使用 NIST SP 800-161 进行网络安全供应链风险管理

开发、记录和传播：
1.供应链风险管理政策，该政策应
(a) 述及宗旨、范围、作用、责任、管理承诺、组织实体间的协调和合规；以及
(b) 符合适用的法律、行政命令、指令、法规、政策、标准和指南；以及 2.
2.促进实施供应链风险管理政策和相关供应链风险管理控制措施的程序；
b.指定一名官员管理供应链风险管理政策和程序的制定、记录和传播；以及
c.审查和更新现行的供应链风险管理：
1.政策和程序
2.程序

适用的 SP 800-161r1 网络安全风险管理指南：

......企业职能部门（包括但不限于信息安全、法律、风险管理和采购部门）应审查并同意 C-SCRM 政策和程序的制定，或为系统所有者制定特定系统的 C-SCRM 程序提供指导。

SR-2 供应链风险管理计划

a.制定与系统、系统组件或系统服务的研发、设计、制造、采购、交付、集成、运营和维护以及处置相关的供应链风险管理计划
b.根据需要审查和更新供应链风险管理计划，以应对威胁、组织或环境的变化；以及
c.保护供应链风险管理计划，防止未经授权的披露和修改。

适用的 SP 800-161r1 网络安全风险管理指南：

C-SCRM 计划描述了系统层面的实施、要求、限制和影响......。......C-SCRM计划应作为独立文件制定，只有在企业限制要求的情况下才纳入现有的系统安全计划。

SR-3 供应链控制和流程

a.与供应链人员协调，建立一个或多个流程，以确定并解决供应链要素和流程中的薄弱环节或缺陷；
b.采用以下控制措施，防范系统、系统组件或系统服务的供应链风险，并限制供应链相关事件的危害或后果；以及
c.在供应链风险管理计划中记录所选择和实施的供应链流程和控制措施。

适用的 SP 800-161r1 网络安全风险管理指南：

......各部门和机构应......根据关于改善国家网络安全的第 14028 号行政命令执行本指南。 

寻找专家与您的团队合作：
* 确定并实施 TPRM 和 C-SCRM 流程和解决方案
* 选择风险评估问卷和框架
* 根据贵组织的风险偏好优化您的计划，以应对整个第三方风险生命周期--从采购和尽职调查到终止和离职

作为这一过程的一部分，您应该确定
* 明确角色和职责（如 RACI）
* 第三方清单
* 基于组织风险承受能力的风险评分和阈值

根据不断变化的业务需求和优先事项，持续评估 TPRM 计划的有效性，通过关系生命周期来衡量第三方供应商的关键绩效指标 (KPI) 和关键风险指标 (KRI)。

通过验证关键或任务必要技术、产品和服务的内部构成和来源，实施控制和分析，确保系统和系统组件的完整性。

适用的 SP 800-161r1 网络安全风险管理指南：

应在整个 SDLC 过程中记录系统、系统组件和相关数据的出处。企业应考虑为适用和适当类别的软件制作 SBOM，包括外购软件、开源软件和内部软件...

采用采购战略、合同工具和采购方法来防范、识别和降低供应链风险。

适用的 SP 800-161r1 网络安全风险管理指南：

......各部门和机构应......根据关于改善国家网络安全的第 14028 号行政命令执行本指南。

在对所有服务提供商进行集中管理和审查时，团队应创建全面的供应商档案，其中包含对供应商人口信息、第四方技术、ESG 分数、近期业务和声誉洞察、数据泄露历史以及近期财务业绩的深入了解。

这种程度的尽职调查为供应商选择决策提供了更多的背景资料。

评估和审查与供应商或承包商及其提供的系统、系统组件或系统服务有关的供应链相关风险。

适用的 SP 800-161r1 网络安全风险管理指南：

一般而言，企业应考虑与供应商或其提供的服务或产品的安全性、完整性、复原力、质量、可信度或真实性有关的任何信息。企业应考虑根据一套一致的核心基线因素和评估标准来应用这些信息，以便（在供应商和超时之间）进行公平比较。根据具体情况和评估目的，企业可选择其他因素。评估所依赖的信息质量（如相关性、完整性、准确性等）也是一个重要的考虑因素。还应记录评估信息的参考来源...

监控来源通常包括
* 犯罪论坛；洋葱页面；暗网特殊访问论坛；威胁信息源；泄漏凭证的粘贴网站--以及一些安全社区、代码库和漏洞数据库
* 包含全球数千家公司数年数据泄露历史的数据库

所有监控数据都应与评估结果相关联，并集中到每个供应商的统一风险登记册中，从而简化风险审查、报告、补救和应对措施。

与参与系统、系统组件或系统服务供应链的实体制定协议和程序，以通报供应链受损情况以及评估或审计结果。

适用的 SP 800-161r1 网络安全风险管理指南：

企业至少应要求其供应商与供应链中与关键服务或产品相关的实体签订通知协议...

编制、记录和维护一份供应商清单，其中包括
1.1. 准确且最低限度地反映组织的一级供应商，这些供应商可能在供应链中存在网络安全风险；
2.2. 达到评估关键性和供应链风险、跟踪和报告所需的粒度水平；
3.记录每个一级供应商（如主承包商）的以下信息：审查和更新供应商清单。
i.采购工具（如合同、任务或交货单）的唯一标识；
ii.所提供产品和/或服务的描述；
iii.使用供应商产品和/或服务的计划、项目和/或系统；以及 iv.
iv.与计划、项目和/或系统（或系统组件）的关键性一致的指定关键性级别。
b.审核并更新供应商清单。

适用的 SP 800-161r1 网络安全风险管理指南：

企业依靠众多供应商来执行任务和履行职能。许多供应商提供的产品和服务支持多个任务、功能、计划、项目和系统。根据其产品和服务所支持的任务、功能、计划、项目和系统的关键性，以及企业对供应商的依赖程度，有些供应商比其他供应商更关键。企业应使用关键性分析来帮助确定哪些产品和服务至关重要，以确定供应商的关键性，并将其记录在供应商清单中...

通过电子表格模板或与现有采购解决方案的 API 连接导入供应商，从而消除容易出错的手动流程。

使用集中化、可定制的接收表单和相关工作流程填充关键供应商详细信息。每个人都可以通过电子邮件邀请获得这些信息，无需任何培训或解决方案专业知识。

建立全面的供应商档案，对供应商的人口统计、地理位置、第四方技术和最近的运营情况进行比较和监控。有了这些积累的数据，您就能报告地理和技术集中的风险，并采取相应的措施。