最小可见范围
不同品牌、市场和供应商人员是否只访问履职所需数据。
解决方案
安全审查要看证据，不看笼统承诺
MATRIX 可按项目提供 SaaS、API 对接和可选私有化等交付形态。具体认证、技术控制、数据位置、保留周期和责任条款，应由供应商在采购流程中提供现行证据。
公开与私域
数据来源公开，不代表使用没有边界
公开内容
仍需确认平台规则、字段、使用目的、保留方式与访问范围，不能把公开等同于任意复制和二次使用。
企业内部数据
CRM、私域、销售、客服和知识库只有在依法提供、明确目的并完成权限与安全评估后才能接入。
权限治理
多品牌与多人协作重点查三处
关键操作审批
导出、接口、角色变更和高风险任务是否有适当控制。
人员生命周期
入职、调岗、离职、外包结束和紧急访问如何回收与复核。
证据分层
把销售回答转换成采购证据
问题
口头回答不够
应索取的材料
有哪些认证
口头回答不够
只说“符合行业标准”
应索取的材料
证书或报告、主体、范围、有效期与例外
如何保护数据
口头回答不够
只说“全程加密”
应索取的材料
适用链路、环境、密钥责任和验证方式
谁能访问
口头回答不够
只说“严格权限”
应索取的材料
角色矩阵、审批、回收、审计和特权访问
事件怎么处理
口头回答不够
只说“及时通知”
应索取的材料
分级、联系人、时间要求、证据与合同责任
审查范围
六类问题组成基础尽调
数据清单
哪些公开、客户提供和系统生成数据进入项目。
目的与边界
数据用于监测、分析、报告、导出还是集成。
身份与权限
账号、角色、工作区、品牌和最小权限如何管理。
存储与保留
数据位置、备份、留存、删除和合同结束处理如何约定。
接口与导出
API、文件、通知和人工导出的授权与审计。
事件与供应链
安全事件、第三方依赖、通知与整改责任。
“支持安全合规”不是验收项；可核对的控制、适用范围、有效期和责任人才是。
企业采购审查原则
审查流程
五步形成可追踪结论
步骤 01
划定项目范围
确认版本、品牌、市场、渠道、数据、接口、部署和服务。
01
步骤 02
完成数据分类
标记公开、客户提供、个人信息、敏感字段和衍生结果。
02
步骤 03
核验证据
由安全、法务和采购检查控制材料的主体与适用范围。
03
步骤 04
记录差距
将不适用、待整改、需合同补充和不接受项分开处理。
04
步骤 05
写入验收
把关键控制、材料更新和事件义务写入项目附件。
05