IT服務商的第三方風險：買方與服務商各自該做甚麼

簡短回答： 是的——您的IT服務商是您攻擊面的一部分，因為它持有進入您系統的特權訪問。Verizon《2026年數據泄露調查報告》（Data Breach Investigations Report，DBIR）發現，48%的數據泄露涉及第三方，上一年為30%。一份政府聯合通告（AA22-131A）明確了買方應當要求什麼：MFA、最小權限、日誌、供應鏈披露以及合約約定的事件通知。

大多數安全評審都從公司自己運行的東西入手：自己的手提電腦、網絡和雲帳戶。它們把IT服務商當作位於這幅圖景之外的一項服務。本報告的觀點恰恰相反。管理型IT服務商是您環境中特權最高的各方之一。它通常能夠觸及您的管理員帳戶、終端管理控制台、備份和遠程訪問工具。無論服務商內部用什麼來保護這些東西，實際上都是您安全邊界的一部分。

這一點在雙向上都成立。服務商自身有風險敞口，因為一個被攻陷的管理工具可以同時波及許多客戶。買方也有自己的敞口，因為合約中如果對通知、訪問權限撤銷或分包商隻字未提，買方就會在最糟糕的時刻才發現服務商的薄弱環節。

本報告梳理政府指引、具名的數據泄露數據以及美國披露規則對這種關係究竟說了什麼，以及買方和服務商各自應當如何應對。它是我們關於網絡安全事件成本上升研究的姊妹篇——那篇研究關注一次事件要付出多少成本。本文提出另一個問題：服務商這層關係本身是如何成為入侵路徑的。

利益披露。 Brocent是一家管理型IT服務商，因此我們處於本報告所審視的合約的服務商一方，並且我們出售的服務能夠應對文中所述的部分風險。我們處理這一利益衝突的方式是：每一項論斷都以具名的一手來源為依據，將我們自己的觀察標明為我們的觀察，並把買方清單寫成買方既可以用來衡量其他任何服務商、也同樣可以用來衡量我們的工具。

主要發現

第三方參與數據泄露的比例大幅攀升。 Verizon《2026年DBIR》於2026年5月19日發佈，涵蓋2024年11月1日至2025年10月31日的事件，報告稱48%的數據泄露涉及第三方，上一版為30%。Verizon稱這一增幅為60%，且是“在上一年已經翻倍之後”。
這一數字並非只針對MSP。 Verizon的第三方指標合併了三類關係：軟件供應鏈中的供應商、託管您數據的供應商，以及與您的環境存在連接的供應商。管理型IT服務商可以歸入第三類，往往也屬於第二類。它並非這個數字的全部。
各國政府早已明確買方應當要求什麼。 聯合通告AA22-131A由美國、英國、澳大利亞、加拿大和新西蘭的機構於2022年5月11日發佈，針對MSP客戶和MSP分別列出了具體行動。我們核查後只發現一個版本，沒有修訂，也沒有被取代的通知。
常見根因是基礎問題。 Verizon將2025年的許多第三方事件追溯到缺失多因素認證、憑據輪換不當或權限過大，而不是什麼高深的技術手段。
修復第三方的風險敞口很慢。 在Verizon從一家第三方風險管理研究合作伙伴處獲得的數據集中，第三方雲MFA風險敞口的50%留存點約為一個月，只有23%的第三方組織已完全修復。對於密碼和權限過大的風險敞口，修復用了將近八個月，完全修復的比例為31%。
監管底線在抬高，但約束的是買方。 美國上市公司現在必須在認定重大網絡事件為重大之後的四個工作日內予以披露。這一規則約束的是註冊人，而不是它的服務商，這正是必須把通知時限寫入合約的原因。
對於有多少MSP遭到入侵、有多少MSP未達到通告要求，我們沒有可引用的公開數字。 我們查找過，但沒有找到經得起推敲的來源。我們關於香港和新加坡買方提問的論述，是Brocent自身的定性觀察，並已如此標明。

