搜索

[16356] 2021-01-23_聊聊供应链安全：建议与方法

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-01-23_聊聊供应链安全：建议与方法 聊 聊 供 应 链 安 全 ： 建 议 与 方 法 宇 宸 d e 研 究 室   F r e e B u f   2 0 2 1 - 0 1 - 2 3 上 篇 介 绍 了 供 应 链 安 全 的 政 策 和 问 题 ， 本 篇 会 针 对 这 些 问 题 讨 论 相 关 建 议 和 应 对 方 法 。 聊 聊 供 应 链 安 全 ： 政 策 与 问 题 建 议 方 法 建 议 方 法 供 应 链 就 是 以 合 适 的 价 格 、 地 点 和 时 间 为 顾 客 提 供 他 们 需 要 的 资 源 。 供 应 链 安 全 是 一 个 多 学 科 的 问 题 ， 需 要 业 务 、 客 户 支 持 和 I T 之 间 的 密 切 协 作 和 执 行 ， 这 有 其 自 身 的 挑 战 。 对 正 在 交 付 的 产 品 或 服 务 的 完 整 性 、 正 在 交 换 的 数 据 的 隐 私 性 以 及 相 关 交 易 的 完 整 性 的 任 何 中 断 和 风 险 都 可 能 造 成 破 坏 性 的 运 营 、 财 务 和 品 牌 影 响 。 来 自 内 部 人 员 或 攻 击 者 的 数 据 泄 露 、 勒 索 软 件 攻 击 和 恶 意 活 动 可 能 发 生 在 供 应 链 的 任 意 环 节 。 即 使 是 本 地 化 到 单 个 供 应 商 或 第 三 方 供 应 商 的 安 全 事 件 ， 也 可 能 严 重 扰 乱 计 划 、 制 定 和 交 付 过 程 。 供 应 链 的 强 大 程 度 取 决 于 其 最 脆 弱 的 实 体 。 供 应 链 是 一 个 日 益 复 杂 的 全 球 网 络 ， 由 大 量 且 不 断 增 加 的 第 三 方 合 作 伙 伴 组 成 ， 这 些 合 作 伙 伴 需 要 访 问 数 据 ， 并 能 够 控 制 谁 可 以 看 到 这 些 数 据 。 今 天 ， 工 作 人 员 和 预 算 面 临 新 的 压 力 和 限 制 ， 以 及 战 略 、 合 作 伙 伴 和 供 需 结 构 的 不 可 预 见 的 迅 速 变 化 ， 进 一 步 增 加 了 的 挑 战 和 紧 迫 性 。 与 此 同 时 ， 更 有 知 识 和 社 会 意 识 的 客 户 及 员 工 要 求 他 们 购 买 或 支 持 的 产 品 和 服 务 具 有 透 明 度 和 可 见 性 。 每 一 个 接 触 点 都 增 加 了 一 个 需 要 评 估 、 管 理 和 缓 解 的 风 险 元 素 。 供 应 链 安 全 管 理 主 要 涉 及 五 个 方 面 供 应 链 安 全 管 理 主 要 涉 及 五 个 方 面 数 据 保 护 数 据 保 护 。 数 据 是 商 业 交 易 的 核 心 ， 必 须 在 静 态 和 运 行 中 保 护 并 控 制 数 据 ， 以 防 止 违 规 和 篡 改 。 安 全 的 数 据 交 换 还 包 括 信 任 其 他 来 源 ， 无 论 是 第 三 方 还 是 电 子 商 务 网 站 。 确 保 与 你 互 动 的 人 是 他 们 声 称 的 那 个 人 至 关 重 要 。 数 据 本 地 化 数 据 本 地 化 。 关 键 数 据 存 在 于 供 应 链 的 所 有 环 节 ， 无 论 位 于 何 处 ， 都 必 须 进 行 定 位 、 分 类 和 保 护 。 