保障供应链安全的10大关键步骤：经验证的网络安全实战手册
随着全球供应链日益数字化，企业面临来自无数间接源头的风险。系统强度取决于最弱一环，黑客将细致猎取脆弱组件。
代价高昂。IBM《数据泄露成本报告》显示：2.5万员工以上企业平均泄露成本552万美元，500人以下组织264万美元。多数公司支付黑客赎金。今夏，科罗纳多管道公司与JBS分别支付440万与1100万美元赎金以恢复加密数据。
其他冲击包括：客户服务中断、信任受损、竞争优势丧失。
网络犯罪分子以前所未有的有效性规避防线、识别弱点利用供应链。科罗纳多管道案中，黑客滥用仅需单因子认证的遗留VPN配置文件。
攻击不仅重创企业，也伤害客户。80%泄露涉及个人可识别信息（PII）。黑客利用PII与密码访问个人跨网账户。此外，供应链任何一环断裂——无论是您的业务、三方或四方供应商——均冲击商品服务生产并推高物价。
CrowdStrike安全报告（超1000名受访者）显示：三分之二高级IT决策者与网安专业人士承认其组织经历过软件供应链攻击。同比例者坦言公司未充分准备防御未来泄露。企业必须主动出击，聚焦构建网络韧性以防利用。
美国商务部下属国家标准与技术研究院（NIST）建议遵循以下步骤妥善保护IT资产：
识别
通过内部风险与漏洞评估，定位潜在威胁向量——恶意攻击绕过防御感染网络的路径。考虑聘请专业机构实施高级评估。
防护
采取必要行动保护组织、预防威胁事件：
- 暴露面缩减。 除防火墙与杀毒软件基础防护外，必须建立特权访问程序。遵循最小权限原则——仅需访问敏感数据的员工获准访问。
行为分析、端点检测响应（EDR）、人工智能（AI）、威胁情报等工具可强化防御。企业应采用安全编码实践，参考OWASP十大Web应用安全风险。
- 员工承诺与培训。 员工是网安最后防线，也是最常见威胁向量。必须全员参与；高管层不豁免。建立员工健康怀疑文化。虽显偏执，但赌注极高。
开展意识培训与内部钓鱼演练，让员工接触最新垃圾邮件与社会工程手段。中招员工须立即接受培训。建立强密码文化：员工使用多样化安全密码。确保理解：一处密码泄露，黑客极易在同邮箱关联的其他账户尝试成功。
海量免费网安资源可补充员工学习、跟进行业趋势，如美国国土安全部虚拟培训模块。
- 保险。 确保在攻击发生时有充分保险。部分保险商包含勒索软件保障。询问网络攻击不保事项。
- 物理安全。 保护人员、硬件、软件、网络、数据免受物理闯入与破坏。考虑监控摄像头、安保人员、安保系统、屏障、门禁卡、火警、喷淋等保护员工财产的系统。
警惕“尾随”。为手提重物同事开门虽礼貌，实则构成安全威胁。确保进入公司场所人员均为授权人员。
- 审慎选择业务关系。 通过供应商网络的网络攻击日益常见。Ponemon Institute《2020网络韧性组织研究》显示：56%组织经历过三方供应商导致的网安违规。确定可接受风险水平时，选择承包商或合作伙伴须审慎。
- 事件上报。 建立良好上报文化与教育。IT专业人员越早知情，越能降低潜在损害。
检测
无烟雾探测器的房屋，等同于无监控的网络。持续安全事件监控应涵盖物理环境、网络、服务提供商、用户活动。漏洞扫描是利器，应定期对含敏感信息系统实施。
响应与恢复
响应时间与攻击成本呈相关。检测、反应、响应、补救耗时最长的行业成本最高。快速响应可缓解冲击，但无法消除可能性，故预防始终是重中之重。
灾难恢复计划对灾后恢复数据访问与IT基建至关重要。恢复程度取决于损害范围。
以业务连续性计划形式，为所有潜在事件场景绘制响应计划与补救路线图。包含灾难期间维持业务运营的战术。确定供应商关键性，制定关键供应商遭攻击时的应对方案。储备备选供应商及备选的备选，以便在需要时切换提供商服务客户。
作为有效灾难恢复计划一部分，建议每年至少模拟一次网络安全违规演练。通过演练，相关人员明确角色与流程。
随着供应链日益复杂，网络安全将成为各规模企业的显性障碍。识别供应链薄弱环节，将漏洞降至最低、预防威胁事件。构建网络韧性，为原本更昂贵、更具破坏性的最坏场景做好准备。
Marc Lewis担任Visible Supply Chain Management信息安全主管。
工业技术