美国核心部门供应链安全管理与资产可视化工作开展情况
在美国看来，全球化的步伐导致了供应链风险加剧，特别是敏感、关键的信息系统及军方的供应链将会对国家安全产生重要影响。本文介绍了美国相关部门在供应链安全方面的公开的报告、政策等。
一
供应链风险管理的背景
在隶属于情报总监办公室（ONDI-Office of the director of national intelligence）的国家反间谍和安全中心（National counterintelligence and security center, NCSC）公开的文献中我们可以看到针对供应链风险管理方面的背景介绍[1]。
背景一：美国面临的窃密风险严重
美国认为，自己正受到外国情报机构的系统性攻击。攻击目标是政府、企业和个人每天使用的设备、系统和信息。美国的对手们利用美国开放和合作的文化环境来窃取信息，并提高他们的军事能力，实现经济现代化，削弱美国的全球影响力。美国的对手目标广泛，包括情报部门、国防和安全部门、其他美国政府机构、学术和研究机构以及私营企业，窃取他们的技术和关键知识。
背景二：美国的敌对国家正在通过供应链泄露等新手段增强情报互动
在美国看来，他们的对手用“非传统”的方法扩大了传统的情报活动，包括经济间谍、供应链泄露，利用学生、科学家和企业员工收集机密和非机密信息。尤其重要的是，一些对手正在发展进攻能力，在危机或冲突中利用、干扰和破坏美国关键基础设施。供应链泄露掺杂在网络入侵、内鬼破坏和经济间谍活动行动中，严重威胁美国重要金融部门、关键基础设施以及美国安全和经济增长。“这些对手使美国政府和经济都处于危险之中。”
背景三：供应链全球化是供应链泄露的主要原因
促成供应链泄露的主要是原因是供应链全球化，其特征是遍布全球和世界各地的零部件、服务和制造业的复杂合同和分包合同网络。在制造商或消费者看来，这样的供应商层级网络往往不易理解。而对手可以在不同的位置访问供应链，从而建立先进、持久和多方面的颠覆行动。同时，对手还可以利用这种复杂性来混淆他们敏感的研发项目，窃取知识产权（IP）和个人身份信息（PII），在关键组件中植入恶意软件，掩盖关键组件和服务的提供商的所有权、控制权或影响力。简言之，供应链攻击侵蚀了美国在商业、科技和安全方面的竞争优势。
二
现状
美国假想的对手不受政治边界或组织的约束，也不受法律、外交或监管框架的约束。对手可以通过公司、黑客和有组织的犯罪活动来隐藏自己的存在，这使得发现和反击变得困难。供应链泄露的识别由于大多数攻击的敏感性质，难以开展。
在文献[1]中举例到，以美国联合攻击战斗机（Jointer Strike Fighter）数据入侵[2]为代表的关键武器装备项目、以美国人事管理办公室数据泄露[3]为代表的敏感信息、以电力和医疗服务部门为代表的关键基础设施，是近期攻击的目标。
而且，这些攻击仅仅是冰山一角，诸如利用私营公司作为攻击载体的新型攻击手段，正在慢慢浮出水面。
三
评估风险的框架
供应链风险的增加是由于关键系统和服务对于全球采购的商业信息和通信技术（ICT）的依赖程度不断提高。由此产生的残余风险（Residual risk）以产品和服务的的形式传递给最终用户企业，这些产品和服务可能包含有缺陷、假冒或其他受恶意软件污染的组件、可利用的弱点和源头不受信任的漏洞。文献[4]提出了一个评估风险的框架，提出了供应链中存在风险所有者不受控制的风险点，这些风险点的风险决策是其他人做出的。该框架还提出了识别和反击供应链攻击的方法。
一般的商业活动中，风险管理被用来平衡成本（Cost）、进度（Schedule）和性能（Performance）。如图1所示，当交付日期提前时，成本可能增加或性能可能下降；当性能的要求增加时，进度和成本都可能随之增加。
图1 一般商业活动的风险管理用来平衡成本、进度、性能
对于关键或重要的项目，决不能用牺牲性能的代价来获得成本或进度。与性能相关的风险必须考虑到产品或服务的完整性和安全性。如图2所示，关键项目的风险管理应考虑威胁（Threat），脆弱性（Vulnerabilities）和后果（Consequences）。
图2 关键项目的风险管理取决于威胁、脆弱性和后果
如图3所示，关键项目的风险管理中威胁、脆弱性和后果各自有独特的属性。
