為了最大程度地減少這些風(fēng)險(xiǎn)和損失，公司需要意識(shí)到來(lái)自第三方的網(wǎng)絡(luò)威脅，并采用新技術(shù)來(lái)審核供應(yīng)商和業(yè)務(wù)合作伙伴。數(shù)據(jù)泄露會(huì)給公司帶來(lái)巨大的財(cái)務(wù)損失和聲譽(yù)損失，這也是為什么公司在選擇新供應(yīng)商時(shí)應(yīng)該認(rèn)真對(duì)待第三方威脅和網(wǎng)絡(luò)安全問(wèn)題的原因。

根據(jù) 2019 年 Juniper Research 的研究報(bào)告：到 2024 年，數(shù)據(jù)泄露的損失預(yù)計(jì)將從每年 3 萬(wàn)億美元增加到 5 萬(wàn)億美元，這對(duì)于依賴(lài)第三方服務(wù)來(lái)保障其核心業(yè)務(wù)的大型公司尤為重要。另外，Opus 和 Ponemon Institute 于 2018 年進(jìn)行的一項(xiàng)研究發(fā)現(xiàn)：近 60% 的公司經(jīng)歷了與第三方供應(yīng)商有關(guān)的數(shù)據(jù)泄露事件。

在 2019 年，Quest Diagnostics 宣布其第三方賬單收集機(jī)構(gòu)泄露了 1190 萬(wàn)患者的個(gè)人信息。最近的一個(gè)例子來(lái)自數(shù)字銀行提供商 Dave，該公司在 7 月披露了涉及 750 萬(wàn)用戶(hù)信息的數(shù)據(jù)泄露事件。該公司表示，數(shù)據(jù)泄露是由其前第三方提供商之一造成的。

供應(yīng)商越多，威脅越多

如今，許多公司開(kāi)始依賴(lài)許多個(gè)第三方供應(yīng)商來(lái)開(kāi)展工作或者制造商品。例如，蘋(píng)果公司 2019 年就與 200 家與其供應(yīng)鏈相關(guān)的公司展開(kāi)合作。

在許多情況下，網(wǎng)絡(luò)威脅是由供應(yīng)商的安全漏洞帶來(lái)的。例如，加密貨幣錢(qián)包應(yīng)用程序 Agama 由于其第三方 JavaScript 庫(kù)中的嚴(yán)重漏洞而被黑客入侵。

公司在管理第三方網(wǎng)絡(luò)威脅方面面臨的主要挑戰(zhàn)是合作伙伴的安全協(xié)議不受公司的直接控制。公司投入資金和技術(shù)人員來(lái)保護(hù)其信息系統(tǒng)免遭數(shù)據(jù)泄露的侵害，但這通常只對(duì)其內(nèi)部環(huán)境有效，而且公司對(duì)服務(wù)提供商實(shí)施的安全管控是有限的。

需要考慮的問(wèn)題

1.供應(yīng)商是否具有安全聯(lián)系人或首席安全官？

如果供應(yīng)商配備了專(zhuān)業(yè)的資源來(lái)管理風(fēng)險(xiǎn)、保護(hù)關(guān)鍵信息，這起碼表明他們以最大的誠(chéng)意、最認(rèn)真的態(tài)度采取了安全措施。

2. 供應(yīng)商是否具有行業(yè)認(rèn)證？是否符合 NIST 等行業(yè)框架？

盡管行業(yè)認(rèn)證不一定表明供應(yīng)商的安全控制是有效的，但是確實(shí)為供應(yīng)商對(duì)保護(hù)其系統(tǒng)和客戶(hù)的信息的承諾提供了額外的保證。

3. 供應(yīng)商是否具有成熟的威脅管理和情報(bào)計(jì)劃？

真正重要的是確認(rèn)供應(yīng)商的安全控制是有效的，可以通過(guò)查看獨(dú)立的安全審查報(bào)告來(lái)評(píng)估供應(yīng)商的漏洞管理、安全軟件開(kāi)發(fā)流程和威脅管理等方面做的好不好。

4. 供應(yīng)商允許額外的審計(jì)嗎？

根據(jù)第三方供應(yīng)商的風(fēng)險(xiǎn)狀況，可能需要考慮增加一個(gè)條款，提供對(duì)第三方系統(tǒng)進(jìn)行審核以確定其風(fēng)險(xiǎn)和暴露程度的權(quán)利。

5. 供應(yīng)商是否制定了成熟的事件響應(yīng)計(jì)劃？

數(shù)據(jù)保護(hù)和隱私保護(hù)的相關(guān)法規(guī)越來(lái)越嚴(yán)格，公司有義務(wù)在指定的時(shí)間范圍內(nèi)披露重大安全事件。披露的責(zé)任在于數(shù)據(jù)所有者和保管者，因此公司需要與受影響的供應(yīng)商緊密合作，滿(mǎn)足時(shí)間表的要求避免罰款或違規(guī)。

6. 供應(yīng)商是否遭受了重大網(wǎng)絡(luò)攻擊或者數(shù)據(jù)泄露？

任何公司都無(wú)法在網(wǎng)絡(luò)攻擊中幸免遇難，當(dāng)公司面臨著明顯的問(wèn)題時(shí)，最明智的做法是知道問(wèn)題出在哪里，解決問(wèn)題防止問(wèn)題再次發(fā)生。

7. 供應(yīng)商產(chǎn)品是否與數(shù)據(jù)處理需求保持一致？

公司可能對(duì)特定區(qū)域的數(shù)據(jù)有嚴(yán)格的要求或者不同的業(yè)務(wù)需求，選擇供應(yīng)商時(shí)，必須對(duì)這些要求達(dá)成一致并且持續(xù)監(jiān)控。

8. 供應(yīng)商的網(wǎng)絡(luò)安全水平怎么樣？

謹(jǐn)慎確定公司在網(wǎng)絡(luò)上的暴露情況，預(yù)測(cè)由于暴露造成的潛在破壞的可能性。有許多公司可以為供應(yīng)商提供打分評(píng)價(jià)，也可以為供應(yīng)商進(jìn)行基準(zhǔn)測(cè)試。
責(zé)編AJX