搜索

[13992] 2019-04-15_第三方网络风险管理：想要成效不容易

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2019-04-15_第三方网络风险管理：想要成效不容易 第 三 方 网 络 风 险 管 理 ： 想 要 成 效 不 容 易 A n g e l a Y   F r e e B u f   2 0 1 9 - 0 4 - 1 5 如 今 ， 大 量 企 业 都 需 要 第 三 方 机 构 的 支 持 才 能 保 证 业 务 正 常 运 营 。 如 今 ， 大 量 企 业 都 需 要 第 三 方 机 构 的 支 持 才 能 保 证 业 务 正 常 运 营 。 H R 系 统 、 财 务 系 统 、 法 务 系 统 、 企 业 系 统 、 财 务 系 统 、 法 务 系 统 、 企 业 I T 设 设 施 与 软 件 等 都 需 要 依 靠 一 些 第 三 方 平 台 或 软 件 来 处 理 工 作 。 但 是 ， 这 些 合 作 在 带 来 便 利 的 同 时 也 带 来 了 风 险 与 施 与 软 件 等 都 需 要 依 靠 一 些 第 三 方 平 台 或 软 件 来 处 理 工 作 。 但 是 ， 这 些 合 作 在 带 来 便 利 的 同 时 也 带 来 了 风 险 与 挑 战 。 有 报 告 显 示 ， 挑 战 。 有 报 告 显 示 ， 5 6 % 的 企 业 数 据 泄 露 的 企 业 数 据 泄 露   都 源 自 第 三 方 供 应 商 ； 都 源 自 第 三 方 供 应 商 ； 4 2 % 的 企 业 都 因 为 第 三 方 供 应 商 遭 遇 攻 击 而 出 的 企 业 都 因 为 第 三 方 供 应 商 遭 遇 攻 击 而 出 现 数 据 泄 露 。 前 不 久 ， 现 数 据 泄 露 。 前 不 久 ， F a c e B o o k 还 因 为 第 三 方 数 据 泄 露 而 再 次 成 为 众 矢 之 的 。 因 此 ， 为 了 保 护 企 业 数 据 安 全 ， 还 因 为 第 三 方 数 据 泄 露 而 再 次 成 为 众 矢 之 的 。 因 此 ， 为 了 保 护 企 业 数 据 安 全 ， 企 业 不 仅 要 抵 御 自 身 所 面 临 的 内 外 部 安 全 威 胁 ， 还 要 进 行 第 三 方 风 险 管 理 （ 企 业 不 仅 要 抵 御 自 身 所 面 临 的 内 外 部 安 全 威 胁 ， 还 要 进 行 第 三 方 风 险 管 理 （ T P C R M ） 。 ） 。 第 三 方 风 险 第 三 方 风 险 一 般 来 说 ， 第 三 方 包 括 企 业 直 接 合 作 的 公 司 ， 如 数 据 管 理 公 司 、 律 师 事 务 所 、 电 子 邮 件 提 供 商 ， 网 络 托 管 公 司 ， 子 公 司 ， 供 应 商 ， 分 包 商 等 等 ， 只 要 可 以 访 问 企 业 系 统 或 数 据 的 任 何 员 工 或 企 业 都 算 第 三 方 。 但 是 ， 第 三 方 网 络 风 险 并 不 仅 限 于 这 些 公 司 或 员 工 ， 企 业 业 务 涉 及 的 软 件 、 硬 件 也 都 会 带 来 网 络 风 险 。 钓 鱼 、 被 入 侵 的 软 件 、 云 存 储 和 I o T 设 备 、 水 坑 攻 击 、 收 购 并 购 导 致 的 架 构 调 整 等 都 是 常 见 的 第 三 方 风 险 。 但 是 ， 调 查 显 示 ， 目 前 第 三 方 风 险 管 理 大 多 成 效 不 好 ， 有 一 些 挑 战 和 需 要 改 进 的 地 方 。 第 三 方 风 险 管 理 耗 费 大 量 人 力 和 财 力 第 三 方 风 险 管 理 耗 费 大 量 人 力 和 财 力 P o n e m o n   I n s t i t u t e 与 C y b e r G R X 联 合 发 布 的 《 第 三 方 网 络 风 险 管 理 成 本 》 报 告 ， 揭 露 了 第 三 方 风 险 管 理 的 现 状 与 成 本 。 报 告 的 调 查 对 象 包 括 6 0 0 多 名 I T 安 全 专 家 ， 这 些 专 家 来 自 多 个 不 同 领 域 ， 且 直 接 参 与 所 在 企 业 组 织 的 T P C R M 项 目 管 理 。 他 们 反 馈 的 都 是 T P C R M 相 关 的 一 线 信 息 。 