随着互联互通已成为企业常态、数据无处不在，供应链安全是确保组织具备韧性的关键组成部分。
然而，尽管对全天候服务的需求从未如此之高，供应链却从未如此脆弱。
通过采用最佳实践并促进多方利益相关者合作，各组织可以构建更具韧性、更加安全的数字供应链。
数字化转型正在变革各行各业，推动创新、简化运营，并将客户期望提升到新的高度。随着企业日益以数字化为默认模式，互联互通成为常态、数据无处不在，供应链安全便成为确保组织具备韧性的关键组成部分。然而，尽管对全天候服务的需求从未如此之高，供应链却从未如此脆弱。
供应链简单且呈线性的时代已经过去。如今的数字供应网络错综复杂、高度互联，更像一抽屉打结的电线，而非整齐的链条：几乎每个组织既是产品和服务的供应商，也是其消费者。如果它是一条链条，那它早已在多处断裂。
供应链安全为何如此难以修复？
保障供应链安全之所以如此困难，原因有多种，其中参与者的复杂性和多样性加剧了这一挑战。
评估负担过重：评估每一家供应商（或评估你自身作为供应商）的安全性都十分困难。大多数组织缺乏资源，无法为每位客户回答量身定制的安全问卷。
激励机制错位： 供应商很少将安全视为市场优势。客户推动的是降低成本，而非提升安全性。修补漏洞和访问管理等安全基础工作，不像一项新的AI功能那样能直接带动销售（而后者通常也更容易实现）。
缺乏约束力：消费者很少要求强有力的安全保障，直到发生数据泄露。到那时，为时已晚。
论坛如何应对全球网络安全挑战？
网络安全中心 为领导者提供一个可信赖的平台，使其齐聚一堂，共同厘清不断演变的网络风险及其系统性影响。该中心致力于在日益互联的数字世界中增进理解与信任。
通过促进跨行业合作与洞见分享，该中心帮助合作伙伴增强网络韧性，并应对需要集体应对的挑战。
介绍需求链
简而言之，供应链管理难以做好，而市场激励机制也已失灵。但作为消费者，你并非无能为力。每条供应链都有与之对应的需求链，即消费该供应链的用户网络。从理论上讲，供给跟随需求，这是经济学的基本原理。因此，如果需求上升，供给将相应调整；如果需求下降，供给就会萎缩。而当需求超过供给时呢？价格就会上涨。
但在供应链安全领域，即使客户希望获得更好的安全保障，这一原理似乎也失效了。为什么？
我们如何修复需求链？
供应链本已复杂而脆弱，但如果各方在需求端实现协调与协作，并对供应链提出严格要求，需求链便可以强化供应链。不过，首先需要解决几个问题：
成本至上，安全居次，每一方都期望别人来买单： 供应商提供市场所需的产品，而需求方在选择供应商时优先考虑成本和功能，而非安全性。通常，需求方要么默认预期一个基线标准，要么（这是更难解决的问题）在评估供应商时未将组织的安全态势作为关键标准。这并非对安全的蓄意漠视，而是受商业压力驱动；由于其影响并非即时可见，各组织并不认为这是问题，或者假定其他人已经承担了任何潜在安全缺陷的风险或责任。
供应商评估始终难以统一，我们需要确立一个共同基线：需求方对供应商的评估并不一致。需求方采用相似但有所不同、非标准化的方法来评估供应商。尽管存在大量重叠之处，但并不存在集体性的安全要求、最低基线标准集或通用的评估方法。在重复性工作中，即便存在多项相似要求，每个需求方仍需各自开展工作来核查供应商。这类枯燥且冗余的工作，至少可以部分通过基于共识制定的技术标准加以解决，但生态系统似乎不愿协作，或无法找到共同的基线。若能按行业垂直领域逐一推进，效果或许会更好，但碎片化问题使其难以实现。数字守门人和主导平台也可以承担起提升安全卫生基线的角色，但它们可能面临反竞争行为和权力过度行使的指控。
动态的供应商评估同样难以实现，我们必须以低成本的方式找到一种通用的系统性方法：需求方尚未找到一种方式来反映网络安全的动态性。逐分钟监控供应商的状态属于过度之举，但每年一次的问卷无法反映组织安全状况的当前变化。软件物料清单（SBOM）和VEX是朝着以一致方式自动化识别并理解风险与暴露迈出的第一步，但供应链远不止于所提供的软件。更频繁的供应商评估可能导致每次评估深度不足，或需要额外的人力投入，除非评估的大部分内容实现自动化或标准化，以便可重复执行并定期更新。
中小企业自身影响力过小，要对生态系统产生影响，需要规模化：中小企业不具备要求更高安全性的采购议价能力。它们只能从大型组织提出的要求中进行选择，而这未必符合其自身需求。中小企业很难联合起来提出自身要求。政府可以通过自身合同推动市场发展，确保技术能力有限的中小企业开箱即可使用基本功能，但这种做法较为零散，无法为中小企业带来稳定一致的成效。
反馈似乎可有可无，我们需要一个透明、一致的反馈闭环：需求方未能向供应商反馈，以影响其安全优先事项和路线图。如果贵组织的内部政策要求采用多因素认证（MFA），你可以在签订合同时就此向供应商提出要求。这开始塑造市场动态，因为实施MFA将为该供应商带来一项收入来源。这一效应可能会逐步放大，但供应商始终有可能认为这笔收入不值得付出相应成本。
呼吁采取整体性、基于风险且协作的行动
作为消费者，各组织往往对其供应链安全‘就是这样’的现状听之任之。它们可以投入大量精力修复某些方面，但这一问题往往显得过于庞大、代价过高，且难以独立解决。集体行动似乎是显而易见的解决方案，但协调本身也十分困难，而且目前尚不存在标准化。生态系统处于停滞状态。
当市场无法实现良好的安全成果时，可以通过供给、需求，或借助监管手段塑造市场动态来“修复”。上述每一种修复方式都有其自身问题（此处无需赘述现有的错综复杂的法规与市场动态），尤其是在过度关注最终产品或勾选检查项，而非流程和真正的变革推动因素的情况下。然而，建立标准化评估方法、利用采购力量获取更好成果，或制定完善的监管规则，都是促使人们以不同方式做出更好改变的激励因素，既有有形的，也有无形的。
作为一个安全社区，我们可以采取哪些最小的举措，为供应链安全建立基本的安全卫生准则？需求方在选择供应商并与之互动时，其思考过程中应纳入哪些标准？
随着企业向更加数字化的运营转型，供应链安全变得愈发重要，也愈发具有挑战性。应对这些挑战需要采取整体性、基于风险且协作的方法。
为推进这些研究领域与问题，工业网络韧性倡议 正汇聚各类规模供应链的关键利益相关方。通过采用最佳实践并促进多方利益相关者合作，各组织可以构建更具韧性、更加安全的数字供应链。
阅读世界经济论坛的最新报告：《网络韧性指南针：迈向韧性之路》