在 监 管 严 格 的 行 业 ( 如 金 融 服 务 和 医 疗 保 健 ) 中 ， 数 据 的 获 取 、 存 储 、 管 理 、 使 用 和 交 换 必 须 遵 循 行 业 标 准 和 政 府 规 定 ， 这 些 标 准 和 规 定 因 业 务 所 在 地 区 的 不 同 而 各 不 相 同 。 数 据 可 见 性 及 治 理 数 据 可 见 性 及 治 理 。 多 企 业 业 务 网 络 不 仅 方 便 企 业 间 的 数 据 交 换 ， 而 且 允 许 多 个 企 业 访 问 数 据 ， 以 便 查 看 、 共 享 与 协 作 。 参 与 的 企 业 需 要 对 数 据 进 行 控 制 ， 并 能 够 决 定 与 谁 共 享 数 据 以 及 每 个 受 权 方 可 以 查 看 的 内 容 。 欺 诈 预 防 欺 诈 预 防 。 在 单 一 的 订 单 到 现 金 周 期 中 ， 数 据 会 转 手 无 数 次 ， 包 括 纸 质 和 电 子 。 数 据 在 各 方 之 间 交 换 或 在 系 统 内 转 移 的 每 一 环 节 都 有 可 能 被 篡 改 — — 恶 意 或 无 意 的 篡 改 。 第 三 方 风 险 第 三 方 风 险 。 日 常 产 品 和 服 务 — — 从 手 机 到 汽 车 — — 正 变 得 越 来 越 复 杂 。 因 此 ， 供 应 链 往 往 依 赖 四 层 或 更 多 层 的 供 应 商 来 交 付 成 品 。 这 些 外 部 因 素 中 的 每 一 个 都 可 能 使 组 织 面 临 新 的 风 险 ， 这 取 决 于 它 们 正 确 管 理 自 身 漏 洞 的 能 力 。 第 三 方 安 全 管 理 第 三 方 安 全 管 理 组 织 的 攻 击 面 在 不 断 增 长 。 当 将 I T 系 统 的 大 部 分 外 包 给 第 三 方 时 ， 他 们 的 攻 击 面 将 添 加 到 组 织 的 攻 击 面 中 。 此 外 ， 组 织 中 可 能 一 直 有 人 与 外 部 提 供 商 保 持 联 系 ， 所 以 通 常 情 况 下 ， 甚 至 不 清 楚 攻 击 面 都 包 含 了 什 么 。 因 为 与 第 三 方 共 享 数 据 ， 所 以 必 须 像 了 解 自 己 一 样 了 解 它 们 的 安 全 性 。 管 理 你 的 第 三 方 的 安 全 更 为 重 要 。 云 应 用 的 增 加 云 应 用 的 增 加 。 根 据 M c A f e e 的 一 份 报 告 ， 平 均 每 家 机 构 使 用 的 云 服 务 比 去 年 增 加 了 1 5 % 。 此 外 ， 云 上 共 享 的 敏 感 数 据 量 同 比 增 长 5 3 % 。 预 计 在 十 年 内 ， 9 0 % 的 I T 将 不 会 花 费 在 I T 组 织 上 。 远 程 办 公 远 程 办 公 。 许 多 已 经 转 向 在 家 办 公 的 公 司 面 临 着 越 来 越 多 的 网 络 安 全 挑 战 ， 包 括 技 术 和 人 员 风 险 。 他 们 的 第 三 方 也 同
样 如 此 。 第 三 方 数 据 泄 露 第 三 方 数 据 泄 露 。 根 据 P o n e m o n 的 报 告 ， 5 9 % 的 组 织 经 历 过 第 三 方 造 成 的 数 据 泄 露 。 这 些 违 规 行 为 的 后 果 可 能 是 灾 难 性 的 ， 也 许 因 此 让 消 费 者 失 去 信 心 和 忠 诚 度 ， 以 及 面 临 高 昂 的 罚 款 ， 甚 至 可 能 导 致 破 产 。 新 法 规 新 法 规 。 《 G D P R 》 《 C C P A 》 和 《 纽 约 保 护 法 案 》 等 数 据 隐 私 法 规 要 求 企 业 确 保 客 户 数 据 的 隐 私 和 安 全 。 第 三 方 的 违 约 行 为 可 能 会 对 与 其 相 关 的 组 织 造 成 重 大 的 经 济 损 失 。 