风险监控是指通过收集和分析外部可获取的数据来评估潜在威胁与影响的实践。对于供应商管理者而言，识别风险始于主动关注网络威胁动态、商业新闻及财务数据流。这些情报可用于识别数据泄露、合规违规、供应链中断及其他可能危及商业关系的威胁。
本博客解答的问题包括：
- 供应商经理为何需要通过监控来验证评估结果？
- 供应商经理应监控哪些信息来源？
- 如何避免陷入重大监控陷阱？
为何供应商经理应通过风险监控验证评估结果
供应商经理通常采用持续性的外部网络安全与业务风险监测来验证供应商评估反馈。尽管基于内部控制的定期评估能揭示供应商如何管理信息技术安全与隐私，但在两次评估之间的这一年里，情况可能发生诸多变化！
持续监控供应商具有以下优势：
- 即时性——在供应商入驻时，即时掌握其公开风险状况有助于制定分级与优先级策略。
- 验证——验证内部供应商调查的反馈是否与其组织所受外部网络安全、业务及财务事件的影响相一致。
- 频率——持续获取关于潜在漏洞或相关业务风险的客观洞察，这些风险可能对您的业务产生负面影响。
风险监控使供应商风险管理更具整体性。
供应商经理应监控哪些网络信息来源
供应商风险监控不仅涉及网络安全漏洞扫描，还应整合来自多个外部网络威胁情报来源的信息，包括：
- 互联网传感器网络
- 全球威胁数据库
- 协作安全合作伙伴
- 防病毒软件用户
这些情报可帮助您更好地理解供应商面向公众的资产所面临的风险。
供应商风险数据的常见来源如下所示。
| 网络风险监测目标 | 说明 |
|---|---|
| 暗网 | 暗网近期频繁提及某公司，往往与针对该公司的威胁活动相关。暗网市场对某公司的关注，也可能暗示其资产或账户正被非法出售，或是存在欺诈计划。 |
| 域名滥用/拼写错误域名抢注 | 与现有企业域名相似的全新域名注册，可能预示着潜在的域名滥用行为（例如网络钓鱼）。此类注册行为也可能表明相关方正在采取措施预防或缓解域名滥用问题。 |
| 电子邮件安全 | 发件人策略框架（SPF）策略配置、域名密钥识别邮件（DKIM）以及基于域的消息认证、报告与合规性（DMARC） |
| 泄露的凭证 | 泄露的凭证和电子邮件可能表明公司员工重复使用密码或企业邮箱地址。这同时增加了凭证填充攻击的风险，并可能成为攻击者的目标。 |
| 事件 | 安全漏洞披露和经核实的网络攻击报告可揭示近期发生的攻击、入侵或其他危及信息资产的事件。 |
| 基础设施 | 违反IT政策、滥用公司基础设施、公司基础设施感染、恶意软件、配置错误、漏洞、受感染主机、不受支持的软件 |
| Web应用程序安全 | SSL/TLS证书与配置 |
这些信息正是黑客所能看到的全部内容。该情报可帮助供应商清理其开源足迹或弥补流程中的安全漏洞。这类似于在申请住房贷款前清理个人信用报告。
供应商经理应监控哪些商业智能来源
供应商经理应重点监控的下一个领域是能够揭示潜在未来风险的定性业务信息。业务风险指标包括以下内容：
- 运营风险——并购活动、裁员、领导层变动、合作伙伴关系调整、客户关系及地域扩张都可能扰乱组织的运营。
- 品牌风险——数据泄露、产品召回及品牌变更可能损害公众形象，进而导致不可预见的成本增加或业务运营受限。
- 监管/法律风险——调查、罚款、经济制裁/黑名单以及重大诉讼和和解会分散精力，并可能阻碍运营。
供应商经理应监控哪些资金来源
供应商经理应监控破产、资本交易及数据泄露等财务指标对财务可行性的影响。此举亦可协助采购团队对新供应商进行预筛选、对现有供应商实施监控，并评估其财务与组织健康状况。由此能更快作出更明智的采购决策。
网络安全、业务风险与财务监控的综合运用，能为供应商风险评估提供更全面的视角。这种"由外而内"的评估方式，使您在解读供应商风险潜在影响时更具优势。它同时强化了"由内而外"的评估机制，从而生成更精准、更具洞察力的风险评分。
提出这些问题，避免陷入监控陷阱
某些企业可能陷入误区，认为仅靠监控就足以构成供应商风险管理策略。请思考：所谓的"评分"或"安全评级"能否真正解决您面临的供应商风险管理难题。
安全评级工具仅提供外部网络扫描，显示基础网络风险。由于缺乏供应商保证和情境评分机制，评级供应商对供应商风险的评估存在局限性。这意味着实际并未进行真正的风险评估。
要判断您当前的解决方案是否满足监控和供应商风险管理需求，请考虑以下问题：
- 如何衡量供应商对合规性要求的内部遵守情况？外部扫描能揭示这一点吗？
- 安全评分能告诉你供应商是如何处理你的数据的吗？
- 安全评级如何实现供应商证据收集和尽职调查的自动化？
虽然由外而内的风险评分或排名能提供风险洞察，但仅凭此无法满足合规要求。Gartner等机构发布的最佳实践建议 ，应将供应商评估与持续监控相结合，以实现更全面的供应商风险管理。
下一步工作
供应商经理应在第三方风险监控中广泛收集信息。通过结合可靠的信息来源与内部评估结果，您能够更全面地掌握供应商的风险状况。
普瑞瓦勒供应商威胁监测系统从50万+信息源提供商业、网络安全及金融情报。
在我们的最佳实践指南中了解我们行之有效的 5 步供应商风险管理方法，或立即申请演示。
编者按：本文最初发表于Prevalent.net。2024 年 10 月，Mitratech 收购了人工智能第三方风险管理公司 Prevalent。此后，我们对内容进行了更新，以纳入与我们的产品、监管变化和合规性相一致的信息。
