保护企业本身已不足够

León Weinstok撰文

导语： 企业网络安全已不再仅取决于内部控制。León Weinstok分析了外部供应商带来的风险，以及保护企业的措施。

多年来，企业一直将网络安全工作主要集中在保护自身基础设施上：防御系统、访问控制、员工培训以及事件响应预案。这些措施仍不可或缺，但已不足以应对风险。

企业运营日益依赖技术供应商、云平台、支付处理商以及其他代表客户存储或处理信息的公司。根据 Exploding Topics发布的一份统计数据汇编， Global 2000 榜单中的92%企业使用技术外包服务。

将职能外包，并不意味着风险随之消失

将职能外包，不等于将责任外包。

供应商管理信息、托管平台或接入企业系统时，其漏洞可能成为客户的漏洞。如果供应商将部分服务再行分包，风险还会增加，因为企业可能依赖一条自己不了解、也无法监督的第三方链条。

美国 国家标准与技术研究院（ NIST）指出，供应链风险管理应从尽职调查开始：在签约前及商业合作期间调查供应商，评估其韧性、基本网络安全实践以及供应链的不同层级。

因此，仅有一项笼统的保密条款，或仅仅信任供应商的声誉，并不足够。网络安全应成为供应商遴选、签约和持续监督中的实质性标准。

从承诺到证据

有效的第三方管理计划应与风险相称。快递公司带来的风险，与存储个人数据、管理凭证、处理支付或管理关键基础设施的供应商并不相同。

第一步是根据第三方可访问的信息、其与系统的连接情况、其影响关键业务连续性的能力，以及数据泄露可能造成的经济或监管后果，对其进行分类。在此基础上，企业应考虑采取以下措施：

1. 签约前进行评估。

审查应涵盖供应商的安全架构、事件记录、业务连续性计划，以及其管理分包商的方式。问卷有帮助，但不应沦为走过场。

2. 要求提供可核实的证据。

根据服务内容，可要求提供独立审计、渗透测试、 ISO/IEC 27001等认证、 SOC 2 等控制报告，或合规证明。认证并不能消除风险，但比供应商仅仅声称自己“遵循良好实践”更有说服力。

3. 在合同中明确约定义务。

合同应规定最低安全控制要求、信息访问和使用规则、加密要求、分包条件、事件通知期限，以及合作关系终止时信息的返还或安全销毁方式。

明确违约后果、审计权和经济责任也很重要。没有核查机制和具体后果的义务，提供的保护只是表面上的，而非实质性的。

4. 要求及时通报事件。

合同可以要求通报疑似事件，并应明确报告内容、更新方式和联系人。

5. 持续监控。

初次审查只是供应商在某一时点的情况快照。对关键供应商应定期审查，并在服务发生变化、出现事件或信息访问范围扩大时进行审查。

6. 审查分包链条。

企业应了解供应商是否使用云服务、数据中心或其他第三方；在风险需要时，还应要求这些第三方承担同等的安全义务。

7. 为终止合作做好准备。

如果供应商的凭证、信息副本或系统集成仍处于启用状态，供应商退出就会带来风险。应预先安排撤销访问权限、返还或经认证销毁数据，以及确保服务连续性的措施。

当一切防范措施都失效时

即使是最严格的计划，也无法彻底消除风险。认证可能失效，控制措施可能不起作用，未知漏洞也可能同时影响某个供应商的众多客户。因此，预防措施还应配合业务连续性计划、事件处理预案，以及涵盖第三方引发情形的演练。

评估网络风险保险也很重要。根据保单条款，此类保险可能承保调查、信息恢复、业务中断、法律应对、通知以及对第三方承担责任所产生的费用。

不过，保险不能替代控制措施。投保前，应审查免责条款、限额、免赔额、通知要求以及与供应商相关的条件，并分析事件发生在第三方基础设施中或由人工智能使用引发时，保险是否生效。