供应链安全、网络与数据合规审核指南

供应链安全、网络与数据合规审核指南

物理安全·信息安全·数据合规

供应链尽责管理系列

2025年版，2026年更新

序言

如果说社会责任审核关注的是人，环境合规审核关注的是自然，那么安全合规审核关注的就是系统——以及那些试图破坏系统的力量。

过去二十年，供应链安全审核的内涵发生了根本性的变化。2001年"9·11"事件之后，供应链安全在西方采购商眼中主要意味着一件事：货物完整性——确保集装箱里装的是商品，而不是武器或非法移民。C-TPAT（美国海关与边境保护局的"海关-贸易伙伴反恐计划"）由此成为十年间中国出口工厂最熟悉的审核项目。

然而，2020年SolarWinds供应链攻击事件令全球震惊：黑客通过污染一家网络管理软件供应商的合法更新包，悄无声息地渗透进美国财政部、国务院、国土安全部乃至数百家私营企业的核心系统。这一事件重新定义了"供应链安全威胁"的边界——威胁不再只是在货柜里藏炸弹，而是在软件更新里藏后门；不再只是货物被调包，而是数据被窃取、系统被加密勒索。

2021年Log4j漏洞（Log4Shell）的爆发进一步证明：一个被数百万应用程序依赖的开源日志库里的单一漏洞，可以在数小时内使全球供应链暴露于攻击之下。软件供应链的脆弱性，已经成为物理供应链脆弱性同等量级的风险。

与此同时，各国监管机构已开始将供应链网络安全义务法制化。欧盟NIS2指令（2022年）明确要求企业管理其供应链的网络安全风险；欧盟《网络韧性法》（2024年）要求联网产品制造商对整个供应链实施安全设计；美国第14028号行政令（2021年）强制推行软件物料清单（SBOM）；中国的网络安全法、数据安全法和个人信息保护法（"三法"）则为任何处理中国数据的供应链参与方设定了合规底线。

本指南是《供应链尽责管理系列》的组成部分，与系列内其他五本指南共同构成供应链尽责管理的完整体系。本指南涵盖三个相互关联的审核领域：

▶ 第一支柱：物理安全与反恐合规——厂区、货物、人员、程序的安全管理，以C-TPAT、AEO、ISO 28000、TAPA为框架

▶ 第二支柱：信息与网络安全——信息安全管理体系、网络架构安全、软件供应链安全，以ISO 27001:2022、NIST CSF 2.0、TISAX、IEC 62443为框架

▶ 第三支柱：数据合规与隐私保护——数据分类、跨境传输、隐私义务，以中国"三法"+等保2.0、GDPR、NIS2为框架

本指南承接并更新了《反恐审核指南（制造业）》中仍然有效的内容——尤其是集装箱安全、封条管理、物理访问控制等经典审核要点——同时大幅扩展了信息安全和数据合规两个维度，以反映2020年代供应链安全审核的现实。

本指南适用对象：

• 出口制造企业（面向品牌商/OEM买家安全审核要求）
• 品牌商/零售商（制定或提升供应商安全标准）
• 第三方审核机构（承接C-TPAT、TISAX、ISO 28000相关审核）
• IT/网络安全团队（理解供应链维度的安全义务）
• 合规与法务团队（中国三法+跨境数据合规）

第一部分　背景与监管框架

第一章　供应链安全威胁全景（2025年视角）

1.1　威胁格局的三次范式转变

供应链安全威胁的演化，大致经历了三个阶段：

阶段	时期	主导威胁	代表事件	核心应对框架
第一阶段	2001—2010	物理威胁：恐怖主义、走私、货物被篡改	"9·11"事件；集装箱安全漏洞	C-TPAT、WCO SAFE框架、AEO
第二阶段	2010—2019	网络威胁：APT攻击、工业间谍、数据泄露	Stuxnet（2010）；Target数据泄露（2013）	ISO 27001、NIST CSF 1.0
第三阶段	2020—至今	供应链融合威胁：软件后门、开源漏洞、物理+网络协同	SolarWinds（2020）；Log4Shell（2021）；XZ Utils（2024）	NIST CSF 2.0、SBOM、NIS2、中国三法

三个阶段并非相互取代，而是叠加积累。2025年的供应链安全审核需要同时应对全部三个阶段的威胁。

1.2　物理威胁：货物完整性与设施安全

物理威胁是供应链安全审核最传统的领域，核心关切是：货物在从工厂到消费者手中的全程是否完整、未被篡改。物理威胁主要包括：

• 货物完整性威胁：走私物品（毒品、武器、非法移民）被藏入合法货物；出口商品被调包或短装
• 设施入侵：非授权人员进入仓储区、生产区，窃取货物或植入异物
• 供应链节点薄弱：集装箱在港口、中转仓库、运输途中的安全漏洞
• 内部威胁：员工串通外部势力，伪造文件或协助走私
• 恐怖主义：以供应链为载体运输武器或爆炸物进入目标国 实践说明：根据美国CBP数据，2023年通过集装箱运输查获的毒品（主要为芬太尼前体化学品）同比增长34%。物理安全威胁并未随数字化时代的到来而减弱，仅在形式上发生了变化。

1.3　网络威胁：从IT攻击到供应链武器化

网络威胁对供应链安全的影响经历了质的飞跃。早期的网络攻击主要针对单个企业；而供应链网络攻击则将受信任的供应商关系转化为渗透目标的武器。

1.3.1　软件供应链攻击：三个里程碑

事件	时间	攻击向量	影响范围	供应链安全启示
SolarWinds Orion	2020年12月	污染网络管理软件的合法更新包（Sunburst后门）	美国政府18个机构、全球数百家企业	SBOM必要性；软件构建流程完整性验证
Log4j（Log4Shell）	2021年12月	Java日志库log4j的JNDI注入漏洞（CVSS 10.0满分）	估计数亿互联网设备；影响全行业	开源依赖透明度；SBOM实施；供应商补丁响应速度
XZ Utils后门	2024年3月	长达两年的社会工程学渗透，向开源压缩库植入后门	几乎影响所有Linux发行版（幸被提前发现）	开源维护者身份验证；贡献者审查；代码审计

1.3.2　勒索软件：供应链的乘数效应

勒索软件通过供应链扩散的典型路径：攻击者入侵管理软件供应商（如IT管理、财务软件）→ 通过合法软件更新推送勒索载荷 → 同时加密数千家客户企业系统。2021年Kaseya VSA事件导致1500家企业同时被勒索，单次攻击索要7000万美元赎金。

1.3.3　工业控制系统（OT）安全

随着工厂智能化（工业4.0/智能制造），IT网络与OT（操作技术）网络的边界日益模糊。生产设备、SCADA系统、工业机器人越来越多地连接互联网，但其安全设计往往滞后于IT系统十年以上。攻击者一旦入侵OT网络，可直接造成生产停线、设备损毁乃至人身安全事故。

1.4　数据威胁：合规风险与地缘政治

数据威胁是供应链安全的第三个维度，也是近年来监管压力最大的领域。主要风险包括：

• 个人数据泄露：供应商处理买家员工/客户数据，一旦泄露引发连带法律责任
• 商业秘密泄露：技术规格、设计图纸、采购价格等通过供应商渠道外泄
• 跨境数据合规违规：跨境传输个人数据或重要数据未履行中国法规要求的安全评估/标准合同程序
• 地缘政治数据风险：某些国家要求数据本地化，或限制特定国籍主体处理敏感数据 案例参考：2023年某欧洲汽车品牌因其中国供应商将车辆行驶数据未经评估传输至境外，触发中国《数据安全法》调查。数据合规已不仅仅是IT部门的问题，而是供应链管理的核心议题。

1.5　融合威胁：物理与网络的边界消融

最新的威胁趋势是物理安全与网络安全的融合。典型场景包括：

• 通过物理入侵安装网络监听设备（键盘记录器、恶意USB设备）
• 内部人员（在网络攻击者指导下）绕过物理访问控制，向生产网络植入恶意设备
• 无人机对工厂进行空中侦察，为后续物理或网络攻击收集情报
• 通过社会工程学（网络钓鱼）获得供应商访客权限，进而物理入侵 这意味着：物理安全审核员需要理解网络威胁向量；网络安全审核员需要关注物理访问控制。两者不能再割裂进行。

第二章　国际标准与项目体系

2.1　物理安全标准体系

2.1.1　C-TPAT（美国海关-贸易伙伴反恐计划）

图：C-TPAT项目由美国海关与边境保护局（CBP）主导。左：C-TPAT标识；右：CBP官方徽章

C-TPAT（Customs-Trade Partnership Against Terrorism）由美国CBP（海关与边境保护局）于2001年"9·11"事件后启动，是全球最具影响力的供应链安全自愿合规计划。

2020年重大更新：C-TPAT于2020年将覆盖范围从制造商延伸至整个供应链，并将网络安全正式纳入最低安全标准（Minimum Security Criteria），要求成员企业：

• 制定书面网络安全政策
• 对IT系统实施访问控制（多因素认证）
• 对员工进行网络安全培训
• 建立网络安全事件响应程序
• 评估并管理技术供应商的网络安全风险 C-TPAT八大安全领域（2020年修订版）：

安全领域	核心要求概要
1. 企业安全政策与合规	书面安全政策；管理层承诺；年度自评
2. 商业合作伙伴安全	对供应商/承运商进行安全审查；书面安全条款纳入合同
3. 集装箱与运输设备安全	七点检验；ISO 17712高安全封条；电子封条
4. 物理访问控制	围界管理；门禁系统；访客管理；CCTV
5. 人员安全	背景调查；员工培训；离职程序
6. 程序安全	装运文件真实性；超重/短装报告；异常货物处理
7. 安全培训与威胁意识	反恐意识培训；举报机制；年度培训记录
8. 信息技术安全（2020年新增重点）	访问控制；密码策略；网络安全事件响应；供应商网络安全评估

2.1.2　AEO（授权经济经营者）

图：中国海关AEO高级认证企业证书样本（A类管理企业）

AEO（Authorized Economic Operator）是世界海关组织（WCO）SAFE框架下的国际供应链安全认证体系。获得AEO认证的企业在通关时享受简化程序、优先通关等便利。

图：供应链安全国际框架主要机构标识

项目	主管机构	要求概要	互认情况
欧盟 AEO	欧盟各成员国海关	安全标准（AEO-S）+ 简化程序（AEO-C）+ 综合（AEO-F）；含网络安全要求	与中国、美国、日本、英国、挪威等互认
中国 AEO	中国海关总署	高级认证（AEO）：无违规记录、财务健全、合规管理、安全规范；分为一般认证和高级认证	与欧盟、美国、新西兰、新加坡、韩国等24个经济体互认（截至2024年）
美国 C-TPAT	CBP	同上2.1.1节	与欧盟AEO、日本AEO、新加坡STP等互认
英国 AEOS	英国HMRC	脱欧后独立运作，标准与欧盟AEO-S基本一致	与欧盟、美国维持互认

实务提示：中国AEO高级认证企业在出口时，其货物被欧盟海关低风险处理，通关查验率显著降低。对于大量出口欧盟的制造商，AEO认证的贸易便利化价值往往超过合规成本。

2.1.3　ISO 28000:2022 供应链安全管理体系

ISO 28000是供应链安全管理体系的国际标准，于2022年更新，采用ISO高层结构（HLS），与ISO 9001、ISO 14001、ISO 45001结构兼容，便于多体系整合认证。

核心要素：组织环境→领导力→策划（风险评估）→支持→运行→绩效评价→改进。该标准适用于供应链上任何规模、任何行业的组织，涵盖物理安全、信息安全、人员安全和供应链连续性。

2.1.4　TAPA（运输资产保护协会）标准

图：TAPA（Transported Asset Protection Association）标识

TAPA（Transported Asset Protection Association）针对高价值、高风险货物的运输和仓储安全，在电子、制药、奢侈品等行业广泛应用。

标准	全称	适用对象	主要特点
FSR	设施安全要求（Facility Security Requirements）	仓储设施（制造商/物流中心）	围界≥2.4m或1.8m+报警；CCTV全覆盖；A/B/C三个认证等级
TSR	运输安全要求（Trucking Security Requirements）	公路货运承运商	车辆追踪；司机背景调查；实时货物监控
PSSR	停放场地安全要求（Parking Security Requirements）	货车停场/休息站	安全区域认证；全天候监控

2.2　信息与网络安全标准体系

2.2.1　ISO/IEC 27001:2022 信息安全管理体系

ISO 27001是全球最广泛采用的信息安全管理体系标准，2022年版是相对于2013年版的重大更新，在供应链安全领域尤为重要。

2022年版主要变化：

• 控制措施从114项精简重组为93项（11个控制领域→4个主题：组织、人员、物理、技术）
• 新增11项控制措施，其中与供应链直接相关的包括：威胁情报（5.7）、信息安全云服务（5.23）、ICT供应链安全（5.21）、配置管理（8.9）、数据泄露防护（8.12）
• "供应商关系中的信息安全"（ISO 27036）纳入体系整合要求
• 更强调供应链中的共享责任（TPCRM，第三方网络风险管理） 与供应链审核的直接关联：ISO 27001认证正成为高科技、汽车、金融等行业供应商准入的门槛要求。品牌商在审核时可要求供应商提供ISO 27001证书或等效自评结果作为案头审查依据。

