為了最大程度地減少這些風(fēng)險(xiǎn)和損失，公司需要意識(shí)到來自第三方的網(wǎng)絡(luò)威脅，并采用新技術(shù)來審核供應(yīng)商和業(yè)務(wù)合作伙伴。數(shù)據(jù)泄露會(huì)給公司帶來巨大的財(cái)務(wù)損失和聲譽(yù)損失，這也是為什么公司在選擇新供應(yīng)商時(shí)應(yīng)該認(rèn)真對(duì)待第三方威脅和網(wǎng)絡(luò)安全問題的原因。
根據(jù) 2019 年 Juniper Research 的研究報(bào)告：到 2024 年，數(shù)據(jù)泄露的損失預(yù)計(jì)將從每年 3 萬億美元增加到 5 萬億美元，這對(duì)于依賴第三方服務(wù)來保障其核心業(yè)務(wù)的大型公司尤為重要。另外，Opus 和 Ponemon Institute 于 2018 年進(jìn)行的一項(xiàng)研究發(fā)現(xiàn)：近 60% 的公司經(jīng)歷了與第三方供應(yīng)商有關(guān)的數(shù)據(jù)泄露事件。
在 2019 年，Quest Diagnostics 宣布其第三方賬單收集機(jī)構(gòu)泄露了 1190 萬患者的個(gè)人信息。最近的一個(gè)例子來自數(shù)字銀行提供商 Dave，該公司在 7 月披露了涉及 750 萬用戶信息的數(shù)據(jù)泄露事件。該公司表示，數(shù)據(jù)泄露是由其前第三方提供商之一造成的。
供應(yīng)商越多，威脅越多
如今，許多公司開始依賴許多個(gè)第三方供應(yīng)商來開展工作或者制造商品。例如，蘋果公司 2019 年就與 200 家與其供應(yīng)鏈相關(guān)的公司展開合作。
在許多情況下，網(wǎng)絡(luò)威脅是由供應(yīng)商的安全漏洞帶來的。例如，加密貨幣錢包應(yīng)用程序 Agama 由于其第三方 JavaScript 庫(kù)中的嚴(yán)重漏洞而被黑客入侵。
公司在管理第三方網(wǎng)絡(luò)威脅方面面臨的主要挑戰(zhàn)是合作伙伴的安全協(xié)議不受公司的直接控制。公司投入資金和技術(shù)人員來保護(hù)其信息系統(tǒng)免遭數(shù)據(jù)泄露的侵害，但這通常只對(duì)其內(nèi)部環(huán)境有效，而且公司對(duì)服務(wù)提供商實(shí)施的安全管控是有限的。
需要考慮的問題
1.供應(yīng)商是否具有安全聯(lián)系人或首席安全官?
如果供應(yīng)商配備了專業(yè)的資源來管理風(fēng)險(xiǎn)、保護(hù)關(guān)鍵信息，這起碼表明他們以最大的誠(chéng)意、最認(rèn)真的態(tài)度采取了安全措施。
2. 供應(yīng)商是否具有行業(yè)認(rèn)證?是否符合 NIST 等行業(yè)框架?
盡管行業(yè)認(rèn)證不一定表明供應(yīng)商的安全控制是有效的，但是確實(shí)為供應(yīng)商對(duì)保護(hù)其系統(tǒng)和客戶的信息的承諾提供了額外的保證。
3. 供應(yīng)商是否具有成熟的威脅管理和情報(bào)計(jì)劃?
真正重要的是確認(rèn)供應(yīng)商的安全控制是有效的，可以通過查看獨(dú)立的安全審查報(bào)告來評(píng)估供應(yīng)商的漏洞管理、安全軟件開發(fā)流程和威脅管理等方面做的好不好。
4. 供應(yīng)商允許額外的審計(jì)嗎?
根據(jù)第三方供應(yīng)商的風(fēng)險(xiǎn)狀況，可能需要考慮增加一個(gè)條款，提供對(duì)第三方系統(tǒng)進(jìn)行審核以確定其風(fēng)險(xiǎn)和暴露程度的權(quán)利。
5. 供應(yīng)商是否制定了成熟的事件響應(yīng)計(jì)劃?
數(shù)據(jù)保護(hù)和隱私保護(hù)的相關(guān)法規(guī)越來越嚴(yán)格，公司有義務(wù)在指定的時(shí)間范圍內(nèi)披露重大安全事件。披露的責(zé)任在于數(shù)據(jù)所有者和保管者，因此公司需要與受影響的供應(yīng)商緊密合作，滿足時(shí)間表的要求避免罰款或違規(guī)。
6. 供應(yīng)商是否遭受了重大網(wǎng)絡(luò)攻擊或者數(shù)據(jù)泄露?
任何公司都無法在網(wǎng)絡(luò)攻擊中幸免遇難，當(dāng)公司面臨著明顯的問題時(shí)，最明智的做法是知道問題出在哪里，解決問題防止問題再次發(fā)生。
7. 供應(yīng)商產(chǎn)品是否與數(shù)據(jù)處理需求保持一致?
公司可能對(duì)特定區(qū)域的數(shù)據(jù)有嚴(yán)格的要求或者不同的業(yè)務(wù)需求，選擇供應(yīng)商時(shí)，必須對(duì)這些要求達(dá)成一致并且持續(xù)監(jiān)控。
8. 供應(yīng)商的網(wǎng)絡(luò)安全水平怎么樣?
謹(jǐn)慎確定公司在網(wǎng)絡(luò)上的暴露情況，預(yù)測(cè)由于暴露造成的潛在破壞的可能性。有許多公司可以為供應(yīng)商提供打分評(píng)價(jià)，也可以為供應(yīng)商進(jìn)行基準(zhǔn)測(cè)試。
