草庐IT

供应链安全:映射供应链

何威风 2023-03-28 原文
组织如何映射其供应链依赖关系,以便更好地理解和管理供应链中的风险。

介绍

本指南面向大中型组织,他们需要获得信心或保证缓解与供应商合作相关的漏洞已到位。

什么是供应链映射?

供应链映射 (SCM) 是记录、存储和使用从公司供应链中涉及的供应商收集的信息的过程。目标是对您的供应商网络有最新的了解,以便更有效地管理网络风险,并进行尽职调查。

许多组织依靠供应商来交付产品、系统和服务。供应链通常庞大而复杂,有效地保护供应链可能很困难,因为脆弱性可能在其中的任何一点是固有的、引入的或被利用的。这使得很难知道您是否在整个供应链中拥有足够的保护。

注:SCM遵循一切良好风险管理的原则;组织需要了解其供应链中固有的风险,然后引入与这些风险具体化的可能性(和影响)成比例的安全措施。

供应链管理的好处

了解供应商是谁、提供什么以及如何提供将帮助管理可能出现的网络安全风险。映射供应链可以根据风险做出更明智的业务决策,具体而言:

  • 更好地洞察可以通过合同更容易执行的网络安全考虑因素
  • 更充分地准备应对与供应链相关的网络事件
  • 建立可重复方法的能力,使您对供应商的安全实践充满信心,并可以建立长期合作伙伴关系
  • 更容易遵守法律、法规和/或合同责任
  • 定期评估供应链将降低网络攻击或破坏的可能性
不可能完全根除供应链攻击。如果出现风险,能够快速响应将限制对组织造成损害的范围。


SCM 应包含哪些信息?

以一致的方式收集有关供应商的信息并将其存储在访问受控的集中存储库中,将确保更易于分析和维护。这最终将能够更好地管理风险,因为将全面了解始终保持最新状态的供应链。

可能有用的典型信息包括:

  • 供应商及其分包商的完整清单,显示他们如何相互联系
  • 提供什么产品或服务,由谁提供,以及该资产对您的组织的重要性
  • 组织和供应商之间的信息流动(包括对该信息价值的理解)
  • 供应组织内的保证联系人
  • 与上次评估的完整性有关的信息、下一次保证评估到期时间的详细信息以及任何未完成的活动
  • 任何所需认证的证明,例如 Cyber Essentials、ISO 认证、产品认证
获取这些信息可能是一项艰巨的任务,尤其是对于拥有复杂供应链的大型组织而言。

注意:此信息对攻击者来说是一个很有吸引力的目标,因此所有 SCM 资产都应保存在一个安全的存储库中,该存储库具有支持其设计的强大安全架构。

映射供应商的工具

有关现有供应商的信息可能已经存在于采购系统中。如果供应商有多个入口点,则需要汇总相关信息。根据组织的规模,考虑商业工具可能会有所帮助,这些工具可以:

  • 协调现有的供应链信息
  • 帮助使有关供应商保证的信息保持最新
  • 监控超出初始层级的供应链,并识别承包商和分包商的集中风险
  • 更容易连接、交互和可视化供应链

供应链中的分包商

供应链中任何地方存在的漏洞,无论是在您的直接供应商中,还是在他们分包给的供应商中,都可能影响组织。对于大型组织而言,围绕了解主要层级以外的实用性和有用性的决策应该进行评估,并且最初应该仅捕获有关直接承包商的信息。

需要沿着供应链走多远?究竟分包了什么,其重要性如何(考虑到组织的风险标准)?这些问题需要预先考虑获取信息的需求与获取信息的成本。你应该:

  • 确定使用的技术、系统和服务的重要性
  • 考虑准备投入多少精力来建立整个供应链
  • 与主要供应商签订合同条款,以提供贯穿其供应链的可见性
  • 向供应商保证如何使用这些信息以及谁可以访问这些信息,因为供应商可能对共享商业敏感信息持谨慎态度
  • 使用此共享信息了解直接一级供应商正在使用的主要共享供应商,突出集中风险
  • 确保考虑了数据供应链(也就是说,产品可能会使用来自第三方的数据,甚至依赖于其他人的数据)