第 三 方 安 全 评 估 第 三 方 安 全 评 估 大 多 数 组 织 使 用 两 种 工 具 来 评 估 其 第 三 方 的 安 全 性 ： 安 全 问 卷 安 全 问 卷 和 安 全 评 级 服 务 安 全 评 级 服 务 ( S R S e s ) 。 然 而 ， 每 种 方 法 本 身 都 有 问 题 。 安 全 问 卷 安 全 问 卷 问 卷 缺 乏 上 下 文 关 联 问 卷 缺 乏 上 下 文 关 联 。 安 全 问 卷 通 常 包 含 数 百 个 问 题 ， 其 中 许 多 问 题 与 第 三 方 不 相 关 。 例 如 ， 开 发 软 件 的 供 应 商 应 该 完 成 与 提 供 基 于 云 基 础 设 施 的 第 三 方 不 同 的 调 查 问 卷 。 问 卷 调 查 无 法 规 模 化 问 卷 调 查 无 法 规 模 化 。 手 工 向 每 个 第 三 方 发 放 问 卷 比 较 耗 时 。 与 第 三 方 进 行 跟 踪 ， 以 确 保 他 们 及 时 完 成 问 卷 调 查 ， 手 工 审 查 问 卷 可 能 需 要 很 多 资 源 。 如 此 漫 长 的 过 程 阻 碍 了 业 务 支 持 和 快 速 加 载 第 三 方 的 能 力 。 问 卷 只 在 有 限 时 间 内 有 效 问 卷 只 在 有 限 时 间 内 有 效 。 问 卷 的 答 案 可 能 只 在 问 卷 完 成 时 有 效 。 因 为 新 技 术 一 直 被 引 入 ， 第 三 方 可 能 在 一 个 月 完 全 安 全 ， 下 一 个 月 就 不 安 全 。 安 全 评 级 服 务 安 全 评 级 服 务 S R S e s 提 供 了 一 种 有 限 的 网 络 态 势 视 角 提 供 了 一 种 有 限 的 网 络 态 势 视 角 。 虽 然 它 可 以 很 好 地 评 估 第 三 方 的 外 部 攻 击 面 ， 但 不 能 确 保 第 三 方 遵 守 内 部 安 全 策 略 和 实 践 。 本 质 上 ， 使 用 S R S 只 是 冰 山 一 角 ： 一 个 组 织 不 能 仅 仅 通 过 外 部 扫 描 就 可 以 了 解 网 络 态 势 的 整 体 情 况 。 供 应 商 只 想 达 成 项 目 ， 交 付 收 钱 。 安 全 检 查 需 要 时 间 和 精 力 ， 往 往 要 第 三 方 来 修 补 漏 洞 ， 而 他 们 可 能 没 有 足 够 资 源 或 意 愿 去 做 这 件 事 。 出 于 种 种 原 因 ， 许 多 第 三 方 将 安 全 评 估 视 为 业 务 阻 碍 ， 总 能 想 出 各 类 借 口 来 规 避 。 一 些 常 见 的 借 口 比 如 ： 问 卷 太 长 了 问 卷 和 我 们 的 业 务 无 关 总 也 问 不 到 对 口 的 人 我 不 知 道 你 说 的 是 什 么 意 思 我 反 对 ， 这 不 是 我 的 资 产 你 发 现 这 个 问 题 ， 我 们 不 知 道 该 怎 么 处 理 该 如 何 应 对 该 如 何 应 对 自 动 化 是 全 面 的 第 三 方 安 全 流 程 的 关 键 。 它 提 供 了 快 速 扩 展 的 能 力 。 上 下 文 上 下 文 ： 对 于 组 织 来 说 ， 识 别 其 每 个 第 三 方 关 系 的 风 险 相 关 特 征 很 重 要 。 企 业 应 该 提 供 上 下 文 数 据 ， 第 三 方 将 处 理 什 么 ， 是 多 关 键 的 业 务 , 数 据 如 何 流 动 , 它 被 用 于 什 么 , 谁 将 获 取 ,   第 三 方 是 否 与 云 服 务 提 供 商 等 分 包 商 有 业 务 往 来 ？ 可 见 性 可 见 性 ： 为 了 有 效 地 评 估 第 三 方 安 全 性 ， 组 织 应 该 将 外 部 网 络 态 势 扫 描 与 问 卷 相 结 合 ， 这 样 可 以 验 证 内 部 安 全 策 略 。
