ISACA Blog | 勒索软件在第三方风险环境中阴魂不散

网络安全供应链风险管理是企业日益重视的问题。随着云数据中心和软件即服务的采用越来越多，对复杂的全球供应链的依赖也在增加，这些供应链引入了大量可被网络犯罪分子利用的潜在漏洞。在这篇博文中，我们将探讨一些识别和减轻供应链风险的关键策略，特别强调供应链中的勒索软件风险。

首先，对企业的IT相关供应链有清晰的认识很重要。这包括对识别那些处理、传输或存储用于创建企业产品和服务的数据的所有供应商、分包商和其他合作伙伴。用映射来了解这些不同实体之间的关系以及每个实体提供的特定产品和服务也很重要。

规划好供应链后，下一步就是确定与供应链的每个组成部分相关的潜在风险。这包括外部和内部风险。外部风险可能包括自然灾害、政治不稳定或经济衰退等。内部风险可能包括员工流失、设备故障或数据泄露等。

为识别这些风险，企业应考虑进行风险评估。这将涉及从各种来源收集和分析数据，包括供应商合同、保险政策和监管合规报告。它还可能涉及对供应商进行现场访问或进行其他形式的尽职调查。

一旦确定并记录了风险，下一步就是制定减轻风险的策略。这将涉及实施流程或技术以减少网络供应链中断的可能性，或制定应急计划以防中断确实发生。例如，企业可能会实施一个软件平台，使其能够实时监控其供应链或与多个电子邮件供应商建立关系以减少任何单个供应商中断的影响。

除了这些主动措施外，还需要制定供应链中断发生时的响应计划。此外，与包括员工、客户和股东在内的利益相关者进行清晰有效的沟通也很重要，以确保他们了解情况以及正在采取的解决措施。这可能涉及启动应急计划，例如从替代供应商处采购产品或暂时停止运营。

解决勒索软件风险

目前，对于依赖第三方供应商进行关键业务运营的企业来说，勒索软件是一个重大风险。对供应商系统的勒索软件攻击可能会破坏商品和服务的流动，导致企业遭受财务损失和声誉损害。成为勒索软件攻击受害者的供应商可能无法保证攻击已被完全遏制或客户数据未被泄露。

为了降低通过第三方进行勒索软件攻击的风险，企业在选择供应商时进行彻底的尽职调查非常重要。这可能包括审查供应商的网络安全实践和政策，以及使用第三方供应商管理平台或在线新闻来源评估他们的安全漏洞或事件的追踪记录。企业还应考虑要求供应商通过定期评估或认证来证明其网络弹性。

除了进行尽职调查外，企业还可以实施其他风险管理策略，以保护自己免受供应链中的勒索软件攻击。这可能包括实施和测试应对中断的应急计划、采用备用通信方法、拥有经过可恢复性测试的可靠数据和系统备份，以及定期更新软件和系统以抵御新威胁。

总之，供应链风险管理是企业必须关注的问题。通过花时间了解企业的供应链并识别潜在风险，企业可以帮助减轻这些风险并保护企业免受潜在的破坏。通过实施积极措施并制定明确的计划来应对中断，企业可以帮助确保他们在面对任何挑战时继续有效运营。

往期推荐:

编者按：本文于2023年1月10日首次发表 于ISACA官网ISACA Now Blog。文章内容仅代表作者本人观点。

作者：Billy Anglin, ISACA 网络安全考试工程师

翻译：李京（Randy Li)，CGEIT，ISACA微信公众号特邀通讯员，关注IT治理、信息安全。

校对：张锋，CISA，CIA、CISP、ISACA微信公众号特邀通讯员。