供应商和分包商的合同条款

与供应商和分包商签订的合同应考虑以下条款:

  • 事件管理响应和通知时间框架以响应违规(以及为组织提供支持以找到根本原因)
  • 审计供应商/分包商的能力(以及预期的审计频率)
  • 数据管理(只有必要的数据可以从组织网络中传输出来)
  • 数据完整性(数据是否通过身份验证和加密受到保护,如果数据保存在供应商平台上,数据会被隔离吗?)
  • 供应商访问物理站点、信息系统和知识产权的管理控制(包括确保其保持最新的过程)
  • 您的直接供应商应从供应链中提出的任何要求(如上所述)

入门

方法取决于组织的采购和风险管理流程,以及可以使用的工具。以下是首次采用 SCM 的组织的一组顶级优先事项。

  1. 使用现有的商店(例如采购系统)来构建已知供应商的列表。优先考虑对组织至关重要的供应商、系统、产品和服务。
  2. 确定哪些信息有助于捕获有关供应链的信息。
  3. 了解如何安全地存储信息并管理对信息的访问。
  4. 确定是否要收集有关您的供应商分包商的信息,以及该链向下多远是有用的。
  • 考虑使用额外的服务来评估供应商并提供有关其网络风险状况的补充信息。
  • 对于新供应商,请在采购流程中预先说明希望供应商提供什么。
  • 对于现有供应商,告知他们您想要获取有关他们的哪些信息以及原因,并将从现有供应商处收集的信息改进到一个集中存储库中。
  1. 更新标准合同条款,以确保在开始与供应商合作时将所需信息作为标准提供。
  2. 定义组织中最适合使用此信息的人员;这可能包括采购、企业主、网络安全和运营安全团队。让他们了解信息存储并提供访问权限。
  3. 考虑创建一个剧本来处理事件发生的情况,您可能需要在扩展的供应链和第三方(例如执法部门、监管机构甚至客户)之间协调工作。
  4. 最后,记录由于供应链映射而需要在采购流程中更改的步骤。例如,可能需要考虑将无法令人满意地证明满足最低网络安全需求的供应商排除在外。

有关供应链安全:映射供应链的更多相关文章

  1. ruby - 如何使用 Ruby aws/s3 Gem 生成安全 URL 以从 s3 下载文件 - 2

    我正在编写一个小脚本来定位aws存储桶中的特定文件,并创建一个临时验证的url以发送给同事。(理想情况下,这将创建类似于在控制台上右键单击存储桶中的文件并复制链接地址的结果)。我研究过回形针,它似乎不符合这个标准,但我可能只是不知道它的全部功能。我尝试了以下方法:defauthenticated_url(file_name,bucket)AWS::S3::S3Object.url_for(file_name,bucket,:secure=>true,:expires=>20*60)end产生这种类型的结果:...-1.amazonaws.com/file_path/file.zip.A

  2. ruby - 如何安全地删除文件? - 2

    在Ruby中是否有Gem或安全删除文件的方法?我想避免系统上可能不存在的外部程序。“安全删除”指的是覆盖文件内容。 最佳答案 如果您使用的是*nix,一个很好的方法是使用exec/open3/open4调用shred:`shred-fxuz#{filename}`http://www.gnu.org/s/coreutils/manual/html_node/shred-invocation.html检查这个类似的帖子:Writingafileshredderinpythonorruby?

  3. ruby - 用 YAML.load 解析 json 安全吗? - 2

    我正在使用ruby2.1.0我有一个json文件。例如:test.json{"item":[{"apple":1},{"banana":2}]}用YAML.load加载这个文件安全吗?YAML.load(File.read('test.json'))我正在尝试加载一个json或yaml格式的文件。 最佳答案 YAML可以加载JSONYAML.load('{"something":"test","other":4}')=>{"something"=>"test","other"=>4}JSON将无法加载YAML。JSON.load("

