T/CSAC 020-2025 信息与通信技术和服务供应商安全要求

范围:本文件规定了信息与通信技术和服务供应商中六类供应商（系统开发、产品供应、运维服务、集成建设、云服务、数据服务）在管理制度、组织机构和人员、供应活动各环节中的安全能力。 本文件适用于信息与通信技术和服务供应商中六类供应商（系统开发、产品供应、运维服务、集成建设、云服务、数据服务）规范自身的安全能力建设，适用于网络运营者选择供应商或对其进行安全性评价时提供参考，适用于规范供应商供应链安全防护能力，也适用于其他类型的信息与通信技术和服务供应商在开展供应商安全能力建设时参考使用; 主要技术内容:本标准规定了信息与通信技术和服务供应商中六类供应商（系统开发、产品供应、运营运维与安全服务、集成建设、云服务、数据服务）在管理制度、供应活动各环节、对外资产风险、自身服务领域的安全能力要求与评价方法，从供应商通用能力及扩展能力两个纬度展开。其中，供应商通用能力包括供应商管理能力，要求供应商制定供应链安全管理工作的总体方针和安全策略，明确内部安全生产和管理工作的责任部门及相应职责，以及对人员、知识产权、保密等内容和环节的管理要求；供应活动过程能力，要求供应商对安全服务工具、供应链服务产品进行规范化管控，保障通信安全，遵循数据全生命周期相关法律法规，并制定应急预案和应急响应计划；外部风险控制能力，要求供应商制定资产管理规范、舆情管控策略，掌握自身互联网资产的安全状况，进行分类和风险控制。供应商扩展能力则分别对系统开发、产品供应、运营运维与安全服务、集成建设、云服务、数据服务六类供应商在管理制度、供应活动等方面提出安全要求，并根据要求内容形成评价内容、评价方法