2.2.2　NIST网络安全框架2.0（2024年）

NIST CSF 2.0（NIST Cybersecurity Framework 2.0）于2024年2月正式发布，是对2014年1.0版的重大升级。最关键的变化：新增"GOVERN（治理）"功能域，首次将供应链风险管理（TPCRM）提升为框架的核心要求。

功能域	英文	核心内容	供应链相关要点
治理（新增）	GOVERN	网络安全策略、角色职责、供应链风险管理策略	供应商网络安全政策；第三方风险评估程序；SBOM要求
识别	IDENTIFY	资产管理、风险评估、供应链风险识别	供应商IT资产清单；第三方访问权限识别
保护	PROTECT	访问控制、数据安全、软件安全	供应商访问最小权限；API安全；数据加密
检测	DETECT	异常检测、安全事件监控	供应商行为基线；异常API调用检测
响应	RESPOND	事件响应、通报	供应链攻击响应预案；买家通报义务
恢复	RECOVER	恢复计划、业务连续性	供应链中断恢复；备用供应商

2.2.3　TISAX（汽车行业信息安全评估）

TISAX（Trusted Information Security Assessment Exchange）由德国汽车工业联合会（VDA）基于ISO 27001定制开发，专门服务于汽车供应链的信息安全评估与共享。

重要性：宝马、大众、梅赛德斯-奔驰、Stellantis（含标致、克莱斯勒）等主要OEM均要求所有处理敏感设计数据的一级供应商完成TISAX评估。TISAX是迄今最成熟的"买家驱动型"行业安全审核项目，其模式与CMRT（冲突矿产报告模板）在矿产领域的作用类似——通过行业共享机制，避免每家OEM都对同一供应商重复审核。

评估要点（基于VDA ISA问卷，约85项）：信息分类与处理、访问控制、加密、物理安全、人员安全、事件管理、业务连续性、原型车保护（特殊要求）、连接系统（车联网安全）。

TISAX与ISO 27001的关系：TISAX可视为ISO 27001在汽车行业的专业化实施；完成ISO 27001认证的企业在TISAX评估中可节省约40%的准备时间。TISAX评估结果在VDA平台上共享，一次评估可服务多个OEM客户。

2.2.4　IEC 62443：工业控制系统安全

IEC 62443是专门针对工业自动化和控制系统（IACS）安全的国际标准系列，覆盖制造商的工厂OT网络安全。随着工业4.0推进，IEC 62443正成为汽车、能源、化工等行业供应商的重要安全要求。

主要分组：62443-2-x（运营商要求）、62443-3-x（系统要求）、62443-4-x（组件/产品要求）。其中62443-4-1（产品安全开发流程）是制造商最常被要求遵循的。

2.3　网络与数据安全监管体系

2.3.1　欧盟NIS2指令（2022年）：供应链网络安全立法

NIS2指令（EU 2022/2555）于2024年10月17日在欧盟各成员国开始实施，是欧盟有史以来最严格的网络安全立法，也是首个明确将供应链网络安全管理作为法律义务的重要监管文件。

供应链相关核心义务：

• 受监管实体（覆盖能源、交通、银行、数字基础设施、制造业等18个关键/重要行业）必须评估其ICT供应链的网络安全风险
• 企业须在合同中要求供应商满足基本网络安全标准
• 重大网络安全事件须在24小时内向监管机构预警、72小时内通报
• 管理层个人对网络安全合规承担责任（董事可被追责）
• 最高罚款：关键实体1000万欧元或全球年营业额2%，重要实体700万欧元或1.4% 对中国供应商的影响：凡向受NIS2监管的欧盟企业（如欧洲汽车品牌、能源公司）供货，且被要求管理网络安全风险的供应商，都将间接受到NIS2的约束。品牌商可能要求供应商提供网络安全评估报告、SOC 2证书或ISO 27001认证作为准入条件。

2.3.2　欧盟网络韧性法（CRA，2024年）

EU Cyber Resilience Act（《网络韧性法》）于2024年10月正式生效，要求在欧盟销售的联网产品（从智能家电到工业设备）的制造商必须：

• 实施安全设计（Security-by-Design），产品全生命周期均须满足基本网络安全要求
• 向欧盟ENISA提供SBOM（软件物料清单）
• 在产品支持期内（至少5年）提供安全更新
• 对主动被利用的漏洞在24小时内通报
• 第三方评估（针对高风险产品类别，如工业控制系统、智能设备）

2.3.3　SBOM（软件物料清单）：软件供应链的CMRT

SBOM（Software Bill of Materials，软件物料清单）是对产品中所有软件组件（包括开源库、第三方依赖）的完整清单，类似于制造业的BOM（物料清单）在软件世界的映射。

比较维度	CMRT（冲突矿产报告模板）	SBOM（软件物料清单）
用途	申报供应链中矿产的来源，溯源至冶炼厂	申报软件中所有组件，溯源至开源库版本
驱动力	SEC规则、EU CSDDD、日本指南	美国EO 14028、EU CRA、FDA（医疗设备）
内容	矿产类型、冶炼厂名称、来源国、RMAP合规状态	组件名称、版本、许可证、已知漏洞（CVE）
应用	买家要求供应商定期更新提交	软件发布时提供；触发漏洞时更新
标准格式	RMI标准Excel模板	SPDX（Linux基金会）、CycloneDX（OWASP）

对于向美国政府供货（直接或间接）的软件/固件供应商，SBOM已成为合规要求。欧盟CRA则对所有联网产品制造商施加SBOM要求。

2.3.4　NIST SP 800-161r1：供应链风险管理实践

NIST SP 800-161r1（2022年）是美国联邦政府的ICT供应链风险管理（C-SCRM）指南，为企业提供了一套系统的供应链网络安全风险管理流程，已被大量私营企业参考采用。其核心是将供应链安全管理整合进企业整体风险管理框架（ERM），而非视为独立的IT安全问题。

第三章　中国国内法规全景

3.1　物理安全与反恐法规

3.1.1　《中华人民共和国反恐怖主义法》

2015年颁布、2018年修订的《反恐怖主义法》确立了中国反恐工作的法律框架。对企业而言，主要涉及以下义务：

• 交通运输、邮政、电信等行业企业须配合反恐安全检查（第20、21条）
• 相关单位须对员工开展反恐培训，建立反恐应急预案（第31条）
• 电信/互联网服务提供者须提供技术接口和解密支持（第18条，争议条款）
• 任何人发现恐怖活动线索须及时向公安机关报告（第29条）

3.1.2　《保安服务管理条例》（2009年）

规范驻厂保安的资质、培训、行为准则。要求保安公司具备公安机关颁发的许可证；保安员须持证上岗；CCTV记录须保存至少30天。对照C-TPAT审核中的保安管理要求，本条例是国内法律依据。

3.1.3　《出口管制法》（2020年）

中国版出口管制法对军民两用物项、核、生化、导弹等控制物项的出口设定严格限制，对供应链安全的影响在于：合规出口商须建立内部合规程序，防止受控物项流入受限最终用户。这与C-TPAT/AEO的"货物完整性"要求形成国内法律对应。

3.2　网络安全三法体系

中国于2017—2021年间构建了以三部法律为核心的网络安全法律体系，形成对数据和网络安全的全面管制。

法律	生效时间	核心管辖范围	对供应链的主要影响
网络安全法（CSL）	2017年6月	网络安全保护义务；关键信息基础设施（CII）；个人信息保护基本要求	网络产品/服务须通过安全审查；收集个人信息须合法授权；数据本地化初步要求
数据安全法（DSL）	2021年9月	数据分类分级；重要数据全生命周期保护；数据出境限制	供应商处理"重要数据"须建立数据安全管理制度；数据出境须评估；违规最高1000万元罚款
个人信息保护法（PIPL）	2021年11月	个人信息处理的合法性基础；数据主体权利；跨境传输三条路径	供应商作为"个人信息处理者"的义务；向境外提供个人信息须满足安全评估/SCC/认证之一

3.3　网络安全等级保护（等保2.0）

《网络安全等级保护基本要求》（GB/T 22239-2019，即"等保2.0"）将信息系统按安全等级分为五级，三级及以上须经公安机关备案并每年开展等级测评。

等级	适用系统	主要义务
一级	一般信息系统（个人PC/小型内网）	自主保护，无需备案测评
二级	跨部门/小型公共系统	每两年测评一次；自主保护
三级（最常见合规要求）	重要信息系统（跨省/重要行业）	每年测评；公安备案；整改通知
四级	涉及国家安全的重要信息系统	国家专项检查；严格准入
五级	国家最高机密系统	最高保密要求

对供应链的实务影响：为中国金融机构、能源企业、电信运营商提供IT系统或SaaS服务的供应商，往往被要求其产品/服务通过等保三级测评。审核员在评估IT供应商时，可以等保测评证书作为信息安全能力的参考依据。

3.4　数据出境合规路径

中国2022年《数据出境安全评估办法》及2023年相关配套规则确立了数据出境的三条合规路径：

路径	适用条件	主要流程	参考时间
安全评估（国家互联网信息办公室主导）	重要数据出境；大量个人信息出境（100万人以上）；任何CII运营者出境数据	向国家网信办申报→网信办评估→获批后方可出境	45—60个工作日（可延长）
标准合同（SCCs）	非CII运营者；处理个人信息＜100万人；非重要数据	与境外接收方签订《个人信息出境标准合同》→向网信办备案	完成备案即可，一般10个工作日
个人信息保护认证	非CII运营者；非重要数据；需第三方认证机构参与	向具备资质的认证机构申请认证	依认证机构情况

实务提示：大多数中国制造业供应商日常运营涉及的数据出境（如向境外买家传输订单数据、员工信息）在非CII场景下，通过"标准合同"路径即可合规。审核时重点核查企业是否意识到数据出境义务、是否签署了SCC并完成备案，而非机械要求安全评估。

3.5　关键信息基础设施（CII）特殊义务

《关键信息基础设施安全保护条例》（2021年）规定，能源、交通、金融、公共服务、电信等行业的关键信息基础设施运营者须履行额外义务：网络产品和服务的网络安全审查（2022年《网络安全审查办法》）；数据处理活动影响国家安全的须申报审查；优先采购安全可信的产品和服务。

对供应链的影响：向CII运营者供应核心网络产品（路由器、交换机、服务器等）或提供重要数据服务的供应商，可能被纳入网络安全审查范围。滴滴赴美上市被调查（2021年）即为CII运营者数据出境引发审查的典型案例。

第二部分　第一支柱：物理安全与反恐合规

第四章　厂区实体安全

图：现代化仓储物流设施——围界、照明、分区管理是物理安全审核的基础要素

物理安全是供应链安全审核最基础的层级，也是大多数买家发起安全审核的起点。无论信息系统多么先进，一个围墙破损、大门无人值守、CCTV覆盖有盲区的工厂，其货物完整性从根本上就无法保障。本章从实地审核视角，系统梳理厂区实体安全的各个要素及审核要点。

4.1　围界管理

围界（围墙、围栏、天然屏障）是厂区安全的第一道防线。审核评估的重点不是围墙是否存在或高度是否达到某一数字，而是围界管理是否有效阻止非授权进入。

4.1.1　围界类型与适用评估标准

围界形式	C-TPAT要求	TAPA FSR要求	审核关注点
独立实体围墙	货物存放区须有围栏/围墙	≥2.4m；或≥1.8m+电子报警	材料坚固性；破损修复记录；与邻近建筑的隔离
与他厂共用围墙	需评估共用区域管控	FSR B/C级可接受	交接区域的物理隔离；共同管理协议
仅租用楼层（无围墙）	以楼宇整体安全替代	需额外控制措施	楼宇安保水平；公共区域监控；访客管理
天然屏障（山体/河道）	需结合实际评估	可作为围界补充	屏障是否存在易越点；季节性变化（河流枯水期）

围界管理审核要点：

• 围界是否定期巡检（建议每班次至少一次）？是否保存书面记录？
• 围墙内外是否清除遮挡物（灌木、堆放杂物），保证视线通畅？
• 围墙是否与其他建筑物（停车棚、雨棚）相连，形成攀爬路径？
• 若厂房为租赁，房东是否可自由出入？是否有书面限制条款？

