什麼是 C-SCRM，為什麼您的企業需要它？
已發表: 2020-06-20數字世界正在高速發展，隨著其發展，網絡風險管理變得更具挑戰性。 由於現代企業離不開技術，網絡安全已成為其主要關注點之一。
為了保護公司免受網絡威脅，專家建議使用一種系統的方法來涵蓋每個正在進行的流程和每個使用過的技術產品。 建議檢查和分析公司 IT 基礎架構的每個組件。 非常有用的是軟件組成分析，它可以清楚地了解公司使用的是哪些開源組件。
總的來說，在管理網絡風險的同時，應仔細觀察內部和外部環境，這正是 C-SCRM 的用處所在。
- 什麼是 C-SCRM？
- C-SCRM的要點
- 為什麼要控制供應鏈？
- C-SCRM 的定義很明確。 但如何運行網絡風險管理？
- 網絡風險評估
- 網絡風險管理
- 要點和技巧
- 總結
什麼是 C-SCRM？
C-SCRM 或網絡供應鏈風險管理旨在識別和減輕可能與 IT/OT（信息和性能技術）產品和服務供應鏈相關的風險和問題的影響。
C-SCRM 涵蓋了系統從開發到維護再到銷毀的整個生命週期。 這種有益健康的報導的原因是顯而易見的； 威脅和風險可能出現在系統生命週期的任何階段； 及時識別它們至關重要。
網絡空間用戶面臨的風險隨著供應鏈受損風險的增加而增加。 有意或無意地，組織傾向於使用低成本產品或互操作性差的產品。 這種對供應鏈形成的態度可能會對供應鏈生態系統產生巨大影響，從而影響公司的安全。
為您推薦：小型企業網絡安全風險評估和管理技巧。
C-SCRM的要點
以下是一些關鍵點，可幫助您更好地理解 C-SCRM 的工作原理以及此過程的主要原則：
- C-SCRM 對每家公司來說都是獨一無二的，並且會與運營工作緊密相關。 C-SRM 建立在供應鏈風險管理實踐和公司的網絡安全政策之上。
- C-SCRM 應該自然地集成到公司正在進行的整體風險管理流程中。
- C-SCRM 應該涵蓋業務的每個流程和組件。
- 對於有效的 C-SCRM，最好有一個全職工作的特殊軟件安全小組。
- 還建議將有關軟件漏洞識別和分析、安全風險和採取的措施的所有工作記錄在案。
一些專家還聲稱，當軟件安全管理至少偶爾由第三方進行評估和分析時，才能取得最好的結果。 這樣評估可以更加客觀和專業。
為什麼要控制供應鏈？
一家公司的供應鏈可能有多種產品； 鏈條的安全性取決於供應商是否正確測試了他們的產品。 理想情況下，任何進入市場的產品都應該經過仔細測試。 但是，有時它非常艱難。
測試產品的問題來自於生產者可能從外部獲得一些硬件和軟件組件，因此不能始終保證這些組件的質量和使用它們的安全性。
在這種情況下，當從供應商那裡獲得產品時，公司無法確定他們的供應鍊是否安全。 這還包括未知或檢查不當的軟件可能帶來的網絡風險。
例如，一家生產中等價位筆記本電腦的公司可能更喜歡使用低價供應商的一些組件，這可能是任何東西：電線、軟件組件、芯片等。
在這種情況下，筆記本電腦生產商無法親自控制產品製造過程的各個階段。 從這家製造商購買筆記本電腦時，您會與購買的產品一起承擔一些風險。 因為您無法保證某些組件的生產者沒有製作任何可能具有破壞性或旨在竊取個人數據的應用程序。 C-SCRM 旨在識別此類風險。
此外，某些外包服務可能涉及使用某些商業或機密信息，因此，當將其委託給供應商時，公司可能會冒著竊取這些信息的風險。 所以，這一切並不僅限於硬件和軟件； 風險可能來自供應鏈中涉及的服務。 C-SCRM 也旨在解決這些問題。