為什麼特權訪問使每個服務商都成為共享風險面

管理型IT服務商之所以有用，是因為它能夠代表您辦事。它可以重置密碼、向每檯手提電腦推送補丁、恢復郵箱、在服務器上打開遠程會話、修改防火牆規則。這些能力中的每一項都是一種特權訪問，而且無論當下有沒有人在使用，它們都一直存在。

有三個特性使這種訪問不同於普通的供應商關係。

範圍廣。 在目錄服務中擁有管理權限的服務台技術人員，可以影響其中的每一個帳戶。部署在每個終端上的遠程管理代理，可以在每個終端上運行命令。
長期存在。 這種訪問是常駐訪問，而不是一次性的上門服務。帳戶、代理和遠程訪問鏈路在工單之間依然保留，這意味著它們在工單之間也可能被濫用。
共享。 服務商的工具通常是多租戶的。同一個平台，往往還有同一批運維帳戶，服務於許多客戶。因此，服務商工具一旦被攻陷，就有可能波及通過它可達的每一個客戶。

最後一點使服務商成為一類獨特的風險。一家把自身安全做好了的公司，仍然可能通過一個其控制措施它看不到的一方而暴露。這就是第三方網絡風險的基本邏輯，也是必須從合約雙方同時提出同一個問題的原因：服務商為保護其持有的訪問權限做了什麼，買方又為限制這種訪問所能觸及的範圍做了什麼？

政府聯合通告究竟要求買方提出什麼要求

關於這一主題，最有用的單一文件出自政府。通告AA22-131A《防範針對管理型服務提供商及其客戶的網絡威脅》（Protecting Against Cyber Threats to Managed Service Providers and their Customers）於2022年5月11日發佈。它由美國網絡安全和基礎設施安全局（CISA）、美國國家安全局（NSA）和FBI聯合發佈，並由英國國家網絡安全中心、澳大利亞網絡安全中心、加拿大網絡安全中心和新西蘭國家網絡安全中心共同署名。

在撰寫本報告當天，我們打開了該通告頁面。其修訂日誌只有一條記錄，即“May 11, 2022: Initial version”，頁面上也沒有任何說明它已被取代的通知。它仍然是參考文本。同時它也已有數年之久，因此我們引用它是為了其中提出的控制措施要求，而不是為了對當前的威脅活動作任何論斷。

該通告由兩份並行的建議行動清單組成：一份面向MSP客戶，一份面向MSP。把客戶清單當作買方的合約檢查清單來讀，是瞭解它要求什麼的最快方式。按通告自己的說法，客戶的主要行動如下。

強制執行多因素認證。 對您所接受的服務以及所有訪問您環境的MSP帳戶要求啓用MFA，並檢查MFA配置中的“故障放行”（fail open）和重新註冊方面的薄弱環節。
實施最小權限。 確保服務商在其自身環境和您的環境中都實施最小權限，使MSP帳戶只能訪問MSP實際管理的資源。
隔離連接。 為MSP訪問使用專用的安全連接，並將服務商的流量限制在該連接內。合約應當禁止在不同客戶之間複用管理員憑據。
保留日誌並要求可見性。 關鍵日誌至少保留六個月。服務商監控您的系統時，合約應當要求全面的事件監控、對服務商自身活動的可見性，以及對疑似事件的通知。
撤銷不再需要的訪問。 當服務商不再管理基礎設施時，禁用其帳戶；合約終止時這一步很容易被忽略。不要把服務商帳戶分配到您內部的管理員組中。
瞭解服務商的供應鏈。 瞭解服務商依賴哪些供應商和分包商，以及它們對您的網絡和數據擁有什麼訪問權限。合約應當寫明由哪一方負責加固、檢測和事件響應。
明確通知。 合約應當規定服務商以何種方式、在何時向您通報事件。
為恢復做好規劃。 要求對關鍵數據和配置進行自動、持續的備份，這些備份應易於取回或採用物理隔離保存，並定期測試響應和恢復計劃。

