降低供应链网络安全风险的五大核心策略
如今，企业若无第三方供应商协助交付产品、系统或服务，几乎无法运营。外部合作虽带来流程精简、效率提升等益处，但也引入新风险，尤其是网络安全领域。当企业间共享信息时，单一公司的风险即成为整条链条的风险。
供应链网络攻击激增
2021 年第一季度，美国供应链网络攻击同比激增 42%。此类攻击深受网络犯罪分子青睐，因其可通过单一第三方供应商渗透整个组织网络。
庆幸的是，像所有风险一样，供应链网络威胁亦可在酿成祸患前加以管控。以下关键举措可助企业将攻击风险降至最低。
1. 开展风险评估
建立新供应商关系时，必须摸清其网络安全底细：具备何种管控措施？采用何种流程和政策保障数据安全？若共享敏感客户信息，更须确保其万无一失。
同时应评估供应商关系的重要性：是核心供应链一环，还是临时性合作？所有合作伙伴均需审查，但核心环节风险更高，审慎度应更强。
2. 设定安全要求
为建立透明关系并明确预期，制定供应商政策大有裨益。文件可专设网络安全与数据保护章节，规定供应商须达到的安全等级。最便捷的方式是要求供应商对标现成标准与认证，如国际通用的 ISO 27001、美国 NIST 框架，或英国政府的 Cyber Essentials 标准（对齐五大关键技术控制可降低 80% 风险）。符合这些标准即可轻松展示良好安全态势。
提出要求前，自身业务最好已达标。参与供应链即与链上所有方相连，自身安全态势的每一次提升，都在强化整条链条。
3. 实施网络安全培训
人为失误仍是网络攻击头号诱因，也是必须直面的核心环节。企业内部应培育安全文化，并推动其延伸至全供应链。可与供应商共享免费在线练习、指南等资源，助其开展员工教育。
4. 保障数据传输安全
供应链数据须经安全通道传输并全程受保护。黑客最易在数据流转中拦截，故传输环节安全至关重要。传输前加密是降低风险的有效手段。
企业还应全景掌握供应链中的数据类型与存储位置，含内部数据（含备份）及供应商可访问数据。数据敏感度各异，通过分类分级标记，可明确核心资产位置，防止落入不法之手。
5. 认识到：你也是他人的供应商
黑客常以防御薄弱的小企业为跳板，渗透其上游供应链。2013 年 Target 遭窃数百万信用卡数据，起因即是第三方承包商被攻破。
小企业不仅要管供应商安全，自身也须达高标准，以令大型合作伙伴信服。许多企业（尤其是公共部门）现要求所有供应商满足特定安全标准方可签约。
供应链网络威胁管理并非不可攀登，关键在于担起自身风险责任、坚持统一安全标准。深入了解所有合作伙伴的安全流程、政策与方案，不仅能降低全链条风险，更能向客户、合作方及利益相关者证明：他们的机密在你这里安全无虞。
Clive Madders 为 Cyber Tec Security 首席技术官。
工业技术