IT服务商的第三方风险：买方与服务商各自该做什么

简短回答： 是的——您的IT服务商是您攻击面的一部分，因为它持有进入您系统的特权访问。Verizon《2026年数据泄露调查报告》（Data Breach Investigations Report，DBIR）发现，48%的数据泄露涉及第三方，上一年为30%。一份政府联合通告（AA22-131A）明确了买方应当要求什么：MFA、最小权限、日志、供应链披露以及合同约定的事件通知。

大多数安全评审都从公司自己运行的东西入手：自己的笔记本电脑、网络和云账户。它们把IT服务商当作位于这幅图景之外的一项服务。本报告的观点恰恰相反。管理型IT服务商是您环境中特权最高的各方之一。它通常能够触及您的管理员账户、终端管理控制台、备份和远程访问工具。无论服务商内部用什么来保护这些东西，实际上都是您安全边界的一部分。

这一点在双向上都成立。服务商自身有风险敞口，因为一个被攻陷的管理工具可以同时波及许多客户。买方也有自己的敞口，因为合同中如果对通知、访问权限撤销或分包商只字未提，买方就会在最糟糕的时刻才发现服务商的薄弱环节。

本报告梳理政府指引、具名的数据泄露数据以及美国披露规则对这种关系究竟说了什么，以及买方和服务商各自应当如何应对。它是我们关于网络安全事件成本上升研究的姊妹篇——那篇研究关注一次事件要付出多少成本。本文提出另一个问题：服务商这层关系本身是如何成为入侵路径的。

利益披露。 Brocent是一家管理型IT服务商，因此我们处于本报告所审视的合同的服务商一方，并且我们出售的服务能够应对文中所述的部分风险。我们处理这一利益冲突的方式是：每一项论断都以具名的一手来源为依据，将我们自己的观察标明为我们的观察，并把买方清单写成买方既可以用来衡量其他任何服务商、也同样可以用来衡量我们的工具。

主要发现

第三方参与数据泄露的比例大幅攀升。 Verizon《2026年DBIR》于2026年5月19日发布，涵盖2024年11月1日至2025年10月31日的事件，报告称48%的数据泄露涉及第三方，上一版为30%。Verizon称这一增幅为60%，且是“在上一年已经翻倍之后”。
这一数字并非只针对MSP。 Verizon的第三方指标合并了三类关系：软件供应链中的供应商、托管您数据的供应商，以及与您的环境存在连接的供应商。管理型IT服务商可以归入第三类，往往也属于第二类。它并非这个数字的全部。
各国政府早已明确买方应当要求什么。 联合通告AA22-131A由美国、英国、澳大利亚、加拿大和新西兰的机构于2022年5月11日发布，针对MSP客户和MSP分别列出了具体行动。我们核查后只发现一个版本，没有修订，也没有被取代的通知。
常见根因是基础问题。 Verizon将2025年的许多第三方事件追溯到缺失多因素认证、凭据轮换不当或权限过大，而不是什么高深的技术手段。
修复第三方的风险敞口很慢。 在Verizon从一家第三方风险管理研究合作伙伴处获得的数据集中，第三方云MFA风险敞口的50%留存点约为一个月，只有23%的第三方组织已完全修复。对于密码和权限过大的风险敞口，修复用了将近八个月，完全修复的比例为31%。
监管底线在抬高，但约束的是买方。 美国上市公司现在必须在认定重大网络事件为重大之后的四个工作日内予以披露。这一规则约束的是注册人，而不是它的服务商，这正是必须把通知时限写入合同的原因。
对于有多少MSP遭到入侵、有多少MSP未达到通告要求，我们没有可引用的公开数字。 我们查找过，但没有找到经得起推敲的来源。我们关于香港和新加坡买方提问的论述，是Brocent自身的定性观察，并已如此标明。

为什么特权访问使每个服务商都成为共享风险面

管理型IT服务商之所以有用，是因为它能够代表您办事。它可以重置密码、向每台笔记本电脑推送补丁、恢复邮箱、在服务器上打开远程会话、修改防火墙规则。这些能力中的每一项都是一种特权访问，而且无论当下有没有人在使用，它们都一直存在。