从威胁的角度，了解对手的意图（Intent）和能力（Capabilities）是至关重要的。关键是使用最新的有价值威胁信息（the latest available threat information）来确定是否存在可信的、指向明确的证据，用于表明该物品或服务可能成为敌人的目标。
从脆弱性的角度，系统漏洞分为固有的（Inherent）和外部引入的（Introduced）。固有漏洞是指由于设计疏忽、质量控制不良或流程错误导致的系统缺陷，通常不具备恶意。而引入漏洞通常是来自内部或外部恶意行为的结果，这些行为获得了对供应链中某些流程的访问权。
从后果的角度，如果威胁成真，系统则会受到攻击或受到伤害，后果只有两种，一种是可修复的（Fixable），另一种是致命的（Fatal）。
图3 关键项目风险管理
在所有情况下，都必须有机会运用对手的能力。如图4所示，在供应链生命周期的任何时刻——从概念（Concept）到设计（Design）、制造（Manufacture）、集成（Integration）、部署（Deployment）、维护（Maintenance）和报废（Retirement）——当对手的意图与能力和系统固有漏洞或引入漏洞相一致时，威胁就有可能实现。
威胁可能实现，攻击未必发生，但风险确定存在。例如，在制造过程中，可能存在软件Bug，允许使用来自不可信第三方的软件，而这些第三方软件可能已经被恶意对手攻破受到控制，进而损害制造过程。再举一个例子，在维护阶段，可能存在标准操作程序不完善的情况，维护技术人员可以在没有监督的情况下进入设施，并能够用安装了恶意程序的未经检查的假冒软件替换受损的系统软件。
值得注意的是，很多时候供应链的某些流程对他人依赖远大于风险所有者，这些与风险无关的他人能够代替风险所有者轻易决定风险，从而将残余风险传递给最终用户和部门。
图4关键项目风险管理贯穿了供应链的全生命周期
一旦威胁、脆弱性和后果得到测量、记录和评估，就可以确定风险，并设计和实施风险管理流程。通过这种方式，可以制定缓解风险的措施，并考虑对策，做到阻止（Deter）对手的意图，破坏（Disrupt）对手的能力，防护（Defend）系统固有漏洞，检测（Detect）系统引入漏洞，恢复（Restore）那些可以修复的系统，放弃（Discard）那些无法修复的系统。
图5 关键项目风险管理对策
四
ICD 731：IC供应链风险管理
在上述背景和框架下，2013年12月，ODNI发布了ICD 731名为“Supply Chain Risk Management”的指令，专为情报社区（Intelligence Community，IC）中关键项目的产品、材料和服务的全生命周期供应链制定，用于识别风险，降低威胁[5]。
这条指令适用美国涉密信息系统（National security system）中IT设备的采购。
1. 策略
（1）供应链风险管理（Supply Chain Risk Management，SCRM）是供应链中产品和服务的完整性（Integrity）、可信性（Trustworthness）、可鉴别性（Authenticity）的风险管理。供应链风险管理包含了外国情报实体和其他对手的活动，他们以破坏IC的供应链为目标，试图在供应链中掺加伪造和恶意的物品。
（2）供应链风险管理需要多方参与，包括但不限于采购、反间谍（Counterintelligence，CI）、信息保障、物流、关键项目办公室、安保等机构。
（3）很多IC的重要项目中的产品、材料和服务来自于与国际市场密切相关的供应链。务必牢记：了解和掌握供应链中来自国际参与方的风险对保护美国情报源、方法和活动至关重要。供应链风险管理中需要增加相应的信息收集要求。
（4）反间谍和安全评估务必集成到采购与收购计划中的各个环节，防止国外情报实体渗透。
（5）关键任务的产品、材料和服务采购的风险评估应由负责人主持。
（6）如果DNI已确定风险，则还应对IC产品、材料和服务进行风险评估，以确保采取标准的缓解方法。
（7）采购IT产品时，外包商、分包商、供应商等有可能因供应链风险识别被排除，这一排除原因因国家安全不得泄露。
（8）建立和维护供应链风险管理相关社区论坛，分享供应链威胁信息、最佳实践等信息。
（9）设计支撑供应链风险管理的IC工作人员务必做初任培训并每隔两年培训，培训反间谍、安全、采购、民权方面的原理和实践。
2. 风险评估
（1）风险评估包括三个方面：