通告還列出了三項概括性的戰術行動。它們是整份文件的最簡版本：識別並禁用不再使用的帳戶，對訪問客戶環境的服務商帳戶強制執行MFA，並確保合約清楚寫明由誰承擔ICT安全的角色和職責。

對大多數控制措施，通告都為服務商和客戶分別列出了相對應的行動，包括將任何有權訪問客戶環境的帳戶視為特權帳戶，以及不在不同客戶之間複用管理員憑據。因此，買方提出這些要求並不是非同尋常的訴求；它要求服務商達到的，是七個國家的機構共同發佈的、公開的期望標準。

具名數據泄露數據顯示的第三方參與情況

關於這一問題，最廣為人知的統計來源是Verizon每年發佈的數據泄露調查報告。由於第三方這一數字經常在不註明版本的情況下被引用，我們每次都會寫明版本，並且不混用不同版本的數字。

2026年版

Verizon的《2026年DBIR》於2026年5月19日發佈，涵蓋的是2024年11月1日至2025年10月31日的事件。報告稱，它分析了超過31,000起真實世界的安全事件，其中超過22,000起是經確認的數據泄露，涉及145個國家的組織。關於第三方，報告指出：

48%的數據泄露涉及第三方，“高於去年的30%”，報告稱這是60%的增幅，且是“在上一年已經翻倍之後”。
該指標涵蓋三種關係類型。 一是處於組織軟件供應鏈中的供應商；二是在自身環境中託管組織數據的供應商；三是與組織環境存在連接的供應商，無論是實際的網絡連接，還是供應商所持有的憑據。
每種類型都給出了具名的公開案例。 Verizon以SolarWinds作為軟件供應鏈的例子，以與Snowflake相關的一場攻擊行動作為託管數據情形的例子，以Target數據泄露中通往某供應商的網絡連接作為連接型供應商的例子，並以涉及Salesloft Drift應用和被盜OAuth令牌的一場攻擊行動作為兩種類型疊加的例子。Verizon稱這些來自公開披露的信息，而不是它自己的調查。
根因大多是基礎問題。 Verizon表示，2025年媒體重點報道的雲端第三方事件中，相當一部分“歸根結底是不安全的身份認證（缺少MFA、憑據輪換不當）或未能落實最小權限”。

2025年版基於超過22,000起事件（包括12,195起經確認的數據泄露），報告的第三方參與比例為30%，2026年報告將其視為再前一版的兩倍。我們將每個數字都作為各自版本的數字來引用，因為不同數據集在規模和構成上有所不同。

如何解讀這個數字

像48%這樣的數字容易被誤用，因此有三點限制值得明確說明。

它是參與，而不是歸責。 第三方參與其中，並不意味著該第三方存在疏忽，也不意味著它是原因。它意味著該第三方是入侵路徑的一部分，或是數據所在之處。
它並非專指IT服務商。 該指標包括軟件供應商、SaaS平台和託管數據的保管方。管理型IT服務商是第三種類型的一個實例，有時也屬於第二種。我們沒有找到單獨列出MSP的Verizon數字，也不提供這樣的數字。
它不是隨機樣本。 DBIR取材於貢獻數據的各組織的案例，Verizon也指出部分區域規律反映的是誰在貢獻數據。它是方向和機制的有力指示，而不是普查。

區域數據補充了什麼，沒有補充什麼

2026年報告的區域彙總表顯示，亞太地區有5,229起事件，其中2,855起為經確認的數據泄露，並列出在其數據集中亞太地區數據泄露的第三方參與比例為69%。我們報告這個數字，是因為香港和新加坡的讀者會去找它，但我們並不倚重它。Verizon表示，部分亞太地區差異反映的是誰在貢獻數據（它針對的是黑客攻擊、惡意軟件和國家背景活動這幾項發現），而且亞太這一分組遠比香港或新加坡寬泛。報告中沒有任何內容單獨衡量這兩個市場。站得住腳的解讀是：第三方模式並不侷限於北美和歐洲，而不是說一家香港企業遇到任何事情的概率是69%。