C-SCRM 的定義很明確。 但如何運行網絡風險管理？
在最好的情況下，管理來自數字生態系統的風險應該由經過學習並在網絡風險管理方面具有一定實踐經驗的專業專家來完成。 然而，眾所周知，任何類型的有效管理都始於對當前情況和事物狀態的評估。 那麼，讓我們先來看看網絡風險評估。
您可能喜歡：社交媒體的隱私、安全和健康風險以及如何預防這些風險。
網絡風險評估
風險可能來自人和技術，來自 IT 基礎設施的內部漏洞以及來自外部的網絡攻擊。
企業往往關注最有可能發生的風險。 這種做法是有道理的。 然而，公司應該小心地將似乎不太可能發生的風險排除在管理之外。 這樣的決定應該在經過適當的專家分析後做出。
網絡風險管理
同時，重要的是要告知和指導 IT 用戶，讓他們知道自己在網絡風險管理的整個過程中可能扮演什麼角色。 網絡安全不是一種應該由高管單獨管理的問題。 所有使用 IT 基礎設施的人都應該清楚地了解網絡威脅的含義以及它們可能隱藏的位置。 更好的是，如果他們還知道可以採取哪些步驟來預防風險以及在風險情況確實發生時該怎麼做。
要點和技巧
在此過程中，網絡風險管理有一些基本組成部分：
- 首先，網絡風險管理應與業務目標保持一致，因此這是所有業務流程的自然組成部分；
- 然後識別和評估風險；
- 然後，公司通常會嘗試計劃對潛在風險的應對措施；
- 最後，應對風險進行監控，並報告並持續分析為管理風險所做的所有工作。
這些步驟很容易列出來，但實際上，每一步都需要大量的專業工作和專業知識和技能。
網絡風險管理更像是一門藝術，在每家公司中，這個過程都會以自己的方式進行。 對於每家公司而言，一套措施和工具將是完全獨特的。 但是，有一些技巧是比較通用的：
- 網絡安全不僅應該成為高管的關注點，而且應該成為 IT 基礎設施的每個用戶關注的問題，因此建議建立一種“以安全為中心的文化”，這將成為整體企業文化的自然組成部分。
- 員工不僅應該意識到“無處不在的每個人”的網絡威脅，還應該知道哪些風險與公司最相關，以及他們可以採取哪些措施作為風險管理流程的一部分。
- 保持彈性很重要，因為公司永遠不會 100% 無懈可擊，並且可能會發生某種風險事件。 在最好的情況下，當一些破壞性事件發生時，公司應該仍然能夠執行關鍵任務並在恢復期間繼續運作。
來到 C-SRM，這裡有一些關於如何管理供應鏈安全的基於實踐的技巧：
- 非常有用的可能是集成供應商風險管理程序，以了解更多有關 VRM 程序的信息（此類程序有助於更好地了解供應商）；
- 與供應商簽訂合同時，注意供應商應承擔的網絡安全義務的細節；
- 根據供應商對敏感數據和機密信息的可訪問性對供應商進行分類；
- 考慮使用一些專門的工具，例如“Veracode”（此工具用於評估由您帶入項目的第三方盜版者開發或提供的所有應用程序的安全性）、“安全代碼”（此工具用於確保軟件開發過程的安全性）或 OTTF（Open Group Trusted Technology Forum）。
您可能還喜歡： VoIP 漏洞和安全風險：您需要知道的一切。
總結
網絡風險等待著任何與數字世界有聯繫的公司。 因此，在當今世界，由於許多企業都使用數字網絡和技術，因此幾乎沒有人能逃脫這種風險。
越來越多的企業主意識到網絡風險管理應該是一個系統化的、由專家指導的過程，並且像 C-SCRM 這樣的預防措施幾乎是生存所必需的。