新一轮勒索软件攻击正在瘫痪包括杂货连锁店在内的众多中小企业的运营。
网络犯罪组织正在利用数字供应链中的漏洞，发动大规模且破坏性极强的网络攻击。
随着疫情后数字生活的转型，网络威胁日益增加。
需要采取基于风险的方法，保护支撑数字供应链的软件和系统。
在美国7月4日独立日假期周末期间，一个广泛使用的IT管理软件Keseya VSA存在漏洞，该软件在全球拥有超过36,000个客户，被一犯罪团伙利用，发动了历史上规模最大的供应链勒索软件攻击之一。尽管此次攻击的规模和影响目前尚不明确，但世界各地的政府和执法机构正建议所有客户在补丁和应对方案制定期间关闭该产品。
这波新的供应链攻击进一步让人想起2020年底发生的SolarWinds和MS Exchange攻击。当时，黑客争相利用供应链中暴露的组织，其动机从间谍活动到以经济利益为目的的犯罪活动不等。
持续推进的数字化转型开启了全新的生活和工作方式。随着更深入的绩效洞察和全新层次的互联互通使企业能够享受突破性技术带来的益处，世界正变得更加快速、灵活和高效。这一转变正在形成一个全球生态系统，从关键基础设施资产到人员和数据，物理事物与数字事物的连接日益紧密。
Gartner的一项研究发现，2019年，60%的组织与超过1,000个第三方合作，且预计这些网络只会继续扩大。另外，德勤的另一项研究显示，2019年有40%的制造商因网络事件而受到运营影响。而在2018年，制造行业数据泄露的平均财务影响为750万美元。
此外，全球技术供应链日益多样化和复杂化，导致支撑国防、重要应急服务和关键基础设施的关键系统的整体风险发生变化。
2020年12月，一家领先的网络安全公司发现了一场全球性网络入侵活动。该活动首先入侵了SolarWinds的Orion平台的源代码，随后又入侵了其更新程序。该平台是一款广泛部署的IT管理软件产品。被篡改的更新被数千名SolarWinds客户下载，影响范围涵盖美国政府机构、关键基础设施实体和私营部门组织。尽管此次网络攻击在规模和复杂程度上可能前所未有，但它与利用供应链途径的一系列持续趋势相一致。
此次事件进一步凸显了全球数字供应链所面临的威胁，以及公共和私营部门利益相关方确保数字生态系统可信的战略必要性。确保推动数字生态系统运行的软件既可信又安全至关重要。通过降低风险和保护数字经济，我们的社会将能够实现第四次工业革命的数字红利。
以下核心原则将有助于建立更安全、更具韧性的供应链，并有助于推动应对这一复杂且多层面挑战的工作取得实质进展：
1. 在采购流程和生命周期中嵌入安全与隐私保护
建立成熟的第三方风险管理政策和实践，将确保网络安全和隐私得到持续考虑，并通过成熟、一致、可重复且有效的措施加以落实。这三项准则将把它们嵌入生命周期的每个阶段：
网络安全和隐私是从寻源到离职的采购流程中的内置要求
所有采购合同均应规定并包含清晰、明确的条款，以确保持续遵守网络安全和隐私要求。
安全和隐私义务应持续审查和优化，以跟上不断演变的威胁。
2. 在第三方评估中采取基于风险的方法
基于风险的方法将有助于指导第三方的接受或拒绝决策过程，并有助于高效、准确地缓解第三方对更广泛生态系统构成的网络安全威胁。
基于风险的方法可改善对第三方安全态势的评估。通过应用风险衡量和评级工具以及其他可信赖的方法，组织可以更好地识别第三方关系，并按风险关键程度进行排序。
它确保对风险的准确评估，有助于确定第三方在与某实体签订协议之前必须采取的风险缓解措施，并支持定期和/或持续的安全绩效监测。
它有助于为组织及其更广泛的生态系统带来协作且有价值的成果。
它有助于量身定制缓解计划，并调整工作和资源规模，以确保产品、系统和服务可信、安全、保护隐私且具有韧性。但它也有助于第三方更好地理解自身安全态势中的差距，并最终向其客户和利益相关方证明其网络安全成熟度。
3. 实施源代码政策和安全设计开发
此类政策旨在降低软件和软件源代码在开发、管理和分发过程中的风险，其范围必须超越保护知识产权，并应关注对客户的影响。它将有助于保护并加强数字生态系统的信任，使企业、政府和个人都能信任、参与并受益于数字经济。
此类政策应适用于由组织编写或代表组织编写的所有源代码，并必须确保任何源代码未被篡改、不包含任何已知但未缓解的安全漏洞，且所含许可证与公司其他政策相兼容。它还可防止源代码被动态链接至第三方托管的源代码仓库。当第三方代码作为软件/固件解决方案的一部分被使用时，组织须在安全开发流程中负责变更管理。
该政策还控制和管理源代码的存储和传输的各个方面，包括但不限于授权与访问、驻留地、静态保护和传输保护。确保遵守该政策将有助于降低源代码泄露的威胁，改善安全访问，并实现对任何第三方代码的可追溯性。此外，源代码开发必须在设计阶段纳入安全与隐私考量，并且必须记录威胁建模的证据。
该政策应以广泛认可的框架为基础，例如NIST框架，以建立安全设计开发实践，涵盖四个方面：
1. 确保组织的人员、流程和技术已做好准备，能够在组织层面（在某些情况下，针对每个单独项目）执行安全软件开发。
2. 保护产品的所有组件免受篡改和未经授权的访问
3. 生产安全性良好、发布版本中安全漏洞极少的产品。
4. 识别产品发布版本中的漏洞，并做出适当响应以加以解决，同时防止类似漏洞在未来再次出现。
通过定期评估第三方的安全态势（从早期寻源阶段开始，到安全尽职调查，并在整个合作关系期间定期进行），组织将能够与其供应链和价值链中的客户及业务合作伙伴保持信任。
世界经济论坛在网络安全方面做了哪些工作
网络安全中心提供了一个可信赖的平台，让领导者齐聚一堂，共同理解不断演变的网络风险及其系统性影响。该中心致力于在日益互联的数字世界中建立理解与信任。
通过促进跨行业合作与洞察分享，该中心帮助合作伙伴加强网络韧性，并应对需要集体应对的挑战。
对现有和新兴威胁形成共同理解并采取共同应对方法，将使产业界和政府相关方能够实施适当的应对措施，以缓解供应链安全风险。在SolarWinds事件之后，供应链和价值链中的所有利益相关方都必须采用基于风险认知的网络安全方法，以确保安全且有韧性的生态系统，这一点至关重要。
本文早期版本于2021年2月24日发布。