例 如 ， 如 果 一 家 公 司 声 称 它 符 合 P C I 标 准 ， 但 在 传 输 过 程 中 没 有 对 通 信 进 行 加 密 ， 这 就 表 明 存 在 问 题 。 此 外 ， 应 持 续 监 控 第 三 方 ， 并 制 定 具 体 政 策 ， 包 括 发 现 网 络 问 题 时 应 采 取 的 措 施 。 参 与 度 参 与 度 ： 为 了 实 现 业 务 ， 重 要 的 是 与 第 三 方 合 作 ， 使 安 全 流 程 尽 可 能 顺 利 。 问 卷 应 根 据 上 下 文 联 系 进 行 调 整 ， 这 样 就 无 需 回 答 无 关 问 题 。 应 向 第 三 方 提 供 调 查 结 果 和 明 确 的 、 可 操 作 的 补 救 计 划 ， 以 及 关 于 如 何 确 定 网 络 态 势 差 距 的 可 见 性 。 组 织 应 该 设 定 现 实 中 的 期 限 （ 节 点 ） ， 并 提 供 直 观 的 沟 通 方 法 。 总 之 ， 组 织 和 第 三 方 应 该 建 立 一 种 合 作 的 业 务 关 系 。 构 架 自 己 的 流 程 构 架 自 己 的 流 程 创 建 或 希 望 升 级 第 三 方 安 全 程 序 的 组 织 可 以 考 虑 以 下 方 式 ： 识 别 利 益 相 关 者 识 别 利 益 相 关 者 。 了 解 谁 是 内 部 伙 伴 很 重 要 。 他 们 可 能 包 括 企 业 股 东 、 法 律 和 采 购 团 队 以 及 安 全 专 家 。 为 提 供 商 组 合 定 义 等 级 为 提 供 商 组 合 定 义 等 级 。 对 所 有 的 第 三 方 有 一 个 全 面 的 列 表 ， 然 后 根 据 每 个 关 系 的 固 有 风 险 进 行 分 级 。 固 有 风 险 是 指 基 于 临 界 性 的 风 险 ， 这 意 味 着 组 织 在 没 有 供 应 商 的 情 况 下 可 以 运 行 多 长 时 间 ； 整 合 数 据 风 险 ， 这 意 味 着 组 织 与 供 应 商 共 享 的 数 据 是 多 重 要 或 敏 感 。 为 每 一 级 定 义 关 键 标 准 为 每 一 级 定 义 关 键 标 准 。 一 旦 确 定 了 第 三 方 的 等 级 ， 就 必 须 为 每 个 级 别 建 立 安 全 策 略 。 该 策 略 应 包 括 如 何 评 估 每 个 级 别 、 多 久 重 新 评 估 、 持 续 监 控 的 阈 值 、 警 报 管 理 流 程 以 及 对 供 应 商 应 如 何 响 应 的 期 望 。 关 注 那 些 不 重 视 的 提 供 商 关 注 那 些 不 重 视 的 提 供 商 。 建 立 一 个 流 程 ， 如 何 处 理 与 第 三 方 产 生 的 网 络 问 题 。 组 织 是 否 补 救 、 实 施 内 部 控 制 或 终 止 业 务 关 系 ？ 这 些 是 必 须 解 决 的 问 题 。 丰 富 情 报 丰 富 情 报 最 有 效 的 程 序 会 利 用 网 络 情 报 帮 助 决 策 。 第 三 方 攻 击 面 扫 描 第 四 方 检 测 业 务 情 报 反 馈 如 果 供 应 商 正 在 切 换 到 远 程 办 公 ， 新 的 安 全 评 估 可 能 是 必 要 的 。 此 外 ， 可 以 定 期 审 议 后 续 问 题 清 单 并 审 查 ， 同 时 进 行 有 效 的 持 续 监 测 。 通 过 实 施 正 确 的 步 骤 ， 可 以 将 第 三 方 安 全 程 序 提 升 到 下 一 级 别 。 