我们应该向代理供应商发送哪种问卷格式？

从贵公司已经用于供应商审核的标准入手，通常是Shared Assessments SIG或Cloud Security Alliance CAIQ，然后再加一个简短的代理专项部分，涉及IP来源与同意、供应商记录哪些日志，以及滥用处理机制。通用问卷不会问到这些问题。

SOC 2报告是否足以批准一家代理供应商？

这是一个良好的起点，但并非全部答案。要检查它是否是覆盖一段运营期的Type 2报告，核实范围内包含哪些服务和系统，以及报告的出具时间有多久。SOC 2报告并不说明住宅IP是如何获取的，所以这一点需要单独询问。

为什么住宅代理供应商会被问到额外的问题？

因为出口IP属于其他人的设备。如果这些设备是在未经真实同意的情况下被加入网络的，你的流量就会经过一个可能被关闭或与犯罪活动有关联的网络。执法部门已经捣毁过由被感染设备构建的住宅代理僵尸网络，因此IP来源是一个真实存在的风险问题。

代理供应商能看到我们流量的哪些内容？

对于HTTPS，供应商能看到你连接的目标主机、时间信息以及数据量，但看不到加密的内容。对于普通HTTP，它则可以看到一切。要询问清楚记录了哪些内容、保留多长时间，以及谁可以访问这些数据。

您的信息安全团队会向代理供应商发送的安全问卷

代理供应商位于您流量的路径之中。您的爬虫程序、监控任务和测试套件通过其网络发送请求,通常还附带凭证,因此在批准住宅代理方案之前,您的安全团队会希望获得书面答复。

大多数公司从标准问卷开始,例如Shared Assessments SIG或云安全联盟(Cloud Security Alliance)的CAIQ,这是一套对应其云控制矩阵(Cloud Controls Matrix)的是非问题集。这些涵盖了任何供应商的基本情况。代理网络还会引发一些这些问卷不会问到的问题,主要是IP的来源以及供应商能看到什么。本清单分节涵盖了这两方面内容,并说明了什么样的答复算是好答复。

这是一般性信息,并非法律或审计建议。

为什么代理供应商需要单独审查

有三点使代理供应商有别于典型的SaaS供应商。

它们能看到您的流量。 对于HTTPS请求,供应商能看到您连接的主机、时间和流量。对于普通HTTP请求,它能看到内容本身。
它们持有能够花钱的凭证。 泄露的代理密码会让其他人以您的账户运行流量。
出口IP属于他人。 住宅和移动IP来自真实人的设备。这些设备是如何加入网络的,这不仅是供应商的法律和声誉问题,也是您的问题。

最后一点并非纸上谈兵。2024年5月,美国司法部宣布已瓦解911 S5僵尸网络,这是一个与超过1900万个唯一IP地址相关联的住宅代理服务,通过在VPN程序和捆绑安装包中传播恶意软件建立而成。2025年5月,联邦调查局(FBI)警告称,犯罪代理服务正在已停止支持的家用路由器上安装代理。2026年1月,谷歌威胁情报小组(Google’s Threat Intelligence Group)描述了其瓦解IPIDEA网络的行动,该网络的出口节点被观察到被超过550个威胁组织使用,并得出结论称,关于道德采购的说法”必须有透明、可审计的用户同意证明作为支撑”。

第1节:IP来源与用户同意

住宅和移动IP是如何获取的:通过合作应用中的SDK、带宽共享应用,还是ISP协议?
能否展示设备所有者看到的同意界面,以及他们如何撤回同意?
您是否审计携带您的SDK的合作应用,当某个应用违反规则时会怎样处理?
您是否从其他网络购买或转售IP?

好的答复: 明确说明的来源模式、可供查看的同意流程,以及审计程序。警示信号: 没有任何支撑证据的”我们的IP是通过道德方式获取的”这类说法。我们关于供应商如何获取住宅IP的指南解释了这些模式以及应期待的证明。

第2节:供应商能看到和记录什么

您记录哪些请求数据:源IP、目标主机、时间戳、字节数、完整URL?
每条日志保留多久,公司内部谁能访问?
您是否检查或修改流量,例如拦截TLS?
您是否会将日志披露给第三方,在什么法律程序下进行?

