搜索

[15750] 2020-08-19_确保供应链安全的八个要求

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-08-19_确保供应链安全的八个要求 确 保 供 应 链 安 全 的 八 个 要 求 A v e n g e r   F r e e B u f   2 0 2 0 - 0 8 - 1 9 复 杂 的 供 应 链 有 复 杂 的 安 全 性 要 求 ， 想 要 确 保 供 应 链 的 安 全 就 要 尽 可 能 地 做 到 这 些 。 左 右 兼 顾 左 右 兼 顾 将 供 应 链 安 全 视 为 组 织 内 部 的 事 情 ， 这 是 一 个 非 常 局 限 且 危 险 的 假 设 将 供 应 链 安 全 视 为 组 织 内 部 的 事 情 ， 这 是 一 个 非 常 局 限 且 危 险 的 假 设 。 T r i p w i r e   的 产 品 管 理 与 策 略 副 总 裁   T i m E r l i n   表 示 “ 当 考 虑 保 护 供 应 链 安 全 时 ， 必 须 同 时 考 虑 上 游 与 下 游 。 向 我 们 提 供 产 品 的 供 应 商 和 我 们 作 为 供 应 商 提 供 产 品 的 客 户 都 应 该 在 供 应 链 安 全 的 考 虑 范 围 内 ” 。 因 为 涉 及 到 供 应 链 的 上 下 游 ， 首 先 就 要 知 道 供 应 链 链 接 了 哪 些 组 织 。 E r l i n   表 示 “ 理 想 情 况 下 ， 应 该 能 够 识 别 、 处 理 与 组 织 打 交 道 的 任 何 组 织 都 有 权 访 问 的 数 据 ” 。 关 于   A P I   安 全 性 的 讨 论 有 很 多 ， 大 多 数 都 集 中 在 组 织 或 者 供 应 商 的   A P I   上 。 同 时 也 应 该 注 意 客 户 要 求 使 用 的   A P I   和 服 务 ， 保 证 整 个 供 应 链 的 安 全 性 。 合 同 优 先 合 同 优 先 供 应 链 中 任 何 环 节 发 生 问 题 ， 产 生 的 后 果 和 责 任 都 会 在 上 下 游 带 来 很 大 的 影 响 供 应 链 中 任 何 环 节 发 生 问 题 ， 产 生 的 后 果 和 责 任 都 会 在 上 下 游 带 来 很 大 的 影 响 。 K n o w B e 4   的 安 全 意 识 倡 导 官 J a m e s   M c Q u i g g a n   表 示 “ 如 果 第 三 方 遭 受 数 据 泄 露 或 攻 击 ， 双 方 之 间 的 合 同 应 该 确 定 数 据 泄 露 以 及 为 支 持 该 类 事 件 而 进 行 的 程 序 ” 。 原 因 很 简 单 ， 因 为 失 败 可 能 会 给 组 织 带 来 更 大 的 风 险 和 损 失 。 尽 管 合 同 和 协 议 倾 向 于 考 虑 已 知 威 胁 与 事 件 ， 但 也 可 以 对 新 威 胁 的 响 应 过 程 和 程 序 做 出 安 排 。 一 些 业 务 部 门 必 须 具 有 承 担 合 同 中 的 法 规 或 法 律 责 任 的 义 务 。 例 如 ， 美 国 国 防 部 发 布 的 网 络 安 全 成 熟 度 模 型 认 证 （ 美 国 国 防 部 发 布 的 网 络 安 全 成 熟 度 模 型 认 证 （ C M M C ） 框 架 ， 在 未 ） 框 架 ， 在 未 来 所 有 国 防 部 合 同 中 强 制 规 定 了 相 应 条 款 。 国 防 部 的 主 承 包 商 和 分 包 商 必 须 满 足 所 有 国 防 部 合 同 要 求 的 来 所 有 国 防 部 合 同 中 强 制 规 定 了 相 应 条 款 。 国 防 部 的 主 承 包 商 和 分 包 商 必 须 满 足 所 有 国 防 部 合 同 要 求 的 C M M C   成 熟 度 水 平 ， 否 则 会 被 取 消 竞 争 资 格 成 熟 度 水 平 ， 否 则 会 被 取 消 竞 争 资 格 。 关 键 行 业 中 ， 快 速 响 应 的 能 力 尤 为 重 要 。 N C C   区 域 总 监   J e f f   R o t h   解 释 说 “ 医 疗 服 务 提 供 商 ， 从 实 体 到 商 业 伙 伴 ， 都 在 进 行 电 子 化 。 在 快 速 提 供 病 患 所 需 数 据 的 同 时 还 要 保 证 数 据 交 付 服 务 的 安 全 性 ， 这 是 一 个 具 有 挑 战 性 的 工 作 ” 。 了 解 数 据 了 解 数 据 在 供 应 链 上 下 游 保 护 数 据 很 重 要 ， 但 如 果 不 知 道 共 享 哪 些 数 据 就 无 法 进 行 保 护 。 尤 其 是 只 有 设 备 彼 此 交 换 数 据 ， 将 人