4.2　照明系统

充足照明是物理安全的被动防控手段，同时也是CCTV有效运作的前提条件。审核重点是"是否能够照亮关键区域"，而非灯具数量。

• 外围照明：围墙外侧、大门入口、停车场边缘须有足够照度，覆盖所有出入口
• 内部照明：装卸货区、成品仓、包装区须全天候照明；集装箱停放区如有过夜货物须开启照明
• 应急照明：断电情况下，安全出口、通道、保安室须有独立电源的应急照明
• 备用电源：照明系统（尤其是外围和仓储区）须有UPS或发电机备份；须有定期测试记录 审核技巧：审核通常在白天进行，无法直接验证夜间照明效果。可调取CCTV夜间录像片段，检查图像清晰度来间接验证；或查阅照明设备的维护保养记录确认其工作状态。

4.3　出入口管控

出入口管控（Access Control）是物理安全的核心，目标是确保只有经授权的人员、车辆和货物才能进出敏感区域。

4.3.1　大门管理

• CBP原则：大门数量应在满足运营需要的前提下尽量减少；每个大门须有专人值守或电子监控
• 人员大门与货运大门须分开，司机候车区须与生产/仓储区隔离
• 非工作时间大门须上锁；钥匙由经授权的管理人员保管，有交接记录
• 电子门禁系统（门禁卡、指纹、人脸识别）：须有访问日志；离职员工权限须即时撤销

4.3.2　人员身份核验

人员类别	身份核验要求	进出记录要求
在职员工	工牌/门禁卡；须佩戴可见	电子门禁日志或手工签到
访客/买家代表	有效身份证件（身份证/护照）；换发访客证；须有员工陪同	访客登记本（姓名、单位、来访目的、陪同人、进出时间）
外包/服务人员（维修、清洁）	与访客同等核验；限定进出区域	临时证件；区域限制记录
货运司机	核验驾驶证和运单；限制在装卸区等候	车辆进出登记（车牌、司机姓名、货物信息）
承包商	与所在企业签订安全协议；须有人陪同	工程作业登记；进出区域须明确

4.3.3　区域划分与分级管控

良好的厂区安全设计应将区域分级，不同级别区域设置不同的进入权限：

• 开放区：前台、展示区、食堂——访客可自由进入
• 受控区：办公区、一般生产区——凭工牌/访客证进入，须登记
• 限制区：成品仓、包装区、装卸货区、服务器机房——仅限授权名单人员进入，门口张贴授权人员名单及照片
• 高安全区：核心研发区、财务档案室——需双重认证（卡+密码/指纹）

4.4　监控系统

图：具备红外夜视功能的工业级IP摄像头（CCTV），适用于仓储区、装卸区全天候监控

视频监控（CCTV/IP摄像）是现代物理安全体系的核心技术手段，也是审核文件核实的重要工具（可调取历史录像交叉验证）。

4.4.1　摄像覆盖要求

区域	覆盖优先级	推荐摄像规格	存储要求
主要出入口/大门	★★★★★ 必须	高清彩色（≥2MP）；宽动态（应对强光/逆光）	≥45天连续录像
装卸货区	★★★★★ 必须	高清彩色；覆盖装卸全过程	≥45天
成品仓/货物存放区	★★★★★ 必须	高清彩色；无盲角；夜视能力	≥45天
包装区	★★★★☆ 强烈建议	高清彩色	≥30天
围墙外侧/停车场	★★★☆☆ 建议	宽角度；夜视	≥30天
服务器机房/文档中心	★★★★☆ 强烈建议	高清彩色	≥30天

4.4.2　录像管理

• 录像存储设备须放置在独立安全空间（非开放式办公区），防止被篡改或盗取
• 访问录像须分权限：保安室只能查看指定区域；管理层可查看全部；须有访问日志
• 录像保存至少30天（中国法规要求）；对于出口货物，建议保存至货物到达目的地后至少2周（一般45天可满足大多数航线要求）
• 定期测试录像可回调性：不能只检查摄像头是否工作，还须验证历史录像是否可正常调取

4.4.3　AI视频分析：从记录到预防

传统CCTV是被动记录工具；AI视频分析使监控系统具备主动预警能力。现代智能安防系统可实现：

• 行为异常检测：识别人员在限制区域徘徊、奔跑、在装卸区停留超时等异常行为，自动触发告警
• 物体遗留检测：识别在安全区域内遗留的包裹或物品
• 车牌自动识别（ANPR）：自动记录进出车牌，与授权车辆白名单比对
• 人员计数与区域密度监控：防止未登记人员进入限制区域
• 集装箱封条状态识别：通过AI图像识别检测封条是否被破坏（部分高端港口已部署） 成本说明：基础AI视频分析功能（区域入侵、徘徊检测）已集成于主流IP摄像头系统（海康威视、大华等），无需额外硬件投入，仅需启用软件功能并配置规则。对中小型工厂而言，这是投入产出比极高的安全升级。

4.5　入侵报警系统

入侵报警系统与CCTV互补：CCTV记录事件经过，报警系统主动阻断入侵。核心组件：感应器（红外、磁感、振动）+ 报警主机 + 通报机制（本地警铃+远程推送）。

• 非工作时间高价值区域（成品仓、研发区）须开启入侵报警
• 报警须同时触发本地声光警报（驱赶入侵者）和远程通知（保安室/管理人员手机）
• 报警系统须有备用电源，防止断电失效
• 定期测试记录：频率建议每月一次；须保存测试日志
• 误报管理：设置合理灵敏度，避免频繁误报导致保安对报警脱敏（"狼来了"效应）

4.6　访客管理

访客管理是人员控制的关键环节。审核中最常见的不符合项之一就是访客登记不完整、访客无人陪同在限制区域活动。

• 登记要求：姓名、单位、来访目的、被访联系人、有效证件号码、进出时间；须有被访人签字确认
• 访客证管理：进入时发放，离开时收回；须有发放/收回记录；遗失须立即报告
• 陪同原则：访客在限制区域须全程有经授权员工陪同；不得独自在限制区域行动
• 临时承包商：长期驻场的承包商（保洁、维修）须与正式访客区分管理，建立独立的出入记录
• 预约制度：高风险区域访客须提前通知安保，核验身份后方可进入

4.7　巡逻制度与电子巡逻

定期巡逻确保物理安全措施处于正常工作状态，也是发现异常的主动手段。

• 巡逻频次：工作时间建议每2小时一次；非工作时间关键区域每小时一次
• 电子巡逻系统：在巡逻点安装NFC芯片或二维码，巡逻员须用手持设备刷点，生成不可伪造的电子巡逻记录，防止"人在桌上，记录在纸上"的虚报
• 巡逻内容：围界完整性、照明工作状态、CCTV是否正常、门窗锁闭状态、集装箱封条完整性、可疑人员/物品
• 异常报告：巡逻中发现的任何异常须立即记录并上报；处理结果须闭环记录

第五章　货物安全与物流完整性

货物安全是C-TPAT的核心关切：确保从工厂出货到买家收货的全程，货物内容物完整、未被篡改、未被借用运输违禁物品。

5.1　集装箱安全与七点检验

集装箱是供应链物理安全最关键的节点。CBP要求，在向集装箱装货前，须对集装箱进行七点结构检验（Seven-Point Inspection），确认其结构完整、未被用于走私。

检验点	检验内容	常见风险
① 前壁（内外）	检查前壁面板是否有改动痕迹、异常空腔、焊接痕迹	夹层藏匿毒品、武器
② 左侧壁（内外）	检查侧壁完整性，有无切割/补焊痕迹	改造隔仓
③ 右侧壁（内外）	同左侧壁	同上
④ 地板（内部）	检查地板有无异常隆起、空腔，地板板材是否原装	地板下藏匿物品
⑤ 顶部（内外）	检查顶部有无凹陷、切割痕迹	改造顶部空腔
⑥ 门（内外双侧）	检查门铰链、门锁、门封条是否完整；门框是否变形	门框内藏匿；门锁被破坏
⑦ 底盘/底部外部	检查底盘横梁、钢架有无改造；底部是否有附着物	底部绑附走私物；安装追踪装置

七点检验记录要求：每次装货前须完成七点检验并记录（日期、集装箱号、检验人员签名、发现项及处理结果）。发现异常须停止装货，立即上报并通知海关。

5.2　封条管理

图：常见封条类型——左：金属高安全封条（bolt seal）；右：钢缆封条

图：封条尺寸规格参照（需符合ISO 17712高安全H级要求）

图：塑料封条类型——左：塑料安全封条；右：撕拉式封条（pull-tight seal）

封条（Seal）是集装箱安全的最后一道物理防线，证明集装箱在运输途中未被开启。封条管理不严是C-TPAT审核中最常见的高风险发现项。

5.2.1　封条标准

标准	要求	说明
ISO 17712:2013	出口美国货物必须使用"高安全级"（H级）封条	H级封条须能抵抗工具切割≥30分钟；有唯一编号；防复制
ISO/PAS 17712（过渡版）	部分买家仍引用旧版标准	实质要求相同，高安全封条
C-TPAT 2020	所有出口美国货物使用高安全封条；电子封条（e-seal）鼓励使用	电子封条可实时监控开门事件，异常时触发预警

5.2.2　封条管理程序

• 存储：封条须在限制区域（上锁的专用储存柜）存放，仅授权人员可领取；须有库存记录
• 领用：每次领用须记录封条编号、领用人、用途（对应集装箱号/订单号）
• 使用：装货完毕后立即加封；封条须由工厂授权人员施加，不得由司机施加
• 核验：货物到达时须核对封条编号与出货记录是否一致；封条破损须立即记录并上报
• 差异报告：发现封条缺失、编号不符、被撬痕迹须书面记录并通知进口商和海关

5.2.3　电子封条（e-Seal）

电子封条在传统高安全封条基础上集成GPS/北斗定位和开门传感器，一旦封条被开启即通过GSM/NB-IoT网络实时推送告警至监控平台。适用于高价值货物、冷链货物、出口美国/欧盟的敏感货物。部分港口（如新加坡PSA港）已要求特定货物使用电子封条。

5.3　装卸货区管理

• 装卸货区须与其他生产/仓储区域物理隔离，外来车辆不得进入生产区
• 司机须在指定等候区等候，不得无人陪同进入仓库或包装区
• 装货须有专职监货人员全程在场，防止未登记货物混入
• 装货完毕后须立即加封，封条编号须记录在装箱单和提单上
• 内销货物与出口货物须分区存放，防止混货
• 装卸货区须有充足照明和CCTV覆盖（见4.4节）

5.4　成品仓与危险品管理

存储类别	物理隔离要求	访问控制	特殊安全措施
成品仓（出口货物）	独立围栏或上锁仓库；与在制品仓分开	授权人员名单张贴门口；非授权人员须登记进入	CCTV全覆盖；24h报警
内销货物	与出口货物分区存放；有明显标识	分开管理，防止混货	—
高价值货物	独立上锁区域；双人保管原则	领用须双人签字；CCTV+报警	考虑TAPA FSR A级要求
危险品（锂电池、化学品等）	符合IMDG/危化品法规的专用存储区	限制接触人员；危险品管理员证	泄漏应急预案；防爆设施

5.5　运输供应商管理

图：典型供应链运输车辆——安全审核须覆盖货运车辆本身的防篡改设施

C-TPAT要求成员对其使用的运输商（货代、船公司、拖车公司）进行安全评估，确认其具备与己方相当的安全标准。

• 优先使用C-TPAT成员运输商（CBP官网可查询验证）
• 非C-TPAT成员运输商须通过书面问卷评估安全能力
• 运输合同中须纳入安全条款，要求运输商遵守C-TPAT/AEO最低安全标准
• 对长期合作运输商建议每年重新评估；新增运输商须完成评估后方可使用
• 运输商评估记录须保存至少两年备查

图：北美及亚太区域可信贸易商计划标识

第六章　人员安全

内部威胁（Insider Threat）是供应链安全中最难防范的风险之一。无论物理安全措施多么完善，一名串通外部势力的员工足以使所有防线失效。人员安全管理的目标是将内部威胁风险降至可接受水平，同时在员工中建立安全意识文化。

6.1　招聘背景调查

调查项目	操作要点	中国法规依据
身份核验	核对身份证原件；使用公安部居民身份证联网核查系统（可通过银行/第三方查询）	个人信息保护法；须获得应聘者同意
前雇主核实	致电前雇主人事部门核实任职时间、离职原因；不以书面证明为准	须事先告知应聘者
犯罪记录查询	通过当地公安局申请无犯罪记录证明；重要/敏感岗位（财务、保安、IT管理员）须执行	数据安全；须应聘者书面授权
学历核实	中国高等教育学历查验网（学信网，xuexin.edu.cn）	—
信用背景	涉及财务的岗位可查询企业信用/个人信用记录	须应聘者同意

注意：C-TPAT要求的"背景调查"在中国须在个人信息保护法框架下进行——必须获得应聘者的明确书面同意，不得超范围收集信息。建议在录用通知书中加入同意条款，由应聘者签署。

