对Amazon Marketplace中基于SaaS的解决方案的供应商风险进行评估

## 视频 <video src="https://dev-media.amazoncloud.cn/30-LibaiGenerate/31-LiBaiRebrandingVideo/MKT204-Assess_vendor_risk_in_AWS_Marketplace_for_SaaS_based_solutions-LBrebrandingWCaptionCN.mp4" class="bytemdVideo" controls="controls"></video> ## 导读 在这个MKT101和MKT201的后续演示中,我们将探索Amazon Marketplace如何通过在一个统一的仪表板上汇编安全和合规信息来简化第三方SaaS软件的风险评估。我们将看到如何通过访问卖家提供的与数据隐私和驻留地、应用安全以及访问控制相关的证据来简化采购流程。 ## 演讲精华 <font color = "grey">以下是小编为您整理的本次演讲的精华，共1000字，阅读时间大约是5分钟。如果您想进一步了解演讲内容或者观看演讲全文，请观看演讲完整视频或者下面的演讲原文。</font> 亚马逊云科技市场的主要负责人Tim Honeychurch在演讲开始时介绍了他的工作经历。作为亚马逊云科技市场的买家和卖家之间的桥梁，他的主要任务是提供一个平台，以实现双方的积极业务成果。Honeychurch拥有丰富的经验，曾在职业生涯中参与过客户、合作伙伴和供应商的企业软件采购和销售工作。 谈到市场趋势，Honeychurch指出，近年来，组织在购买软件时，对供应商的风险评估过程变得更加严格和彻底。他认为，这一趋势是由不断增加的高调安全事件和数据泄露事件所驱动的。因此，企业在做出购买决策之前，需要深入了解供应商的安全实践和风险状况。 虽然严格的审查是有益的，但Honeychurch也提到，对亚马逊云科技市场平台的软件买家和卖家的更严格的供应商评估也带来了一些挑战。对于买家来说，他们通常需要有明确的合规要求，软件必须符合这些要求才能被采购，例如遵守HIPAA和FedRAMP等法规。然而，买家发现很难在采购过程中有效地筛选出并找到满足他们特定合规需求的软件。在亚马逊云科技市场上数千个列表中，买家以前无法轻松地将选项缩小到符合其合规标准的选项。结果是在评估不可行选项上浪费了时间。 此外，Honeychurch解释道，传统上，收集进行彻底供应商风险评估所需的信息涉及大量的手动流程。买家需要通过电子邮件或其他渠道联系供应商的销售和合规团队，以请求证据和文档，这会给他们的软件采购时间表增加几天或几周的时间。当这种信息交换不是集中化的时，买家报告说，他们不得不通过非标准方法管理来自多个供应商联系人的响应，从而进一步复杂化了分析。 最终，他强调，即使完成了这一艰巨过程，风险评估的时效性也表明，之前审查过的供应商可能会随时改变其合规状况或控制措施，而购买者对此却毫不知情，从而导致潜在的安全漏洞。购买者寻求一种不仅能在购买时评估供应商风险，还能在整个订阅期间持续监控以加强保护的方法。 对于供应商而言，Honeychurch表示，为了简化这些手动的信息交换，卖家需要在购买者请求时提供最新的合规数据。由于缺乏标准化流程，回应购买者的询问既低效又耗时。与购买者类似，供应商也在寻找一种在销售过程中向潜在客户展示其安全性和合规资质的方法。 为帮助解决购买者和供应商所面临的挑战，Honeychurch引入了亚马逊云科技市场商家洞察作为一项新功能，旨在加速并简化在市场中列出的SaaS解决方案的供应商风险评估。他概述了几个旨在增强采购体验的关键功能：首先，商家洞察为购买者提供了根据他们组织所需的特定合规认证（如HIPAA）高效筛选和搜索软件的方法。据Honeychurch报道，在亚马逊云科技市场上有超过5,000个SaaS列表中，目前有120多个已启用Vendor Insights档案。这使得购买者能够在进一步投入评估时间之前，快速将选项缩小到符合其合规标准的选项。其次，Vendor Insights不再需要通过电子邮件进行手动往来沟通，而是让购买者在亚马逊云科技市场的产品列表本身中直接访问供应商风险评估数据，如完成的控制问卷。通过在这一现有市场环境中集中这些信息交流，可以显著简化采购时间表。 Finally, and most crucially, Honeychurch elaborated that Supplier Insights leverages an automated integration with Amazon Web Services (亚马逊云科技) to continuously verify and update supplier compliance status and security controls, replacing point-to-point assessments with a continuous perspective on risk. This ensures that purchasers always have a full understanding of any changes affecting the software provider's risk overview as they use the solution over time. To demonstrate how purchasers can leverage Supplier Insights during the procurement process, Honeychurch provided an overview within the Amazon Web Services Marketplace Control Panel. He showed purchasers how to easily filter the Amazon Web Services Marketplace list through "Supplier Insights" to quickly identify participating suppliers. Additional filters allow for in-depth analysis based on specific compliance