供应链安全威胁管理

supply-chain-security-management-broken

放眼全球各产业界,分工越来越细化,各企业在专注于核心竞争力的同时,也将工作重点聚焦于全球供应链之上。在质量、成本、速度、效率等业绩指标的压力下,安全方面的投入只能被一再挤压,天平开始失衡。

继2013年Target严重信息泄露事故之后,近年来,一连串的公司信息失窃案件特别是超市、百货、连锁、电商等行业的信息泄露事故多得让人揪心。这些安全事故中有不少是“冤大头”,就如同Home Depot和Goodwill这类的被黑客通过第三方厂商做跳板而光顾的。

一家企业,不管规模有多大,业务有多综合,也难避免会使用到第三方厂商的产品。然而,第三方厂商特别是小众化产品的安全使用问题长期以来都被忽视,五花八门的第三方厂商很可能并没有健全的产品安全漏洞修复机制,毕竟他们并不像Windows那些普及和常见。即使是自行开发的应用系统,也可能会在基本功能得到满足之后,缺乏长期的维护改进,特别是对所依赖的第三方中间件、控件或插件等等部件的安全审核。

环顾全球,世界越来越平坦,在全球性的供应链运行体中,与第三方的业务信息交换只会越来越多,与第三方的网络连接也只会越来越复杂,想想入侵Target的犯罪分子,要绕道空调供应商,问路电子账单系统,借壳Web程序漏洞,拐进PoS终端,方才剑指SQL主机。不要以为这是小概率甚至不可能的事情,在巨大的利益诱惑下,常人眼中的不可能正是技术高超且步步为营的黑客们所乐见的。

放眼国内,业务流程和科技创新对安全的驱动和需求更应该早日引起我们的重视,在结构调整、职能转变、营改增、简化流程、放宽准入等国家经济宏观政策刺激之下,市场将重焕活力,社会分工与协同合作将更为细化,战略创新型、绿色节能环保型的产品和服务将大批涌现,在这一波浪潮中,创新型的安全产品和服务也将被催生出来,同时,传统的安全解决方案也面临着全新的重大挑战。

安全业务的分工细化将带来服务外包的蓬勃发展,基于互联网云计算的服务外包模式在西方发达国家已经被证明成功了,不过在国家安全的顾虑和意识形态的壁障面前,美国的互联网公司只能被国内的借鉴者们和改良者击退。分工细化也将促进更多供应链管理方面的安全问题,入侵跳板、后门程序等顾虑无疑会让企业增加对第三方产品及服务的安全审核工作和监管需求。大规模的协同合作及移动化让信息的创建、交易的达成、数据的访问不再局限于传统上的工作区域和工作用终端设备,IT解决方案的消费化,让云端系统应用、终端设备安全、人员安全意识的管理需求日益严峻。

传统上,来自内部的安全威胁特别是内贼往往是信息失窃的最大因素之一,说到供应链的安全威胁,我们还是逃不开人员管理问题。不要以为供应链上的所有厂商的工作人员都是职场上的道德模范,相反,他们最为熟悉供应链信息流程,甚至这其中的弱点,他们具有对其它厂商信息系统的一定访问权限,如果这些人员起了歹心,不用非常高明的黑客技术,他们也能轻易窃取大量重要信息并来进行私下贩卖获利。如果他们再勾结外部技艺高超的黑客组织,那对供应链的破坏力将是前所未有的。

除了那些在职的内部人员和供应链人员,那些离职后仍然在这个行业中混的,特别是跳槽到竞争者行列中的人员,威胁程度可能更高。服务提供商、外部顾问、合同工等等通过可信的第三方渠道获得网络和数据存储,继而酿成安全事故的案例近年来越来越多。

不少企业并没有足够的针对内部人员和供应链人员威胁的应对措施,或者有必要的离职手续如保密协议和反竞业协议,但却并没有得到足够的足够的重视和执行。

如何进行供应链安全管理呢?昆明亭长朗然科技有限公司业务信息安全顾问董志军表示:

一、永远不要大意!既然大家处于同一条供应链上,依据木桶理论,供应链的安全管理水平最弱之处,将成为企业安全管理的短板。同在一条船上,就不能简单地通过一份合约把信息安全事故责任推给供应方,而应该从保障整个产业链安全健康共同发展的角度来实施供应链安全管理。知名的跨国公司无一例外都会对供应链进行定期的信息安全审核,就如同对待环境保护、安全生产和劳工福利等热点问题一样,看看苹果公司和富士康公司相关的产品制造新闻就知道供应链的安全是多么的重要。

二、不要简单以为供应链安全管理就是上下游厂商之间的利益博弈,做好供应链安全管理其实也是多方共赢的一件好事儿。首先,管理好供应链安全的前提当然是建立自身的信息安全管理体系,如果自家的信息安全管理水平尚处于混沌状态,想加入一个利润丰富的产业链都难,所以产业链中处于强势地位的大客户往往是供应链厂商提升信息安全管理能力的外部驱动力。其次,即使供应链厂商已经建立起了基本的信息安全管理体系,仍然可能有很大的改进空间,通过相互的交叉审核,不仅可以沟通交流经验,取长补短,更能让整体产业链的安全管理最佳实践得以提升,同时强化厂商之间的业务粘性。最后,拥有领先的信息安全管理水平的厂商,无疑会成为供应链甚至全行业内的信息安全标竿,在促进品牌商业信誉度的同时,依靠这些无形资产占领价值链中的中高端。

三、在技术控管方面,加强供应链接入层面的访问控制及威胁侦测,除了部署常规的防火墙和入侵检测系统之外,在应用系统和数据存取层面也强化监控和审核力度。参照、建立和强化对第三方安全产品的评估和审核力度,防范出现不可控的安全事故——安全厂商及其所在主权国家监管机关通过后门技术或系统回传等功能窃取商业机密及用户个人信息。

四、在流程控管方面,除了强化供应链安全方面的风险评估之外,应该强化帐户和权限的管理,建立和改善企业与供应链之间的帐户与权限管理机制,进行供应链用户进行定期的业务需求及访问权限相关的回顾,启用双重身份验证机制,防止出现身份效用、帐户密码权限分享、离职人员帐户未及时删除等安全隐患。

五、在人员管理方面,不能仅仅例行公事般,让员工和供应链人员草草签署保密协定。问一问,人们真正的理解保密协定中的内容和精神吗?我们要沟通教育,要让人们理解这些保密协定的核心内容,并且真正认可和接受它们。如果在特定的社会环境和发展年代之下,职场人士的职业道德水平普遍较低下,那么在沟通教育方面,必要的反面的教育典型一定不可少,只有在足够的警示效应和惩戒威慑下,人们才会真正的尊重规则和遵守契约。

当前,我国经济面临产业升级和结构调整的大好机遇,深化国有企业和国资改革必将兼并重组一大批公司。在传统产业向产业链、价值链的高端延伸时,供应链安全威胁必将愈演愈烈。而在人均国民收入不断上升,劳动力红利逐渐消失,劳动密集性产业向东盟国家大规模转移的大趋势下,全球及区域供应链安全威胁的管理能力,必将成为企业管理的一项核心工作。请让我们做好准备!

昆明亭长朗然科技有限公司,专注于帮助各类型的机构强化人员的信息安全管理,除了针对内部员工的安全意识培训视频教程之外,我们也提供针对管理层的简要业务安全课程。这些课程重在讲信息安全相关的道理,也是实现企业安全文化建设的重要智力源泉。欢迎各位业务安全管理界的专业人员与我们联系,洽谈业务信息安全相关的培训合作。