  4. ruby-on-rails - 只有当不是 nil 时才执行映射? - 2

    如果names为nil,则以下中断。我怎样才能让这个map只有在它不是nil时才执行?self.topics=names.split(",").mapdo|n|Topic.where(name:n.strip).first_or_create!end 最佳答案 其他几个选项:选项1(在其上执行map时检查split的结果):names_list=names.try(:split,",")self.topics=names_list.mapdo|n|Topic.where(name:n.strip).first_or_create!e

  5. ruby-on-rails - 安全地显示使用回形针 gem 上传的图像 - 2

    默认情况下:回形针gem将所有附件存储在公共(public)目录中。出于安全原因,我不想将附件存储在公共(public)目录中,所以我将它们保存在应用程序根目录的uploads目录中:classPost我没有指定url选项,因为我不希望每个图像附件都有一个url。如果指定了url:那么拥有该url的任何人都可以访问该图像。这是不安全的。在user#show页面中:我想实际显示图像。如果我使用所有回形针默认设置,那么我可以这样做,因为图像将在公共(public)目录中并且图像将具有一个url:Someimage:看来,如果我将图像附件保存在公共(public)目录之外并且不指定url(同

  6. ruby - 使写入文件线程安全 - 2

    我在一个ruby​​文件中有一个函数可以像这样写入一个文件File.open("myfile",'a'){|f|f.puts("#{sometext}")}这个函数在不同的线程中被调用,使得像上面这样的文件写入不是线程安全的。有谁知道如何以最简单的方式使这个文件写入线程安全?更多信息:如果重要的话,我正在使用rspec框架。 最佳答案 您可以通过File#flock给锁File.open("myfile",'a'){|f|f.flock(File::LOCK_EX)f.puts("#{sometext}")}

  7. ruby-on-rails - 最灵活的 Rails 密码安全实现 - 2

    关闭。这个问题不符合StackOverflowguidelines.它目前不接受答案。要求我们推荐或查找工具、库或最喜欢的场外资源的问题对于StackOverflow来说是偏离主题的,因为它们往往会吸引自以为是的答案和垃圾邮件。相反,describetheproblem以及迄今为止为解决该问题所做的工作。关闭8年前。Improvethisquestion我需要实现具有各种灵活需求的密码安全。这些要求基本上取自Sanspasswordpolicy:Strongpasswordshavethefollowingcharacteristics:Containatleastthreeofthe

  8. 常见网络安全产品汇总(私信发送思维导图) - 2

    安全产品安全网关类防火墙Firewall防火墙防火墙主要用于边界安全防护的权限控制和安全域的划分。防火墙•信息安全的防护系统,依照特定的规则,允许或是限制传输的数据通过。防火墙是一个由软件和硬件设备组合而成,在内外网之间、专网与公网之间的界面上构成的保护屏障。下一代防火墙•下一代防火墙,NextGenerationFirewall,简称NGFirewall,是一款可以全面应对应用层威胁的高性能防火墙,提供网络层应用层一体化安全防护。生产厂家•联想网御、CheckPoint、深信服、网康、天融信、华为、H3C等防火墙部署部署于内、外网编辑额,用于权限访问控制和安全域划分。UTM统一威胁管理(Un

  9. Ruby:映射和注入(inject)之间的区别 - 2

    在此处阅读有关SO的各种解释,它们是这样描述的:map:Themapmethodtakesanenumerableobjectandablock,andrunstheblockforeachelement注入(inject):Injecttakesavalueandablock,anditrunsthatblockonceforeachelementofthelist.希望你明白为什么我觉得它们表面上看起来很相似。我什么时候会选择一个而不是另一个,它们之间有什么明显的区别吗? 最佳答案 如果您认为inject也别名为reduce,这

  10. ruby - 为什么我必须对 Net::HTTP 请求的安全字符进行 URI.encode? - 2

    我尝试使用Net::HTTP向Twitter发送GET请求(出于隐私原因替换了用户ID):url=URI.parse("http://api.twitter.com/1/friends/ids.json?user_id=12345")resp=Net::HTTP.get_response(url)这会在Net::HTTP中引发异常:NoMethodError:undefinedmethodempty?'for#from/System/Library/Frameworks/Ruby.framework/Versions/1.8/usr/lib/ruby/1.8/net/http.rb:1

随机推荐