如何填写供应商安全问卷：2026 年指南

TL;DR： 供应商安全问卷是买方发送的一套标准化问题，用于在签约前核查供应商的安全与风险状况。要答好这类问卷，先把证据集中到一处，每条回答都简短并与证据对应，然后保存你批准过的答案，这样下次就能更快完成。如果你的应用运行在某个平台上，平台负责回答其基础设施的问题，你负责回答你的应用的问题。

就在交易即将敲定时，一份电子表格从潜在客户的安全团队发了过来：100 行问题，两周内交卷。又或者你是买方，自己的安全审查要等供应商提交答复才能推进。无论哪种情况，你都需要在不拖住交易的前提下完成审查。

安全审查如今已是采购软件的常规环节。一家供应商发生泄露，可能暴露它服务的所有客户，所以买方会在签约前核查供应商。有些买方别无选择，因为 GDPR、HIPAA 和 DORA 等法规要求他们说明供应商如何保护受监管数据。

下面你会看到大多数问卷涵盖的四大主题、回答每个主题所需的证据、起草和审核答复的分步流程、买方如何给你的答复打分，以及当你评估的对象是无代码平台时该如何获得答案。

什么是供应商安全问卷？

供应商安全问卷是买方发送的一份标准化问题清单，用于在接入供应商之前核查其网络安全控制措施。它还会深入考察你的 数据保护实践，以便买方判断你是否值得承担风险。这是买方让你留下书面记录的方式，说明你将如何保障他们的数据安全，以及一旦出问题你会怎么做。

它通常来自买方的安全或采购团队，由你的安全、工程和法务团队作答。请认真对待。你的回答往往会写进合同，一句轻率的“是”可能变成你必须兑现的承诺。

大多数问卷采用以下格式之一：

• SIG（标准化信息收集）：Shared Assessments 出品的一份详细问卷，涵盖安全、隐私和业务韧性。它的问题与下表中的许多标准和法规相对应，因此一套答案就能同时向买方展示你在多项标准下的表现。
• CAIQ（共识评估倡议问卷）：Cloud Security Alliance 面向云和 SaaS 供应商的问卷。供应商填写它用于 CSA STAR（安全、信任、保证与风险）一级自我评估，有些买方也会把填好的问卷作为尽职调查材料的一部分。
• VSA 问卷：Vendor Security Alliance 提供的免费问卷（VSA-Core 和 VSA-Full）。没有自有模板的中小买方通常从这里开始。
• 定制问卷：买方围绕自身风险承受能力搭建的电子表格或门户表单。这类问卷耗时更长，因为其措辞往往与你已有的答案对不上。

问卷常与需求提案（RFP）一同出现，但两者问的不是一回事。RFP 想知道你会交付什么、要花多少钱。问卷想知道你会如何保护买方的数据。

问卷的长度取决于你带来的风险有多大。如果你会存储敏感记录，那么相比从不接触客户数据的供应商，你预期会收到一份长得多的表单。

供应商安全问卷包含哪些问题？

措辞因买方而异，但大多数问卷都会深入考察你安全态势（你对系统和数据的整体保护程度）的相同四个方面。在下面每一部分中，你会看到审查方会问什么，以及能回答这些问题的证据。可以把它当作你的证据地图。

合规与认证问题

买方希望有独立第三方检查过你安全性的证明，因此会期待看到关于他们所关注的标准和法规的问题。下面介绍每一项是什么以及何时适用。

SOC 2 报告涵盖一段固定的时间，因此在该期间结束与买方审查你之间往往存在时间差。买方通常会要求一封桥接函来填补这一空档。这是来自你管理层（而非审计师）的一封简短说明，确认自报告期结束以来没有发生重大变化。

需要提供的证据：

• 你的 SOC 2 报告（通常仅在保密协议 (NDA) 下共享）或 ISO 27001 证书
• 桥接函，如果你上一个 SOC 2 期间已结束一段时间
• 证明你如何遵守 GDPR 和 HIPAA 等法律的政策
• 已签署的协议，如数据处理协议 (DPA) 或 BAA

访问控制与数据保护问题

买方想知道谁能进入你的系统以及如何进入。会期待看到关于多因素认证 (MFA) 的问题，它在登录时增加第二重验证，比如发送到你手机的验证码。你还会被问到单点登录 (SSO)，它让员工通过 SAML 或 OIDC 等标准使用一个公司账号登录。

审阅者会问你的团队中谁能看到客户数据，以及人员是否只获得工作所需的访问权限（即最小权限原则）。大多数团队通过基于角色的访问控制来处理这个问题。

接下来是加密方面的问题：传输中和静态数据的加密、密钥管理方式，以及数据保留时长。

需要提供的证据：

• 访问控制和加密策略的节选
• SSO 或身份提供商（IdP）配置的截图
• 数据保留与删除策略

事件响应与业务连续性问题

每家公司迟早都会遇到糟糕的一天，问卷的这一部分就是关于你的那一天。审阅者希望看到正式的事件响应计划、你告知客户数据泄露的速度，以及你测试备份和灾难恢复计划的频率。