小议企业级信息安全管理

回顾历史,展望未来,通过以往安全事故的经验教训,获得充分的安全管理智慧,结合不断演进的商业环境和安全态势,方能做到未雨绸缪,防患于未然。在过去的数年里,黑客们肆无忌惮地入侵大型跨国公司,信息安全界齐力应对。昆明亭长朗然科技有限公司安全顾问董志军说:随着时间的推移,我们相信:在任何时候这些坏家伙们不会轻易罢休,只会变本加厉地疯狂反扑。正义的人们当然需要采用更为领先的战略方法来应对窃贼和坏蛋黑客们的恶行。

每年都会曝光几起恶性系统安全漏洞,这些漏洞存在之久,分布之广,不仅让漏洞挖掘和补丁修复人员大为吃惊。未被人们发现的、被发现了却未被公布和修复的安全漏洞到底还有多少?说到这个老话题,企业信息安全管理人员简单两眼一抹黑啊。

的确,知己知彼,方能百战不殆。谈到未知的安全威胁,似乎只能徒增恐惧。但是信息安全管理人员不能简单地束手无策或乖乖就犯。其实,我们只要想一想,在漏洞被发现并公布,但是补丁尚未发布或补丁不够稳定时的临时补救措施,便能从中获取应对未知安全漏洞的智慧灵感和管理方法。

信息安全管理,在信息时代,其实从深层次来讲,就是企业经营风险管理的关键部分,积极向上的管理者们会认为做好企业信息安全管理是一件好事情。通常,信息安全工作难以有效开展,关键原因在于对它的投入是一项无形开支,这种投入能够带来的成绩难以有效测定。说到底,投资信息安全,就像买意外保险,即使侥幸不投入,时常也能平安无险。在这种心态下,在追求效益最大化的目标及压力之下,高管们可能就会觉得花这些钱不值得。

直到严重的企业安全事故来临,造成巨额损失时,人们才会开始反思如何在经营效益与安全投入之间寻求合适的平衡点,人们才会开始痛批那些因临时的业绩而忽视长远安全风险控管的目光短浅行为。昆明亭长朗然公司董志军说:我们应该吸取教训,因为在大型的安全事故面前,所有的企业都伤不起啊。

说到平衡点,做系统安全,要有一个基线;做企业安全,需要一个底线,不断提升业绩并不为错,但是扩张太快速,将信息安全视为前进的阻碍力量而避开,无疑会衍生出大量不必要的商业风险。当不再有信息安全底线的时候,积聚的安全弱点越来越多,终究会像火药桶一样爆发——辛苦多年的扩张努力,旦夕之间换来的是血淋淋的剧痛教训。只有信息安全嵌入业务流程,风险管理并进扩张轨道,风险意识形成常规文化,企业才有资格谈论业务持续、基业永青等话题。

现在国家层面在调整经济经济,对每家企业来讲,要适应新形势的变化。一方面,企业将不能再依靠资源消耗和人力红利来保持增长,而要积极通过自主科技创新来提升核心竞争力,这就需要要保护好知识产权、商业秘密和信息安全;另一方面,在新形式下,互联网对企业的经营管理影响越来越大,信息的流动速度会越来越快,信息的分布面也越来越广,信息的渗透力度也越来越强。在这种大背景下,信息安全管理无疑也要紧紧跟随,进行必要的理念和方法的创新。

在拼命扩充产能的年代,信息系统的边界很明显,通过强化企业网络边界的安全管理,可以将大量外部安全威胁加以屏蔽和过滤。在结构调整,服务业比重不断提升的年代,信息系统的边界变得越来越模糊,信息安全管理工作重点要由边界安全转向在线应用的安全,以及终端用户的安全。

在经历几十年的国内业务高速增长之后,很多企业将眼光投身海外,可是在面对复杂的海外政治经济地缘环境时,忽视风险心存侥幸,生搬硬套国内经验,缺乏应急响应机制,一旦风向变幻,便束手无策,让到口的肥肉白白丢掉,甚至让长年的投入打了水漂。在海外投资做企业,信息安全管理方面无疑也要入乡随俗,要考量的差异主要有两点:一、监管法规的不同,别想当然地以为海外发展中国家在信息安全法规建设方面就要落后于中国,国内重关系,海外重合约,满足了中国的“严格”要求也不一定能满足当地的要求。二、行业实践的不同,即使行业变化不大,当身份变成了外企之后,商业实践也随之变化,了解并积极学习当地同行业者在安全管理方面的最佳实践作法,在安全管理方面也用好“后发优势”,是防范海外安全风险的最便捷最有效之路。

