Sub-capability · cap-third-party-risk
第三方风险
Third-Party Risk Management
能力说明
评估并持续跟踪服务商、供应商与合作伙伴的风险，覆盖敏感数据、关键平台与合同控制。第三方风险与软件依赖 SCA 的对象不同，不能互相替代。
定义是 OmySec 的编辑性描述，用于建立可比较的边界，不代表标准组织或厂商的官方定义。不同厂商对同一术语的实现范围可能差异很大，具体能力以产品页的来源与条件为准。
包含范围
- 供应商风险评估
- 合同/问卷/持续跟踪
- 敏感数据与关键平台
排除与边界
- 软件依赖 SCA
- 供应链构建安全
- 完整 GRC
相关词（非严格同义）：服务商管理 · 供应商问卷 · 合同风险
定义参考
以下是编辑描述的参考依据，与下方产品声明证据分别记录；引用不表示官方认证或标准定义逐字等价。
- The 18 CIS Critical Security Controls (v8.1) v8.1 · Control 15 服务提供商管理 · 核对 2026-10-18
- ENISA Cybersecurity Market Analysis Framework (ECSMAF) v3.0 ECSMAF v3.0 · 服务与供应链市场分层 · 核对 2026-10-18
分类版本 0.3-draft · 稳定节点，定义随证据修订。