随 着 组 织 继 续 依 赖 于 第 三 方 ， 对 有 效 的 第 三 方 安 全 流 程 的 需 求 也 在 增 长 。 通 过 这 些 步 骤 ， 可 以 确 保 组 织 的 安 全 程 序 是 可 扩 展 的 、 高 效 的 和 全 面 的 。 供 应 链 安 全 建 议 供 应 链 安 全 建 议 供 应 链 安 全 需 要 多 方 面 考 虑 。 没 有 万 能 方 案 ， 但 是 组 织 可 以 用 分 层 防 御 的 组 合 来 保 护 供 应 链 。 由 于 专 注 供 应 链 安 全 的 团 队 使 威 胁 参 与 者 更 难 实 施 攻 击 ， 因 此 获 得 了 更 多 的 时 间 来 检 测 恶 意 活 动 并 采 取 行 动 。 这 里 是 一 些 组 织 追 求 管 理 和 减 轻 供 应 链 安 全 风 险 的 重 要 战 略 。 安 全 战 略 评 估 安 全 战 略 评 估 。 要 评 估 风 险 与 合 规 性 ， 需 要 针 对 业 务 挑 战 、 需 求 和 目 标 评 估 现 有 的 安 全 治 理 框 架 — — 包 括 数 据 隐 私 、 第 三 方 风 险 和 I T 法 规 合 规 需 求 及 差 距 。 安 全 风 险 量 化 、 安 全 开 发 、 法 规 和 标 准 合 规 性 以 及 安 全 教 育 和 培 训 是 关 键 。 漏 洞 修 补 与 渗 透 测 试 漏 洞 修 补 与 渗 透 测 试 。 通 过 漏 洞 扫 描 来 识 别 基 本 的 安 全 问 题 。 修 复 不 当 的 数 据 库 配 置 、 密 码 策 略 、 消 除 默 认 密 码 并 保 护 终 端 和 网 络 可 以 立 即 降 低 风 险 ， 同 时 将 对 生 产 率 或 停 机 时 间 的 影 响 降 至 最 低 。 通 过 网 络 钓 鱼 模 拟 和 红 队 ， 聘 请 渗 透 测 试 专 家 发 现 新 旧 应 用 、 供 应 链 基 础 设 施 以 及 人 的 所 有 方 面 的 漏 洞 。 数 字 化 与 现 代 化 数 字 化 与 现 代 化 。 如 果 在 商 业 交 易 中 仅 仅 依 靠 纸 质 、 电 话 、 传 真 和 电 子 邮 件 ， 那 么 数 据 的 安 全 就 很 难 保 障 。 重 要 手 工 流 程 的 数 字 化 是 关 键 。 技 术 解 决 方 案 可 以 从 基 于 手 工 、 纸 质 的 流 程 切 换 ， 并 将 安 全 性 、 可 靠 性 和 治 理 带 到 工 作 事 务
中 ， 为 企 业 内 部 以 及 与 客 户 和 交 易 伙 伴 之 间 的 安 全 数 据 移 动 提 供 基 础 。 随 着 业 务 流 程 和 软 件 的 现 代 化 ， 可 以 利 用 加 密 、 标 记 化 、 数 据 防 泄 漏 以 及 文 件 访 问 监 控 和 预 警 ， 并 为 团 队 和 合 作 伙 伴 提 高 安 全 意 识 并 开 展 培 训 。 数 据 识 别 与 加 密 数 据 识 别 与 加 密 。 数 据 保 护 程 序 和 策 略 应 包 括 使 用 发 现 和 分 类 工 具 来 识 别 包 含 受 保 护 的 客 户 信 息 、 财 务 数 据 和 专 有 记 录 的 数 据 库 和 文 件 。 一 旦 定 位 数 据 ， 使 用 最 新 的 标 准 和 加 密 策 略 保 护 所 有 类 型 的 数 据 ， 包 括 静 态 和 动 态 的 客 户 、 金 融 、 订 单 、 库 存 、 物 联 网 、 健 康 等 数 据 。 对 传 入 的 连 接 进 行 验 证 ， 并 实 时 检 查 文 件 内 容 。 