修復緩慢的發現

2026年報告中較為有用的結果之一，來自一家專注於第三方網絡風險管理的新研究合作伙伴所提供的數據集。它衡量了第三方雲環境中的風險敞口需要多長時間才能修復。Verizon報告稱，修復不良的密碼實踐和過大的訪問權限用了將近八個月，且只有31%被完全修復。對於缺失或配置不當的MFA，50%留存點約為一個月，長尾收斂到約32%的遺留問題，約有23%的組織已將其完全修復。

MFA分析的樣本為7,513個風險敞口，身份認證和權限分析的樣本為354個，因此第二個數字所依據的基數小得多。兩者都不是專門針對MSP的測量。它們確實顯示的是買方應當據此做好規劃的一種模式：第三方環境中的弱點不會按買方的時間表修復，而買方的合約往往是改變這一狀況的唯一槓杆。

服務商一側：防禦多租戶環境實際需要什麼

服務商有時把通告中的MSP清單當作營銷話術。更好的讀法是把它視為一份工程規格，因為其中每一項都針對的是通過共享工具運營許多客戶時的某一種具體失效模式。

特權訪問按客戶隔離。 通告要求服務商把各客戶的數據集和服務相互隔離，且不在不同客戶之間複用管理員憑據。它所針對的失效情形是：一個被盜的憑據就能打開每一個租戶。
管理工具所適用的標準高於客戶自己的標準。 能夠觸及客戶環境的帳戶應被視為特權帳戶，並由MFA覆蓋。一家技術人員只用密碼登入的服務商，等於把客戶的安全建立在自身業務中最薄弱的控制措施之上。
攻擊面要經過審查，而不是想當然。 服務商自身面向互聯網的資產中，未使用的帳戶、系統和服務應定期禁用。這是例行的清理工作。
備份要能在它所應對的事件中倖存。 以獨立的離線密鑰加密的離線副本，是對那些先攻入備份系統的攻擊者的直接應對。
分包商在邊界之內。 服務商自己的供應商和分包商屬於其供應鏈的一部分，通告要求服務商管理其對客戶造成的級聯風險。據我們的經驗，區域性的IT交付往往依賴本地合作伙伴來完成現場工作，因此這是市場上的一種普遍現象。
職責要白紙黑字寫下來。 通告要求合約寫明由誰負責檢測、加固和響應，從而彌合雙方都以為對方在盯著的那個空檔。

需要提醒一點：通告描述的是良好實踐，而不是某一家服務商是否遵循了它。服務商對自身控制措施的描述是一種聲明，而不是證據。

買方一側：超越安全問卷的盡職調查

買方自身對風險的影響很容易被忽視，因為它主要取決於買方授予了什麼卻沒有盯著看。NIST的《系統與組織的網絡安全供應鏈風險管理實踐》（Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations，SP 800-161 Rev. 1，含2024年11月1日的Update 1，NIST將其列為當前的最終版本）是將這件事作為一門學科來對待的美國聯邦框架：在組織的各個層面識別、評估並降低供應鏈網絡安全風險，並將其納入更廣泛的風險管理。它是美國聯邦指引，對香港或新加坡的私營買方並不構成要求。它的價值在於提供了一套術語和結構，以及供應商風險應當持續管理而不是隻在引入時管理一次這一原則。

應用到IT服務商上，買方一側可以歸結為一份簡短的問題清單，而這些問題僅靠問卷是無法解決的。

服務商實際能夠觸及什麼？ 維護一份清單，列出進入您環境的每一個服務商帳戶、遠程訪問工具和網絡連接，以及每一項由誰負責。如果您拿不出這份清單，就無從說明服務商被攻陷會暴露什麼。
訪問是否僅限於服務商所管理的範圍？ 通告中的最小權限要點在您這一側同樣適用：服務商帳戶不應放在您的通用管理員組中，其訪問範圍應限於在範圍內的系統。
您能看到服務商的活動嗎？ 顯示服務商帳戶在您環境中做了什麼、且保留時間足夠長而有用的日誌，決定了您是在調查一起事件，還是在猜測一起事件。
服務商背後是誰？ 瞭解哪些分包商和工具供應商觸及您的環境或數據，以及它們發生變更時是否需要通知您。
結束時會發生什麼？ 比合約存續更久的訪問權限是一種常駐風險敞口。服務商的離場處理需要與員工離職處理同樣的規範。