对进行全球扩张的大型企业来说,在新兴国家投资时,要建立完备的网络信息系统,在成本和时间上往往都耗不起,关键设备的进口和调试都可能耗费数月,无疑会让企业错失竞争良机,而使用云端服务,在成本得到降低的同时,大幅提升效率。而试水海外的创新型中小企业,无疑最重要的是控制风险,租用云计算来测试市场,可以降低初期投入成本,不管未来的市场反应好坏,都可以随时弹性地进行撤退或扩充的调节。这种“云计算”的转变将带动安全管理思维方式的转变,从国内采购安全系统再出口到新兴国家的想法显然是落后了很多。

如同勤劳智慧的中国人民一样,中国的企业不缺乏奋进拼搏的精神,也不缺乏超级销售、策划高手和经营人才,我们缺乏的是踏实精准做事的原则,我们缺乏的是建立行之有效的制度体系,我们缺乏的是有激情、不随从、敢直谏的企业信息安全管理人员。

各位企业高管们、各位企业安全管理者代表,各位安全管理负责人,要善待企业信息安全管理人员啊!他们可能不懂如何取悦上司和同事,他们的言辞可能有些生硬和夸张,他们的话语可能有些尖锐和呱噪,但是,切记:忠言逆耳利于行。他们为了专业精神,尚能保持一份尊严,就请多满足他们的预算需求,多让他们参与到业务扩张决策以及风险控管实践中吧!

如果贵司内部存在有激情、不随从、敢直谏的企业信息安全管理人员,那无疑是企业之福,是董事会之福,是老板之福,请珍惜这份缘分吧!

同时,对于企业信息安全专业人员,不管在组织内的头衔是什么,大到安全总监小到安全专员,都应该加强对业务知识的学习和理解。因为只有从业务安全和商业风险控制的角度出发,才是真正的信息安全管理,也才能让安全专业知识发挥出更大的企业价值,否则只能停留在较低的技术层面,没有了“经世济用”,个人专业的安全知识和才华充其量只能算是兴趣爱好。

不过,要让企业认同和接受安全专业人员的建议并不容易。安全人员要学会使用业务的语言来阐述信息安全风险以及防范之道,多问一问自己:“我该如何讲,才能让为些业务管理人员们理解和认同呢?”故弄玄虚的专业词汇和高深莫测的新概念,可能只会换来学究气浓和华而不实的印象。在风险应对的策略探讨方面,安全人员切记不要急于在建议中展示某种安全控管措施如特定厂商的技术或产品,因为业务管理层虽然不懂安全技术,但是却更清楚业务安全风险的根源所在,也知道同一个问题会有多种不同的解决方案。

安全专业人员在与各业务单元的管理层建立了初步的关系并学会使用业务听得懂的语言之后,最重要的就是使用科学的方法来探讨业务安全风险控管之道,不管是转移、降低还是消除风险。很多企业的信息资源,比如设备和软件都没个资产清单和准确数目,在面临一些安全事件后,即使实施了准入控制、上网行为管理或数据防泄漏系统,那也是本末倒置,治标不治本。

企业安全管理工作的内涵和外延都在不断演变,远不止是防范病毒和蠕虫的技术范畴,而变成一种效率与安全、投入与风险之间的平衡。拨乱致治,天地交泰,要想基业常青,做好企业安全管理,最重要的是破除沟通障碍,建立良性交互管道。

昆明亭长朗然科技有限公司推出了多个信息安全教程,包括针对海外风险与差旅安全的国内领先课件,以及针对企业信息安全管理者的快速课程,欢迎联系我们在线体验。

enterprise-it-safety-management