评估第三方供应商网络安全风险的五大核心问题

从营销顾问、供应链合作伙伴到会计师和IT服务商，现代组织几乎依赖各类第三方完成所有业务职能。

Ponemon Institute最新研究显示：61%的美国组织经历过由第三方或供应商导致的数据泄露。57%企业无法判断供应商安全策略和防御是否足以防止泄露，不足半数在共享敏感机密信息的业务协议启动前评估供应商安全隐私实践。

因此同项研究显示，仅16%受访者认为其公司在缓解第三方风险方面“高度有效”。事实上，将外包风险管理作为优先事项的企业仍属少数。

最佳切入点：合作伊始

降低第三方风险的最佳时机是关系开始时——签署协议前。此时需提出关键问题，识别可能承担的风险敞口及最佳规避方式。安全实践强的供应商通常乐意讨论，回避此类讨论的可能有所隐瞒。基于此，考虑第三方时应问五个问题——一个内部自问，四个向严肃候选人提问：

1. 内部自问：第三方将持有或访问何种数据和系统？

许多第三方无敏感数据或系统访问权，若其泄露，对你威胁极小。例如园艺供应商，极少访问数据系统，可能仅接触灌溉系统，且与内部系统隔离。因此假设性园艺供应商泄露预期影响微乎其微。

相反，HR供应商、财务系统或供应商截然不同。如聘请顾问开发客户分析支持营销或业务策略，该实体可能访问跨越客户信用卡号、住址或公司财务的数据。此类顾问必须严格审查。

2. 第三方如何进行日志记录和监控？

日志记录和监控是组织记录和响应环境活动的主要方式。但系统网络活动日志冗长。现代计算环境由多异构系统和高带宽网络组成，日志事件量迅速超出人工管理能力。为妥善监控安全事件，必须部署工具存储和分流事件。了解供应商的人员和工具选择，能知晓其对安全的重视程度。人员+工具=资金=资源=优先级。寻找将安全作为优先级并投入资源的合作伙伴。

3. 第三方如何管理物理和技术访问控制？

访问控制是降低脆弱性和风险的途径，分物理和技术两类。超连接世界易让人忽视物理控制重要性。需识别第三方存储、处理、传输数据的物理位置及其物理安全级别。若数据存储于移动设备，须了解相关安全控制，因设备不总处于静态位置。

技术访问控制对系统网络评估同样重要。询问多少人访问你的数据及目的。了解第三方如何使用多因子认证、管理员组用户审查频率、系统权限审查频率、离职员工权限撤销流程。此外了解网络分段实践和工具：如隔离生产系统与互联网等其他环境的控制是什么？第三方如何分段内部网络？

良好的物理访问控制常能弥补薄弱技术控制，反之亦然。但最佳实践是将物理和技术访问限制在提供服务所需人员。松懈的访问控制扩大攻击面，增加风险。

4. 第三方采取何种系统补丁管理方法？

未知或未披露漏洞虽引人注目但罕见。组织更多面临已知漏洞风险。因此第三方必须建立稳健计划，通过快速应用安全补丁修复已知漏洞，移除底层脆弱软件。

主要软件供应商定期发布更新。审查第三方时，你需确信处理、存储、传输你数据的系统将接收定期及时更新，并针对紧急和关键漏洞设有加速流程。

5. 第三方是否接受独立审计或测试？获得何种安全认证？

审计督促组织问责。第三方应通过完成并保持SIG Lite或CSA CAIQ等标准化安全问卷更新来自我审计。除自评外，独立审计让你安心第三方遵循政策程序。独立审计可能包括渗透测试或SOC 2。特定行业有专属认证：医疗HITRUST、支付处理PCI、美国联邦政府FedRAMP。所有情况下，独立审计都很重要，表明维护经验证的正式信息安全计划的承诺。

综合判断与行动

围绕这些关键领域的讨论将给你供应商安全态势的整体感知。若供应商回答透明、显示战略优先级和主动尽职，可更有信心推进。若安全态势不成熟，必须接受风险或考虑其他缓释措施控制风险。

别让数据安全成为事后诸葛亮。将其作为产品和服务讨论的组成部分。在海量复杂攻击的今天，网络安全就是业务问题。你必须尽职调查了解风险。

作者：Jeremy Haas，首席安全官；Ryan Bergquist，网络安全分析师，LookingGlass Cyber Solutions。