有三个特性使这种访问不同于普通的供应商关系。

范围广。 在目录服务中拥有管理权限的服务台技术人员，可以影响其中的每一个账户。部署在每个终端上的远程管理代理，可以在每个终端上运行命令。
长期存在。 这种访问是常驻访问，而不是一次性的上门服务。账户、代理和远程访问链路在工单之间依然保留，这意味着它们在工单之间也可能被滥用。
共享。 服务商的工具通常是多租户的。同一个平台，往往还有同一批运维账户，服务于许多客户。因此，服务商工具一旦被攻陷，就有可能波及通过它可达的每一个客户。

最后一点使服务商成为一类独特的风险。一家把自身安全做好了的公司，仍然可能通过一个其控制措施它看不到的一方而暴露。这就是第三方网络风险的基本逻辑，也是必须从合同双方同时提出同一个问题的原因：服务商为保护其持有的访问权限做了什么，买方又为限制这种访问所能触及的范围做了什么？

政府联合通告究竟要求买方提出什么要求

关于这一主题，最有用的单一文件出自政府。通告AA22-131A《防范针对管理型服务提供商及其客户的网络威胁》（Protecting Against Cyber Threats to Managed Service Providers and their Customers）于2022年5月11日发布。它由美国网络安全和基础设施安全局（CISA）、美国国家安全局（NSA）和FBI联合发布，并由英国国家网络安全中心、澳大利亚网络安全中心、加拿大网络安全中心和新西兰国家网络安全中心共同署名。

在撰写本报告当天，我们打开了该通告页面。其修订日志只有一条记录，即“May 11, 2022: Initial version”，页面上也没有任何说明它已被取代的通知。它仍然是参考文本。同时它也已有数年之久，因此我们引用它是为了其中提出的控制措施要求，而不是为了对当前的威胁活动作任何论断。

该通告由两份并行的建议行动清单组成：一份面向MSP客户，一份面向MSP。把客户清单当作买方的合同检查清单来读，是了解它要求什么的最快方式。按通告自己的说法，客户的主要行动如下。

强制执行多因素认证。 对您所接受的服务以及所有访问您环境的MSP账户要求启用MFA，并检查MFA配置中的“故障放行”（fail open）和重新注册方面的薄弱环节。
实施最小权限。 确保服务商在其自身环境和您的环境中都实施最小权限，使MSP账户只能访问MSP实际管理的资源。
隔离连接。 为MSP访问使用专用的安全连接，并将服务商的流量限制在该连接内。合同应当禁止在不同客户之间复用管理员凭据。
保留日志并要求可见性。 关键日志至少保留六个月。服务商监控您的系统时，合同应当要求全面的事件监控、对服务商自身活动的可见性，以及对疑似事件的通知。
撤销不再需要的访问。 当服务商不再管理基础设施时，禁用其账户；合同终止时这一步很容易被忽略。不要把服务商账户分配到您内部的管理员组中。
了解服务商的供应链。 了解服务商依赖哪些供应商和分包商，以及它们对您的网络和数据拥有什么访问权限。合同应当写明由哪一方负责加固、检测和事件响应。
明确通知。 合同应当规定服务商以何种方式、在何时向您通报事件。
为恢复做好规划。 要求对关键数据和配置进行自动、持续的备份，这些备份应易于取回或采用物理隔离保存，并定期测试响应和恢复计划。

通告还列出了三项概括性的战术行动。它们是整份文件的最简版本：识别并禁用不再使用的账户，对访问客户环境的服务商账户强制执行MFA，并确保合同清楚写明由谁承担ICT安全的角色和职责。

对大多数控制措施，通告都为服务商和客户分别列出了相对应的行动，包括将任何有权访问客户环境的账户视为特权账户，以及不在不同客户之间复用管理员凭据。因此，买方提出这些要求并不是非同寻常的诉求；它要求服务商达到的，是七个国家的机构共同发布的、公开的期望标准。

具名数据泄露数据显示的第三方参与情况

关于这一问题，最广为人知的统计来源是Verizon每年发布的数据泄露调查报告。由于第三方这一数字经常在不注明版本的情况下被引用，我们每次都会写明版本，并且不混用不同版本的数字。

2026年版

Verizon的《2026年DBIR》于2026年5月19日发布，涵盖的是2024年11月1日至2025年10月31日的事件。报告称，它分析了超过31,000起真实世界的安全事件，其中超过22,000起是经确认的数据泄露，涉及145个国家的组织。关于第三方，报告指出：

