從國內企業系統存取權限販售事件，重新檢視第三方供應商風險管理

這陣子地下論壇販售多家公司之系統存取權限消息曝光後，許多人第一時間做的事，就是確認自家公司有沒有出現在名單中，公司資安團隊也開始檢視近期是否有異常登入紀錄，管理階層則希望盡快了解事件是否會對營運造成影響。

當然，這些都是事件發生後必要的應變措施。

如果確認完公司並未出現在名單上，多數公司大概會認為事件與自己沒有直接關聯，後續工作也逐漸回到正常軌道中。

一、名單比對完成後，還要確認什麼？

不過，從企業管理的角度來看，這次事件需要去盤點的，其實不應該只有自己的資訊環境。

近年來，公司的資訊系統早已不是完全由內部來建置與維護。一套核心系統的背後，往往同時涉及系統整合商、軟體開發商、雲端服務供應商、設備維護廠商，以及各種提供技術支援的委外團隊。為了能夠即時提供服務，部分合作廠商便可能需要公司開放遠端連線功能、系統管理權限等功能。

換句話說，公司實際在運作的資訊環境，早已延伸至許多第三方合作廠商。

因此，從這議題來看，公司如果只是確認自己有沒有在名單，可能還要再思考更深層的另一個問題，那就是公司的合作廠商有沒有上榜？

如果受影響的是公司的系統維護廠商，公司知道目前有哪些系統仍由該廠商負責管理？哪些遠端連線還沒關閉？哪些管理者帳號仍由第三方供應商持有？哪些重要資料可能透過服務進行交換？

如果受影響的是雲端服務供應商，公司能不能快速掌握哪些營運流程會受到影響？哪些服務可以立即切換？哪些風險需要優先處理？

這些問題看似與資訊安全有關，其實實際上反映的是公司對第三方供應商的掌握程度。

二、企業的資訊環境已延伸至第三方供應商

許多公司都有供應商清單，也建立了採購、合約及委外管理制度，但當事件發生時，單靠供應商清單可能沒辦法解決全部的問題，對於管理者來說，公司與第三方供應商之間的合作標的、服務內容等，我想才是更重要的事情。

• 哪些第三方供應商可以登入公司系統？
• 哪些第三方供應商持有公司資料？
• 哪些第三方供應商有參與核心營運流程？
• 哪些第三方供應商擁有特權帳號？
• 哪些第三方供應商一旦中斷服務，就可能直接影響公司營運？

這些資訊通常分散在IT、採購、法務、營運等不同單位。平時各自管理時是沒有問題，但當公司需要快速判斷事件影響範圍時，這些必有資訊整合起來，才能描繪出完整的第三方供應商風險輪廓。這也是近年第三方供應商風險管理逐漸受到企業重視的原因。

三、供應商清單不足以說明風險關係

第三方供應商風險管理討論的，除了供應商是否可靠、合約是否完善，還需要了解公司與對方之間建立了哪些連結，以及這些連結可能在什麼情境下形成風險曝險。

因為同一家供應商可能同時擁有公司資料、負責系統維運，並參與重要營運流程。當然，也有可能只提供一般服務，與公司的資訊環境沒有直接連結。這兩者對企業形成的風險並不相同，所需要的管理方式也不會一樣。

如果只依照供應商類別、合約金額或公司規模進行管理，可能無法反映第三方供應商實際形成的風險。企業仍需要進一步了解，第三方供應商係透過哪些方式與公司連結，以及相關事件可能影響哪些系統、資料與營運活動。

四、FAIR-TAM如何協助企業比較第三方風險

FAIR Institute 提出的 FAIR Third-Party Assessment Model（FAIR-TAM），正是建立在這樣的管理需求之上。

FAIR-TAM可參考FAIR官方網站：https://www.fairinstitute.org/fair-third-party-assessment-model

FAIR-TAM 延續 FAIR的分析理念，將焦點放在公司與第三方供應商之間的風險關係。這套框架不是將所有供應商都視為相同的管理對象，而是先盤點雙方之間的實際連結，例如是否具有系統存取權限、是否持有敏感資料、是否參與重要營運流程、是否負責關鍵系統維運，以及服務中斷可能造成哪些營運影響。

在建立這些關係之後，FAIR-TAM 再透過風險情境分析，評估不同第三方供應商在特定事件下，可能造成的損失頻率與損失程度，協助公司比較不同第三方供應商的風險曝險，而不是依照廠商規模、合約金額或管理經驗進行判斷。對管理者而言，FAIR-TAM提供了一套可以排序風險、配置管理資源與協助決策的方法。