外包商、分包商、供应商及下级供应商的威胁识别。
采购任务的脆弱性风险评估。
基于待采购的产品、材料和服务的重要性，评估潜在对手的影响和可行的对策。
图6 供应链风险管理模型
（2）风险评估务必在采购计划进程中完成。一旦识别风险，马上采取对策。
（3）风险评估及对策每隔两年必须重新评估并做合理修改。
五
国防资产可视化战略
2014年1月，负责后勤和物资准备工作的美国国防部长助理发布了名为“Strategy for Improving DoD Asset Visibility”的报告[6]。
1.背景
该报告的制定是为了指导和整合全部门的工作，以提高资产可见性，降低供应链风险和改进后勤决策。该策略创建了一个框架，在此框架中，各部门协同工作，以确定改进机会和能力差距，并利用自动识别技术(AIT)功能，如射频识别(RFID)和项目唯一标识(IUID)。这些功能有助于提供关于资产位置、数量和状态的及时、准确和可操作的信息。
该战略的最初版本详细描述了支持执行计划(SEP)的细节，该计划建立在AIT工作的基础上，随着资产通过国防部供应链流动，提高了数据的可视性和可访问性。这些SEP描述了处理特定流程、数据和技术改进的方法，以及可度量地提高资产数据可视性的与物流相关的机会。
随着资产数据可见度的提高，国防部的重点将扩展到将数据集成到适当的业务流程和信息技术系统中，使数据能够提供给不同级别的国防部人员，以便为决策提供信息，并提高客户对供应链的信心。
2.问题的产生
国防部的供应链管理不仅限于采购、接收、存储或运输项目等在物理空间的操作，还要求在网络空间捕获、管理、集成和共享项目本身的相关信息，无论是在存储中、在运输中、在加工还是在战区。
今天，尽管在主要供应链节点上捕获物流数据，对于快速做出物流决策的贡献巨大。但是，数据捕获的时效性、资产转移过程中的可视化能力以及创建数据专业化视角能力（An enterprise view of data）仍然存在局限。
3.目标
为了应对当前环境的挑战，该战略的总体目标是创建一个框架，使各部门能够协作工作，以提供准确、可靠和及时的数据的方式增强资产可视性，以跟踪资产在其整个生命周期中的位置，将资产数据转换为支持物流决策和提高客户信心的可操作信息。为执行本战略而开展的活动和改进将有助于实现以下目标：
提高对客户物资需求和资源可用性的可视性，以满足这些需求
提高运输、储存、在制品和战区内资产的可视性
提高实际库存、收据处理、货物跟踪和单位移动的效率
增加库存的存在性和完整性，以支持审计准备
实现单一的权威资产可视性数据集，该数据集集成并可访问，以支持国防部的知情后勤决策
实施自动信息技术（AIS）策略以提高资产可视性、数据集成和互操作性
部署AIT（例如，RFID和二维码），以获取有关物品和装运的数据，以提高准确性、可靠性和及时性，同时尽可能减少人为干预
在实现上述目标的支持下，该策略为识别以下一个或多个目标的端到端供应链提供了基础：
通过改变或调整供应链或资产流动流程，提高交付准确性和/或周期时间等效率，并提供更好的客户服务
提高资产数据的准确性、可靠性和及时性，以及通过使用AIT识别和跟踪资产的能力
通过使用基于通用标准的AIS基础设施和企业范围内的标准资产和供应链事件数据交换，提高资产数据的互操作性和可视性
通过使用可操作的资产可视性信息，改进趋势和预测分析、企业绩效指标和物流决策
4.现状
2018年12月12日，RFID航空航天与国防2018年报告会议和展览会在弗吉尼亚州阿灵顿举行。其中，Joseph Stossel, DPAS项目经理做了报告。从该报告中可以了解到一部分DoD在资产供应链可视化的现状[7，8]。
美国国防部实施DPAS（国防资产责任制）计划，集成RFID用于资产问责。具体实施包括设置资产责任标签、仓库标签、实时定位系统(RTLS)、手持设备。已经实现资产存储、丢失报警、发现报警、移动报警、位置更改警报生成/更新、区域警报生成(外出，进入)、带有资产位置/信息的图形映射、用于将RTLS坐标与DPAS位置关联的Web接口、用于系统设置更新的Web接口。
实施DPAS计划的部门有：国防部、国防部监察长办公室、国防部长办公室、陆军部、空军部、海军部、美国海军、海军陆战队、特种作战司令部、战略司令部、运输司令部、五角大楼部队保护署、国防情报局等。详细实施部门如下图所示。
图7 DPAS系统应用范围