certifications (such as HIPAA) and seller expertise (such as Amazon Web Services Security Capacity Status). On product pages, purchasers can click a "View Assessment Data" button to access the Supplier Insights security overview after requesting access from the seller. The overview provides an overview of compliance certifications, validation sources, and the overview of whether 125 specific controls are compliant. Honeychurch demonstrated how purchasers can delve deeper into non-compliant controls to understand the background and make risk-based decisions. He also emphasized that purchasers initially have 60 days of access to facilitate risk assessment, but this access expires with the valid software subscription period. This ensures they can monitor supplier risk overview changes over time. Lastly, Honeychurch provided tips on using Supplier Insights and encouraged attendees to explore relevant Amazon Web Services Marketplace products and provide feedback. He stressed that Supplier Insights aims to simplify and automate the manual processes required for supplier risk assessment during software procurement. By centralizing compliance data and leveraging 亚马逊云科技's continuous monitoring integration, purchasers can make smarter buying decisions while assessing suppliers more effectively. **下面是一些演讲现场的精彩瞬间：** 演讲者期待着分享关于亚马逊市场上SaaS产品供应商风险评估的信息，随后将进行对话。  领导者们讨论了随着安全事件和数据泄露的增加，供应商风险评估已变得越来越严格。  他们谈到了在寻找既能满足功能需求又符合合规认证的软件时所面临的挑战。  领导者们强调了亚马逊云科技市场中为客户评估供应商风险提供的供应商洞察部分的重要性。  领导者们宣布了一项新功能，该功能突出了具备更高能力和严格标准的专业化卖家。  购买者在60天内享有供应商风险评估方面的初始访问权，在订阅期内持续访问，确保了控制变化（如合规认证到期）的透明度。  ## 总结 首先，该功能使得购买者能够轻松搜索并筛选出符合其关键需求的特定合规认证，例如符合HIPAA要求的SaaS产品。其次，它实现了在市场平台上产品列表中直接展示内置安全控制，而无需通过手动电子邮件流程进行供应商风险评估信息的交换。第三，它提供与供应商的SaaS环境相关的安全控制的持续自动化检查，以便评估其实际情况而非仅仅实时快照。从购买者的角度出发，演讲者在演示过程中展示了如何从产品详细信息页面访问供应商洞察概览，以及购买者查看安全控制细节和合规信息的方式。总之，供应商洞察旨在加速和简化亚马逊云科技市场平台中买卖双方的风险评估过程。演讲者鼓励与会者探索供应商洞察的功能，请求访问供应商概览，并提供反馈。 ## 演讲原文 ## 想了解更多精彩完整内容吗？立即访问re:Invent 官网中文网站！ [2023亚马逊云科技re:Invent全球大会 - 官方网站](https://webinar.amazoncloud.cn/reInvent2023/?s=8739&smid=19458 "2023亚马逊云科技re:Invent全球大会 - 官方网站") [点击此处](https://aws.amazon.com/cn/new/?trk=6dd7cc20-6afa-4abf-9359-2d6976ff9600&trk=cndc-detail "点击此处")，一键获取亚马逊云科技全球最新产品/服务资讯！ [点击此处](https://www.amazonaws.cn/new/?trk=2ab098aa-0793-48b1-85e6-a9d261bd8cd4&trk=cndc-detail "点击此处")，一键获取亚马逊云科技中国区最新产品/服务资讯！ ## 即刻注册亚马逊云科技账户，开启云端之旅！ [【免费】亚马逊云科技“100 余种核心云服务产品免费试用”](https://aws.amazon.com/cn/campaigns/freecenter/?trk=f079813d-3a13-4a50-b67b-e31d930f36a4&sc_channel=el&trk=cndc-detail "【免费】亚马逊云科技“100 余种核心云服务产品免费试用“") [【免费】亚马逊云科技中国区“40 余种核心云服务产品免费试用”](https://www.amazonaws.cn/campaign/CloudService/?trk=2cdb6245-f491-42bc-b931-c1693fe92be1&sc_channel=el&trk=cndc-detail "【免费】亚马逊云科技中国区“40 余种核心云服务产品免费试用“")