48%的数据泄露涉及第三方，“高于去年的30%”，报告称这是60%的增幅，且是“在上一年已经翻倍之后”。
该指标涵盖三种关系类型。 一是处于组织软件供应链中的供应商；二是在自身环境中托管组织数据的供应商；三是与组织环境存在连接的供应商，无论是实际的网络连接，还是供应商所持有的凭据。
每种类型都给出了具名的公开案例。 Verizon以SolarWinds作为软件供应链的例子，以与Snowflake相关的一场攻击行动作为托管数据情形的例子，以Target数据泄露中通往某供应商的网络连接作为连接型供应商的例子，并以涉及Salesloft Drift应用和被盗OAuth令牌的一场攻击行动作为两种类型叠加的例子。Verizon称这些来自公开披露的信息，而不是它自己的调查。
根因大多是基础问题。 Verizon表示，2025年媒体重点报道的云端第三方事件中，相当一部分“归根结底是不安全的身份认证（缺少MFA、凭据轮换不当）或未能落实最小权限”。

2025年版基于超过22,000起事件（包括12,195起经确认的数据泄露），报告的第三方参与比例为30%，2026年报告将其视为再前一版的两倍。我们将每个数字都作为各自版本的数字来引用，因为不同数据集在规模和构成上有所不同。

如何解读这个数字

像48%这样的数字容易被误用，因此有三点限制值得明确说明。

它是参与，而不是归责。 第三方参与其中，并不意味着该第三方存在疏忽，也不意味着它是原因。它意味着该第三方是入侵路径的一部分，或是数据所在之处。
它并非专指IT服务商。 该指标包括软件供应商、SaaS平台和托管数据的保管方。管理型IT服务商是第三种类型的一个实例，有时也属于第二种。我们没有找到单独列出MSP的Verizon数字，也不提供这样的数字。
它不是随机样本。 DBIR取材于贡献数据的各组织的案例，Verizon也指出部分区域规律反映的是谁在贡献数据。它是方向和机制的有力指示，而不是普查。

区域数据补充了什么，没有补充什么

2026年报告的区域汇总表显示，亚太地区有5,229起事件，其中2,855起为经确认的数据泄露，并列出在其数据集中亚太地区数据泄露的第三方参与比例为69%。我们报告这个数字，是因为香港和新加坡的读者会去找它，但我们并不倚重它。Verizon表示，部分亚太地区差异反映的是谁在贡献数据（它针对的是黑客攻击、恶意软件和国家背景活动这几项发现），而且亚太这一分组远比香港或新加坡宽泛。报告中没有任何内容单独衡量这两个市场。站得住脚的解读是：第三方模式并不局限于北美和欧洲，而不是说一家香港企业遇到任何事情的概率是69%。

修复缓慢的发现

2026年报告中较为有用的结果之一，来自一家专注于第三方网络风险管理的新研究合作伙伴所提供的数据集。它衡量了第三方云环境中的风险敞口需要多长时间才能修复。Verizon报告称，修复不良的密码实践和过大的访问权限用了将近八个月，且只有31%被完全修复。对于缺失或配置不当的MFA，50%留存点约为一个月，长尾收敛到约32%的遗留问题，约有23%的组织已将其完全修复。

MFA分析的样本为7,513个风险敞口，身份认证和权限分析的样本为354个，因此第二个数字所依据的基数小得多。两者都不是专门针对MSP的测量。它们确实显示的是买方应当据此做好规划的一种模式：第三方环境中的弱点不会按买方的时间表修复，而买方的合同往往是改变这一状况的唯一杠杆。

服务商一侧：防御多租户环境实际需要什么

服务商有时把通告中的MSP清单当作营销话术。更好的读法是把它视为一份工程规格，因为其中每一项都针对的是通过共享工具运营许多客户时的某一种具体失效模式。

特权访问按客户隔离。 通告要求服务商把各客户的数据集和服务相互隔离，且不在不同客户之间复用管理员凭据。它所针对的失效情形是：一个被盗的凭据就能打开每一个租户。
管理工具所适用的标准高于客户自己的标准。 能够触及客户环境的账户应被视为特权账户，并由MFA覆盖。一家技术人员只用密码登录的服务商，等于把客户的安全建立在自身业务中最薄弱的控制措施之上。
攻击面要经过审查，而不是想当然。 服务商自身面向互联网的资产中，未使用的账户、系统和服务应定期禁用。这是例行的清理工作。
备份要能在它所应对的事件中幸存。 以独立的离线密钥加密的离线副本，是对那些先攻入备份系统的攻击者的直接应对。
分包商在边界之内。 服务商自己的供应商和分包商属于其供应链的一部分，通告要求服务商管理其对客户造成的级联风险。据我们的经验，区域性的IT交付往往依赖本地合作伙伴来完成现场工作，因此这是市场上的一种普遍现象。
职责要白纸黑字写下来。 通告要求合同写明由谁负责检测、加固和响应，从而弥合双方都以为对方在盯着的那个空档。