6.2　敏感岗位定义与定期复查

并非所有岗位都具有相同的安全风险。须识别敏感岗位并实施更严格的背景审查和定期复查。

典型敏感岗位：保安主管/队长；IT系统管理员；仓库/装卸货区管理员；财务/出纳；研发工程师（接触核心技术）；采购（涉及高价值物料）。

• 敏感岗位人员建议每2—3年重新进行背景核查
• 重大生活变化（严重债务、家庭纠纷）可能增加内部威胁风险——建议建立员工关怀机制，而非监控机制
• 岗位轮换：对于高风险岗位（财务、仓储），定期轮换可减少长期串通风险

6.3　门禁卡管理与离职程序

• 发放管理：每张门禁卡/工牌绑定唯一员工；发放时登记员工信息和卡号；须有签收记录
• 权限最小化：门禁权限只授予工作职责所需的区域，不做默认全通行授权
• 丢失报告：工牌丢失须立即报告并停用；补发须走审批流程
• 离职程序（关键）：离职当天须收回工牌、钥匙、门禁卡；同时撤销IT系统账号权限；须有清单式交接记录
• 合同工/临时工：须与正式员工使用不同颜色的工牌以便识别；权限须更严格限制；合同结束当日收回 审核高频发现项：离职程序未闭环——员工已办离职，但门禁系统中账号未停用、IT系统账号仍然活跃。建议建立人事、IT、安保三方联动的离职清单，由各方签字确认后归档。

6.4　安全培训与意识建设

安全培训是将制度转化为行为习惯的关键环节。C-TPAT要求对所有员工进行安全意识培训，重点岗位须进行专项培训。

培训类别	目标人群	核心内容	频次/形式
入职安全培训	所有新员工	公司安全政策；厂区规则；异常报告程序；工牌使用规定	入职当周；书面确认签字
年度安全意识培训	全体在职员工	最新安全威胁；常见走私手法；网络钓鱼识别；供应链安全重要性	每年一次；签到记录
岗位专项培训	保安、仓库、装卸货、包装区员工	七点检验操作；封条使用；可疑人员/物品识别；如何报告	上岗前；每年复训
反恐意识培训	所有员工	识别可疑行为；不明包裹处理；化学/生物威胁基本知识	每年一次；纳入年度培训
网络安全培训	IT用户（办公电脑使用者）	密码安全；邮件钓鱼识别；社会工程学防范；USB设备使用规定	每年一次；+模拟钓鱼演练

6.5　内部举报机制

• 建立匿名举报渠道（热线电话、邮箱、投票箱）；鼓励员工报告可疑行为或安全漏洞
• 明确承诺：善意举报受法律和公司政策保护，不遭受打击报复
• 对有效举报给予奖励（C-TPAT建议作为激励手段）
• 举报记录须保密处理；调查结果须及时反馈举报人（在保密前提下）
• 每年统计并回顾举报情况，作为安全管理改进的输入

第七章　程序与业务合作伙伴安全

7.1　供应链文件真实性

供应链文件（提单、装箱单、发票、出口许可证）是海关核验的依据。文件造假不仅是合规违规，也是供应链安全漏洞的来源——伪造文件可被用于隐藏货物真实内容。

• 出口文件须由专职人员处理，自动报关系统须有独立账号和密码保护
• 提单信息须与实际装运货物的品名、重量、件数一致；差异须有书面说明
• 出口文件须保存至少5年（中国海关要求）；电子档须有访问控制和备份
• 对文件进行"四单对碰"：订单—采购单—发料单—装箱单，确保数量一致性
• 超重/短装须有书面记录；须向海关和买家及时报告，不得自行"调整"

7.2　授权管理

授权管理原则（最小权限原则）：每个人只拥有完成其工作职责所必需的最低权限，不多不少。这一原则同时适用于物理访问权限和系统操作权限。

• 关键操作（修改出货数量、签发封条、修改系统数据）须有审批流程和授权书
• 授权清单须定期回顾（建议每半年），及时移除不再需要的权限
• 重大授权变更（新增高权限账号、修改系统核心配置）须有变更记录和管理层批准

7.3　异常货物处理程序

异常类型	立即行动	报告对象	记录要求
集装箱内发现不明物品	停止装卸；隔离现场；不得触碰可疑物品	公安机关（110）；公司安全负责人；买家	事件报告：时间、地点、发现人、物品描述（照片）
封条缺失/编号不符	停止卸货；记录现状；拍照存档	公司安全负责人；买家；海关	差异报告；海关可能要求开箱查验
货物重量/件数异常	暂停放行；复磅/复点	采购/物流主管；买家	差异记录；原始单据对比
发现伪造文件迹象	暂停相关业务；联系法务	公安机关；公司管理层；海关（视情况）	完整保存证据；不得销毁

7.4　业务合作伙伴安全协议

C-TPAT要求：凡是在供应链上使用的合作伙伴（制造商、运输商、仓储商、报关行），均须签署包含安全要求的书面合同。

• 合同中须明确规定对方须遵守的最低安全标准（参照C-TPAT/AEO要求）
• 合同须包含审核权条款：甲方有权对乙方开展安全审核
• 对新合作伙伴在合作前须进行安全评估（问卷或现场访问）
• 对现有合作伙伴建议每年重新评估；高风险合作伙伴须更频繁审查
• 发现合作伙伴严重安全违规须有终止合作的明确程序

第三部分　第二支柱：信息与网络安全

第八章　信息安全管理体系（ISMS）

信息安全管理体系（ISMS, Information Security Management System）是组织系统化管理信息安全风险的框架，其作用类似于ISO 14001之于环境管理——提供一套"计划-执行-检查-改进"的闭环管理机制。ISO/IEC 27001:2022是全球最广泛认可的ISMS标准，获得认证意味着组织已建立并持续维护一套可审核的信息安全管理机制。

8.1　ISO 27001:2022 架构与核心控制

ISO 27001:2022采用高层结构（HLS），框架条款与ISO 9001/14001/45001相同，便于多体系整合。附录A中的93项控制措施按四大主题组织：

控制主题	控制措施数量	代表性控制措施（与供应链安全相关）
组织类控制	37项	威胁情报（5.7）；信息安全事件管理（5.24-5.28）；ICT供应链安全（5.21）；供应商关系中的信息安全（5.19-5.20）；云服务安全（5.23）
人员类控制	8项	信息安全意识培训（6.3）；保密协议（6.6）；远程工作（6.7）；事件报告（6.8）
物理类控制	14项	物理安全边界（7.1）；物理访问控制（7.2）；清除桌面/屏幕（7.7）；设备安全处置（7.14）
技术类控制	34项	访问控制（8.2-8.6）；加密（8.24-8.26）；恶意软件防护（8.7）；漏洞管理（8.8）；SIEM日志（8.15-8.16）；数据泄露防护（8.12）；配置管理（8.9）；SBOM（8.9注释）

8.2　信息资产识别与分类

有效的ISMS从清晰的资产清单开始。供应链中的信息资产包括：

• 数据资产：客户订单/合同数据、产品设计图纸、员工个人信息、财务记录、生产配方/工艺
• 软件资产：ERP系统、MES（制造执行系统）、设计软件、OA系统、业务邮件
• 硬件资产：服务器、工控机、网络设备、终端电脑、工业设备（具备网络连接的）
• 服务资产：云服务（ERP SaaS、协作工具）、互联网接入、远程维护通道 分类建议（参照中国数据安全法三级分类与ISO 27001）：

分类级别	示例	访问控制	传输/存储要求
公开（Public）	公司官网信息、公开产品目录	无限制	无特殊要求
内部（Internal）	内部政策、一般业务邮件、员工花名册	仅授权员工	加密传输建议
机密（Confidential）	客户合同、产品设计、定价策略、员工薪资	严格限制；需签保密协议	加密传输和存储；不得外带
绝密（Restricted）	核心研发资料、国家安全相关数据、关键基础设施配置	最高权限；双重认证	强加密；严禁出境；物理隔离

8.3　访问控制与身份管理

访问控制是ISMS最基础的技术控制，核心原则是"最小权限"（Least Privilege）：每个用户账号只拥有完成其工作所需的最低权限。

8.3.1　账号生命周期管理

阶段	操作要点	常见问题
创建	申请须有主管审批；权限明确；与业务职责对应	过度授权（直接给管理员权限）；无审批流程
使用	强密码策略（≥12位，含大小写+数字+符号）；定期修改（建议90天）；MFA（多因素认证）	共用账号；密码从不修改；无MFA
变更	岗位调整须及时更新权限；须有变更申请记录	权限残留（换岗不收权限）
注销	离职/合同终止当天停用；归档用户数据后删除账号	离职账号长期活跃（最高风险场景）
复查	每季度/半年审查所有账号权限；清理僵尸账号	无定期复查；大量无主账号

8.3.2　零信任架构（Zero Trust）

传统网络安全模型假设内网可信（"城墙内都是自己人"）；零信任架构则假设任何用户、设备、网络位置都不可默认信任，每次访问都须经过身份验证和权限核查。

对供应链安全的意义：远程工作、云服务、供应商远程访问等场景使"内网边界"消失；零信任架构通过持续验证（Continuous Verification）替代边界防护，是应对供应链远程访问风险的现代最佳实践。

零信任核心原则：永不信任，持续验证（Never trust, always verify）；最小权限访问；假设已被突破（Assume breach）。

8.4　加密与密钥管理

场景	加密要求	推荐算法/标准
数据传输（互联网）	强制TLS 1.2+；禁用SSL/TLS 1.0/1.1	TLS 1.3（推荐）；AES-256
数据存储（静态数据）	机密及以上数据须加密存储	AES-256；国密SM4（中国场景）
移动设备/笔记本	全盘加密	BitLocker（Windows）；FileVault（Mac）
备份数据	异地备份须加密	AES-256；密钥与备份分开存储
电子邮件（高敏感）	端对端加密（必要时）	S/MIME；PGP；企业邮件加密网关

密钥管理：加密的安全性最终取决于密钥的安全性。须建立密钥生命周期管理程序（生成、分发、存储、轮换、销毁）；高价值密钥须使用硬件安全模块（HSM）或云KMS存储。

8.5　安全事件管理与响应

安全事件不可避免——关键是响应速度和处理质量。NIS2指令要求24小时内预警、72小时内正式通报重大事件；这一时间压力对没有事先准备的企业极具挑战。

响应阶段	时间要求（NIS2参考）	核心行动
检测与识别	T+0（发生后立即）	通过SIEM/EDR告警发现事件；初步判定影响范围
初步遏制	T+1至4小时	隔离受影响系统（断网不断电）；保全证据；启动响应小组
早期预警	T+24小时内（NIS2）	向监管机构提交初步通报（事件类型、初步影响）；通知买家（视合同要求）
深度分析	T+24至72小时	根因分析；确认攻击向量；评估数据泄露范围
正式通报	T+72小时内（NIS2/PIPL）	向监管机构提交完整报告；评估是否需通知个人数据主体
恢复与加固	T+72小时后	清除恶意软件；恢复系统；修补漏洞；更新防控措施
事后复盘	恢复后1—2周	编写事件报告；更新响应预案；经验教训总结

供应链特殊场景：若供应商系统遭受攻击导致买家数据泄露，供应商须立即通知买家（不论法规是否强制）。建议在供应商合同中明确：安全事件通知义务（事件发生后X小时内）、配合调查义务、损害赔偿责任。

8.6　业务连续性与灾难恢复

• RTO（恢复时间目标）：关键业务系统中断后允许恢复的最长时间（如ERP系统：RTO=4小时）
• RPO（恢复点目标）：可接受的最大数据丢失量（如财务数据：RPO=1小时，意味着每小时备份一次）
• 备份须遵循"3-2-1原则"：3份备份；2种不同介质；1份异地存储（或云端）
• 业务连续性计划（BCP）须每年演练，须有演练记录；演练结果须推动计划改进
• 供应链视角：评估关键IT供应商（ERP提供商、云服务商）的SLA和灾备能力

第九章　网络安全实务

9.1　网络架构安全

安全的网络架构是防御纵深（Defense in Depth）策略的基础。核心原则：将不同安全级别的系统和设备物理/逻辑分隔，限制攻击者在网络内部横向移动的能力。

9.1.1　网络分段

网络区域	包含系统	安全要求	与其他区域的通信控制
互联网区（DMZ）	Web服务器、邮件网关、VPN入口	最严格防护；最小化对外暴露端口	与内网仅允许必要端口通信
办公网络（Corp LAN）	员工PC、打印机、IP电话	防火墙隔离；终端安全（EDR）	访问生产网须经过认证跳板
生产/OT网络	MES、SCADA、PLC、工业机器人	IT/OT强隔离（空气隙或单向网闸）	严格禁止外网直接访问；更新须离线进行
服务器区	ERP、数据库、文件服务器	物理访问限制；独立VLAN	仅允许授权终端访问；全日志记录
访客网络	访客WiFi	完全隔离，不得访问任何内部资源	仅互联网出口