第 三 方 安 全 风 险 调 查 与 评 估 现 状 第 三 方 安 全 风 险 调 查 与 评 估 现 状 第 三 方 机 构 多 如 潮 涌 ， 每 年 需 要 花 费 超 过 1 5 0 0 0 个 小 时 去 进 行 评 估 ； 企 业 没 有 洞 察 力 ， 5 4 % 的 机 构 认 为 评 估 结 果 价 值 有 限 ； 评 估 之 后 ， 能 投 入 实 践 的 不 到 8 % ； 一 旦 不 成 功 ， 成 本 会 很 高 （ 7 0 % 的 机 构 认 为 第 三 方 风 险 管 理 一 旦 失 败 ， 成 本 会 达 到 1 3 0 0 万 美 元 ； 这 些 成 本 包
括 对 声 誉 和 品 牌 的 影 响 、 股 价 下 跌 、 丢 生 意 等 ） 。 报 告 发 现 ， 现 阶 段 第 三 方 风 险 管 理 存 在 的 问 题 主 要 有 ： 1 .   目 前 支 撑 T P C R M 、 评 估 第 三 方 机 构 的 实 例 和 技 术 较 为 稀 缺 ， 且 成 本 较 高 、 效 果 不 好 ； 2 .   使 用 更 好 的 调 查 和 评 估 工 具 能 提 升 T P C R M 的 效 率 并 降 低 维 护 项 目 的 成 本 ； 3 .   对 所 有 第 三 方 使 用 相 同 的 方 法 也 可 能 增 加 成 本 ； 最 好 是 花 一 些 事 件 确 认 第 三 方 的 优 先 级 并 针 对 不 同 的 机 构 采 取 不 同 的 方 法 ， 这 有 利 于 长 远 发 展 ， 降 低 成 本 并 提 高 效 率 ； 4 .   企 业 内 的 T P C R M 预 算 控 制 较 为 分 散 ， 会 因 为 利 益 竞 争 而 造 成 资 源 低 效 分 布 ； C y b e r G R X 认 为 ， 目 前 的 T P C R M 实 践 不 仅 耗 费 资 源 ， 而 且 实 现 的 效 果 有 限 。 超 过 5 3 % 的 受 访 者 在 近 两 年 内 都 遭 遇 过 第 三 方 数 据 泄 露 ， 承 受 的 平 均 损 失 高 达 7 5 0 万 美 元 。 但 是 ， 目 前 市 场 上 还 没 有 出 现 管 理 第 三 方 网 络 风 险 的 有 效 方 法 。 企 业 组 织 在 应 对 第 三 方 风 险 时 ， 大 多 是 仍 采 取 电 子 表 （ 4 0 % ） 、 风 险 扫 描 工 具 （ 5 1 % ） 等 传 统 方 式 评 估 与 其 合 作 的 第 三 方 风 险 。 8 0 % 的 受 访 者 认 为 调 查 并 评 估 第 三 方 实 践 情 况 很 重 要 ； 但 6 0 % 的 受 访 者 认 为 现 行 的 调 查 和 评 估 方 法 没 有 用 。 就 算 评 估 发 现 了 第 三 方 的 安 全 风 险 ， 企 业 组 织 也 不 会 积 极 地 采 取 措 施 去 缓 解 风 险 。 只 有 2 4 % 的 受 访 者 认 为 其 企 业 组 织 能 与 第 三 方 机 构 合 作 并 提 升 安 全 策 略 。 其 中 ，   第 三 方 评 估 所 花 费 的 时 间 各 不 相 同 ； 相 关 企 业 组 织 的 行 动 力 不 足 、 所 体 现 的 价 值 也 不 够 。 总 体 来 看 ， 企 业 组 织 及 第 三 方 机 构 将 人 力 与 财 务 资 源 浪 费 在 无 法 减 少 网 络 风 险 的 项 目 中 ， 并 不 利 于 整 个 生 态 的 良 好 发 展 。 E M A 的 高 级 分 析 师   D a v i d   M o n a h a n 认 为 ： 目 前 ， 第 三 方 网 络 风 险 管 理 实 践 情 况 并 不 乐 观 。 管 理 方 式 大 多 为 手 动 实 施 ， 缺 少 规 模 化 、 体 系 化 。 而 且 ， 大 量 项 目 都 需 要 有 质 量 的 信 息 支 撑 ， 但 这 些 信 息 又 很 难 有 效 获 取 。 因 此 ， 第 三 方 风 险 管 理 耗 费 了 大 量 人 力 资 源 ， 而 且 还 吃 力 不 讨 好 。 现 阶 段 迫 切 需 要 更 体 系 化 、 规 模 化 的 评 估 方 法 ， 来 解 放 劳 动 力 、 减 少 成 本 。 