应机制等能力。若涉及敏感数据，还应确认其是否通过相关安全认证、是否有合规审查记录，以及是否能提供近期开源漏洞修复、渗透测试或审计报告。

可用标准化清单和分级方式降低判断难度

可以先按业务重要性把供应商分级，再结合问卷、合同条款、资质文件和公开信息进行评估。对高风险供应商，重点关注其数据存储位置、账号权限控制、第三方访问管理、历史安全事件、整改闭环能力等内容。若条件允许，也可以借助第三方安全测评或自动化风险扫描工具，提高判断准确性。

可以，而且越早补评估越能降低损失

即使供应商已在合作中，企业仍然可以通过补充评估发现潜在问题。建议重新检查其账号权限、数据共享范围、接口调用方式、补丁更新情况、备份恢复能力和事件通报机制。对于发现的风险点，应同步制定整改期限、限制访问范围，并在合同中加入安全责任与违约条款，确保问题可追踪、可落实。

不一定，可根据风险等级制定整改路径

企业可以先判断风险是否影响核心数据和关键业务。若问题可整改，可要求供应商提交整改计划、补齐控制措施，并在复评通过前限制其接触敏感资源。若存在严重漏洞、拒不整改或合规风险过高，则应考虑暂停接入、替换供应商或缩小合作范围，以避免安全事件扩散。