DPAS采用实时定位系统(RTLS)定位资产。实时定位系统(RTLS)采用多信号采集源定位(SASL)，且具有网络设备的功能。它们通过局域网进行操作，并将标签读取和位置数据发送到位置处理器。位置处理器将数据存储在本地数据库中。DPAS RTLS事务解释器(TI)格式化并聚合数据。DPAS TI Web服务检索数据并将其发送到DPAS Enterprise。
为了实现IT资产管理能力的自动化，美国军方将采取积极的方法来进一步利用射频识别技术，包括进一步利用RFID技术，以实现其IT资产管理能力的自动化。RFID技术的优势将提高可见性和准确性，并保持每个独特资产的更高级别的责任，以符合强制审核。RFID系统可以设置为管理和监控配置控制。使用RFID检查数字资产中的嵌入式组件的实际配置时，无需物理接触或打开任何组件。RFID可以通过添加更高级别的详细资产跟踪信息来提高准确性。RFID能够快速地捕获资产信息，因此可以使用系统来记录更详细和频繁的信息；RFID可以实现更快的数据共享并减少数据处理，因此库存计数更加高效和可共享。
六
总结
供应链信息是物理对象的信息，是信息系统中基础数据来源，是物理空间与网络空间的交汇。设备、载体、物品全生命周期的信息都保存在供应链信息系统中，体现了这些物理对象方方面面的状态与属性，为决策提供了多样化的数据支撑。结合物联网技术的供应链可视化是必然的趋势。一方面，我们不能忽视供应链的各个环节，放任敌对分子借由供应链中的供应商、分包商破坏供应链，另一方面，我们应该增加供应链的可视化程度，保证产品、材料、服务的全生命周期都可检索、可定位、可追溯，让供应链为业务服务，发挥更大的价值。
参考文献
[1]National counterintelligence and security center supply chain directorate. Supply chain risk management Intelligence.gov background paper. https://www.dni.gov/files/NCSC/documents/products/20170317-NCSC--SCRM-Background.pdf
[2]Joint Strike Fighter program. https://en.wikipedia.org/wiki/Joint_Strike_Fighter_Program
[3]Office of Personnel Management data breach. https://en.wikipedia.org/wiki/Office_of_Personnel_Management_data_breach
[4]Supply chain risk management A framework for assessing risk[EB/OL]. https://www.dni.gov/files/NCSC/documents/products/SCRM_Framework_for_Assessing_Risk_White_Paper.pdf
[5]ICD 731. https://www.dni.gov/files/documents/ICD/ICD%20731%20-%20Supply%20Chain%20Risk%20Management.pdf
[6]Strategy for Improving DoD Asset Visibility. https://gcss.army.mil/Documents/Articles/Strategy_for_Improving_DoD_Asset_Visibility.pdf
[7]Rich Handley. RFID in Aerospace and Defense 2018 Report. http://www.rfidjournal.com/articles/view?18151
[8]Joseph Stossel. DoD Integrates RFID for Property Accountability. http://www.rfidjournal.com/articles/view?16195
中国保密协会
科学技术分会
长按扫码关注我们
作者：王思叶 刘 艺
责编：丁 昶
往期精彩文章TOP5回顾
近期精彩文章回顾