排 除 在 外 时 。 “ 物 联 网 设 备 通 常 是 关 键 ， 很 少 有 设 备 是 孤 立 存 在 的 ， 而 物 联 网 的 互 联 网 组 件 也 反 映 了 这 种 依 赖 性 物 联 网 设 备 通 常 是 关 键 ， 很 少 有 设 备 是 孤 立 存 在 的 ， 而 物 联 网 的 互 联 网 组 件 也 反 映 了 这 种 依 赖 性 ” ， 信 息 安 全 论 坛 的 管 理 总 监   S t e v e   D u r b i n   如 是 说 。 “ 智 能 化 需 要 多 个 设 备 协 同 工 作 ， 通 常 需 要 数 量 很 多 的 设 备 作 为 输 入 ” 。 现 在 的 自 动 化 流 程 可 能 需 要   I T 、 O T   甚 至 消 费 类 设 备 的 参 与 ， 而 不 同 类 型 的 设 备 都 有 不 同 的 安 全 需 求 。 了 解 系 统 之 间 的 数 据 流 是 进 行 安 全 防 护 的 一 部 分 。 牢 记 流 程 牢 记 流 程 将 安 全 问 题 限 定 在 供 应 链 技 术 和 基 础 架 构 是 很 自 然 的 ， 但 是 要 记 住 操 作 流 程 也 会 对 安 全 产 生 影 响 。 V e c t r a   的   M o r a l e s 表 示 “ 风 险 通 常 也 与 操 作 流 程 有 关 ， 而 不 是 只 和 代 码 中 的 缺 陷 或 漏 洞 有 关 ” 。 善 用 审 查 善 用 审 查 无 论 对 供 应 链 有 多 大 的 信 任 度 ， 确 保 处 理 和 移 动 数 据 时 采 取 了 必 要 的 保 护 措 施 都 是 至 关 重 要 的 确 保 处 理 和 移 动 数 据 时 采 取 了 必 要 的 保 护 措 施 都 是 至 关 重 要 的 。 K n o w B e 4   的 M c Q u i g g a n   表 示 “ 组 织 需 要 对 所 有 具 有 远 程 访 问 权 限 或 提 供 电 子 产 品 的 供 应 商 进 行 审 查 和 年 检 ” ， “ 信 任 但 验 证 的 概 念 包 括 有 关 产 品 开 发 生 命 周 期 的 第 三 方 网 络 安 全 政 策 的 审 查 ， 这 是 了 解 产 品 漏 洞 的 良 好 开 始 ” 。 P o s i t i v e   T e c h n o l o g i e s   的 信 息 安 全 分 析 主 管   E v g e n y   G n e d i n   认 为 “ 对 供 应 链 攻 击 来 说 ， 最 危 险 的 是 攻 击 者 可 能 在 很 长 对 供 应 链 攻 击 来 说 ， 最 危 险 的 是 攻 击 者 可 能 在 很 长 一 段 时 间 内 都 不 会 被 注 意 到 ， 而 且 攻 击 本 身 也 很 可 能 会 成 功 一 段 时 间 内 都 不 会 被 注 意 到 ， 而 且 攻 击 本 身 也 很 可 能 会 成 功 ” 。 同 时 ， G n e d i n   指 出 多 个 成 功 的 供 应 链 攻 击 的 示 例 ， 从 针 对 华 硕 的   R o w h a m m e r   到   N e t P e t y a   和   M a g e c a r t   等 。 “ 通 过 转 向 供 应 链 攻 击 ， 使 犯 罪 分 子 大 大 扩 展 了 受 害 者 的 范 围 。 ” 小 也 重 要 小 也 重 要