9.1.2　防火墙与入侵检测

• 防火墙规则须遵循"默认拒绝"原则（白名单）：未明确允许的流量一律拒绝
• 入侵检测/防御系统（IDS/IPS）：部署在关键网络边界；规则库须每周更新
• 下一代防火墙（NGFW）：具备应用识别能力，可识别并阻断特定应用的流量（如禁止TeamViewer远程工具）
• 网络访问控制（NAC）：陌生设备接入公司网络前须通过认证，防止未授权设备接入

9.2　终端安全

终端（笔记本、台式机、工作站）是网络钓鱼攻击最常见的突破口，也是供应链攻击的主要落地点。

• EDR/XDR（端点检测与响应）：替代传统杀毒软件；具备行为检测、威胁猎杀、自动响应能力
• 统一终端管理（UEM/MDM）：集中管理所有终端设备；支持远程擦除（丢失设备的数据保护）
• 操作系统与补丁管理：关键安全补丁须在发布后72小时内推送（对Log4Shell类零日漏洞尤为重要）
• USB/外接设备管控：禁用未授权USB存储设备（数据泄露和恶意软件注入的主要渠道之一）
• 应用白名单：关键生产系统仅允许运行已批准的应用程序，阻止未知可执行文件运行

9.3　漏洞管理与渗透测试

Log4Shell事件的教训：已知漏洞仍是攻击者最常用的入侵途径。漏洞管理是将已知漏洞转化为可跟踪、可修复任务的系统性过程。

活动	频次	工具/方法	输出
漏洞扫描（内部）	每周/每月	Nessus、OpenVAS、Qualys	漏洞报告（含CVE编号、CVSS评分、修复建议）
补丁管理	持续（关键补丁72h内；高危7天内；中危30天内）	WSUS、SCCM、云平台自动更新	补丁应用记录；未修复漏洞风险接受单
渗透测试（外部）	每年至少一次（高风险系统每半年）	专业渗透测试团队或工具（Metasploit等）	渗透测试报告；修复验证报告
供应商漏洞通报处理	持续（订阅CVE/CNNVD）	NVD、CNNVD、供应商安全公告	受影响资产清单；修复计划

9.4　工业控制系统（OT）安全

OT（Operational Technology）安全是传统IT安全最容易忽视的盲区，也是制造业面临的独特威胁。工厂的PLC、SCADA、DCS等工控系统一旦被攻击，直接影响生产安全。

9.4.1　IT/OT融合带来的风险

• OT设备设计寿命长（10—20年），其操作系统（如Windows XP/7）往往已停止安全更新，无法直接打补丁
• OT协议（Modbus、DNP3、Profinet）设计时未考虑安全性，缺乏认证和加密
• 远程维护需求（供应商远程访问PLC进行调试）为攻击者提供了进入OT网络的通道
• Stuxnet（2010）、Triton/TRISIS（2017）等攻击已证明OT系统可被定向武器化攻击

9.4.2　OT安全基本防护措施（IEC 62443参考）

防护层次	措施	实施难度
网络隔离	IT网络与OT网络物理隔离或通过工业防火墙/单向网闸分隔；禁止OT设备直接访问互联网	★★★（改造代价高）
远程访问控制	供应商远程访问须通过跳板机+MFA；访问时须有工厂人员监督；会话全程录像	★★（可增量实施）
资产识别	建立完整的OT资产清单（设备型号、固件版本、通信协议）	★★（工具辅助可行）
漏洞管理	订阅ICS-CERT漏洞通报；不能直接打补丁时评估补偿控制措施（如网络隔离、流量过滤）	★★★（需专业能力）
异常检测	部署OT专用网络流量分析工具（如Claroty、Nozomi）检测异常通信模式	★★★（成本较高）

9.5　云安全与第三方SaaS供应商管理

制造业企业越来越依赖云服务（ERP SaaS、协作工具、设计云平台），这些服务的安全性直接影响企业整体安全态势。

• 云服务商评估：选用通过ISO 27001/SOC 2 Type II认证的云服务商；要求服务商提供最新第三方审计报告（而非仅信任其自我声明）
• 数据分类与云端存储：明确哪些级别的数据可以存储在云端；机密/绝密数据是否满足数据本地化要求（中国PIPL/DSL）
• 云访问安全代理（CASB）：监控员工对云服务的使用，防止数据通过Shadow IT（未经审批的云工具）泄露
• 共享责任模型：云服务商负责基础设施安全（Security OF the cloud）；企业负责数据和应用安全（Security IN the cloud）——理解边界，不将数据安全责任全部委托给云服务商
• 供应商访问日志：要求SaaS供应商提供访问日志，可审计谁访问了企业数据

第十章　软件供应链安全

"现代软件是站在巨人的肩膀上构建的——但如果巨人被感染了，站在它肩膀上的一切都会倒下。"软件供应链安全关注的是：企业使用的软件（包括从供应商采购的和自主开发的）本身是否可信、是否包含已知漏洞或恶意代码。

10.1　供应链攻击解剖：三个里程碑案例

10.1.1　SolarWinds（2020）：可信更新渠道的武器化

SolarWinds Orion是一款被美国政府机构和数千家企业广泛使用的IT网络管理软件。

攻击阶段	细节
渗透	攻击者（俄罗斯APT29/Cozy Bear）于2019年底渗透SolarWinds开发环境
植入	将"Sunburst"后门代码注入Orion软件构建流程，嵌入合法、经数字签名的软件更新包
传播	2020年3月—6月，约18,000家客户通过正常自动更新安装了含后门的Orion版本
驻留与渗出	后门沉默等待14天后激活，通过伪装成正常DNS查询的C2通道与攻击者通信，窃取内部数据
发现	2020年12月，网络安全公司FireEye在调查自身被入侵事件时发现Sunburst后门

供应链安全启示：软件更新渠道本身成为攻击载体；数字签名不等于安全（签名环境已被攻击者控制）；SBOM如果在事前已存在，可大幅缩短影响范围评估时间。

10.1.2　Log4j/Log4Shell（2021）：隐形的开源依赖

Apache Log4j是Java生态中最广泛使用的日志记录库，被数十亿互联网应用程序依赖，但大多数开发者甚至不知道自己在使用它。

• 2021年11月，安全研究员发现Log4j 2.x版本存在JNDI注入漏洞（CVE-2021-44228，CVSS满分10.0）
• 攻击者可通过构造特殊字符串触发漏洞，在目标服务器上执行任意代码（RCE）
• 漏洞在公开披露后数小时内即遭到大规模利用（包括勒索软件组织、国家级APT）
• 大量企业花费数周时间排查自身是否受影响——因为没有SBOM，无法快速知道哪些系统使用了Log4j 启示：没有SBOM的企业在零日漏洞爆发时处于信息盲区；开源依赖的透明化是现代安全卫生的基本要求。

10.1.3　XZ Utils（2024）：长达两年的社会工程学入侵

XZ Utils是Linux系统中普遍使用的数据压缩工具。2022年起，一名使用假身份的贡献者（Jia Tan）通过持续、耐心的代码贡献赢得了项目维护者的信任，最终在2024年3月将精心设计的后门植入XZ Utils 5.6.0/5.6.1版本，影响几乎所有主流Linux发行版的SSH服务。

幸运的是，微软工程师Andres Freund在性能测试中发现了异常，后门在广泛传播前被阻断。此次事件揭示了开源生态的最脆弱之处：核心组件的维护者往往只是个人志愿者，缺乏对贡献者身份验证和代码安全审计的资源。

10.1.4　Target零售商数据泄露（2013）：HVAC供应商成为入侵跳板

美国第二大零售商Target在2013年感恩节前后遭遇大规模数据泄露，超过4,000万张信用卡和借记卡数据及7,000万条客户个人信息被盗。

攻击阶段	细节
初始入侵	攻击者通过针对性鱼叉式网络钓鱼邮件入侵了Target的HVAC（暖通空调）承包商Fazio Mechanical Services
横向移动	利用从Fazio获取的网络凭证登录Target的供应商门户（Ariba），进而渗透进Target内部网络
目标达成	在POS系统（销售终端）植入内存抓取恶意软件，在支付信息被加密前即将其截获
延误发现	Target的安全监控系统（FireEye）实际已触发告警，但警报被安全团队忽略长达数周

供应链安全启示：与目标网络有任何连接的第三方供应商都是潜在的攻击入口——即便是提供非IT服务的供应商（如HVAC）。网络分段（Segmentation）至关重要：HVAC供应商的访问权限不应能抵达POS系统所在的网络区段。Target事件直接推动了PCI DSS的更新，强化了对第三方供应商访问控制的要求。

10.1.5　NotPetya（2017）：伪装成勒索软件的供应链武器

NotPetya是迄今为止历史上造成经济损失最大的网络攻击，总损失估计超过100亿美元，受害者涵盖马士基（Maersk）、联邦快递（FedEx/TNT）、默克制药（Merck）、罗士文（Reckitt Benckiser）等全球跨国企业。

攻击阶段	细节
初始投放	通过乌克兰税务软件M.E.Doc的更新渠道植入（类似SolarWinds的供应链投毒手法）
传播机制	利用NSA泄露的EternalBlue漏洞（SMB协议）在内网高速横向传播，无需用户交互
破坏方式	覆盖主引导记录（MBR）和文件系统，数据无法恢复；设计上没有真正的解密功能
影响规模	马士基全球物流系统瘫痪10天，45,000台PC和4,000台服务器须重装；FedEx TNT损失逾4亿美元

供应链安全启示：即使你的企业自身安全措施无懈可击，通过与受感染方（如乌克兰子公司）共享网络，同样会被殃及。网络分段、离线备份和快速隔离能力是抵御类似攻击的最后防线。NotPetya事件也引发了网络安全保险行业的重大分歧：多家保险公司以"战争行为除外条款"为由拒绝赔付，相关诉讼持续多年。

10.2　SBOM实施指南

SBOM（Software Bill of Materials，软件物料清单）是应对软件供应链透明度问题的核心工具。

SBOM要素	内容	意义
组件名称	所有直接和间接（传递性）依赖的名称	完整覆盖，避免遗漏嵌套依赖
组件版本	精确版本号	判断是否受已知漏洞（CVE）影响
唯一标识符	PURL（包URL）或CPES	与漏洞数据库（NVD）自动匹配
许可证信息	每个组件的开源许可证类型	合规使用（GPL污染风险）
已知漏洞	VEX（漏洞利用性交换格式）关联已知CVE	区分"存在漏洞"与"可被利用漏洞"
供应商/来源	组件的原始来源（官方仓库 vs 镜像）	防止使用被污染的非官方来源

SBOM生成工具：Syft（开源）、CycloneDX CLI、SPDX工具链；主流构建系统（Maven、npm、pip）均有SBOM生成插件。

SBOM应用场景：漏洞响应（CVE爆发时快速检索受影响资产）；许可证合规审查；买家准入要求（欧盟CRA、美国EO 14028覆盖范围内的软件供应商须提供SBOM）。

10.3　第三方/供应商网络安全评估

企业的安全边界延伸至所有有权访问其系统的第三方供应商。第三方网络安全评估（TPCRM，Third-Party Cyber Risk Management）是NIST CSF 2.0 GOVERN功能域的核心要求。

评估层次	适用供应商	评估方法	频次
轻量评估	低风险供应商（无系统访问权限）	安全问卷（SIG简版/自定义）	每年一次
标准评估	中风险供应商（有系统访问但数据敏感性一般）	完整安全问卷+证书核查（ISO 27001/SOC 2）	每年一次；重大变化时重新评估
深度评估	高风险供应商（处理机密数据/有深度系统访问）	现场审核或第三方安全评估报告	半年一次；合同签署前评估
持续监控	关键供应商（CII相关/核心IT服务商）	持续安全评分（SecurityScorecard、BitSight）+事件通报机制	持续

TISAX共享模式的参考价值：汽车行业的TISAX评估结果在VDA平台共享，一次评估服务多个OEM买家，大幅降低重复审核负担。建议其他行业参考这一模式，建立行业级安全评估结果共享平台，减少供应商的重复应对成本。

第四部分　第三支柱：数据合规与隐私保护

第十一章　中国数据合规实务

中国于2017—2021年间构建了全球最系统的数据安全法律体系之一。对于供应链中的企业，尤其是处理员工个人信息、客户数据或跨境传输数据的制造商和贸易商，理解并落实中国数据合规义务已是不可回避的经营要求。

