《供应链技术证书》视频节选——
网络安全与数字供应链
在当今全球市场中，各方通过某种网络相互关联，因此遭受负面影响的可能性很高。数字供应链也不例外。它利用网络和数字技术，构建起一个基于实时状况、高度集成且动态的供应链。端到端的互联互通对于实现全流程可见性、精简运营以及优化极其复杂的全球供应链至关重要。然而，随着数字生态的扩展，网络安全风险也随之增加。2022年，分析师将数字供应链风险列为七大安全与风险管理议题之一。
那么，数字供应链中存在哪些固有风险呢？我们可以通过思考以下几个问题来了解潜在风险：
以一家跨国公司为例，该公司利用云服务提供商来支撑其全球ERP系统、开发系统、流程控制系统以及客户支持数据库。在网络中共享的数据涵盖了专有的产品与设计细节、供应商数据（如订单和交付信息）、详尽的客户名单、制造流程与设备数据，以及库存明细。
共享基础设施不仅包括云服务提供商向客户提供的硬件和操作系统软件，还涉及软件系统中用于信息共享的各个环节。第三方服务提供商获准访问企业的设备、网络及其他系统，以执行监控和安全管控；然而，这也使得相关区域容易受到攻击——攻击者可能通过第三方服务提供商的系统渗透进来。
无论是企业内部采购的，还是生产并对外销售的软件、硬件或信息物理系统，都构成了另一类风险来源。企业或其供应商在业务流程中可能存在安全隐患；例如，在软件生产环节中，若有恶意人员混入，便可能在软件代码中植入恶意软件。此类问题可能导致恶意软件在无意间被传播给客户。据预测，到2025年，全球将有45%的企业遭遇过针对其软件供应链的攻击，这一比例是2021年的三倍。
数字供应链中的恶意行为者，往往专注于寻找那些容易遭受攻击的软件应用程序或硬件设备。一旦众多的软件平台或网络中的任何一个遭到入侵，其影响都将是深远的。例如，2021年夏季，一家为托管服务提供商（MSP）提供IT解决方案和管理工具的软件公司，成为了勒索软件攻击的目标。黑客利用了该公司服务器中的一个漏洞，发动了一场大规模攻击。由于这家软件公司与多家托管服务提供商（MSP）有业务往来，导致其他一些规模较小的企业也受到了波及。约有1500家中小型企业因此受影响；其中，一家瑞典公司甚至被迫关闭了旗下800家门店。
1.在供应链合同和招标书（RFP）文件中纳入安全要求，确保合作双方就所需的安全标准达成共识。
2.在整个供应链中强制执行安全策略，例如定期更改密码、限制用户访问权限与操作功能，以及在所有通信中采用加密技术。
3.在选择供应商时务必审慎，确保其符合网络安全要求。通过安全调查问卷，评估供应商在风险预防、检测措施以及安全产品开发实践方面的表现。
5.确保员工和合作伙伴充分意识到整个供应链中的网络安全风险。为参与供应链活动的相关人员提供安全意识培训及网络安全教育。
利用数字技术构建集成化网络，能够让各利益相关方随时获取所需信息，并提升对整个供应链的可见度。然而，采取有计划的预防性网络安全策略，将有助于规避或减轻潜在风险。