几乎所有企业都与受陷第三方之间存在关联

Robert Lemos 代码卫士

收录于合集

聚焦源代码安全，网罗国内外最新资讯！

专栏·供应链安全

数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。

随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，造成的危害也越来越严重。

为此，我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯，分析供应链安全风险，提供缓解建议，为供应链安全保驾护航。

注：以往发布的部分供应链安全相关内容，请见文末“推荐阅读”部分。

数据科学公司 Cyentia Institute 发布分析报告称，几乎所有企业都在和遭受攻陷的第三方之间有业务往来或者使用第三方的产品，从而增加了它们的安全风险。

基于网络安全风险管理公司SecurityScorecard对超过23万家组织机构的安全评估，报告发现，一般一家企业与10家左右的第三方存在关联，与第四方存在数百个间接关联；一般企业的第四方合作伙伴数量是第三方合作伙伴数量的60到90倍。几乎所有企业 (98%) 都与至少一家受陷的第三方之间存在关联。

报告提到，IT行业的第三方合作伙伴数量最多，平均为25个，而金融行业的第三方合作伙伴数量最少，为6.5个。而提到第四方关系时，这些数据及其风险快速膨胀。一般企业与200家遭攻陷的第四方之间存在间接关联。

Cyentia Institute的创始人兼合伙人 Wade Baker指出，这项研究强调了企业所拥有数量庞大的第三方和第四方关系，而它们造成的风险也在增加。他提到，“风险在下沉。第一方的安全风险分数更有可能比第三方好，而到了第四方，这些数字急剧下降。你需要做好这些企业和产品达不到安全标准的准备。”产生这种情况的原因是，很多组织机构在自身的网络风险方面变得更加成熟，但少有机构认识到扩展风险的存在。报告指出，“很多组织机构仍然未意识到第三方关系中内在的依赖和暴露情况，而只是专注于管理自身的安全态势。其它组织机构意识到了这些问题的存在，但并未根据安全做出厂商决策以及/或要求厂商满足某些标准。甚至是那些设立了第三方安全要求的企业也在挣扎着继续监控合规性和进展情况。”

近年来，第三方风险和供应链风险已变成重大问题。首席信息安全官自从HAVC供应商受陷导致零售巨头Target数据泄露事件以来，对第三方提供商的关注越来越多。

虽然报告分析的是第三方风险，但第三方的概念不仅是厂商和合作伙伴，而且还包括软件提供商和开源项目。如今变得臭名昭著的软件供应商攻击如SolarWinds供应链事件和用户广泛的软件组件中的漏洞问题如Log4j等，使第三方相关风险凸显。

报告提到，第三方关系中牵涉的五大技术是 Google Analytics、Google Tag Manager、Amazon Web Hosting、PHP和Facebook 产品，这些技术出现在三分之二 (68%)的第三方关系中。

Baker 提到，“很多第三方和第四方关系仅因使用一款产品就均需遵从一定的策略，我们将自己暴露到了一定程度的风险之中。”

不断增多的风险

分析还发现，第三方的安全态势一般要弱于所服务企业。整体而言，第三方更有可能存在安全问题，也就是说企业无法假设所有第三方合作伙伴对于安全的态度和他们一样积极。

Baker 指出，“我的看法一样，我们都知道我们的权限太多了，一般而言人们对数据的权限多于所需权限。减少第三方的数量是个不错的做法，尤其是不需要这么多第三方的情况下，而且也可以更加精挑细选。”

然而，分析报告除了凸显该问题的重要性外，并未给出一个前进的清晰路径。例如，Baker并未建议组织机构缩减25%的底层第三方数量。他指出，更加实际的方法可能是加大对第三方的评估频率。他表示，“如果我们确实希望保护供应链的安全，那么我们必须让最弱的环节更强健。我认为分析报告说明第三方和第四方中存在很多薄弱环节，而这正是挑战之所在。”

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com