11.1　数据分类分级实操

数据安全法要求建立数据分类分级制度；各行业主管部门（工业和信息化部、金融监管机构等）已发布行业细化标准。制造业企业可参考以下实用分级框架：

数据级别	定义	制造业典型数据	主要保护义务
核心数据	关系国家安全、国计民生、重要公共利益的数据	军工/航天产品设计数据；国家秘密相关技术参数	最严格保护；禁止境外传输；须向主管部门报备
重要数据	一旦遭到篡改、破坏、泄露可能危害国家安全或公共利益	大规模工业生产数据；关键基础设施运营数据；大量消费者数据（100万人以上）	须建立数据安全管理制度；出境须安全评估；定期风险评估
一般数据	不属于上述两类的其他数据	一般员工信息（姓名、工号）；日常业务往来数据；非关键生产数据	满足PIPL基本要求；采取适当安全措施

实务说明：大多数一般制造业企业（非军工、非CII运营者）日常处理的数据以"一般数据"为主，须重点关注PIPL合规（员工个人信息处理）和数据出境（跨境传输订单/员工数据）两个场景，而非"重要数据"的复杂要求。

11.2　个人信息保护法（PIPL）合规要点

PIPL于2021年11月1日起实施，是中国版的GDPR，确立了处理个人信息的八项基本原则和多项核心义务。

PIPL核心义务	对制造业企业的具体要求
告知与同意（第13-15条）	向员工和客户清晰说明收集哪些个人信息、用于何目的；须在收集前取得明确同意；不得以"不同意则不服务"为要挟
目的限制（第6条）	收集的个人信息只能用于明确告知的用途；不得在未获新同意的情况下改变用途
最小必要原则（第6条）	只收集完成目的所必需的最少数据；不得过度采集（如招聘时不应要求填写宗教信仰）
数据主体权利（第44-50条）	员工/客户有权查阅、复制、更正、删除其个人信息；须建立权利行使受理机制（30天内答复）
安全保护义务（第51条）	建立全流程安全管理制度；对高风险处理活动开展个人信息保护影响评估（DPIA）
个人信息保护负责人（第52条）	处理个人信息达到监管规模（100万人以上）须指定个人信息保护负责人；国内代表人制度
泄露通知（第57条）	发生或可能发生个人信息泄露须立即采取补救措施；通知受影响个人（情节严重时）；向网信部门报告

11.3　数据出境三条路径详解

中国制造业最常见的数据出境场景：向境外总部/母公司传输员工信息和财务数据；向境外买家传输包含个人信息的订单数据；使用境外SaaS工具（HubSpot、Salesforce等）存储客户数据。

路径	触发条件	操作要点	完成后义务
①国家安全评估 （国家网信办）	处理≥100万人个人信息出境；任何"重要数据"出境；CII运营者数据出境	填写申报材料→网信办评估（45+工作日）→获批后执行→每2年重新评估	变更须重新申报；年度安全评估报告
②标准合同 （个人信息出境SCC）	处理＜100万人个人信息；非重要数据；非CII运营者	与境外接收方签署《个人信息出境标准合同》（模板由网信办发布）→向网信办备案（10个工作日）→完成后可执行	每年审查执行情况；变更须重新签署
③个人信息保护认证	非CII；非重要数据；企业集团内部数据传输场景较适合	向具备资质的认证机构（如中国信通院）申请认证→认证通过后出境	认证有效期内年度监督；变更须更新认证

实务建议：对于大多数向欧美买家出口的中小制造企业，通过"标准合同"路径（Path ②）即可满足日常数据出境合规需求。重点工作：识别出境数据类型→确认接收方→签署标准合同→完成网信办备案（线上系统）。全程通常可在4—6周内完成。

11.4　网络安全等级保护（MLPS 2.0）合规

对于自建IT系统（ERP、MES）或向企业客户提供IT服务的制造商，等保合规是基础要求。等保三级系统的建设涵盖：

等保三级要求类别	主要控制项（节选）
安全物理环境	机房位置安全；防盗报警；视频监控；防静电/防雷/防火；电源保障
安全通信网络	网络架构（分区分域）；通信传输加密；可信验证
安全区域边界	边界防护（防火墙/IDS）；访问控制；入侵防范；恶意代码防范
安全计算环境	身份鉴别（MFA）；访问控制（最小权限）；安全审计（日志）；入侵防范；恶意代码防范；数据完整性/保密性
安全管理中心	系统管理；审计管理；安全管理（三权分立）；集中管控
安全管理制度	安全策略；管理制度；管理流程；策略修订机制
安全管理机构	岗位设置（信息安全管理员、审计员）；授权和审批；沟通与合作；审核和检查
人员安全管理	人员录用（背景调查）；人员离岗；安全意识教育培训；外部人员访问管理

第十二章　跨境数据合规：GDPR、NIS2与全球数据本地化

12.1　GDPR对中国供应商的适用性

GDPR（欧盟通用数据保护条例）的管辖范围不限于欧盟境内的企业。根据"属地原则"扩展条款（第3条），只要中国供应商：（a）向欧盟数据主体提供商品或服务，或（b）监测欧盟数据主体的行为，GDPR即适用——即使企业没有欧盟分支机构。

对制造业供应链的主要影响场景：

• 向欧盟品牌商提供ODM/OEM服务，在生产过程中处理欧盟消费者的个人数据（如定制产品的买家信息）
• 通过欧洲电商平台（Amazon EU、Zalando）直接向消费者销售，处理买家个人信息
• 在欧盟设有代表处/子公司，与境内母公司共享员工/客户数据

12.1.1　GDPR核心义务速查

义务类别	核心要求	供应链合规重点
合法性基础	处理个人数据须有合法依据（同意/合同必要性/合法利益等六类）	员工数据处理：通常基于"合同必要性"；营销数据：须取得同意
数据主体权利	访问权、更正权、删除权、可携带权、反对权等	须建立数据主体请求受理机制；1个月内答复
数据处理协议（DPA）	数据控制者与数据处理者之间须签署DPA（第28条）	欧洲买家要求中国供应商签署DPA是常见合规场景
跨境传输	向欧盟外传输须有充分性决定/SCC/BCR等保障措施	中国目前无充分性决定；通常使用EU SCC（2021年版）
数据泄露通报	72小时内向监管机构通报；高风险时须通知个人	供应商须向欧洲买家（数据控制者）及时通报事件
最高罚款	2000万欧元或全球年营业额4%（取较高者）	重大违规风险极高；建议中小企业重点关注DPA和跨境传输合规

12.2　数据处理协议（DPA）：供应链合规的接口文件

当中国供应商代表欧盟买家处理个人数据时（如帮买家管理客户订单数据），供应商在GDPR框架下是"数据处理者"（Data Processor），欧盟买家是"数据控制者"（Data Controller）。双方须签署符合GDPR第28条要求的DPA。

DPA核心条款（参考GDPR第28条）：

• 处理目的和范围（仅依控制者指令处理）
• 技术和组织安全措施（对应ISO 27001/等保要求）
• 保密义务（处理数据的人员须签署保密协议）
• 子处理者限制（须获控制者批准才能使用第三方服务商）
• 协助数据主体权利行使的义务
• 数据泄露通报义务（向控制者，通常72小时内）
• 审计权（控制者或其委托的审计机构有权审核处理者合规情况） 实务建议：中国供应商在与欧洲买家签署DPA时，应特别注意审计权条款——欧洲买家有权对供应商进行安全审计，这正是本指南三支柱审核框架发挥作用的法律基础。建议企业主动推进ISO 27001认证或等保合规，以书面证据替代频繁的现场审计。

12.3　全球数据本地化要求速览

数据本地化（Data Localization）要求在当地收集的数据必须存储在本国境内。下表为主要经济体要求概览：

国家/地区	本地化要求	对供应链影响
中国	个人信息和重要数据须在境内存储（CSL/DSL）；出境须满足三条路径之一	向境外总部传输员工/生产数据须合规处理
俄罗斯	俄罗斯公民个人数据须在俄境内服务器存储（142-FZ）	在俄运营或销售须本地化存储俄公民数据
印度	支付数据须本地存储（RBI要求）；拟议中的数字个人数据保护法（DPDP）	向印度供货的支付数据处理须特别注意
欧盟	无强制本地化，但跨境传输须有充分保障；Schrems II判决影响持续	EU-中国无充分性决定；须使用EU SCC
美国	联邦层面无通用本地化要求；部分行业（医疗HIPAA、金融等）有专项要求；FedRAMP云要求	向美国政府供链的云服务须FedRAMP认证
沙特/中东	沙特PDPL（2021）；UAE联邦数据保护法（2021）；部分行业本地化要求	中东市场扩张须关注PDPL合规

12.4　中欧数据合规协调实务

对于同时面临中国数据合规和GDPR要求的企业（如在华欧资供应商、向欧洲出口的中国企业），两套制度存在一定张力，主要体现在：

• 数据本地化 vs 跨境传输：中国要求本地存储，欧盟要求数据可在充分保护下自由流动；解决方案通常是"中欧数据分离"——中国数据存中国服务器，欧洲数据存欧洲服务器
• 执法访问要求：中国法律要求配合安全机关数据访问（CSL第28条）；GDPR要求只在合法依据下处理数据；建议咨询法律顾问评估具体情境下的义务优先级
• DPA审计条款：GDPR要求买家可审计中国供应商的数据处理；中国法律对外国机构在境内收集数据有一定限制；建议在DPA中约定以"第三方审计机构出具审计报告替代直接访问"的方式履行审计权

第五部分　审核实务

第十三章　供应链安全审核方法论

安全审核（无论是C-TPAT、TISAX还是ISO 27001第三方认证）在方法论上遵循相似的逻辑：以证据为基础，验证受审方的安全控制措施是否与其声称的和买家期望的一致。本章提供三支柱框架下的完整审核方法论。

13.1　审核前案头审查

充分的案头审查可将现场审核的效率提升50%以上——审核员带着清晰的问题和假设进入现场，而不是从零开始探索。

13.1.1　公开信息检索

• 企业背景：天眼查/企查查核查营业执照、经营范围、法人信息、行政处罚记录（是否有海关违规、信息安全违规处罚）
• C-TPAT成员核查：CBP官网（cbp.gov）可查询企业是否为C-TPAT成员及状态
• ISO认证核查：通过认证机构官网或IAF（国际认可论坛）数据库核查ISO 27001/28000证书有效性
• TISAX评估核查：VDA ENX平台（enx.com）可查询供应商TISAX评估标签和有效期
• 中国AEO认证核查：中国海关"互联网+海关"平台可查询企业AEO状态
• 安全事件历史：搜索企业名称+数据泄露/网络攻击关键词；查阅HaveIBeenPwned数据库（邮件域名泄露记录）
• 数据出境备案：向企业要求提供个人信息出境标准合同备案证明（如适用）

13.1.2　审核前问卷

提前发送安全评估问卷（SIG精简版或定制版），要求受审方书面回答三支柱关键问题：

• 是否持有ISO 27001/ISO 28000/等保三级等认证？有效期至何时？
• 过去两年内是否发生过安全事件（物理入侵、数据泄露、网络攻击）？如有，如何处理？
• 是否有信息安全负责人（CISO/安全经理）？是否有书面安全政策？
• 是否持有SBOM（针对软件/固件供应商）？
• 是否完成数据出境合规备案（如向境外传输数据）？

13.2　现场审核流程

阶段	时间分配 （全天审核参考）	核心活动	关键输出
开场会（首次会议）	0:00—0:30	介绍审核目的、范围、日程；确认受审方代表；核实企业基本信息（营业执照、厂区范围）	审核日程确认；厂区平面图
厂区巡查（第一支柱）	0:30—2:00	沿三支柱路线巡查：围界→大门→装卸区→仓库→包装区→机房→访客台→停车场；随机抽访保安/仓管人员	巡查笔记；照片记录（征得同意）
IT系统演示（第二支柱）	2:00—3:30	要求IT管理员演示：访问控制配置（账号列表）；防病毒/EDR控制台；网络拓扑图；近3个月安全日志；离职账号停用记录	系统截图/录屏；配置文件样本
文件审查	3:30—5:00	核查：安全政策文件（书面）；培训记录；巡逻日志；封条管理记录；访客登记本；数据出境备案证明；背景调查记录	文件审查清单；复印件/照片
人员访谈	5:00—6:00	分别访谈：保安员（不在管理层陪同下单独访谈）；IT管理员；仓库主管；HR负责人（针对背景调查）	访谈记录
内部汇总	6:00—6:30	审核员汇总发现项；评级；起草末次会议要点	初步发现项清单
末次会议（闭幕会）	6:30—7:00	向受审方管理层汇报主要发现项（仅事实，不作最终判决）；确认事实无误；约定正式报告时间	受审方签字的发现项确认表

