对于制造或分销产品的公司来说，供应链是真正的生命线。如今，供应链面临的许多最重大威胁都存在于数字世界中，黑客和网络犯罪分子可以利用漏洞。不良行为者以供应链的硬件和软件组件为目标，它们会影响从产品设计和采购到生产、分销和财务合作伙伴的所有方面。

网络供应链风险管理 （C-SCRM） 被定义为通过识别、评估和减轻每个关键阶段的风险来确保供应链中 IT 支持方面的完整性的过程。这是一个至关重要的业务流程，随着网络威胁渗透到商业世界中，它正在加速发展。

供应链网络安全威胁比比皆是

供应链已经经历了中断。根据最近的一项研究，85%的公司每年至少经历一次供应链中断。供应商公司数据基础设施中的漏洞是供应链数据威胁的最大原因。

关于供应链网络安全和风险管理状况的一些发人深省的统计数据：

NCC集团报告称，供应链网络攻击在 2021 年下半年增长了 51%。不到三分之一的供应链领导者表示，他们对自己快速应对攻击的能力非常有信心。

麦肯锡报告称，93%的供应链高管表示，他们正在采取积极措施确保供应链更具弹性（这是个好消息）。但据Gartner称，只有21%的人认为他们的网络目前具有“高度弹性”。

90%的供应链经理表示，提高整个供应链可见性的技术是重中之重。

网络供应链安全的基本原则

对于想要解决C-SCRM问题的公司来说，在开始规划有效的风险管理策略之前，需要了解一些基本原则。

违规是不可避免的：组织必须根据供应中的IT系统将在某个时候被破坏的原则来开发防御措施。当他们接受这一现实时，它不仅会关注如何防止漏洞，还要关注如何降低攻击者利用信息或资产的能力，以及如何恢复系统漏洞。

物理安全和网络安全是联系在一起的：物理安全和网络安全之间实际上没有实际的差距。对供应链物理基础设施的攻击可能来自网络漏洞，相反，物理安全可能被用来发起网络攻击。

了解风险来源：风险来自供应链中的许多领域，包括第三方服务提供商（物理和IT）、低级供应商的IT安全协议不佳、易受攻击或假冒的供应商硬件和软件以及第三方数据管理。

这不仅仅是一个技术问题：它还涉及人员、流程和整体知识。违规行为通常是由于人为错误和技术造成的。员工必须了解供应链中其部分的漏洞，并知道如何使用网络安全最佳实践来保护信息和知识产权。

需要关注的供应链网络安全威胁

供应链中的主要网络风险反映了日常网络安全实践中存在的风险，但供应链实体和消费者之间的联系可能会给个人和公司带来新的风险。在最近发生的威胁中，需要注意：

勒索软件

勒索软件已经是增长最快的网络威胁之一。2021 年 5 月，对殖民地管道的袭击中断了美国东南部的天然气和喷气燃料供应。勒索软件支付了 440 万美元，但对供应链的间接损害要大得多。在另一个例子中，物流提供商 Expeditors损失了 4000 万美元的运输机会，以及 2000 万美元的补救、调查和恢复费用。

网络钓鱼

在大流行期间，网络钓鱼攻击针对Covid-19 冷供应链，访问了温度存储制造商的网络，并向疫苗运输合作伙伴传播了新的网络钓鱼电子邮件，从而将危险进一步传播到整个供应链。

物联网数据盗窃

监控货物的物联网跟踪设备在运输和物流公司中司空见惯，运输和物流公司是供应链的主要合作伙伴。问题在于，大多数人没有像对中央IT那样采取足够的安全措施来保护物联网数据。如果数据被盗，可以出售给竞争对手，或者可以帮助针对即将到来的货物进行物理攻击。

建立对供应链弹性的信心的技能和认证

供应链风险的网络组成部分是任何为更大价值链做出贡献的公司日益关注的问题。当今的供应链从业者需要确保他们掌握最新的技术和最佳实践，以管理自己（及其合作伙伴）的风险。立即开始使用这些出色的选项：

数字供应链管理专业证书课程，涵盖采购、库存管理、物流和仓储、供应链分析、风险管理和强大供应链所需的 IT 等关键技术。

执行领导力原则计划，供应链领导者可以更好地了解组织战略、谈判、导航文化和网络以及实施领导优势。

网络安全训练营，学习者可以深入了解企业基础设施安全、应用程序和 Web 安全、勒索软件和恶意软件分析以及道德黑客攻击。

>>>工控安全<<<

1. 开启等级保护之路：GB 17859网络安全等级保护上位标准
2. 网络安全等级保护：等级保护测评过程及各方责任
3. 网络安全等级保护：政务计算机终端核心配置规范思维导图
4. 网络安全等级保护：什么是等级保护？
   
5. 网络安全等级保护：信息技术服务过程一般要求
6. 闲话等级保护：网络安全等级保护基础标准（等保十大标准）下载
7. 闲话等级保护：什么是网络安全等级保护工作的内涵？
8. 闲话等级保护：网络产品和服务安全通用要求之基本级安全通用要求
   
9. 闲话等级保护：测评师能力要求思维导图
   
10. 闲话等级保护：应急响应计划规范思维导图
    
11. 闲话等级保护：浅谈应急响应与保障
    
12. 闲话等级保护：如何做好网络总体安全规划
    
13. 闲话等级保护：如何做好网络安全设计与实施
    
14. 闲话等级保护：要做好网络安全运行与维护
    
15. 闲话等级保护：人员离岗管理的参考实践
16. 信息安全服务与信息系统生命周期的对应关系

>>>工控安全<<<

1. 工业控制系统安全：信息安全防护指南
2. 工业控制系统安全：工控系统信息安全分级规范思维导图
3. 工业控制系统安全：DCS防护要求思维导图
4. 工业控制系统安全：DCS管理要求思维导图
5. 工业控制系统安全：DCS评估指南思维导图
6. 工业控制安全：工业控制系统风险评估实施指南思维导图
7. 工业控制系统安全：安全检查指南思维导图（内附下载链接）
8. 工业控制系统安全：DCS风险与脆弱性检测要求思维导图

>>>数据安全<<<

1. 数据安全风险评估清单

2. 成功执行数据安全风险评估的3个步骤

3. 美国关键信息基础设施数据泄露的成本

4. VMware 发布9.8分高危漏洞补丁

5. 备份：网络和数据安全的最后一道防线

6. 数据安全：数据安全能力成熟度模型

7. 数据安全知识：什么是数据保护以及数据保护为何重要？

8. 信息安全技术：健康医疗数据安全指南思维导图

原文始发于微信公众号（河南等级保护测评）：管理供应链风险管理和网络安全