搜索

[5601] 2019-01-05_揭开关于第三方风险管理的常见误区

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-17
2019-01-05_揭开关于第三方风险管理的常见误区 揭 开 关 于 第 三 方 风 险 管 理 的 常 见 误 区 原 创   E 安 全   E 安 全   2 0 1 9 - 0 1 - 0 5 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m 小 编 来 报 ： 小 编 来 报 ： 从 网 络 规 模 要 求 和 合 规 性 因 素 ， 到 供 应 商 通 信 和 数 据 源 ， 近 年 来 存 在 一 些 关 于 实 施 第 三 方 风 险 计 划 的 误 区 。 据 i n f o s e c u r i t y   1 月 4 日 报 道 ， 起 源 于 第 三 方 网 络 — — 如 F i s e r v ,   S e a r s ,   D e l t a ,   S a k s ,   L o r d   &   T a y l o r 等 网 站 的 数 据 泄 露 事 件 继 续 成 为 全 球 新 闻 头 条 。 因 此 ， 各 地 的 组 织 都 更 加 关 注 第 三 方 供 应 商 和 承 包 商 的 安 全 ， 并 开 展 第 三 方 风 险 管 理 ( T P R M ) 计 划 ， 来 帮 助 他 们 避 免 成 为 下 一 个 数 据 泄 露 受 害 者 。 T P R M 计 划 是 抵 御 网 络 威 胁 入 侵 的 重 要 防 御 手 段 。 但 更 重 要 的 是 ， 企 业 需 要 实 施 正 确 的 计 划 来 有 效 地 保 护 自 己 — — 首 先 要 弄 清 楚 T P R M 的 实 际 作 用 。   从 网 络 规 模 要 求 和 合 规 性 因 素 ， 到 供 应 商 通 信 和 数 据 源 ， 近 年 来 存 在 一 些 关 于 实 施 第 三 方 风 险 计 划 的 误 区 。 误 区 误 区 1   ： ： T P R M 仅 适 用 于 拥 有 庞 大 供 应 商 网 络 的 公 司 仅 适 用 于 拥 有 庞 大 供 应 商 网 络 的 公 司 一 些 人 认 为 ， 一 个 组 织 拥 有 的 供 应 商 越 多 ， 数 据 泄 露 的 可 能 性 就 越 高 ； 但 实 际 只 要 有 一 个 供 应 商 就 能 造 成 数 据 泄 露 。 所 有 组 织 需 要 保 护 敏 感 数 据 ， 需 要 考 虑 与 第 三 方 合 作 的 风 险 。 安 全 领 导 者 需 要 了 解 他 们 的 整 个 第 三 方 生 态 系 统 ， 以 及 哪 些 供 应 商 与 敏 感 数 据 交 互 。 对 于 第 三 方 较 少 的 组 织 来 说 ， 这 一 过 程 比 较 容 易 ， 但 无 论 公 司 或 第 三 方 网 络 规 模 如 何 ， 都 不 应 忽 视 这 一 点 。 误 区 误 区 2   ： ：   T P R M 不 是 董 事 会 的 问 题 不 是 董 事 会 的 问 题
根 据 G a r t n e r 预 测 ， 到 2 0 2 0 年 ， 7 5   % 的 世 界 5 0 0 强 公 司 将 把 供 应 商 风 险 管 理 视 为 董 事 会 层 面 的 举 措 。 不 让 董 事 会 参 与 T P R M 决 策 可 能 会 导 致 缺 乏 支 持 和 资 源 。 成 功 的 项 目 应 获 董 事 会 的 认 可 ， 并 应 持 续 报 告 T P R M 计 划 。 误 区 误 区 3   ： 合 规 性 是 任 何 ： 合 规 性 是 任 何 T P R M 计 划 的 首 要 目 标 计 划 的 首 要 目 标 虽 然 合 规 性 很 重 要 ， 它 应 是 T P R M 计 划 的 一 个 目 标 ， 但 不 应 是 唯 一 的 目 标 。 保 持 合 规 性 并 不 能 确 保 数 据 的 安 全 性 。 结 合 全 球 和 区 域 网 络 安 全 法 规 是 个 不 错 的 选 择 ， 但 只 能 确 保 最 低 标 准 。 T P R M 计 划 应 该 关 注 风 险 管 理 ， 而 不 是 简 单 地 用 “ 对 号 入 座 ” 的 方 法 。 此 外 ， 法 规 不 常 更 新 ， 但 风 险 在 不 断 变 化 。 即 使 在 过 去 一 年 内 通 过 了 更 新 的 法 规 ， 也 可 能 会 出 现 无 数 新 的 风 险 。 