美國、香港和新加坡的監管底線如何抬高

監管並不能讓服務商變得安全，但它改變了買方必須能夠就其服務商說明什麼。本節有意寫得簡短。

美國：SEC披露規則

2023年，美國證券交易委員會（SEC）為上市公司通過了網絡安全披露規則。其中有兩部分與此相關。

Form 8-K Item 1.05 要求註冊人披露其認定為重大的網絡安全事件。申報通常應在作出該認定後的四個工作日內提交。申報須說明事件的性質、範圍和時間，以及其重大或合理可能重大的影響。如果美國司法部長認定立即披露會對國家安全或公共安全構成重大風險，則披露可以推遲。
Regulation S-K Item 106 要求在Form 10-K中每年披露註冊人評估、識別和管理重大網絡安全風險的流程，以及董事會的監督和管理層的角色。外國私人發行人則在Form 6-K和20-F上作出類似的披露。

年度報告披露自2023年12月15日或之後結束的財政年度起開始適用，而Form 8-K的要求對大多數註冊人自2023年12月18日起適用，規模較小的申報公司可再獲得180天的寬限。

這些規則約束的是註冊人，而不是服務商。 這正是本報告的要點。上市公司無法把自己的披露時鐘交給供應商。如果事件始於服務商的環境，買方的四個工作日從買方認定該事件為重大時開始計算，但買方只有在被告知了某些情況之後，才能作出這一認定。給服務商一個沒有期限的通知窗口的合約，會縮短買方真正可用於合規的時間。這些規則並不要求服務商遵守任何特定的通知期限；但它們使得要求設定一個期限在商業上變得合理。

香港和新加坡：只作指引，不作比較

兩地的監管機構都對受監管機構如何管理外判技術設定了期望。香港金融管理局《監管政策手冊》外判模塊SA-2，以及新加坡金融管理局（MAS）的《外判指引》（Guidelines on Outsourcing），是銀行的主要參照依據。它們約束的是受監管機構，而不是服務商，並且適用於持牌金融機構，而不適用於一般企業買方。

我們有意止步於此。對包括中國內地在內的金融業制度作恰當比較，是另一個研究問題，將另行成文。對於希望在此期間獲得實用指引的讀者，我們已發佈了一份依據MAS技術風險指引評估外判IT的檢查清單。對一般企業買方而言，實際的結果是：您的客戶和交易對手受監管程度越高，您就越有可能被要求向他們提供您自身服務商控制措施的佐證材料。

問卷答覆、佐證材料與合約承諾

安全問卷是大多數買方的起點，也是許多買方的終點。它有用，但有上限。更有幫助的區分是三個層級的保證，每一層都比前一層更強。

問卷答覆： 服務商聲明其對管理員帳戶強制執行MFA。買方的成本低，保證程度也低，因為這個答覆只是一次性的聲明，在某一時間點，用服務商自己的話作出。
佐證材料： 服務商出示可以核查的東西。這可能是覆蓋技術人員帳戶的條件訪問策略的截圖，是針對買方租戶的訪問審查日誌摘錄，是涵蓋相關範圍的現行第三方審計報告，或是對買方數據如何與其他客戶的數據分隔開來的講解演示。保證程度更高，因為買方可以檢驗這一聲明，不過它仍然只是一個快照。
合約承諾： 這項要求被寫入協議，有責任人、有標準、有後果。在規定期限內通知，有權獲取或檢查指定的佐證材料，有義務告知買方分包商的變更，以及要求在退出時撤銷訪問權限，都是服務商在銷售完成之後仍可被追究的承諾。