他们会问及渗透测试（经授权的模拟攻击，在攻击者之前发现薄弱环节）以及你如何记录和监控活动。

需要提供的证据：

• 事件响应摘要
• 近期的渗透测试或漏洞扫描摘要
• 备份恢复测试记录
• 灾难恢复计划

第三方与子处理器问题

买方还想知道还有谁会接触他们的数据，首先是你的子处理器（即你引入来处理客户个人数据的第三方，如云托管商或邮件服务商）。审阅者会问你使用了哪些子处理器、它们位于何处，以及你如何审核它们。

他们通常会要求提供你的 DPA（数据处理协议），其中规定了你处理个人数据的规则，有时还会要求对你进行控制审计的权利。

需要提供的证据：

• 最新的子处理器清单
• 你的 DPA

如何一步步回答供应商安全问卷？

按顺序完成这些步骤。上面的证据对照表会告诉你哪些文档对应哪些答案。

确认范围、负责人和截止日期

在回答任何问题之前，先通读整份问卷，确认哪些产品和数据实际在范围内。使用你其中一款产品的买方不需要其他产品的答案。同时注意格式和截止日期。

然后分工：工程团队负责加密，IT 负责访问权限，法务负责 DPA，依此类推。尽早提出澄清问题，比如“员工”是否包括你的承包商。现在猜测通常意味着以后要重写。

把证据集中到一处

把所有内容放在一个带版本历史的共享文件夹里：你的 SOC 2 报告或 ISO 27001 证书、策略、测试摘要、子处理器清单和系统架构图。给每个文件清晰的标题和日期，让审阅者能判断其时效性。每条答案指向的文件越具体，你收到的后续邮件就越少。

起草准确、诚实的答案

每条答案都以明确的“是”或“否”开头，补充一句背景说明，然后指向证据。并且在每份问卷中用同样的方式描述每项安全控制（如 MFA 或加密），因为没有什么比两处答案不一致更能拖慢审核了。

如果某个问题不适用，就写“不适用”并简要说明原因。如果你不满足某项要求，就解释你的补偿性控制（即覆盖同一风险的另一种保障措施）。

AI 工具可以从你过去已批准的答案中生成初稿，这对重复出现的问题很有帮助。但要确保了解系统的人在答案发出前进行审核。

审核、提交，并保存到你的响应库

在点击提交之前，把你的答案、政策和图表并排读一遍，确保它们讲述的是同一个故事。附上标注清晰的文件，并记录任何后续问题，为每个问题指定负责人。

然后把所有内容保存到响应库（一个共享的已批准答案和证据集合）。下次再收到问卷时，你就可以从已经批准的答案开始，而不是从空白表格开始。

💡

实用提示： 建立一个信任中心页面，展示你的合规状态、子处理方列表，以及申请获取 SOC 2 报告的方式。很多买家在发送完整问卷之前，会先在那里找到他们最初问题的答案。

买家如何评估供应商问卷答案？

对买家来说，你的问卷是第三方风险管理（跟踪来自供应商的风险）的一部分。审核人员会将每个答案与你的证据进行核对，并评估你带来的风险是否在他们可接受的范围内。

统计“是”的答案只是第一轮筛选。以下是他们接下来会关注的内容，这样你就能预判后续问题：

• 风险分级：买家先看固有风险（你将接触到的数据和访问权限），然后评估在你的控制措施到位后还剩多少风险。薪资供应商的初始风险就比设计工具高。
• 证据胜过描述：一份有日期的审计报告（比如你的 SOC 2 报告）胜过一段关于安全文化的描述。尽可能附上证明材料。
• 必备项与加分项：对许多买家来说，缺少 MFA 这样的控制措施是一票否决项，而其他差距则根据他们的政策以及你将接触的数据量，被记录为较低风险的问题。如果你不确定哪些是必备项，直接问买家。
• 情景问题：买家可能会让你描述一个具体场景，比如一名客服人员需要临时访问客户数据。他们想看到你的政策在文件之外也能经得起考验。

审核人员还会留意危险信号，比如含糊其辞的答案、相互矛盾的文件，或者没有证据支持你的说法。由于大多数公司只在签署保密协议（NDA）后才分享 SOC 2 报告，一份公开摘要（称为 SOC 3 报告）或你的信任中心文档可以在文件签署前为你提供支持。

审核也不会在签订合同后就结束。许多买家会在 Secureframe 或 OneTrust 等第三方风险管理平台中跟踪供应商，你很可能在续约时或添加新的子处理方时被重新评估。

无代码平台能完成供应商安全问卷吗？

通常可以。成熟的无代码平台通常会通过信任中心、安全页面或销售团队分享安全文档、合规报告（如 SOC 2 Type II 报告）以及标准问卷的答案，有时需要签署保密协议（NDA）。