13.3　三支柱审查路线图

下表为每个支柱的现场审查重点，可作为审核员现场导览手册：

审查支柱	重点检查区域/系统	核心问题（现场提问）	高风险发现项标志
第一支柱 物理安全	围界/大门/装卸区/仓库/包装区/停车场/CCTV室	保安：最近一次发现异常是什么？怎么处理的？ 仓管：集装箱装货前做几点检验？封条在哪领？ 门卫：昨天有几辆外来车进入？记录在哪？	访客无人陪同进入限制区；封条库存无记录；CCTV无法调取历史录像；无七点检验记录
第二支柱 信息安全	IT机房/服务器室/任意一台员工电脑/网络管理控制台	IT：上次安全事件是什么时候？怎么检测到的？ 员工：收到可疑邮件会怎么做？上次培训是什么时候？ IT：给我看一下最近一次离职员工的账号停用记录	共用账号/密码；无MFA；离职员工账号仍活跃；无安全培训记录；防病毒软件过期
第三支柱 数据合规	人事档案室/HR系统/合同管理系统	HR：收集员工个人信息时是否告知用途并取得同意？ 法务/合规：是否向境外传输个人数据？是否完成备案？ 管理层：是否制定了数据分类政策？	无隐私政策/告知书；向境外传输数据未完成SCC备案；无数据泄露应急预案；无数据主体权利受理程序

13.4　报告撰写与评级

安全审核报告须做到：事实清晰（发现项须有证据支持）；风险定级有依据；整改建议具体可操作；不超出审核范围作主观判断。

风险等级	定义	整改期限（参考）	典型案例
关键（Critical）	立即面临的重大安全威胁，可能导致货物被走私、重大数据泄露或违法	立即（7天内启动）	发现不明物品藏于集装箱；离职IT管理员账号仍有系统管理员权限；核心数据无加密且可匿名访问
高（High）	显著的安全漏洞，尚未造成实际损失但风险高	30天内	无封条管理程序；CCTV无法覆盖装卸货区；MFA未启用于核心系统；无安全事件响应程序
中（Medium）	控制措施存在缺口，需改进以满足要求	60—90天内	访客登记不完整；背景调查未覆盖临时工；安全培训记录缺失；补丁更新不及时
低（Low）	轻微不符合项或改善建议	90—180天内或下次审核前	围墙有轻微破损（已不影响安全）；照明灯有1处不亮；密码策略符合但未书面化
观察项（OB）	良好实践建议；不构成不符合项	无强制期限	建议引入电子封条；建议推进ISO 27001认证；建议部署EDR

第十四章　综合检查表与工具

14.1　物理安全检查表（C-TPAT/AEO/ISO 28000对照）

序号	检查项目	C-TPAT	AEO-S	ISO 28000	评分 （Y/N/P）
1	厂区有明确的围界（围墙/围栏/天然屏障），非授权人员无法自由进入	●	●	●
2	围界定期巡检，有书面记录（频次、发现项、处理结果）	●	●	●
3	厂区外围及关键内部区域有足够照明，非工作时间照明正常运作	●	●	●
4	照明有备用电源，有定期测试记录	○	●	●
5	人员大门与货运大门分开；门卫全天值守或有电子监控替代	●	●	●
6	所有进入人员须核验身份并登记；访客须发放可见访客证	●	●	●
7	访客须有员工全程陪同，不得独自在限制区域行动	●	●	●
8	司机限在指定候车区，不得进入仓库/包装区	●	●	●
9	CCTV覆盖所有主要出入口、装卸区、成品仓；录像可调取至少30天	●	●	○
10	CCTV录像存储设备在安全独立空间；访问有权限控制和日志	●	○	●
11	集装箱装货前完成七点检验，有书面记录	●	●	●
12	使用符合ISO 17712高安全级别的封条；有唯一编号	●	●	○
13	封条在上锁储存柜保管；领用须授权并登记	●	●	●
14	封条由工厂授权人员施封（非司机）；封条号记录在装箱单	●	●	●
15	发现封条异常有书面报告程序，须上报管理层和海关	●	●	●
16	有书面的背景调查程序，涵盖新员工（至少核验身份、学历、前雇主）	●	●	●
17	敏感岗位人员（保安、IT、仓储）有更深入的背景调查	●	○	●
18	离职程序包括当日收回工牌/钥匙/门禁卡，撤销IT系统权限，有记录	●	●	●
19	所有员工接受入职安全培训，有签到记录	●	●	●
20	有年度安全意识培训，涵盖反恐意识、可疑物品识别	●	●	●
21	有书面的业务合作伙伴安全协议/合同安全条款	●	●	●
22	运输商使用C-TPAT成员或通过同等安全评估	●	○	○
23	有书面的异常货物处理程序（不明物品、封条异常、重量差异）	●	●	●
24	有内部举报机制（匿名渠道），员工知晓如何举报可疑活动	●	●	○

●=明确要求 ○=建议/最佳实践 Y=符合 N=不符合 P=部分符合

14.2　信息安全检查表（ISO 27001:2022/NIST CSF 2.0对照）

序号	检查项目	ISO 27001 控制项	NIST CSF 功能	评分
1	有书面的信息安全政策，经管理层批准，定期更新	5.1	GV.PO
2	已建立信息资产清单，包括软件、硬件、数据	5.9	ID.AM
3	所有用户账号有唯一标识，禁止共用账号	8.2	PR.AA
4	核心系统（ERP、邮件、VPN）启用多因素认证（MFA）	8.5	PR.AA
5	有账号权限定期复查机制（建议每季度），清理僵尸账号	5.18	PR.AA
6	离职员工账号在离职当日停用，有记录	6.5	PR.AA
7	密码策略：长度≥12位，含大小写+数字+符号，定期更换	8.5	PR.AA
8	互联网传输使用TLS 1.2+；机密数据静态加密存储	8.24	PR.DS
9	移动设备/笔记本启用全盘加密	8.1	PR.DS
10	关键数据有异地备份，备份加密，定期恢复测试	8.13	RC.RP
11	部署防病毒/EDR并保持更新（定义库自动更新）	8.7	PR.PS
12	有漏洞管理程序；关键补丁在72小时内（高危7天内）应用	8.8	ID.RA
13	网络有分段隔离（办公网/生产网/访客网分开）	8.22	PR.IR
14	OT/工控网络与IT网络物理或逻辑隔离	8.22	PR.IR
15	外来设备（USB、个人电脑）接入有管控措施	8.1	PR.PS
16	有安全事件响应程序，明确响应角色和通报流程	5.24-5.26	RS.MA
17	过去两年内安全事件有记录、有处理、有复盘	5.27	RS.AN
18	有安全意识培训，包含网络钓鱼识别，有年度记录	6.3	PR.AT
19	第三方/供应商有书面安全协议；关键供应商有安全评估	5.19-5.21	GV.SC
20	云服务商有SOC 2或ISO 27001认证；数据处理协议已签署	5.23	GV.SC
21	软件/固件供应商可提供SBOM（按适用性）	5.21	ID.SC
22	有业务连续性计划，关键系统RTO/RPO已定义，有演练记录	5.30	RC.RP

14.3　数据合规检查表

序号	检查项目	中国PIPL/DSL	GDPR	评分
1	已制定数据分类分级制度，识别本企业的一般/重要数据	●	○
2	收集员工个人信息有告知书，取得明确同意（书面或电子）	●	●
3	招聘表单中不收集法律禁止的信息（种族、宗教信仰等）	●	●
4	有数据主体权利受理机制（查阅/更正/删除请求，30天内答复）	●	●
5	个人信息在使用目的完成后按规定期限保留或删除	●	●
6	向境外传输个人数据已完成合规路径（SCC备案/安全评估）	●	●
7	与境外买家/母公司签署数据处理协议（DPA/SCC）	○	●
8	使用境外SaaS工具（Office 365、Salesforce等）已评估数据本地化合规性	●	●
9	有数据泄露应急响应程序，明确通报时限（72小时）	●	●
10	处理大量个人信息须设立个人信息保护负责人（100万人以上）	●	○
11	等保合规：核心IT系统已完成等保定级（三级及以上须备案）	●	N/A
12	供应商处理本企业数据有数据安全条款，禁止未授权转发	●	●

●=适用要求 ○=建议/部分适用 N/A=不适用

14.4　综合安全风险评分矩阵

以下矩阵供审核报告中的整体安全等级评定使用，满分100分（三支柱各约33分）：

维度	分项	满分	评分依据	得分
第一支柱 物理安全 （35分）	围界与照明（5分）	5	围界完整+有效照明+定期检查记录
	出入口管控（8分）	8	门禁系统+访客管理+人员身份核验+区域分级
	CCTV与报警（7分）	7	覆盖全面+录像可调取+存储安全+AI分析加分
	货物安全（10分）	10	七点检验+封条管理+运输商评估+异常处理程序
	人员安全（5分）	5	背景调查+离职程序+培训记录+举报机制
第二支柱 信息安全 （35分）	ISMS基础（5分）	5	ISO 27001认证/等保三级/书面安全政策
	访问控制（8分）	8	唯一账号+MFA+最小权限+离职即停用+定期复查
	技术防护（7分）	7	EDR+漏洞管理+网络分隔+OT隔离+加密
	事件响应（7分）	7	响应程序+历史事件记录+业务连续性计划+演练
	供应商管理（8分）	8	第三方安全评估+DPA+SBOM（适用时）+持续监控
第三支柱 数据合规 （30分）	中国合规（15分）	15	数据分类+PIPL告知同意+数据出境合规+等保合规
	跨境合规（10分）	10	DPA签署+EU SCC+数据本地化评估+泄露通报程序
	治理能力（5分）	5	数据保护负责人+数据合规培训+供应商数据安全条款
合计		100

评分说明：90—100分=优秀；75—89分=良好；60—74分=基本合格（需改进）；＜60分=不合格（需重审）

第十五章　新兴技术与未来趋势

15.1　AI赋能安全审核

AI技术正在从多个维度改变供应链安全审核的工作方式。以下为当前最具实用价值的应用场景：

15.1.1　智能视频分析与行为检测

现代AI视频分析系统可实时分析CCTV画面，识别异常行为（徘徊、奔跑、携带物品出入限制区、区域聚集）并自动触发告警，将安保人员从"盯屏幕"中解放出来，专注于响应已确认的告警。部分系统还可学习"正常行为基线"，对偏离基线的行为进行评分排序，减少误报。

15.1.2　自动化漏洞情报与威胁检测

AI驱动的安全工具（如SIEM中的UEBA——用户和实体行为分析）可在海量日志中识别微小的异常信号：某账号在凌晨3点登录、某员工突然大量下载文件、某API在短时间内被调用异常次数……这些信号单独看微不足道，但AI可以将其关联成攻击路径，大幅缩短从攻击发生到检测的平均时间（MTTD）。

15.1.3　AI辅助合规文件审查

在审核准备和报告阶段，大型语言模型（LLM）可辅助：快速比对供应商提交的安全政策文本与ISO 27001控制要求的覆盖差距；自动提取安全问卷答案中的关键信息；辅助生成初始审核报告草稿（人工复核后输出）。注意：AI辅助仅作为效率工具，最终判断须由有资质的审核人员作出。

15.1.4　预测性合规风险评分

商业平台（如SecurityScorecard、BitSight、Panorays）通过被动扫描供应商的互联网可见攻击面（开放端口、过期证书、泄露凭证、暗网提及等），为每家供应商生成持续更新的安全评分，实现对数百乃至数千家供应商的"不打扰式"持续监控，补充传统现场审核的时间盲区。

15.2　区块链与供应链溯源

区块链技术在供应链安全中的核心价值在于：创建不可篡改的记录，使供应链中每个节点的操作（货物移交、封条使用、文件签署）都留下可追溯的时间戳证据。

• 封条/货物溯源：将封条施封、开封事件记录上链，买家可实时查验集装箱在整个运输链条中的完整性记录
• 文件真实性：将出口文件（提单、装箱单）的哈希值上链，任何篡改均会导致哈希不匹配
• SBOM记录：将软件组件的发布和SBOM记录上链，提供不可篡改的软件溯源证明 现实挑战：区块链的价值取决于所有参与方的采用率；在供应链参与方众多、技术能力参差不齐的场景下，推广难度较大。目前在金融、医药、食品等行业已有成功案例，制造业采用仍在早期阶段。

15.3　量子威胁与后量子密码学

量子计算机一旦实现足够的计算能力，将能够破解当前广泛使用的RSA和ECC加密算法（其安全性依赖于经典计算机难以分解大质数的特性）。

• 时间线：主流预测是量子计算机在2030—2035年前具备破解现有加密的能力；但"现在收集，以后解密"（Harvest Now, Decrypt Later）攻击意味着对手可能已在收集加密数据
• NIST PQC标准：美国NIST于2024年正式发布第一批后量子密码学（PQC）标准（ML-KEM/ML-DSA），主要IT供应商已开始规划迁移路线图
• 供应链影响：处理高度机密数据（军工、金融、核心研发）的供应链参与方应开始评估后量子迁移计划；一般制造企业暂时无需立即行动，但须关注TLS/VPN供应商的PQC路线图