這三者無一能夠取代其他兩者。問卷以低成本發現明顯的缺口，佐證材料確認最重要的那些聲明，而合約則是前兩者都已過時之後所剩下的東西。需要避免的模式是：買方收集了很有力的問卷答覆，合約條款卻很薄弱，於是手裡握著一份承諾記錄，卻沒有辦法執行。

應當寫進合約而不是問卷的內容

通告反覆指向合約，把它視為確定責任的地方。以下條款依循其客戶清單，寫法便於買方調整使用。它們是與律師討論的起點，而不是法律意見。

通知

明確的通知觸發條件和期限。 寫明服務商必須報告什麼（疑似事件和已確認事件，或影響買方數據或訪問權限的事件），以及在多長時間內報告。該期限應當足夠短，才能對買方所受的任何披露時鐘有用，例如美國註冊人適用的SEC四個工作日規則。

審計與檢查

獲取佐證材料的權利。 能夠按約定的時間表並在事件發生後，獲得指定的佐證材料，例如服務商現行的獨立審計報告、針對買方範圍的滲透測試摘要或訪問審查輸出。
日誌訪問。 通告中關於日誌保留六個月的要點，可以轉化為一項承諾：買方能夠看到服務商帳戶的哪些活動，以及能看多長時間。

子處理方和分包商

披露。 一份觸及買方環境或數據的分包商和工具供應商清單，並保持更新。
變更通知。 清單發生變更時提前通知，變更重大時買方有權提出異議。
條款下傳。 服務商的安全義務同樣適用於其分包商，且服務商仍對其負責。

訪問與退出

專用、隔離的訪問。 通告中關於專用連接和不共享憑據的要點。
退出時撤銷訪問權限。 規定一個明確的期限，在合約終止時，所有服務商的訪問權限、帳戶和遠程訪問代理都須在該期限內移除，並提供確認。通告要求買方禁用不再管理基礎設施的服務商帳戶，並提醒這一步在合約終止時很容易被忽略。

職責

誰負責什麼。 清楚說明環境的每一部分由哪一方負責加固、檢測和事件響應。這是通告明確提出的一個要點，也是容易被留作默示的一個要點。

對於想了解服務級別框架在實踐中是什麼樣子的讀者，Brocent的服務級別頁面說明了我們如何描述響應和解決方面的承諾。評估任何服務商的買方都可以使用同樣的結構，來詢問安全通知相對於服務響應處於什麼位置。

買方如今要求服務商提供什麼佐證——Brocent自身的觀察

本節是Brocent自身的運營觀察，來自我們與香港、新加坡及我們服務的其他市場的客戶進行的入職溝通和安全評審。它是定性的。我們不公佈由此得出的計數或百分比，也不應將其視為一項調查。

在入職溝通中，買方除了詢問服務商是否持有認證之外，還會詢問服務商訪問權限如何運作的具體細節。

客戶之間的隔離。 買方詢問技術人員對其環境的訪問如何與對其他客戶的訪問相區分，以及憑據是否曾在不同租戶之間共享。
還有誰參與。 他們詢問哪些分包商和工具供應商會觸及其環境或數據，以及如果這些發生變化是否會被告知。
對服務商自身工具的保護。 他們詢問MFA和條件訪問是否覆蓋了服務商的管理工具，而不僅僅是客戶的帳戶。
出問題時會怎樣。 他們要求把事件通知的時間線寫入合約，而不是僅僅在演示文稿中描述一下。

據我們的經驗，處於受監管行業或需接受客戶審計行業的買方，會更詳細地提出這些問題。我們無法對此量化，也不打算量化。我們在這一領域的自有服務見我們的網絡安全服務頁面和管理型IT安全服務頁面，而對現有服務商的控制措施給出獨立意見，屬於我們的IT評估與審計服務所涵蓋的工作。

