搜索

[17050] 2021-07-20_警惕供应链安全：判断供应商安全性的十种方法

文档创建者：s7ckTeam
浏览次数：23
最后更新：2025-01-18
2021-07-20_警惕供应链安全：判断供应商安全性的十种方法 警 惕 供 应 链 安 全 ： 判 断 供 应 商 安 全 性 的 十 种 方 法 晶 颜 1 2 3   F r e e B u f   2 0 2 1 - 0 7 - 2 0 自 S o l a r W i n d s 供 应 链 攻 击 事 件 以 来 ， 人 们 越 来 越 关 注 各 种 规 模 的 组 织 如 何 确 保 其 供 应 商 的 安 全 。 事 实 证 明 ， 无 论 规 模 大 小 ， 各 类 组 织 都 沦 为 了 供 应 链 攻 击 的 受 害 者 。 即 便 是 坐 拥 政 府 资 源 和 资 金 的 美 国 财 政 部 和 国 土 安 全 部 同 样 难 逃 魔 爪 — — 它 们 也 在 S o l a r W i n d s 攻 击 事 件 中 受 到 了 影 响 。 遗 憾 的 现 实 是 ， 供 应 链 攻 击 并 不 会 消 失 。 2 0 2 1 年 第 一 季 度 ， 1 3 7 家 组 织 报 告 称 在 2 7 家 不 同 的 第 三 方 供 应 商 处 遭 受 了 供 应 链 攻 击 ， 而 供 应 链 攻 击 的 数 量 比 上 一 季 度 增 长 了 4 2 % 。 这 就 引 出 了 一 个 问 题 ： 当 供 应 链 攻 击 的 威 胁 越 来 越 大 时 ， 企 业 应 该 如 何 降 低 风 险 ？ 评 估 供 应 商 风 险 的 评 估 供 应 商 风 险 的 1 0 个 最 佳 实 践 个 最 佳 实 践 虽 然 不 能 保 证 企 业 可 以 在 供 应 链 攻 击 发 生 之 前 检 测 到 它 ， 但 企 业 可 以 考 虑 下 述 1 0 项 最 佳 实 践 ， 来 帮 助 降 低 风 险 并 验 证 其 供 应 链 的 安 全 性 。 评 估 如 果 供 应 商 的 评 估 如 果 供 应 商 的 I T 基 础 设 施 受 到 损 害 ， 每 个 供 应 商 可 能 对 您 的 业 务 产 生 的 影 响 。 基 础 设 施 受 到 损 害 ， 每 个 供 应 商 可 能 对 您 的 业 务 产 生 的 影 响 。 虽 然 进 行 全 面 风 险 评 估 是 首 选 ， 但 规 模 较 小 的 组 织 可 能 没 有 资 源 和 能 力 进 行 评 估 。 不 过 ， 他 们 至 少 应 该 分 析 最 坏 的 情 况 并 了 解 以 下 问 题 ： 针 对 该 供 应 商 系 统 的 勒 索 软 件 攻 击 将 如 何 影 响 我 的 业 务 ？ 如 果 供 应 商 的 源 代 码 被 木 马 病 毒 破 坏 ， 我 的 业 务 会 受 到 什 么 影 响 ？ 如 果 供 应 商 的 数 据 库 遭 到 破 坏 并 且 数 据 被 盗 ， 这 将 如 何 影 响 我 的 业 务 ？ 评 估 每 个 供 应 商 的 内 部 评 估 每 个 供 应 商 的 内 部 I T 资 源 和 能 力 。 资 源 和 能 力 。 他 们 是 否 有 由 安 全 经 理 或 C I S O 领 导 的 专 门 网 络 安 全 团 队 ？ 确 定 供 应 商 的 安 全 领 导 很 重 要 ， 因 为 他 们 可 以 回 答 您 的 问 题 。 如 果 团 队 不 存 在 此 类 职 务 或 人 员 不 足 ， 没 有 真 正 的 领 导 ， 您 可 能 需 要 慎 重 考 虑 与 该 供 应 商 的 合 作 问 题 。 与 供 应 商 的 安 全 经 理 或 与 供 应 商 的 安 全 经 理 或 C I S O 会 面 ， 了 解 他 们 如 何 保 护 其 系 统 和 数 据 。 会 面 ， 了 解 他 们 如 何 保 护 其 系 统 和 数 据 。 这 一 过 程 可 以 通 过 简 短 的 会 议 、 电 话 ， 甚 至 是 电 子 邮 件 对 话 完 成 ， 具 体 取 决 于 步 骤 1 中 确 定 的 风 险 。 索 取 证 据 来 验 证 供 应 商 的 主 张 。 索 取 证 据 来 验 证 供 应 商 的 主 张 。 渗 透 报 告 是 一 种 有 用 的 方 法 。 