在 某 些 情 况 下 ， 供 应 链 中 大 型 组 织 的 安 全 虽 然 处 理 相 对 麻 烦 ， 但 是 往 往 能 够 提 供 资 源 从 政 策 的 指 定 到 具 体 实 施 来 保 障 安 全 。 小 公 司 则 缺 乏 专 业 知 识 和 相 关 资 源 。 N C C   的   R o t h   提 出 了 一 些 具 体 的 建 议 ： 重 点 关 注 与 每 个 特 定 关 键 供 应 商 相 关 的 实 际 风 险 和 相 应 的 安 全 管 控 措 施 。 小 型 供 应 商 可 以 掌 握 风 险 ， 而 不 会 产 生 超 出 这 些 小 型 供 应 商 承 受 能 力 的 问 题 构 建 安 全 的 基 础 结 构 ， 减 少 服 务 提 供 商 的 攻 击 面 针 对 高 风 险 和 中 风 险 的 小 型 供 应 商 进 行 重 点 网 络 安 全 培 训 定 期 监 控 和 反 馈 ， 进 一 步 帮 助 小 型 供 应 商 合 规 高 层 意 识 高 层 意 识 首 先 将 风 险 机 进 行 归 类 ： 业 务 风 险 操 作 风 险 市 场 风 险 人 员 风 险 法 规 风 险 供 应 链 给 组 织 带 来 的 风 险 既 可 以 是 战 略 性 的 也 可 以 是 战 术 性 的 。 D i g i t a l   S h a d o w s   的   G u i r a k h o o   表 示 “ 当 组 织 依 赖 大 量 第 三 方 ， 从 而 大 大 增 加 潜 在 攻 击 面 ， 这 甚 至 会 更 加 困 难 ” 。 所 构 成 的 风 险 可 能 是 战 略 关 系 和 伙 伴 关 系 的 问 题 ， 使 高 所 构 成 的 风 险 可 能 是 战 略 关 系 和 伙 伴 关 系 的 问 题 ， 使 高 级 管 理 层 意 识 到 问 题 的 严 重 性 并 将 其 纳 入 决 策 过 程 以 进 行 响 应 和 补 救 级 管 理 层 意 识 到 问 题 的 严 重 性 并 将 其 纳 入 决 策 过 程 以 进 行 响 应 和 补 救 。 关 注 云 端 关 注 云 端 “ 现 在 许 多 重 要 数 据 都 存 储 在 云 上 ， 这 为 犯 罪 分 子 提 供 了 机 会 。 通 过 攻 击 云 端 可 以 破 坏 整 个 供 应 链 的 安 全 并 摧 毁 关 通 过 攻 击 云 端 可 以 破 坏 整 个 供 应 链 的 安 全 并 摧 毁 关 键 信 息 基 础 设 施 键 信 息 基 础 设 施 ” 。 软 件 和 服 务 基 本 上 由 现 有 软 件 、 服 务 和 模 块 构 建 而 成 ， 从 而 依 赖 和 嵌 套 的 产 品 越 来 越 深 。 A c c u r i c a   联 合 创 始 人 兼 首 席 执 行 官   S a c h i n   A g g a r w a l   表 示 “ 许 多 云 基 础 架 构 和   S a a S   应 用 都 由 许 多 组 件 构 成 ， 通 常 都 包 含 开 源 产 品 ” ， “ 例 如 ， A m o z o n   W e b   S e r v i c e s   使 用   L i n u x 、 J a v a 、 K u b e r n e t e s 、 X e n   和   K V M ， 这 些 组 件 具 备 成 本 优 势 ， 但 会 带 来 安 这 些 组 件 具 备 成 本 优 势 ， 但 会 带 来 安 全 风 险 ， 组 织 需 要 关 注 并 减 轻 这 些 风 险 全 风 险 ， 组 织 需 要 关 注 并 减 轻 这 些 风 险 ” 。 确 定 和 审 查 软 件 供 应 链 中 每 个 组 件 的 安 全 性 以 及 云 端 的 供 应 链 安 全 是 一 项 庞 大 的 工 程 ， 但 这 也 是 确 保 组 织 供 应 链 安 全 必 不 可 少 的 一 部 分 。
参 考 来 源 参 考 来 源 h t t p s : / / w w w . d a r k r e a d i n g . c o m / e d g e / t h e e d g e / 8 - s u p p l y - c h a i n - s e c u r i t y - r e q u i r e m e n t s / b / d - i d / 1 3 3 7 8 2 0 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理