15.4　物联网与智能工厂安全

工业4.0/智能制造的推进使工厂内联网设备数量爆炸性增长——工业传感器、联网摄像头、智能门禁、物流机器人……每一个联网设备都是潜在的攻击入口。

• IoT资产发现：许多企业对自身工厂内联网设备的数量和型号没有完整清单——建议使用网络扫描工具（如Nmap、Shodan企业版）定期发现并记录IoT资产
• 默认凭证修改：大量IoT设备被入侵的原因是使用了出厂默认用户名/密码；须强制要求所有联网设备在部署前修改默认凭证
• 固件更新：工业设备固件须定期检查更新；无法更新的老旧设备须通过网络隔离降低风险
• EU CRA影响：欧盟《网络韧性法》对联网产品制造商提出安全要求，向欧洲出口智能制造设备的中国企业将面临CRA合规压力

15.5　AI供应链风险：新兴威胁维度

人工智能组件正以前所未有的速度嵌入供应链的各个环节——从工厂的质量检测视觉系统，到买家的供应商筛查工具，再到产品中内置的边缘AI芯片。这使得"AI供应链风险"成为传统三支柱框架之外必须关注的新维度。

15.5.1　嵌入式AI组件的风险

当供应商产品中包含AI模型（如质量检测摄像头、智能控制器、联网设备内的推荐引擎）时，以下风险须纳入审核范围：

• 模型来源不透明：AI模型可能来自第三方供应商、开源社区或云平台，供应商自身可能并不了解模型的训练数据来源或算法逻辑
• 对抗攻击（Adversarial Attack）：通过向输入数据注入微小扰动，使AI系统产生错误判断（如令质检摄像头将缺陷品误判为合格品）
• 训练数据投毒（Data Poisoning）：在模型训练阶段植入恶意数据，使模型在特定触发条件下产生预期外行为（类似软件后门的AI版本）
• AI-BOM缺失：类比软件物料清单（SBOM），AI物料清单（AI-BOM）应记录模型名称/版本、训练数据集来源、第三方模型依赖关系，但目前几乎没有供应商能提供完整的AI-BOM

15.5.2　AI服务依赖风险

越来越多的企业将核心业务流程（供应商筛查、风险评分、合同审查）外包给AI服务提供商或SaaS平台，带来新型供应链依赖风险：

• 单点故障：若依赖的AI平台发生服务中断，可能导致关键业务流程瘫痪
• 数据主权：将供应商敏感数据上传至境外AI服务时，须评估是否触发DSL、PIPL的数据出境合规义务
• 供应商锁定：AI平台迁移成本极高，供应商可能在未来大幅提价或变更服务条款

15.5.3　欧盟AI法案（EU AI Act）合规影响

欧盟《人工智能法案》（EU 2024/1689）于2024年8月正式生效，将AI系统按风险分为四类，对"高风险AI系统"提出强制性合规要求：

AI风险类别	典型供应链场景	合规义务摘要
不可接受风险（禁止）	实时远程生物特征识别（特殊例外除外）	禁止开发和部署
高风险	工人招募筛选系统；产品安全关键决策系统；工作绩效监控评分	须建立风险管理体系、数据治理、透明度义务、人工监督机制
有限风险	聊天机器人；AI生成内容	须披露AI性质
最低风险	垃圾邮件过滤器；AI辅助搜索	无强制要求

对中国出口商的直接影响：向欧盟出口含有高风险AI组件产品的企业，须确保其AI系统符合EU AI Act要求，否则面临禁止进入欧盟市场的风险。

15.5.4　审核核查要点

文件核查：

• 供应商是否能提供产品中嵌入AI组件的清单（AI-BOM），包括模型名称、来源和更新频率？
• 供应商是否评估过其使用的AI服务的数据出境合规风险？
• 向欧盟出口含AI功能产品的供应商，是否进行过EU AI Act风险分类评估？

技术问询：

• 核心业务系统是否依赖单一AI服务提供商？是否有替代方案或降级方案？
• AI系统的决策逻辑是否存在人工审核覆盖（Human-in-the-Loop）机制？

附录

附录A　主要认证项目一览

认证/项目	主管机构	适用对象	核心价值	官方查验网址
C-TPAT	US CBP	出口美国的供应链各环节	买家义务履行；通关优先	cbp.gov/trade/trusted-trader/ctpat
中国AEO（高级认证）	中国海关总署	出口企业；进口企业；物流企业	通关便利；与24个经济体互认	海关总署官网→互联网+海关→AEO查询
欧盟AEO-F	欧盟成员国海关	欧盟企业（含欧资中国子公司）	欧盟通关便利；与多国互认	ec.europa.eu/taxation_customs
ISO 28000:2022	ISO（第三方认证机构颁证）	供应链任何环节的组织	供应链安全管理体系认证	iso.org/standard/79612.html
TAPA FSR/TSR	TAPA	仓储设施；货运承运商	高价值货物运输安全认证	tapaonline.org
ISO/IEC 27001:2022	ISO（第三方认证机构颁证）	任何处理信息的组织	信息安全管理体系认证；供应商准入	iso.org/isoiec-27001-information-security.html
TISAX	ENX Association（VDA授权）	汽车供应商（处理OEM敏感数据）	汽车行业信息安全评估；一次评估多方共享	enx.com/tisax
等保三级测评证书	公安部（测评机构颁证）	中国境内重要信息系统	中国网络安全合规；政府和CII供应商准入	等保备案系统（各地公安局）
SOC 2 Type II	AICPA（CPA事务所颁证）	云服务/SaaS提供商	美国市场云服务安全信任证明	（报告保密，索取于供应商）

附录B　主要法规要求对照速查

要求事项	中国CSL/DSL/PIPL+等保	EU GDPR+NIS2	US C-TPAT+EO14028
物理安全标准	保安服务条例；C-TPAT（买家要求）	AEO-S要求；ISO 28000	C-TPAT MSC 2020
信息安全体系	等保2.0（GB/T 22239）	ISO 27001（推荐）；NIS2强制安全措施	NIST CSF 2.0；NIST SP 800-53
个人数据处理	PIPL八项原则；告知同意	GDPR六项合法性基础；数据主体权利	CCPA（加州）；无联邦法
数据出境	SCC备案/安全评估/认证三路径	EU SCC/BCR/充分性决定	无通用限制（行业特殊规定另计）
安全事件通报	PIPL第57条：72小时通报；等保重大事件通报	NIS2：24h预警/72h通报；GDPR：72h	NIST IR指南；无联邦统一法规
软件供应链	MLPS 2.0技术要求	EU CRA（SBOM+安全更新）；NIS2供应链要求	EO 14028（SBOM）；NIST SP 800-161r1
最高罚款	CSL：100万人民币；PIPL：5000万或5%营业额	GDPR：2000万欧元或4%全球营业额；NIS2：1000万欧元或2%	行政处罚+刑事责任（案例差异大）

附录C　参考资源与延伸阅读

资源类别	资源名称	获取方式
物理安全	C-TPAT Minimum Security Criteria（2020）	cbp.gov → Trade → Trusted Trader → C-TPAT
物理安全	WCO SAFE Framework of Standards（2018）	wcoomd.org → Topics → Facilitation → SAFE Framework
物理安全	ISO 28000:2022 Supply Chain Security	iso.org（需购买）；中文版：中国标准出版社
物理安全	TAPA EMEA FSR/TSR标准	tapaonline.org（会员制）
信息安全	ISO/IEC 27001:2022 ISMS标准	iso.org（需购买）；中文版：GB/T 22080-2022
信息安全	NIST Cybersecurity Framework 2.0	nist.gov/cyberframework（免费下载）
信息安全	NIST SP 800-161r1 C-SCRM指南	csrc.nist.gov/publications（免费下载）
信息安全	IEC 62443系列（OT安全）	iec.ch（需购买）；部分免费预览
漏洞情报	NVD（美国国家漏洞数据库）	nvd.nist.gov（免费，实时更新）
漏洞情报	CNNVD（中国国家信息安全漏洞库）	cnnvd.org.cn（免费，中文）
数据合规	PIPL全文及配套规则	npc.gov.cn；工业和信息化部官网
数据合规	个人信息出境标准合同（中国版SCC）	国家互联网信息办公室官网（pipl.gov.cn）
数据合规	EU GDPR官方文本及指南	gdpr.eu；EDPB官网（edpb.europa.eu）
供应链安全	CISA供应链风险管理资源	cisa.gov/scrm（免费）
SBOM工具	CycloneDX（OWASP项目）	cyclonedx.org（开源免费）
SBOM工具	SPDX规范（Linux基金会）	spdx.dev（开源免费）

附录D　缩略词表

本指南中的缩略词与《名词解释与缩略词索引——供应链尽责管理系列》保持一致，以下仅列示本指南专有或频繁出现的安全类缩略词：

缩略词	英文全称	中文含义
AEO	Authorized Economic Operator	授权经济经营者
APT	Advanced Persistent Threat	高级持续性威胁
BCM/BCP	Business Continuity Management/Plan	业务连续性管理/计划
CASB	Cloud Access Security Broker	云访问安全代理
C-TPAT	Customs-Trade Partnership Against Terrorism	海关-贸易伙伴反恐计划
CVE	Common Vulnerabilities and Exposures	通用漏洞披露
CVSS	Common Vulnerability Scoring System	通用漏洞评分系统
DPA	Data Processing Agreement	数据处理协议
DSL	Data Security Law (China)	数据安全法（中国）
EDR	Endpoint Detection and Response	端点检测与响应
GDPR	General Data Protection Regulation (EU)	通用数据保护条例（欧盟）
IAM	Identity and Access Management	身份与访问管理
ICS/SCADA	Industrial Control System / Supervisory Control and Data Acquisition	工业控制系统/数据采集与监控系统
ISMS	Information Security Management System	信息安全管理体系
MFA	Multi-Factor Authentication	多因素认证
MLPS	Multi-Level Protection Scheme (等保)	网络安全等级保护
NIS2	Network and Information Security Directive 2 (EU)	网络与信息安全指令第2版（欧盟）
NIST CSF	NIST Cybersecurity Framework	NIST网络安全框架
OT	Operational Technology	操作技术（工控/自动化）
PIPL	Personal Information Protection Law (China)	个人信息保护法（中国）
PQC	Post-Quantum Cryptography	后量子密码学
RCE	Remote Code Execution	远程代码执行
SBOM	Software Bill of Materials	软件物料清单
SCC	Standard Contractual Clauses	标准合同条款
SIEM	Security Information and Event Management	安全信息与事件管理
TAPA	Transported Asset Protection Association	运输资产保护协会
TISAX	Trusted Information Security Assessment Exchange	可信信息安全评估交换
TPCRM	Third-Party Cyber Risk Management	第三方网络风险管理
VPN	Virtual Private Network	虚拟专用网络
XDR	Extended Detection and Response	扩展检测与响应

本指南是《供应链尽责管理系列》的组成部分，与以下六本指南配套使用：

• 《供应链尽职调查实操指南》
• 《社会责任审核指南》
• 《环境合规审核指南》《供应链安全、网络与数据合规审核指南》《知识产权保护与防伪打假指南》《商业道德、反贿赂与财务韧性指南》《名词解释与缩略词索引——供应链尽责管理系列》 2025年版，2026年更新 | 供应链尽责管理系列

---

本指南配套模板

直接可用的模板文件

以下模板与本指南内容直接对应，可在供应链安全与数据合规工作中直接使用：

模板	适用本指南场景
供应商行为准则（SCoC）§4 信息安全条款	供应商准入；合同附件
供应商自评问卷 E节（信息安全）	年度安全评估
审核前文件请求清单 三（安全与数据合规）	现场审核前30天发出
访谈问题库：IT安全访谈	现场审核当天
整改行动计划（CAP）	审核后发现项整改

---

用 AI 生成定制化供应链安全文件

🤖 AI 提示词快速入门

将以下提示词粘贴至 Claude、ChatGPT 或其他 AI，快速生成安全合规文件初稿。

生成安全 SAQ：

你是一名供应链安全与反恐合规专家。请为一家[行业]制造商生成安全自评问卷，
涵盖：人员安全（背景核查、门禁）、货物安全（集装箱封条/ISO 17712 H级）、
实体安全（CCTV、围界、照明）、网络安全（CMMC/NIS2要求）、C-TPAT/AEO合规。
每题附：适用标准（C-TPAT MSC v5.0/ISO 28000）、所需证明文件、评分标准。

生成供应链安全政策：

请为一家向美国和欧盟出口的[行业]制造商起草供应链安全政策，
参照C-TPAT最低安全标准v5.0和EU AEO-S要求，
涵盖：风险评估流程、人员安全、货物安全、IT系统访问控制、事件响应。

生成封条管理程序：

请为出口集装箱货物起草一份封条管理标准操作程序（SOP），
要求符合ISO 17712 H级高安全封条标准和C-TPAT要求，
包含：封条领用记录、施封步骤、异常报告流程、记录保存要求。
输出：分步骤SOP，简体中文。

📖 完整提示词库与进阶技巧 → 用 AI 生成定制化合规文件