确 保 测 试 范 围 是 适 当 的 ， 并 在 可 能 的 情 况 下 ， 要 求 提 供 两 次 连 续 测 试 的 报 告 ， 以 验 证 供 应 商 是 否 根 据 其 发 现 采 取 行 动 。 如 果 您 的 供 应 商 是 软 件 供 应 商 ， 请 要 求 进 行 独 立 的 源 代 码 审 查 。 如 果 您 的 供 应 商 是 软 件 供 应 商 ， 请 要 求 进 行 独 立 的 源 代 码 审 查 。 在 某 些 情 况 下 ， 供 应 商 可 能 会 要 求 签 订 保 密 协 议 （ N D A ） 才 会 共 享 完 整 报 告 或 可 能 选 择 不 共 享 。 发 生 这 种 情 况 时 ， 请 索 取 一 份 执 行 摘 要 。 如 果 您 的 供 应 商 是 云 供 应 商 ， 可 以 扫 描 供 应 商 的 网 络 。 如 果 您 的 供 应 商 是 云 供 应 商 ， 可 以 扫 描 供 应 商 的 网 络 。 执 行 S h o d a n 搜 索 ， 或 要 求 供 应 商 提 供 他 们 自 己 的 扫 描 报 告 。 如 果 您 打 算 自 己 扫 描 ， 请 从 供 应 商 处 获 得 许 可 ， 并 要 求 他
们 将 客 户 地 址 与 他 们 自 己 的 地 址 分 开 ， 这 样 您 就 不 会 扫 描 到 不 相 关 的 内 容 。 如 果 供 应 商 是 软 件 或 云 供 应 商 ， 查 明 供 应 商 是 否 正 在 运 行 漏 洞 赏 金 计 划 。 如 果 供 应 商 是 软 件 或 云 供 应 商 ， 查 明 供 应 商 是 否 正 在 运 行 漏 洞 赏 金 计 划 。 这 些 项 目 可 以 帮 助 组 织 在 攻 击 者 有 机 会 利 用 漏 洞 之 前 找 到 并 修 复 漏 洞 。 询 问 您 的 供 应 商 他 们 如 何 确 定 风 险 的 优 先 级 。 询 问 您 的 供 应 商 他 们 如 何 确 定 风 险 的 优 先 级 。 例 如 ， 通 用 漏 洞 评 分 系 统 （ C V S S ） 是 一 种 免 费 且 开 放 的 行 业 标 准 ， 用 于 评 估 计 算 机 系 统 安 全 漏 洞 的 严 重 性 并 分 配 严 重 性 评 分 ， 以 便 供 应 商 可 以 优 先 考 虑 风 险 响 应 。 索 取 供 应 商 的 漏 洞 修 复 报 告 。 索 取 供 应 商 的 漏 洞 修 复 报 告 。 他 们 拥 有 报 告 这 一 事 实 表 明 了 他 们 对 安 全 和 管 理 漏 洞 的 承 诺 。 如 果 可 能 ， 请 尝 试 获 取 由 独 立 实 体 生 成 的 报 告 。 步 骤 步 骤 1 到 到 9 应 该 每 年 重 复 一 次 ， 具 体 取 决 于 供 应 商 面 临 的 威 胁 及 其 对 企 业 的 影 响 。 应 该 每 年 重 复 一 次 ， 具 体 取 决 于 供 应 商 面 临 的 威 胁 及 其 对 企 业 的 影 响 。 对 于 影 响 较 小 的 供 应 商 ， 可 以 稍 微 放 宽 频 率 ； 对 于 具 有 高 风 险 且 风 险 会 严 重 影 响 企 业 业 务 的 供 应 商 ， 企 业 可 以 制 定 永 久 性 评 估 流 程 。 但 是 ， 大 型 S a a S 和 I a a S 提 供 商 可 能 不 愿 意 参 与 正 在 进 行 的 评 估 。 总 结 总 结 通 过 遵 循 上 述 推 荐 的 最 佳 实 践 ， 企 业 可 以 识 别 与 特 定 供 应 商 相 关 的 风 险 ， 了 解 供 应 商 如 何 管 理 这 些 风 险 ， 并 收 集 有 关 供 应 商 如 何 减 轻 这 些 风 险 的 证 据 。 基 于 此 证 据 和 风 险 偏 好 ， 企 业 可 以 做 出 是 否 与 该 供 应 商 合 作 的 明 智 决 定 。 最 后 ， 当 您 执 行 这 些 评 估 时 ， 请 以 一 致 性 为 目 标 并 寻 找 随 时 间 变 化 的 风 险 。 请 记 住 ， 我 们 无 法 确 保 可 以 阻 止 供 应 链 攻 击 ， 但 通 过 下 一 代 反 恶 意 软 件 防 护 来 保 护 您 自 己 的 环 境 ， 与 您 的 用 户 进 行 持 续 的 网 络 安 全 培 训 ， 并 遵 循 这 些 最 佳 实 践 ， 可 以 降 低 组 织 面 临 的 风 险 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理