供应商风险评估：可规模化的外部视角方法

供应商风险评估不应止步于问卷，还需加入无需供应商配合即可采集的外部证据。方法先按数据、系统访问和业务关键性划分三级供应商，再结合问卷、SOC 2 报告与外部扫描（暴露服务、过期证书、SPF/DMARC、泄露凭据、勒索软件泄露站点提及）交叉验证。