需要提醒一点：通告描述的是良好实践，而不是某一家服务商是否遵循了它。服务商对自身控制措施的描述是一种声明，而不是证据。

买方一侧：超越安全问卷的尽职调查

买方自身对风险的影响很容易被忽视，因为它主要取决于买方授予了什么却没有盯着看。NIST的《系统与组织的网络安全供应链风险管理实践》（Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations，SP 800-161 Rev. 1，含2024年11月1日的Update 1，NIST将其列为当前的最终版本）是将这件事作为一门学科来对待的美国联邦框架：在组织的各个层面识别、评估并降低供应链网络安全风险，并将其纳入更广泛的风险管理。它是美国联邦指引，对香港或新加坡的私营买方并不构成要求。它的价值在于提供了一套术语和结构，以及供应商风险应当持续管理而不是只在引入时管理一次这一原则。

应用到IT服务商上，买方一侧可以归结为一份简短的问题清单，而这些问题仅靠问卷是无法解决的。

服务商实际能够触及什么？ 维护一份清单，列出进入您环境的每一个服务商账户、远程访问工具和网络连接，以及每一项由谁负责。如果您拿不出这份清单，就无从说明服务商被攻陷会暴露什么。
访问是否仅限于服务商所管理的范围？ 通告中的最小权限要点在您这一侧同样适用：服务商账户不应放在您的通用管理员组中，其访问范围应限于在范围内的系统。
您能看到服务商的活动吗？ 显示服务商账户在您环境中做了什么、且保留时间足够长而有用的日志，决定了您是在调查一起事件，还是在猜测一起事件。
服务商背后是谁？ 了解哪些分包商和工具供应商触及您的环境或数据，以及它们发生变更时是否需要通知您。
结束时会发生什么？ 比合同存续更久的访问权限是一种常驻风险敞口。服务商的离场处理需要与员工离职处理同样的规范。

美国、香港和新加坡的监管底线如何抬高

监管并不能让服务商变得安全，但它改变了买方必须能够就其服务商说明什么。本节有意写得简短。

美国：SEC披露规则

2023年，美国证券交易委员会（SEC）为上市公司通过了网络安全披露规则。其中有两部分与此相关。

Form 8-K Item 1.05 要求注册人披露其认定为重大的网络安全事件。申报通常应在作出该认定后的四个工作日内提交。申报须说明事件的性质、范围和时间，以及其重大或合理可能重大的影响。如果美国司法部长认定立即披露会对国家安全或公共安全构成重大风险，则披露可以推迟。
Regulation S-K Item 106 要求在Form 10-K中每年披露注册人评估、识别和管理重大网络安全风险的流程，以及董事会的监督和管理层的角色。外国私人发行人则在Form 6-K和20-F上作出类似的披露。

年度报告披露自2023年12月15日或之后结束的财政年度起开始适用，而Form 8-K的要求对大多数注册人自2023年12月18日起适用，规模较小的申报公司可再获得180天的宽限。

这些规则约束的是注册人，而不是服务商。 这正是本报告的要点。上市公司无法把自己的披露时钟交给供应商。如果事件始于服务商的环境，买方的四个工作日从买方认定该事件为重大时开始计算，但买方只有在被告知了某些情况之后，才能作出这一认定。给服务商一个没有期限的通知窗口的合同，会缩短买方真正可用于合规的时间。这些规则并不要求服务商遵守任何特定的通知期限；但它们使得要求设定一个期限在商业上变得合理。

香港和新加坡：只作指引，不作比较

两地的监管机构都对受监管机构如何管理外包技术设定了期望。香港金融管理局《监管政策手册》外判模块SA-2，以及新加坡金融管理局（MAS）的《外包指引》（Guidelines on Outsourcing），是银行的主要参照依据。它们约束的是受监管机构，而不是服务商，并且适用于持牌金融机构，而不适用于一般企业买方。

