供应商集成安全评审工作流

目标

接一根三方线缆等于同时引入两种风险：供应商自身的安全姿态，以及线缆故障的传导。字段级数据分类、最小权限凭据、写下来的影响半径声明把两者都框住；续期时真的做一次退出测试——吊销凭据、确认删除、跑通兜底——逃生路线才不是纸面设计。

步骤要点

1. 分类要流动的数据：逐字段列出集成收发什么并按数据政策分级，出现 PII 或凭据即加深评审深度。
2. 凭据最小权限：发给供应商的凭据精确限定集成职能——尽量只读、webhook 专用密钥、禁止账号级令牌。
3. 评估影响半径：书面推演供应商被攻破、变慢、消失三种情形下我方哪些流程停摆、哪些数据外泄、兜底是什么。
4. 一次性核验其控制、持续监控其姿态：接入时归档 SOC 2 与渗透测试摘要，之后按计划监控其安全信号与事件。
5. 设续期检查点并测退出：每年复审，续期完成前实测退出路径——吊销凭据、确认数据删除响应、验证特性兜底。

排错提示

“订单数据”整包外发把客户记录送出去了，字段级清单会逮住 shipping 里的邮箱与过度精确的 IP；凭据能做集成之外的事是作用域失守，webhook 专用键加 IP 白名单是最小权限的落地形态；续期只重读去年文档等于没测，退出演练才是续期的实质内容。

适用边界

字段级分类需要供应商配合披露其字段语义，不配合本身就是风险信号；退出测试对深度数据双向同步的集成成本高，需为其设计专门的断连演练。

代码示例

integration: fraud-score-vendor (proposed)
data flow (field-level):
  OUT:  order_id, amount_cents, billing_region, ip_prefix
        (no PII direct -- billing_region = coarse)
  IN:   score 0-100, reason codes
credential: webhook-specific key, source IP allowlist
  (cannot read our data, cannot call other endpoints)
blast radius:
  vendor breached: order metadata + coarse region (low)
  vendor slow: checkout adds 1.2s -- fallback: skip score
  vendor dark: manual review queue (documented)
renewal (2027-04): exit test -- revoke key, confirm deletion