持 续 的 研 究 和 监 控 是 制 定 强 有 力 和 有 效 的 T P R M 计 划 的 必 要 条 件 。 误 区 误 区 4   ： 较 长 的 供 应 商 调 查 问 卷 会 提 高 安 全 性 ： 较 长 的 供 应 商 调 查 问 卷 会 提 高 安 全 性 传 统 上 ， 为 了 评 估 供 应 商 的 安 全 绩 效 ， 组 织 常 使 用 网 络 风 险 问 卷 。 随 着 网 络 威 胁 形 势 变 得 越 来 越 复 杂 ， 人 们 有 一 种 冲 动 ， 就 是 让 问 题 变 得 更 长 ， 以 期 变 得 更 全 面 。 但 实 际 上 ， 这 些 冗 长 的 调 查 问 卷 对 供 应 商 来 说 更 令 人 恼 火 、 更 难 分 析 。 更 好 的 办 法 是 根 据 潜 在 风 险 对 供 应 商 进 行 分 级 ， 并 用 持 续 监 测 数 据 补 充 调 查 问 卷 。 这 减 少 了 他 们 需 要 向 第 三 方 询 问 的 问 题 数 量 ， 使 得 T P R M 计 划 总 体 上 更 加 高 效 。 误 区 误 区 5   ： 组 织 不 能 影 响 第 三 方 的 网 络 安 全 实 践 ： 组 织 不 能 影 响 第 三 方 的 网 络 安 全 实 践 安 全 领 导 者 可 以 使 用 许 多 工 具 来 影 响 其 供 应 商 的 安 全 性 能 。 对 大 多 数 企 业 来 说 ， 影 响 第 三 方 的 最 有 效 方 式 是 通 过 契 约 关 系 。 通 过 安 全 绩 效 的 量 化 ， 组 织 可 以 在 合 同 中 包 含 明 确 的 关 键 绩 效 指 标 。 有 时 ， 仅 仅 让 他 们 意 识 到 自 己 的 安 全 失 误 或 漏 洞 就 足 以 引 起 改 变 。 许 多 供 应 商 没 有 意 识 到 他 们 的 网 络 风 险 。 提 供 基 于 数 据 的 解 决 方 案 能 采 取 相 应 的 行 动 来 解 决 问 题 ， 这 能 保 护 两 个 企 业 并 促 进 两 者 更 好 地 合 作 。 误 区 误 区 6   : 不 可 能 对 第 三 方 的 网 络 安 全 态 势 有 一 个 全 面 的 新 看 法 不 可 能 对 第 三 方 的 网 络 安 全 态 势 有 一 个 全 面 的 新 看 法 调 查 问 卷 、 渗 透 测 试 和 现 场 访 问 等 工 具 只 能 在 某 个 时 间 点 提 供 安 全 性 能 视 图 。 在 这 些 评 估 之 间 ， 会 出 现 大 量 新 的 安 全 威 胁 ， 供 应 商 的 安 全 做 法 可 能 会 改 变 。 使 用 连 续 监 控 可 以 用 近 乎 实 时 的 更 新 来 填 补 这 些 空 白 。 这 可 以 让 安 全 领 导 者 更 全 面 地 了 解 第 三 方 在 任 何 时 候 的 风 险 状 况 。 影 响 第 三 方 I T 基 础 架 构 的 数 据 泄 露 可 能 会 使 企 业 损 失 数 百 万 美 元 以 上 ， 企 业 无 法 承 受 因 不 当 处 理 第 三 方 风 险 带 来 的 后 果 。 通 过 打 破 这 些 误 区 ， 专 注 于 持 续 监 控 ， 通 过 合 作 达 到 第 三 方 安 全 性 能 ， 并 让 第 三 方 风 险 成 为 董 事 会 的 问 题 ， 组 织 将 会 拥 有 更 强 大 、 更 有 效 的 T P R M 计 划 ， 这 一 计 划 会 像 最 新 的 威 胁 一 样 迅 速 发 展 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m 推 荐 阅 读 ： 巴 西 政 府 将 成 立 国 家 个 人 数 据 保 护 局 U S B   T y p e - C 获 身 份 验 证 ， 以 防 恶 意 设 备 攻 击
印 度 政 府 将 于 1 月 5 日 就 I T 中 介 规 范 举 行 公 开 会 议 P e w D i e P i e 的 黑 客 粉 丝 瞄 准 谷 歌 电 视 棒 驱 动 的 电 视 黑 客 从 E l e c t r u m 钱 包 窃 取 价 值 7 5 万 美 元 的 比 特 币 经 沙 特 阿 拉 伯 政 府 指 控 ， N e t f l i x 下 架 一 集 《 爱 国 者 法 案 》 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理