好的答复: 逐字段列出的清单,附带保留期限,且不拦截TLS。警示信号: 按带宽和目的地计费的供应商却说”我们什么都不记录”,因为它总得计算些什么。我们关于住宅代理是否安全的文章介绍了代理能看到和不能看到的内容。

第3节:访问控制与凭证

您支持哪些身份验证方式:用户名密码、IP白名单,还是两者都支持?
我们能否为每个团队、项目或环境创建独立凭证,并在不影响其他凭证的情况下吊销其中一个?
仪表板是否支持单点登录和多因素身份验证,并带有角色设置?
是否有账户变更和凭证重置的审计日志?

好的答复: 每个项目独立的凭证,带有各自的限制,以及仪表板上的多因素身份验证。按团队或客户分设的子用户也能让您看清哪个任务使用了什么。

第4节:传输加密

仪表板、API和代理端点接受哪些TLS版本?
我们的客户端到代理本身的连接能否加密?

好的答复: TLS 1.2或更新版本,并支持TLS 1.3。NIST针对美国联邦系统的指南(SP 800-52 Rev. 2)设定了这一基准,这对任何供应商而言都是合理的门槛。

第5节:审计与认证

您是否持有SOC 2报告?是Type 1还是Type 2,涵盖哪个时期,包含哪些信任服务类别(安全性、可用性、处理完整性、保密性、隐私性)?
您是否获得ISO/IEC 27001:2022认证,范围是什么?
上次独立渗透测试是什么时候,能否让我们看一份摘要?

好的答复: 最近的Type 2报告,其范围包括代理基础设施,而不只是计费网站。Type 1报告只说明控制措施在某个时间点被设计得当;Type 2则进一步给出控制措施在一段时期内是否有效运行的意见。警示信号: 认证范围不包括您将使用的系统。

第6节:数据保护与次级处理方

您是否愿意签署数据处理协议?根据GDPR第28条,处理方只能按照书面记录的指示行事,并且在聘用另一处理方之前需要获得控制方的事先书面授权。
您使用哪些次级处理方(托管、日志记录、支付),分布在哪些国家?
您是否保留第30条要求处理方保留的处理活动记录?

好的答复: 标准的数据处理协议、公开的次级处理方清单,以及变更通知期限。关于更全面的GDPR情况,请参阅我们关于住宅代理与GDPR合规的指南。

第7节:事件与滥用

当发生影响我们账户或数据的安全事件时,您会如何以及多快告知我们?GDPR第33条要求处理方”毫不迟延地”通知控制方,控制方则需在可行的情况下于72小时内通知监管机构。
您如何处理关于来自您网络流量的滥用举报?
您会屏蔽哪些目标和用途,是否对客户进行核实?

好的答复: 指定联系人、合同中规定的通知承诺,以及一份得到执行的书面可接受使用政策。滥用控制措施也保护您自己:每个客户共享相同IP的声誉。

第8节:业务连续性与退出

您承诺的正常运行时间是多少,如何衡量,未达标时的补救措施是什么?
如果您停止向我们提供服务,我们如何取回数据并关闭凭证?

一页纸问卷汇总

章节	应索取的内容	警示信号
来源	同意流程、来源模式、合作方审计	没有证据支撑的”道德采购”
日志记录	每种日志的字段清单和保留期	”我们什么都不记录”
访问权限	按项目区分的凭证、多因素身份验证、审计日志	整个公司共用一个密码
加密	TLS 1.2+,支持1.3	明文仪表板或API
审计	涵盖代理范围的SOC 2 Type 2或ISO 27001	范围不包括网络本身
数据保护	数据处理协议、次级处理方清单	对欧盟客户没有数据处理协议
事件处理	合同中的通知条款、滥用政策	没有指定的安全联系人