我们有意止步于此。对包括中国内地在内的金融业制度作恰当比较，是另一个研究问题，将另行成文。对于希望在此期间获得实用指引的读者，我们已发布了一份依据MAS技术风险指引评估外包IT的检查清单。对一般企业买方而言，实际的结果是：您的客户和交易对手受监管程度越高，您就越有可能被要求向他们提供您自身服务商控制措施的佐证材料。

问卷答复、佐证材料与合同承诺

安全问卷是大多数买方的起点，也是许多买方的终点。它有用，但有上限。更有帮助的区分是三个层级的保证，每一层都比前一层更强。

问卷答复： 服务商声明其对管理员账户强制执行MFA。买方的成本低，保证程度也低，因为这个答复只是一次性的声明，在某一时间点，用服务商自己的话作出。
佐证材料： 服务商出示可以核查的东西。这可能是覆盖技术人员账户的条件访问策略的截图，是针对买方租户的访问审查日志摘录，是涵盖相关范围的现行第三方审计报告，或是对买方数据如何与其他客户的数据分隔开来的讲解演示。保证程度更高，因为买方可以检验这一声明，不过它仍然只是一个快照。
合同承诺： 这项要求被写入协议，有责任人、有标准、有后果。在规定期限内通知，有权获取或检查指定的佐证材料，有义务告知买方分包商的变更，以及要求在退出时撤销访问权限，都是服务商在销售完成之后仍可被追究的承诺。

这三者无一能够取代其他两者。问卷以低成本发现明显的缺口，佐证材料确认最重要的那些声明，而合同则是前两者都已过时之后所剩下的东西。需要避免的模式是：买方收集了很有力的问卷答复，合同条款却很薄弱，于是手里握着一份承诺记录，却没有办法执行。

应当写进合同而不是问卷的内容

通告反复指向合同，把它视为确定责任的地方。以下条款依循其客户清单，写法便于买方调整使用。它们是与律师讨论的起点，而不是法律意见。

通知

明确的通知触发条件和期限。 写明服务商必须报告什么（疑似事件和已确认事件，或影响买方数据或访问权限的事件），以及在多长时间内报告。该期限应当足够短，才能对买方所受的任何披露时钟有用，例如美国注册人适用的SEC四个工作日规则。

审计与检查

获取佐证材料的权利。 能够按约定的时间表并在事件发生后，获得指定的佐证材料，例如服务商现行的独立审计报告、针对买方范围的渗透测试摘要或访问审查输出。
日志访问。 通告中关于日志保留六个月的要点，可以转化为一项承诺：买方能够看到服务商账户的哪些活动，以及能看多长时间。

子处理方和分包商

披露。 一份触及买方环境或数据的分包商和工具供应商清单，并保持更新。
变更通知。 清单发生变更时提前通知，变更重大时买方有权提出异议。
条款下传。 服务商的安全义务同样适用于其分包商，且服务商仍对其负责。

访问与退出

专用、隔离的访问。 通告中关于专用连接和不共享凭据的要点。
退出时撤销访问权限。 规定一个明确的期限，在合同终止时，所有服务商的访问权限、账户和远程访问代理都须在该期限内移除，并提供确认。通告要求买方禁用不再管理基础设施的服务商账户，并提醒这一步在合同终止时很容易被忽略。

职责

谁负责什么。 清楚说明环境的每一部分由哪一方负责加固、检测和事件响应。这是通告明确提出的一个要点，也是容易被留作默示的一个要点。

对于想了解服务级别框架在实践中是什么样子的读者，Brocent的服务级别页面说明了我们如何描述响应和解决方面的承诺。评估任何服务商的买方都可以使用同样的结构，来询问安全通知相对于服务响应处于什么位置。

买方如今要求服务商提供什么佐证——Brocent自身的观察

本节是Brocent自身的运营观察，来自我们与香港、新加坡及我们服务的其他市场的客户进行的入职沟通和安全评审。它是定性的。我们不公布由此得出的计数或百分比，也不应将其视为一项调查。

在入职沟通中，买方除了询问服务商是否持有认证之外，还会询问服务商访问权限如何运作的具体细节。

客户之间的隔离。 买方询问技术人员对其环境的访问如何与对其他客户的访问相区分，以及凭据是否曾在不同租户之间共享。
还有谁参与。 他们询问哪些分包商和工具供应商会触及其环境或数据，以及如果这些发生变化是否会被告知。
对服务商自身工具的保护。 他们询问MFA和条件访问是否覆盖了服务商的管理工具，而不仅仅是客户的账户。
出问题时会怎样。 他们要求把事件通知的时间线写入合同，而不是仅仅在演示文稿中描述一下。

