守护供应链安全：全方位网络安全策略
多年来供应链网络演进主要由技术驱动。各规模组织纷纷转向数字空间，部分受去年动荡迫使。企业为自己构建网络安全堡垒时，须考量与制造商、供应商、全球合作伙伴及其他服务商触点处的多重漏洞。威胁潜伏于这些参与方周围，伺机突破安全防线。
大型企业网络安全虽已成熟，但聚焦于组织边界内部。对生态系统中打交道的个别部门缺乏治理和控制，其中许多是网络安全薄弱的小企业。这些是黑客的有利入口。
随着无人驾驶车辆、机器人流程自动化、端到端数字化等颠覆性技术出现，组织间网络安全边界日益模糊。约80%报告漏洞发生在供应链网络。无论组织处于供应链何处，只要连接，就面临风险。
供应链威胁包括拒绝服务、数据泄露、客户数据窃取、业务中断、勒索软件等恶意软件攻击。正如谚语：供应链强弱取决于最薄弱环节。
供应链网络网络安全应从技术、人员、流程三个维度审视。
技术
整个供应链需纳入网络安全防护、缓解和响应计划。响应恢复不应局限于内部技术设施。
云技术、物联网（IoT）设备和虚拟服务器采用开辟新漏洞视野。确保所有内部及第三方系统采用双因子认证、生物识别访问控制等妥当网安程序。风险缓解和恢复计划必须文档化为标准流程。
使用开源软件可能成为威胁源，必须为这些设施规划充分监控。
区块链技术是新兴趋势，有潜力在多交易伙伴间增强透明度、效率和高水平数据安全。能实现产品、数据和资金流在供应链全程的更好可视性。主要被复杂运营企业采用，真实影响尚待观察。专家认为组织至少应评估区块链可行性和潜在收益。
人员
所有员工和贸易伙伴应纳入安全框架。对所有人员和第三方实体在防护、检测、响应和恢复措施中的明确角色责任至关重要。
自带设备（BYOD）政策是供应链恶意软件和网络钓鱼主要源头，须重点关注。任何人员自有设备未经虚拟专用网络（VPN）通道不得接入企业基础设施。
流程
在生态系统引入任何新实体前，建立网络安全态势尽职调查流程。定期监控确保所有实体遵守流程，对保障恢复响应计划能力至关重要。
威胁情报共享能对整体网安流程产生巨大差异，但尚未成熟为标准实践。
建立合同完成后移除第三方访问权限的流程，这曾是许多企业的昂贵教训。
企业需实施全公司数据访问准则和标准，尤其是跨组织共享敏感数据时。
月度服务器和网络审计有助于保持所有特权和管理员访问的良好轨迹。
以下是制定整个贸易伙伴网络安全计划时应牢记的关键指南：
- 非协作努力不奏效。需鼓励教育合作的小企业了解网安威胁。中小企业反向可寻求大伙伴支持。
- 供应链专家提倡假设迟早会发生漏洞，故拥有网络韧性计划是当下必备。
- 供应链网络安全管理方面，仍无支持所有规模企业的广泛框架。但供应商等各方可开展独立标准化验证倡议。
- 渗透测试可消除已知和潜在漏洞。
- 应建立中央团队或经理，定期监控整个供应链网安设施，防止"孤岛"式非受管网络。
- 企业应考虑利用人工智能主动检测威胁和漏洞，及时激活响应系统。
Vijaya Rao是TechVio创始人兼CEO，一家IT服务公司。
工业技术