而且，如果你的应用本身运行在某个平台上，你就不会独自回答客户的问卷。

平台回答什么，你回答什么

这通过所谓的共享责任模型来实现。平台负责其拥有的基础设施和控制，而你负责应用的搭建和运行方式。

• 平台负责：托管、加密、数据中心安全、其自身员工的访问权限，以及其自身的子处理器。对于这些问题，请指向其 SOC 2 报告。
• 你负责：谁可以查看你应用中的哪些数据、谁拥有管理员权限，以及你自己的政策和事件处理流程。这些取决于你如何搭建应用。

假设你的一家企业客户向你发送了一份问卷。你对基础设施问题的回答指向你平台的 SOC 2 报告，而你对数据访问的回答则描述了你所设置的权限。

如何向无代码平台索取答案

1. 找到平台的安全或信任页面。
2. 索取其 SOC 2 Type II 报告，如果平台要求，签署保密协议（NDA）。
3. 发送你的问卷，并询问平台已有哪些现成材料，例如 SOC 2 报告、安全文档或已完成的 CAIQ。
4. 索取子处理器列表和 DPA（数据处理协议）。
5. 检查哪些安全功能取决于你的套餐，例如 SSO、安全检查和备份保留。

如果某个平台无法分享其 SOC 2 报告或等效材料，或者在你询问数据访问时含糊其辞，请进一步留意。

Bubble 如何回答常见的问卷部分

在 Bubble 中，你可以查看并更改应用中的每个工作流、数据类型和隐私规则。在共享责任划分中，我们负责基础设施和平台级安全，你负责应用的搭建。因为逻辑就呈现在屏幕上，你团队中的任何人都可以向审核者准确解释谁可以看到什么。

如果你的应用是基于 Bubble 构建的，而客户向你发送了一份问卷，请明确哪些部分属于你的责任。安全仪表盘会标记常见问题，但在发布前，你团队中仍应有人 审查应用的安全性。而且由于隐私规则由你设置，关于数据访问的问题也需由你来回答。

Bubble 应用运行在我们的托管基础设施上，无法自行托管，因此如果问卷问到，如实说明即可。如果你需要对托管有更多控制权，Enterprise 方案中的专属实例可让你选择托管区域、获取静态 IP 并设置自定义 Cloudflare 配置。

多年来，各组织一直在让 Bubble 应用接受安全审查：

• Seagate：在 Seagate 构建的 Bubble 应用通过了该公司的安全审查。
• Hive Health：这家受监管的健康保险公司将其面向企业的健康计划应用运行在配备静态 IP 和自定义 Cloudflare 策略的专属 Enterprise 服务器上。

自信地回答下一份供应商安全问卷

供应商安全问卷看起来可能像一堵问题之墙，但归根结底只涉及四个主题：合规性、访问控制、事件响应和第三方。在开始作答前，先为每个主题收集证据，只回答你有依据的内容，这样你的审查过程会快得多。

如果你是买方，应要求提供证据而非描述。当供应商是一个平台时，利用共同责任划分来明确哪些答案由平台负责，哪些由构建者负责。

无论你处于哪一方，本周就开始建立一个应答库。你的下一份问卷将从已批准的答案开始，而不是从空白页开始。

如果你的客户会审查你正在构建的应用，那么你所使用的构建平台就很重要。Bubble 是一款完全可视化的应用构建器，任何人都能构建软件、理解其每个部分并控制每个细节，无需编写代码。这包括你的隐私规则，因此当客户询问其数据如何受到保护时，你可以准确地向他们展示谁可以访问这些数据。

你所使用的平台还符合 SOC 2 Type II 标准，并配备安全仪表盘，可在你发布前标记常见问题。

常见问题

供应商安全问卷与供应商风险评估有何区别？

供应商安全问卷是供应商风险评估中的一个工具，而供应商风险评估是一个更大的流程，用于对供应商的风险进行评分和持续跟踪。该评估会将你的回答与你的证据以及买方的风险承受能力进行权衡。

SOC 2 Type II 与 SOC 2 认证是一回事吗？

不是。SOC 2 产生的是独立的鉴证报告而非证书，因此准确的表述是：某供应商拥有 SOC 2 Type II 报告或符合 SOC 2 Type II 标准。

初创公司没有自己的 SOC 2 报告，能否回答供应商安全问卷？

有时可以。对于基础设施相关的问题，一些买方会接受你所用托管平台的 SOC 2 报告，前提是你将其与明确的政策、对仍在进行中的事项的诚实回答以及你已有的补偿性控制措施结合起来。

供应商安全问卷应多久审查或更新一次？

每当政策、子处理器或安全控制发生变化时，都要更新你保存的答案，并至少每年审查一次。买方通常会在合同续签时要求你再次确认答案。