守护美国供应链：化解网络威胁的战略路径
2 月，拜登签署行政令 14017，要求全面审查美国关键供应链。缘起新冠高峰期前线医护 PPE 短缺，亦涉汽车及高科技领域芯片短缺。
这些问题阻碍美国民众获取必需品，动摇相关行业从业者稳定。白宫称，新令旨在主动预防此类问题复发。“虽无法预测危机，但必须具备快速响应能力。美国必须确保生产短缺、贸易中断、自然灾害、竞争对手与对手潜在行动，永不再让美国陷入脆弱。”
竞选承诺显示政府致力于全面应对供应链风险。但倡议能否成功？
安全视角下，政府须考量多重议题，否则将重复投入、浪费资源、无法缓解可能引发又一轮供应链攻击的网络风险。
首要步骤：识别供应链脆弱性与风险。行政令聚焦六大领域：国防工业基础、公共卫生、信息技术与通信、能源电力、交通运输、农业。
供应链对数字化产品与服务的依赖制造严重漏洞，网络安全成为审查核心。民族国家行为体通过网络犯罪扣留供应链的担忧真实存在。行政令第 4.4 条明确将网络风险管理列为重点。一年内须提交供应链对竞争对手国家依赖现状报告。政府如何动员信息安全界参与，将决定全领域成败。
确保一年内见效
任务广泛、时限紧迫。信息安全与技术界必须基于过去一年教训，向推动方提供输入。ISACs、ITSCC 等行业组织努力将成关键。四大咨询公司输出的海量数据与分析，将指导第三方风险优先级排序。
国防部应发挥核心作用推动倡议落地。国防部主导的 CMMC（网络安全成熟度模型认证）要求政府承包供应商达标。基于公私对 CMMC 反应，关键建议：尽量避免合同授予与审查流程混淆。行业领袖与政府机构应联合制定简明有效的跨供应链网络安全标准。
标准化的重要性
建立合作伙伴关系、引入专家输入是一回事；在全美供应链落地提升网络安全成熟度是另一回事。沟通是大规模生态推行新规成败的关键。它由度量驱动，结果需跨群体标准化，无论网络安全成熟度高低。NIST CSF 供应链风险管理子类、CMMC 等标准是明确需求、有效落地的利器。NIST CSF 网络评估方法论对缺乏信息安全知识的供应商尤具价值。
度量方面，鉴于全球供应链生态复杂性，穷尽所有潜在风险不可能。但识别各类潜在失效点场景极有价值。创造性利用现有风险量化方法论是实现真正韧性的关键。企业必须将供应链风险视为善治手段，汲取安全团队输入、数据共享、风险管理软件进步。
唯盼拜登倡议善用过往事件数据与未来预测分析。能否在一年内为全供应链建基准、识别所有漏洞？能否缓解美国供应链严重网络风险？拭目以待。
Padraic O'Reilly 任 CyberSaint 联合创始人兼首席产品官。
工业技术