据我们的经验，处于受监管行业或需接受客户审计行业的买方，会更详细地提出这些问题。我们无法对此量化，也不打算量化。我们在这一领域的自有服务见我们的网络安全服务页面和管理型IT安全服务页面，而对现有服务商的控制措施给出独立意见，属于我们的IT评估与审计服务所涵盖的工作。

本报告不作的论断

它不声称大多数IT服务商不安全。 无论是通告还是DBIR都不支持这一点，我们也没有找到测量这一点的来源。
它没有在数据泄露数据中单独列出MSP。 48%涵盖所有第三方关系。
它不描述当前威胁行为者的活动。 通告发布于2022年，我们引用它是为了其中的控制措施要求。
它不能证明香港或新加坡的买方面临某一特定的第三方数据泄露比率。 亚太数字是区域性的，并受数据贡献方偏差影响。
它不构成法律意见。 对SEC规则的概述是对公开规则的通俗描述，合同条款应由相关司法辖区的律师审阅。
它不依据这些控制措施评估任何具名的服务商，包括Brocent。 核实服务商的声明是买方的工作，而上述框架旨在让这件事对我们和对任何其他服务商一样都更容易。

常见问题

我的IT服务商真的是我攻击面的一部分吗？

是的，只要它持有触及您系统的账户、远程管理工具或网络连接，或者存储着您的数据。这些路径无论您是否在操作它们都存在。通告AA22-131A正是以这一前提写成的，并告诉客户和服务商双方应当怎么做。

第三方数据泄露有多常见？

在Verizon《2026年DBIR》中，48%的数据泄露涉及第三方，2025年版为30%。该指标涵盖软件供应商、数据托管供应商和有连接的供应商，因此范围比单指IT服务商更宽。

什么是联合通告AA22-131A？

它是2022年5月发布的一份通告，标题为《防范针对管理型服务提供商及其客户的网络威胁》（Protecting Against Cyber Threats to Managed Service Providers and their Customers），由CISA、NSA和FBI发布，并由英国、澳大利亚、加拿大和新西兰的国家网络机构共同署名。它列出了针对MSP客户和MSP的建议行动，包括MFA、最小权限、日志、供应链意识，以及对事件通知在合同上的明确约定。

签约之前，我应当就安全问题向IT服务商问些什么？

询问服务商能够触及什么、技术人员的访问如何在客户之间隔离、MFA是否覆盖其管理工具、涉及哪些分包商、会多快通知您发生了事件，以及退出时如何移除访问权限。然后，针对最重要的两三项答复索要佐证材料，并把通知和退出条款写进合同。

香港和新加坡有同等的规则吗？

两地都对金融机构的外包有监管期望，例如香港金融管理局（HKMA）的SPM模块SA-2和MAS的《外包指引》。这些约束的是受监管机构，适用于持牌金融机构，而不是一般的买方。本报告指出了它们，但不作比较。

服务商应当如何回应这些期望？

把通告中的MSP清单视为一份规格：隔离客户访问、用MFA保护管理工具、审查并缩小自身的攻击面、保留可恢复的离线备份、管理分包商，并以书面形式写明职责。所采用的标准，与买方被告知要求的标准是同一个。

参考来源

CISA、NSA、FBI、NCSC-UK、ACSC、CCCS和NCSC-NZ，*Protecting Against Cyber Threats to Managed Service Providers and their Customers*（《防范针对管理型服务提供商及其客户的网络威胁》），通告AA22-131A，2022年5月11日（cisa.gov）。
Verizon，*2026 Data Breach Investigations Report*（《2026年数据泄露调查报告》），2026年5月19日发布，以及Verizon随附的新闻稿（verizon.com）。
Verizon，*2025 Data Breach Investigations Report*（《2025年数据泄露调查报告》）新闻稿（verizon.com）。
NIST，*Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations*（《系统与组织的网络安全供应链风险管理实践》），SP 800-161 Rev. 1，Update 1，2024年11月1日（csrc.nist.gov）。
美国证券交易委员会（SEC），2023年网络安全风险管理、战略、治理和事件披露规则：新闻稿2023-139（sec.gov）。
Brocent自身的运营观察，已在上文相应章节中标明。