最近的软件供应链攻击促使美国参议院通过立法，加强对联邦采购人员的网络安全培训。供应链安全培训法》要求各机构在整个采购生命周期内评估并降低供应链风险。国土安全部、NIST 和其他联邦机构负责协调和执行该计划。
管理软件供应链风险不仅需要确保您的组织免受直接攻击，还需要降低可能中断业务的第三方和第 N 方数据泄露风险。
软件供应链安全对 TPRM 意味着什么？
软件供应链指的是您用来为客户提供服务的应用程序。在第三方风险管理中，软件供应链安全涉及识别这些应用程序中底层组件可能存在的漏洞，并评估它们被网络犯罪分子操纵的可能性。
更严格的网络安全规定对于加强供应链风险管理至关重要，我们建议所有组织--不仅仅是联邦机构--考虑实施以下最佳实践。
软件供应链安全最佳实践
1.结合内部和外部风险评估，加强对供应商的尽职调查
为最大限度地降低第三方软件供应链中断的风险，要求解决方案提供商共享有关其软件开发生命周期的信息，包括
- 源代码的起源
- 其质量保证 (QA) 流程
- 识别和修复漏洞的服务水平协议 (SLA)
虽然最初的评估可以通过供应商调查问卷进行，但这些问卷只能提供一个时间快照。持续更新的供应商风险数据可以补充供应商评估，这些数据来源包括
- 犯罪论坛、洋葱页面、暗网特殊访问论坛、威胁源和用于粘贴泄漏凭证的网站。监控这些网站上的聊天内容可以提供预警指标，表明供应链合作伙伴已经或将要成为攻击目标。
- 安全社区、代码库、漏洞数据库和历史数据泄露通知，以定期检查供应商的安全状况。
- 声誉风险信息，包括负面媒体报道、被列入全球制裁名单或国有企业所有权。
通过跟踪这些情报来源，您可以保持对供应商弱点的最新洞察力，从静态供应商风险评估转变为动态供应商风险评估。
但是，要谨防建立一个过于复杂且可能昂贵的风险监控计划。由于网络安全和声誉情报的潜在来源有数百种，因此很容易很快就会被来自不同来源、单独授权的不相关数据所淹没。
选择能够集中多种情报来源的输入、证实评估结果并有意义地报告潜在供应商风险敞口的平台。
2.
绘制扩展供应链地图，发现隐藏风险
供应链越往上游，可见度越低，这可能会掩盖以下风险
勒索软件攻击和安全漏洞。对扩展供应商生态系统的可见性可以揭示处理数据的关系，但这种信息的收集可能很费时间，而且很快就会过时。
要发现这些风险，应使用第三方评估平台构建全面的供应商档案。其中应包括关键供应商信息，如位置、第三方、部署的技术以及外部供应商周边扫描数据。其结果将是一个关系图，可轻松识别技术集中风险，从而在下一次发生SolarWinds事件时做好更充分的准备。
3.自动化事件响应，加速风险缓解
当大规模的软件供应链漏洞发生时，人们自然会问的第一个问题是："我们受到影响了吗？"紧接着很快又问："我们的第三方受到影响了吗？在 SolarWinds 和Kaseya 等漏洞事件中，我们多次看到这种情况。如上文最佳实践所述，拥有全面的供应商档案将使您能够快速回答这个问题。
然而，当需要确定供应商的风险敞口和缓解计划时，许多组织都处于不利地位--使用电子表格来评估和分流可能涉及数百家供应链合作伙伴的风险。
以下是采取更智能、更快速的事件响应方法的几个步骤：
- 集中管理所有供应商，而不仅仅是高级供应商。软件供应链风险广泛存在，受影响的可能不仅仅是被视为最关键的供应商。
- 发布针对特定事件的评估并进行跟踪，提供补救建议，加快风险缓解速度。在这些评估中包括有关业务连续性、备份和恢复计划的问题。
- 通过标准化的事件报告系统，对风险进行评分和升级，以便进行有效的分流和报告，从而使第三方能够主动报告事件。
- 实施可启动自动操作的工作流程规则，使您能够根据潜在的业务影响来应对风险。
- 集中分析评估结果，与合作伙伴同步开展补救工作，并向管理层通报进展情况。
加强软件供应链安全的下一步措施
仅靠人工、被动地应对软件漏洞是不够的。实施这些最佳实践将帮助您更好地应对下一个供应链安全挑战。
有关 Prevalent 如何在供应商生命周期的各个阶段帮助降低供应链风险的更多信息，请阅读我们的白皮书《供应商风险生命周期导航》，或立即申请战略会议演示。
编者按 本文最初发表于 Prevalent.net. 2024 年 10 月，Mitratech 收购了人工智能第三方风险管理公司 Prevalent。此后，我们对内容进行了更新，以纳入与我们的产品、监管变化和合规性相一致的信息。