第 三 方 风 险 管 理 要 考 虑 的 关 键 事 项 第 三 方 风 险 管 理 要 考 虑 的 关 键 事 项 1 .   风 险 往 往 从 小 开 始 风 险 往 往 从 小 开 始 如 果 第 三 方 规 模 较 小 ， 安 全 性 较 低 ， 那 往 往 会 成 为 攻 击 者 的 目 标 。 他 们 会 以 这 些 第 三 方 为 切 入 点 ， 获 取 高 价 值 企 业 的 访 问 权 限 并 实 现 更 大 规 模 的 攻 击 。 使 用 恶 意 软 件 窃 取 分 包 商 的 凭 证 ， 并 利 用 凭 证 访 问 目 标 企 业 的 供 应 商 专 用 W e b 服 务 ， 然 后 进 一 步 渗 透 。 这 是 常 见 的 通 过 第 三 方 入 侵 企 业 的 例 子 。 2 .   风 险 可 能 来 自 供 应 商 之 外 的 环 节 风 险 可 能 来 自 供 应 商 之 外 的 环 节 第 三 方 风 险 的 范 围 不 局 限 于 第 三 方 本 身 ， 还 涉 及 第 三 方 的 关 系 网 。 有 时 候 ， 企 业 的 第 三 方 本 身 也 有 其 他 第 三 方 供 应 商 （ 也 就 是 “ 第 四 方 ” 或 “ 第 三 方 二 号 ” ） 。 因 此 ， 企 业 组 织 还 必 须 清 楚 地 了 解 自 己 的 第 一 供 应 商 如 何 管 理 “ 第 四 方 ” 。 如 果 第 三 方 来 自 海 外 ， 还 需 要 考 虑 到 不 同 的 法 律 和 道 德 约 束 。 此 外 ， 随 着 大 量 企 业 上 云 ， 由 第 三 方 管 理 的 不 安 全 云 存 储 数 据 库 也 是 数 据 泄 露 的 常 见 原 因 。 3 .   在 客 户 眼 中 ， 企 业 本 身 是 主 要 责 任 方 在 客 户 眼 中 ， 企 业 本 身 是 主 要 责 任 方 对 于 客 户 而 言 ， 企 业 的 第 三 方 关 系 复 杂 ， 很 难 理 清 具 体 的 网 络 风 险 范 围 。 即 使 安 全 风 险 是 因 为 第 三 方 造 成 的 ， 客 户 也 会 认 为 是 企 业 自 身 的 责 任 。 这 也 是 相 关 法 律 中 考 虑 的 因 素 。 企 业 很 难 证 明 自 己 已 经 通 过 充 分 的 尽 职 调 查 等 方 式 来 管 理 其 第 三 方 风 险 ， 而 且 即 使 第 三 方 处 理 了 数 据 ， 在 必 要 情 况 下 企 业 也 可 能 会 被 追 究 责 任 。 一 般 判 断 是 ： 如 果 一 家 公 司 在 内 部 采 取 一 切 预 防 措 施 ， 但 未 能 使 用 网 络 风 险 评 估 调 查 问 卷 等 工 具 审 查 第 三 方 的 安 全 性 ， 那 么 它 可 能 根 本 没 有 采 取 任 何 预 防 措 施 。 4 .   数 据 生 命 周 期 的 任 何 阶 段 都 可 能 存 在 风 险 数 据 生 命 周 期 的 任 何 阶 段 都 可 能 存 在 风 险
企 业 以 前 的 第 三 方 关 系 也 可 能 会 给 组 织 带 来 风 险 。 例 如 ， 美 国 公 司 T i g e r S w a n 与 其 招 聘 供 应 商 “ T a l e n t P e n ” 在 2 0 1 7 年 2 月 就 终 止 了 合 作 ， 但 2 0 1 7 年 9 月 ， 因 为 T a l e n t P e n 在 A W S   S 3 存 储 平 台 设 置 不 当 ， 依 然 泄 露 了 “ T i g e r S w a n ” 相 关 的 数 千 份 简 历 。 因 此 ， 企 业 与 第 三 方 开 展 业 务 时 ， 不 仅 要 了 解 数 据 的 敏 感 程 度 和 重 要 程 度 ， 还 要 了 解 第 三 方 存 储 数 据 的 方 式 。 同 时 ， 还 要 考 虑 到 在 合 作 结 束 时 如 何 处 理 第 三 方 所 掌 握 的 那 些 数 据 。 5 .   传 统 的 网 络 安 全 防 护 远 远 不 够 传 统 的 网 络 安 全 防 护 远 远 不 够 传 统 的 信 息 安 全 防 护 有 时 会 将 第 三 方 风 险 管 理 视 为 附 加 的 或 者 孤 立 的 安 全 活 动 。 很 多 情 况 下 ， 企 业 只 是 通 过 应 急 响 应 的 方 式 管 理 内 部 或 者 第 三 方 风 险 。 