中国领先的IT技术网站
|
|
创建专栏

三大趋势决定必须改善第三方网络风险管理

为了在危险重重的全球市场中生存壮大,企业越来越依赖可以提高市场投放效率的外包服务、云服务。那么,怎样才能既享受外包服务的高效便捷,同时又保护好企业的数据和商业秘密呢?

作者:Alfred.N|2017-05-19 15:36

为了在危险重重的全球市场中生存壮大,企业越来越依赖可以提高市场投放效率的外包服务、云服务。

但是这种高效也带来了网络风险。由于企业对自身防御的重视,网络罪犯已经意识到从第三方入手是最有效的攻击捷径。

三大趋势决定必须改善第三方网络风险管理

一旦黑客们得偿所愿,企业的数据、知识产权和商业秘密都将处于风险之中。怎样才能既享受外包服务的高效便捷,同时又保护好企业的数据和商业秘密呢?

目前市面上的绝大多数的第三方网络风险管理服务都缺乏规模、速度和效率。这些项目往往基于共享电子表格问卷或人工进程这类陈旧的方式。

但据普华永道发布的2016年全球信息安全报告,第三方承包商是最主要的企业外部安全事故诱因。

为什么企业仍然采用GRC工具、外部顾问、电子表格、内部资源拼凑起来的工作进程呢?

CyberGRX相信安全和风险专业人士需要适当的工具来对抗第三方网络威胁。GRC工具、外部顾问、电子表格、内部资源拼凑起来的工作进程在老练的对手面前不堪一击。

在2017年1月的一份报告中,SurfWatch实验室发现“与第三方服务有关的网络犯罪的比例在过去一年中几乎翻了一番,况且这一数据仅包括已公开的安全事件。”

这里有促使企业改善第三方网络风险管理(TPCRM)方案的趋势:

1. 外包服务的爆炸性增长和第三方服务的消费渐增

系统依赖第三方服务来改进系统的运作方式。这样做合情合理。Deloitte的2016年全球外包服务调查发现,企业服务外包可以降低成本和推动创新。并且所有指标都显示,外包已成定局。资产500强的企业们共有超过20000个不同的第三方供应商。2017年,企业们预计将有更多的第三方供应商,而这一趋势在可预见的未来都不会变。

相反,安全专家们还没有跟上这种爆炸性增长的步伐。根据普华永道的报告,74%的受访者没有对接触敏感数据的第三方建立一个完备的表单。这某种程度上与企业对于“内部人员”的定义有关。

内部人员应囊括所有通过物理或远程方式访问企业资产的人。过去企业可以仅仅把员工视为“内部人员”。但是由于第三方服务商触及黑客们垂涎已久的敏感数据,它们也已经成为了“内部人员”。举几个第三方作为内部人员的例子:

  • 授权生产的制造业合作伙伴;
  • 委托管理员工数据的人力资源服务商;
  • 委托处理公司财务的银行;
  • 委托处理客户数据的通讯中心;
  • 委托处理法律事务的律师事务所。

企业需要扩大“内部人员”的范畴,并采取适当的措施来保证网络安全。

2. 伸向第三方的黑手

去年,针对第三方的网络攻击达到了一个高潮。全球企业共因黑客而受到了超过4000亿美元的损失。统计数据显示,50%的攻击事件和第三方有关:

  • 在德勤最近的一项涉及170个企业的调查里,87%的受访者表示,过去两到三年里他们曾经面对过灾难性的第三方问题。
  • Ponemon Institute在2016年6月发布的一项报告显示,55%的中小企业在12个月内经受过网络攻击,其中41%表示第三方的错误导致了攻击。
  • 普华永道的报告显示,超过50%的泄露事件由第三方引起。
  • TechNewsWorld的报告则指出,80%的数据泄露源于供应链。
  • 此外,2013年全球网络安全报告中的450起数据泄露的63%与第三方的系统管理组件有关。
  • 根据Ponemon和威瑞森的研究,预计有至少50%的企业泄露事件将由第三方引起。

3. 全方位、跨行业的制度压力

各行业都有一系列安全法规,要求检查企业是否遵守网络安全法律。常见的法规包括:PCI、NERC FISMA、HIPAA、SOX、GLBA。最近外包服务和网络犯罪的趋势迫使行业法规向企业施压,来更好地管理第三方网络风险。

例如在2013年,美国货币监理署办公室(OCC)发布了《第三方关系:风险管理指导》。在这个公告里,OCC明确指出,银行必须对新的第三方合作者由有清晰完整的认识。货币监理署写道:

“银行董事会和高级管理层有责任确保通过一个安全的、彻底的方式开展业务,并符合相应法律,银行对第三方的使用也应尽到这种责任。”

这类的指导方针已经覆盖到所有行业。然而,大多数企业都无法实现法规要求的复杂性。企业必须确保他们的第三方遵守模糊的标准、实现不同的审计框架,并采取各种“最佳操作方式”。与此同时,还必须尽可能少得消耗内部资源。大多数企业觉得这样管理第三方网络风险过于浪费和复杂,法规迫切需要简化和改进。

结论

为了修复当前大量企业采用的不完备的业务过程,企业需要关注四个方面:

  • 从每个第三方合作商了解你的内在风险;
  • 对投资组合进行分析,以了解最能影响企业的风险的成因;
  • 与第三方合作,来化解最能影响企业的风险;
  • 实时关注你的第三方伙伴的业务和网络状态的变化,包括可能会暴露你的资产和信息的扩张、资产剥离、漏洞和新攻击。

就第三方而言:评估业务,并及时与多方分享。利用风险交换来建立规模化的反应能力,并推动业务的规模化,实现运营的低成本。

数字生态系统将持续演进,恶人们也将会继续关注第三方这一“捕食”捷径。企业需要确保采用了全面的、基于风险的管理方法,而不仅仅是符合规定。

【本文是51CTO专栏作者“”李少鹏“”的原创文章,转载请通过安全牛(微信公众号id:gooann-sectv)获取授权】

戳这里,看该作者更多好文

【编辑推荐】

  1. 请不要再麻木的深陷APT攻击之中了!攻击者是不会停的
  2. 他们针对人进行攻击,盗取的却是重要信息
  3. 防范恶意邮件攻击的五项最佳实践
  4. 同形异义:最狡猾的钓鱼攻击
  5. DDos攻击猛于虎!信息安全必须做出防虎之计
【责任编辑:IT疯 TEL:(010)68476606】

点赞 0
分享:
大家都在看
猜你喜欢

热门职位+更多

× Python一种神奇的语言