什么是 C-SCRM，为什么您的企业需要它？
已发表: 2020-06-20数字世界正在高速发展，随着其发展，网络风险管理变得更具挑战性。 由于现代企业离不开技术，网络安全已成为其主要关注点之一。
为了保护公司免受网络威胁，专家建议使用一种系统的方法来涵盖每个正在进行的流程和每个使用过的技术产品。 建议检查和分析公司 IT 基础架构的每个组件。 非常有用的是软件组成分析，它可以清楚地了解公司使用的是哪些开源组件。
总的来说，在管理网络风险的同时，应仔细观察内部和外部环境，这正是 C-SCRM 的用处所在。
- 什么是 C-SCRM？
- C-SCRM的要点
- 为什么要控制供应链？
- C-SCRM 的定义很明确。 但如何运行网络风险管理？
- 网络风险评估
- 网络风险管理
- 要点和技巧
- 总结
什么是 C-SCRM？
C-SCRM 或网络供应链风险管理旨在识别和减轻可能与 IT/OT（信息和性能技术）产品和服务供应链相关的风险和问题的影响。
C-SCRM 涵盖了系统从开发到维护再到销毁的整个生命周期。 这种有益健康的报道的原因是显而易见的； 威胁和风险可能出现在系统生命周期的任何阶段； 及时识别它们至关重要。
网络空间用户面临的风险随着供应链受损风险的增加而增加。 有意或无意地，组织倾向于使用低成本产品或互操作性差的产品。 这种对供应链形成的态度可能会对供应链生态系统产生巨大影响，从而影响公司的安全。
为您推荐：小型企业网络安全风险评估和管理技巧。
C-SCRM的要点
以下是一些关键点，可帮助您更好地理解 C-SCRM 的工作原理以及此过程的主要原则：
- C-SCRM 对每家公司来说都是独一无二的，并且会与运营工作紧密相关。 C-SRM 建立在供应链风险管理实践和公司的网络安全政策之上。
- C-SCRM 应该自然地集成到公司正在进行的整体风险管理流程中。
- C-SCRM 应该涵盖业务的每个流程和组件。
- 对于有效的 C-SCRM，最好有一个全职工作的特殊软件安全小组。
- 还建议将有关软件漏洞识别和分析、安全风险和采取的措施的所有工作记录在案。
一些专家还声称，当软件安全管理至少偶尔由第三方进行评估和分析时，才能取得最好的结果。 这样评估可以更加客观和专业。
为什么要控制供应链？
一家公司的供应链可能有多种产品； 链条的安全性取决于供应商是否正确测试了他们的产品。 理想情况下，任何进入市场的产品都应该经过仔细测试。 但是，有时它非常艰难。
测试产品的问题来自于生产者可能从外部获得一些硬件和软件组件，因此不能始终保证这些组件的质量和使用它们的安全性。
在这种情况下，当从供应商那里获得产品时，公司无法确定他们的供应链是否安全。 这还包括未知或检查不当的软件可能带来的网络风险。
例如，一家生产中等价位笔记本电脑的公司可能更喜欢使用低价供应商的一些组件，这可能是任何东西：电线、软件组件、芯片等。
在这种情况下，笔记本电脑生产商无法亲自控制产品制造过程的各个阶段。 从这家制造商购买笔记本电脑时，您会与购买的产品一起承担一些风险。 因为您无法保证某些组件的生产者没有制作任何可能具有破坏性或旨在窃取个人数据的应用程序。 C-SCRM 旨在识别此类风险。
此外，某些外包服务可能涉及使用某些商业或机密信息，因此，当将其委托给供应商时，公司可能会冒着窃取这些信息的风险。 所以，这一切并不仅限于硬件和软件； 风险可能来自供应链中涉及的服务。 C-SCRM 也旨在解决这些问题。
C-SCRM 的定义很明确。 但如何运行网络风险管理？
在最好的情况下，管理来自数字生态系统的风险应该由经过学习并在网络风险管理方面具有一定实践经验的专业专家来完成。 然而，众所周知，任何类型的有效管理都始于对当前情况和事物状态的评估。 那么，让我们先来看看网络风险评估。
您可能喜欢：社交媒体的隐私、安全和健康风险以及如何预防这些风险。
网络风险评估
风险可能来自人和技术，来自 IT 基础设施的内部漏洞以及来自外部的网络攻击。
企业往往关注最有可能发生的风险。 这种做法是有道理的。 然而，公司应该小心地将似乎不太可能发生的风险排除在管理之外。 这样的决定应该在经过适当的专家分析后做出。
网络风险管理
同时，重要的是要告知和指导 IT 用户，让他们知道自己在网络风险管理的整个过程中可能扮演什么角色。 网络安全不是一种应该由高管单独管理的问题。 所有使用 IT 基础设施的人都应该清楚地了解网络威胁的含义以及它们可能隐藏的位置。 更好的是，如果他们还知道可以采取哪些步骤来预防风险以及在风险情况确实发生时该怎么做。
要点和技巧
在此过程中，网络风险管理有一些基本组成部分：
- 首先，网络风险管理应与业务目标保持一致，因此这是所有业务流程的自然组成部分；
- 然后识别和评估风险；
- 然后，公司通常会尝试计划对潜在风险的应对措施；
- 最后，应对风险进行监控，并报告并持续分析为管理风险所做的所有工作。
这些步骤很容易列出来，但实际上，每一步都需要大量的专业工作和专业知识和技能。
网络风险管理更像是一门艺术，在每家公司中，这个过程都会以自己的方式进行。 对于每家公司而言，一套措施和工具将是完全独特的。 但是，有一些技巧是比较通用的：
- 网络安全不仅应该成为高管的关注点，而且应该成为 IT 基础设施的每个用户关注的问题，因此建议建立一种“以安全为中心的文化”，这将成为整体企业文化的自然组成部分。
- 员工不仅应该意识到“无处不在的每个人”的网络威胁，还应该知道哪些风险与公司最相关，以及他们可以采取哪些措施作为风险管理流程的一部分。
- 保持弹性很重要，因为公司永远不会 100% 无懈可击，并且可能会发生某种风险事件。 在最好的情况下，当一些破坏性事件发生时，公司应该仍然能够执行关键任务并在恢复期间继续运作。
来到 C-SRM，这里有一些关于如何管理供应链安全的基于实践的技巧：
- 非常有用的可能是集成供应商风险管理程序，以了解更多有关 VRM 程序的信息（此类程序有助于更好地了解供应商）；
- 与供应商签订合同时，注意供应商应承担的网络安全义务的细节；
- 根据供应商对敏感数据和机密信息的可访问性对供应商进行分类；
- 考虑使用一些专门的工具，例如“Veracode”（此工具用于评估由您带入项目的第三方盗版者开发或提供的所有应用程序的安全性）、“安全代码”（此工具用于确保软件开发过程的安全性）或 OTTF（Open Group Trusted Technology Forum）。
您可能还喜欢： VoIP 漏洞和安全风险：您需要知道的一切。
总结
网络风险等待着任何与数字世界有联系的公司。 因此，在当今世界，由于许多企业都使用数字网络和技术，因此几乎没有人能逃脱这种风险。
越来越多的企业主意识到网络风险管理应该是一个系统化的、由专家指导的过程，并且像 C-SCRM 这样的预防措施几乎是生存所必需的。