目标
引入第三方前应评估其安全与隐私风险。本工作流先确定供应商将访问的数据及其敏感度，审查供应商的安全控制、认证与事件历史并记录控制缺口，对可缓解的缺口施加合同或技术条件后再批准，并按风险与数据敏感度设定复审节奏。
步骤要点
- 确定供应商将访问的数据及敏感度。
- 审查供应商控制、认证与事件历史。
- 对缺口施加合同或技术条件后批准。
- 按风险设定复审节奏。
# track vendor data classification
vendorctl assess --name acme --data pii --tier 1验证
按顺序执行上述步骤后，逐项确认每个步骤的预期状态均已满足；只有全部预期状态成立，才认为本流程完成。若某一步未达到预期状态，应先按排错提示排查，不要跳过继续，以免掩盖问题。
排错提示
- 未评估就引入会隐藏风险。
- 无条件批准会无视可缓解缺口。
- 无复审节奏会让风险漂移。
适用边界
- 需要供应商问卷与数据分级。
- 按敏感度设定复审频率。