但 这 种 方 式 只 可 能 在 短 期 内 有 效 ， 却 不 能 实 时 监 控 并 控 制 风 险 。 此 外 ， 企 业 在 评 估 第 三 方 风 险 时 ， 往 往 还 面 临 以 下 挑 战 ： 数 据 准 确 性 与 质 量 数 据 的 可 执 行 性 缺 少 持 续 性 监 控 风 险 评 估 速 度 慢 现 场 评 估 的 成 本 低 组 织 内 责 任 划 分 不 清 楚 … … 做 好 第 三 方 风 险 管 理 的 要 点 做 好 第 三 方 风 险 管 理 的 要 点 建 立 信 任 机 制 建 立 信 任 机 制 一 个 企 业 要 想 建 立 信 任 机 制 ， 需 要 考 虑 多 种 因 素 ； 甚 至 可 能 要 与 不 同 第 三 方 之 间 建 立 不 同 的 信 任 机 制 。 建 立 信 任 也 不 仅 仅 是 签 订 一 份 网 络 安 全 协 议 那 么 简 单 ， 需 要 多 阶 段 多 途 径 去 确 保 合 作 方 能 真 正 落 实 双 方 约 定 的 内 容 。 企 业 合 作 的 第 三 方 往 往 不 止 一 个 。 在 处 理 时 ， 应 当 根 据 风 险 情 况 来 评 定 等 级 和 优 先 级 ， 然 后 综 合 考 虑 风 险 程 度 、 第 三 方 安 全 程 度 、 重 要 程 度 、 地 点 等 因 素 ， 进 行 处 理 。 其 中 ， 有 一 些 重 点 内 容 需 要 关 注 ： 1 .   确 认 第 三 方 可 以 访 问 的 数 据 / 系 统 ； 确 认 企 业 与 第 三 方 共 享 的 信 息 、 资 产 情 况 ；
2 .   评 估 企 业 能 够 承 担 的 （ 由 第 三 方 引 发 的 ） 网 络 安 全 风 险 3 .   确 认 、 审 查 合 作 方 的 网 络 安 全 策 略 、 技 术 ， 以 及 相 关 的 实 践 和 案 例 ； 4 .   设 置 持 续 性 的 合 作 方 网 络 安 全 监 控 基 线 同 时 ， 要 将 安 全 融 入 第 三 方 的 业 务 体 系 中 ， 创 建 合 适 的 监 管 机 制 、 规 定 审 查 方 法 、 合 适 的 风 险 阈 值 以 及 处 理 未 解 决 风 险 的 办 法 。 例 如 ， 确 认 哪 些 风 险 是 可 以 承 受 的 ， 哪 些 是 无 法 接 受 的 ； 如 果 第 三 方 不 修 复 安 全 问 题 ， 将 如 何 应 对 ？ 生 命 周 期 内 持 续 监 管 、 持 续 验 证 生 命 周 期 内 持 续 监 管 、 持 续 验 证 近 年 来 ， 企 业 与 第 三 方 的 合 作 有 所 改 进 ， 签 订 的 合 同 中 大 多 添 加 了 安 全 相 关 的 条 款 ， 并 商 定 了 持 续 时 间 、 安 全 附 录 等 。 确 认 了 第 三 方 供 应 商 有 合 适 的 网 络 安 全 政 策 和 实 践 ， 并 建 立 了 合 作 关 系 之 后 ， 企 业 要 监 督 第 三 方 落 实 这 些 条 款 。 可 以 采 取 一 年 3 6 5 天 、 每 天 2 4 小 时 的 实 时 监 测 与 预 警 技 术 持 续 监 督 第 三 方 ， 或 者 进 行 定 期 检 查 验 证 落 地 效 果 。 最 后 ， 需 要 有 安 全 专 家 对 监 控 结 果 进 行 分 析 ， 及 时 发 现 异 常 之 处 。 结 束 合 作 时 ， 也 要 妥 善 处 理 第 三 方 的 权 限 及 其 掌 握 的 数 据 。 当 然 ， 合 规 也 是 必 须 要 考 虑 的 一 点 ， 以 避 免 法 律 风 险 。 而 针 对 内 部 员 工 和 供 应 商 开 展 定 期 、 全 面 的 安 全 意 识 培 训 ， 也 是 一 种 预 防 手 段 。 第 三 方 风 险 管 理 是 个 持 续 性 的 过 程 ， 并 非 一 朝 一 夕 之 功 ， 需 要 企 业 纳 入 整 体 安 全 策 略 并 持 续 改 进 。 * 参 考 来 源 ： 参 考 来 源 ： u p g u a r d ， ， I T C ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 推 荐 阅 读 推 荐 阅 读
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理