当 通 过 互 联 网 进 行 交 易 时 ， 数 字 签 名 、 多 因 素 认 证 和 会 话 中 断 将 提 供 额 外 的 控 制 。 数 据 交 换 与 可 见 性 权 限 控 制 数 据 交 换 与 可 见 性 权 限 控 制 。 多 企 业 业 务 网 络 使 用 基 于 用 户 和 角 色 访 问 的 工 具 ， 确 保 战 略 合 作 伙 伴 之 间 安 全 可 靠 的 信 息 交 换 。 身 份 和 访 问 管 理 安 全 实 践 对 于 在 广 泛 的 生 态 系 统 中 安 全 地 共 享 专 有 和 敏 感 数 据 至 关 重 要 ， 同 时 发 现 和 减 轻 漏 洞 降 低 了 不 当 访 问 和 破 坏 的 风 险 。 数 据 库 活 动 监 视 、 特 权 用 户 监 视 和 警 报 为 快 速 捕 获 问 题 提 供 了 可 见 性 。 将 区 块 链 技 术 添 加 到 多 企 业 业 务 网 络 中 ， 可 以 提 供 可 授 权 、 不 可 更 改 的 共 享 多 方 可 见 记 录 ， 从 而 促 进 整 个 价 值 链 的 信 任 。 可 信 、 透 明 与 溯 源 可 信 、 透 明 与 溯 源 。 在 区 块 链 平 台 上 ， 一 旦 数 据 被 添 加 到 分 类 帐 中 ， 它 就 无 法 被 操 纵 、 更 改 或 删 除 ， 这 有 助 于 防 欺 诈 、 验 证 来 源 和 监 控 产 品 质 量 。 来 自 多 个 企 业 的 参 与 者 可 以 跟 踪 材 料 和 产 品 从 源 头 到 最 终 客 户 或 消 费 者 。 所 有 数 据 存 储 在 区 块 链 账 本 中 ， 用 最 高 级 别 的 商 业 防 篡 改 加 密 保 护 。 第 三 方 风 险 管 理 第 三 方 风 险 管 理 。 随 着 公 司 与 第 三 方 之 间 的 联 系 和 相 互 依 赖 在 供 应 链 生 态 中 不 断 增 长 ， 组 织 需 要 扩 展 供 应 商 风 险 管 理 的 定 义 ， 以 涵 盖 端 到 端 安 全 。 允 许 公 司 评 估 、 改 善 、 监 控 和 管 理 整 个 关 系 生 命 周 期 的 风 险 。 首 先 ， 将 自 己 的 业 务 和 技 术 团 队 与 合 作 伙 伴 和 供 应 商 聚 集 在 一 起 ， 在 违 反 法 规 、 系 统 关 闭 或 数 据 泄 露 等 方 面 识 别 关 键 资 产 并 对 业 务 运 营 的 潜 在 损 害 进 行 讨 论 和 定 义 。 事 件 响 应 计 划 与 编 排 事 件 响 应 计 划 与 编 排 。 提 前 为 入 侵 、 关 闭 或 中 断 做 好 准 备 ， 并 拥 有 稳 健 的 事 件 响 应 计 划 很 重 要 。 通 过 实 践 、 测 试 和 易 执 行 的 响 应 计 划 和 补 救 措 施 ， 防 止 损 失 、 声 誉 损 害 以 及 合 作 伙 伴 和 客 户 流 失 。 情 报 和 计 划 提 供 度 量 标 准 和 知 识 ， 组 织 与 合 作 伙 伴 可 以 使 用 它 们 来 制 定 决 策 ， 以 防 止 攻 击 或 事 件 再 次 发 生 。 供 应 链 安 全 将 继 续 向 更 加 智 能 转 变 。 例 如 ， 解 决 方 案 已 经 开 始 融 入 人 工 智 能 ， 通 过 识 别 表 明 未 授 权 访 问 的 异 常 、 模 式 和 趋 势 ， 主 动 检 测 可 疑 行 为 。 人 工 智 能 提 供 的 解 决 方 案 可 以 向 人 工 响 应 发 送 警 报 ， 或 自 动 阻 止 访 问 尝 试 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理