五、管理者需要掌握哪些資訊

因此，回到這次事件，公司仍可以繼續確認以下幾項資訊，便是重新檢視企業是否有掌握第三方供應商所形成的風險曝險。

• 公司是否能夠快速盤點具有系統存取權限的合作廠商？
• 是否知道哪些第三方供應商持有重要資料？
• 是否清楚哪些外部服務為核心營運的一部分？
• 是否具備足夠的資訊，來判斷不同第三方供應商風險之間的優先順序？

當然，這些問題未必只會出現在這一次事件。

隨著企業持續採用雲端服務、委外維運及數位合作模式，企業與第三方供應商之間的連結只會愈來愈多，也愈來愈複雜。對管理者而言，必須要深入盤點整個由內部系統、外部服務與合作廠商共同形成的營運生態，以及公司是否具備足夠的管理資訊，在事件發生時做出適當的風險判斷與資源配置。

本文轉載自作者LinkedIn ISO 31000 與風險量化的整合應用

相關文章

• 

  超越控制清單的思維：讓 TPRM 回到風險管理的本質

  2025-11-07

  在許多企業中，第三方風險管理（Third-Party Risk Management, TPRM）經常被簡化為核對 ISO 27001 控制清單、蒐集佐證與填寫問卷。這些活動能提升基本衛生（cyber hygiene），但若只停留在「是否合規」而非「風險結果」，往往難以反映第三方事件對營運、聲譽與財務的真實影響。英國國家網路安全中心（NCSC）就強調，供應鏈安全需要可重複、以風險為本的管理方法，不是單一證照即可一勞永逸。ISO 27001 作為管理系統標準，對第三方管理提出政策、合約要求與監督機制（2022 版附錄A），能提供有用的框架；但是否取得認證，並不等於對方風險可忽略，仍需持續風險評估與監控。同時，最新的監管趨勢更把「第三方」視為公司必須揭露與治理的核心風險面：美國 SEC最終規則明確指出，即使事件發生在第三方系統上，只要對公司具「重大性」，仍須揭露其網路風險管理與事件影響；重點在影響而非資產所有權。這再次說明僅憑供應商合規聲明不足以回應治理需求。從實務數據看，第三方與供應鏈事件正快速放大。NCSC連續的供應鏈指南與「供應鏈盤點（mapping）」做法，皆要求組織了解完整供應網、設定最低要求、並以風險導向持續改善。世界經濟論壇亦呼籲企業從「合規導向」轉向「風險導向」的框架，而非把安全寄託在單點的產品/證照認證上。成本面同樣有壓力：IBM × Ponemon《2024 年資料外洩成本報告》顯示，全球平均外洩成本攀至 US$4.88M，且供應鏈帶來的中斷與擴散效應正在推高整體衝擊，這也解釋了為何董事會與高管正把第三方風險納入核心治理議題。 TPRM 的核心，不是合規，而是風險風險管理的出發點，不在於證明「控制存在」，而在於回答：「若供應商出問題，對我們的營運、財務與聲譽意味著什麼？」NIST SP 800-161（供應鏈網安風險管理）明確要求把供應鏈風險整合進企業的整體風險管理流程，以策略、政策、評估與監測的多層次方式執行。 從控制清單走向決策支援：四個關鍵轉變事件與供應鏈資料化建立第三方事件與弱點的資料庫與「供應鏈地圖」，辨識高風險供應商與高頻重演問題（不只問卷，而是證據）。導入根因分析與合約化控制把 RCA 與最低安全要求「寫進合約、納入生命週期管理」，並以稽核/測試驗證，不停留在自陳與紙本。採用量化方法（例如 FAIR）以發生頻率 × 損失規模來排序治理優先級與預算配置，將「控制對照」轉化為「商業影響與決策後果」（便於向 CFO/董事會說明）。（治理與監管趨勢亦要求揭露風險管理策略與重大事件影響。）用治理機制確保持續改進建立中央或聯邦式治理模型，打通採購、法務、資安與營運資料；Gartner 指出，多數企業正往集中或聯邦治理靠攏，以改善資訊共享與一致性。結語：讓風險管理成為價值對話沒有真正的風險管理，就沒有數位韌性。當 TPRM 的語言從「控制清單」轉為「商業影響與決策後果」，治理便不再只是合規成本，而是資源配置與信任建設的依據。這也是各國框架與監管（NIST、NCSC、SEC）正在要求的方向——以風險為本、證據導向、持續監測。