本報告不作的論斷

它不聲稱大多數IT服務商不安全。 無論是通告還是DBIR都不支援這一點，我們也沒有找到測量這一點的來源。
它沒有在數據泄露數據中單獨列出MSP。 48%涵蓋所有第三方關係。
它不描述當前威脅行為者的活動。 通告發佈於2022年，我們引用它是為了其中的控制措施要求。
它不能證明香港或新加坡的買方面臨某一特定的第三方數據泄露比率。 亞太數字是區域性的，並受數據貢獻方偏差影響。
它不構成法律意見。 對SEC規則的概述是對公開規則的通俗描述，合約條款應由相關司法轄區的律師審閱。
它不依據這些控制措施評估任何具名的服務商，包括Brocent。 核實服務商的聲明是買方的工作，而上述框架旨在讓這件事對我們和對任何其他服務商一樣都更容易。

常見問題

我的IT服務商真的是我攻擊面的一部分嗎？

是的，只要它持有觸及您系統的帳戶、遠程管理工具或網絡連接，或者存儲著您的數據。這些路徑無論您是否在操作它們都存在。通告AA22-131A正是以這一前提寫成的，並告訴客戶和服務商雙方應當怎麼做。

第三方數據泄露有多常見？

在Verizon《2026年DBIR》中，48%的數據泄露涉及第三方，2025年版為30%。該指標涵蓋軟件供應商、數據託管供應商和有連接的供應商，因此範圍比單指IT服務商更寬。

什麼是聯合通告AA22-131A？

它是2022年5月發佈的一份通告，標題為《防範針對管理型服務提供商及其客戶的網絡威脅》（Protecting Against Cyber Threats to Managed Service Providers and their Customers），由CISA、NSA和FBI發佈，並由英國、澳大利亞、加拿大和新西蘭的國家網絡機構共同署名。它列出了針對MSP客戶和MSP的建議行動，包括MFA、最小權限、日誌、供應鏈意識，以及對事件通知在合約上的明確約定。

簽約之前，我應當就安全問題向IT服務商問些什麼？

詢問服務商能夠觸及什麼、技術人員的訪問如何在客戶之間隔離、MFA是否覆蓋其管理工具、涉及哪些分包商、會多快通知您發生了事件，以及退出時如何移除訪問權限。然後，針對最重要的兩三項答覆索要佐證材料，並把通知和退出條款寫進合約。

香港和新加坡有同等的規則嗎？

兩地都對金融機構的外判有監管期望，例如香港金融管理局（HKMA）的SPM模塊SA-2和MAS的《外判指引》。這些約束的是受監管機構，適用於持牌金融機構，而不是一般的買方。本報告指出了它們，但不作比較。

服務商應當如何回應這些期望？

把通告中的MSP清單視為一份規格：隔離客戶訪問、用MFA保護管理工具、審查並縮小自身的攻擊面、保留可恢復的離線備份、管理分包商，並以書面形式寫明職責。所採用的標準，與買方被告知要求的標準是同一個。

參考來源

CISA、NSA、FBI、NCSC-UK、ACSC、CCCS和NCSC-NZ，*Protecting Against Cyber Threats to Managed Service Providers and their Customers*（《防範針對管理型服務提供商及其客戶的網絡威脅》），通告AA22-131A，2022年5月11日（cisa.gov）。
Verizon，*2026 Data Breach Investigations Report*（《2026年數據泄露調查報告》），2026年5月19日發佈，以及Verizon隨附的新聞稿（verizon.com）。
Verizon，*2025 Data Breach Investigations Report*（《2025年數據泄露調查報告》）新聞稿（verizon.com）。
NIST，*Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations*（《系統與組織的網絡安全供應鏈風險管理實踐》），SP 800-161 Rev. 1，Update 1，2024年11月1日（csrc.nist.gov）。
美國證券交易委員會（SEC），2023年網絡安全風險管理、戰略、治理和事件披露規則：新聞稿2023-139（sec.gov）。
Brocent自身的運營觀察，已在上文相應章節中標明。