思科五步蓝图：构建稳健第三方网络安全
在自家企业围墙内筑牢网络安全已属不易。但为构成全球供应链的合作伙伴大军做同等防护？那简直难上加难。
几乎每周都有针对大公司供应链的网络攻击新闻。且入侵渠道往往是控制薄弱的第三方。
现代供应链中，第三方可以是销售零部件、产品、服务、支持、软件等的任何实体——列表不胜枚举。“对我而言，包含除我们外任何在价值链各阶段实际参与我们解决方案的实体，”思科系统全球价值链首席安全官Edna Conway说。
思科偏好“价值链”一词——众多公司和顾问曾试图用其取代“供应链”作为产品上市端到端旅程的通用描述，但未果——因其暗示更大规模独立实体参与其中。无论是否接受企业流行语，合作伙伴激增引发严重网络安全问题毋庸置疑。缺乏充分系统和程序，任何一方都可能成为恶意行为者猎物，包括竞争对手、政府、勒索者甚至地下室黑客。
Conway提供以下五步法建立有效第三方关系网络安全计划。
1. 知晓供应链的“谁、什么、哪里”。 虽显而易见，许多公司不掌握所有以某种方式贡献业务的参与方。多级供应链尤甚——难想像今时今日有制造产品不依赖此结构。
2. 研究与所有参与方有效沟通安全议题的方式。 Conway指的非涵盖地缘政治或供应连续性的所有互动，仅针对安全议题的互动。她描述三大威胁类型：篡改（信息被篡改）、间谍活动（国家级和工业级）、破坏（企图瘫痪业务）。她称，很难让软件许可开发商或第三方云服务提供商重视防范三大威胁。车间一线员工同理，注意力聚焦保产线运转。“让安全成为任何角色日常思维一部分需要培训，”Conway说。
3. 构建“灵活弹性”架构。 思科供应链安全涵盖11个离散领域，反映流程复杂性。设计、开发、交付、服务：各学科拥有第三方关系，在组织内外创造无数弱点。战略考虑到各生产领域需独特操作指南。“我们以可映射方式编写需求，使仅基于您交付给我们的性质的要求适用，”Conway说。“每个人获得定制版本。”
4. 将安全嵌入与所有第三方的每件事中。 Conway敦促公司提问：“为什么用他们？他们按我们服务指标表现如何？”讽刺的是，当年“质量”挂横幅、搞大会，概念未在组织内“说服性植入”。如今谈网络安全，质量非口号或离散职能——它植入供应链每个流程。思科按第三方展示的质量遵循度打分，安全是关键指标。“我们让它数学化，所以若你是绝佳供应商但安全烂，可能不再是首选供应商，”她说。
5. 所有人必须度量。 Conway大力推动跨组织绩效度量。“我们根据自有规范和流程建立容忍度，”她说。“归根结底，我们让安全说业务语言。”
思科安全计划非一蹴而就。Conway早年担任公司外部律师，专攻知识产权，2000年代初任CSO。而非一开始强加“单体架构”，她分阶段推进：从电子制造服务（EMS）合作伙伴起步，继而印刷电路生产商、工程、构成公司“价值链”的众多渠道合作伙伴。
传播网络安全福音时，Conway认为与高管层沟通至关重要，后者世界观植根于盈亏。“我想将容忍度转化为美元风险，”她说。“我们都需说业务语言。”
工业技术