在网络攻击增多的背景下，各组织必须优先保障其第三方供应商生态系统的安全。
第三方风险管理不仅是IT问题，更是业务问题。
通过整体性方法，企业可以提升网络韧性，并将其转化为竞争优势。
继近期MOVEit遭黑客攻击事件之后，显然各组织还需做更多工作来保障其供应商生态系统的安全。事实上，SecurityScorecard与Cyentia研究所的研究发现，98%的组织都在与曾遭受数据泄露的第三方开展业务往来。该报告还发现，一家普通企业拥有11个第三方关系，以及数百个间接的第四方及第n方关系。简而言之：攻击面不断扩大，使企业更容易遭受网络攻击。
世界经济论坛在网络安全领域开展了哪些工作？
网络安全中心为各方领袖提供了一个值得信赖的平台，共同厘清不断演变的网络风险及其系统性影响。该中心致力于在日益互联的数字世界中增进理解并建立信任。
通过促进跨行业合作与洞见分享，该中心帮助合作伙伴增强网络韧性，应对需要集体应对的挑战。
即便组织已设立第三方风险管理（TPRM）计划，仍可能出现问题，因为若缺乏足够层级的支持，定期监测供应商合规情况往往十分困难。虽然许多组织设有IT和/或信息安全（InfoSec）团队，但这些部门未必适合负责第三方风险管理。尽管它们在技术层面颇为专业，但仍需考虑合规、合同管理以及与供应商的协作等事务。与其将更多工作分派给本已人手紧张的部门，不如采取更为整体的第三方风险管理方法。
第三方风险管理：不仅是IT问题
在第三方风险管理中，至关重要的是建立关于数据收集方式、答复审核方式以及问题整改方式的流程与指引。此外，选择问卷及证据收集解决方案将有助于使流程更加顺畅，并减少因持续收到电子邮件和处理大量数据点而不堪重负的可能。有了这项技术，各组织将更有能力提升网络韧性，并降低整个供应商生态系统中的风险。
供应商风险管理听起来可能像是IT问题，但实际上，它是一个业务问题。如果企业希望客户信任自己，就必须首先信任其供应商。当更多部门在问题演变为风险之前，将第三方风险管理最佳实践融入日常工作流程时，供应商风险管理将从痛点转变为优势。
有效管理第三方网络风险的5项最佳实践
为有效管理第三方风险并确保组织保持安全，建议落实以下最佳实践：
1）评估第三方风险
在评估第三方所带来的风险时，重点关注对业务最为关键的领域十分重要。此外，基于固有风险和供应商数据来界定评估范围，可确保资源投向最可能成为攻击者目标的领域。这意味着应采取基于风险的评估方法，并利用网络风险数据更好地了解每家供应商的安全状况。
2）识别工作流程中的低效环节
仅仅评估第三方供应商带来的风险是不够的；您还需要识别自身流程和工作流程中的低效环节。通过这样做，您可以将解决这些低效问题的方案纳入路线图，从而提升整体安全状况。这包括审视从供应商入职流程到事件响应工作流程的各个环节，并识别自动化和流程优化可以发挥作用的领域。
3）统一内部与外部控制评估
为有效管理第三方风险，必须统一内部与外部控制评估。这需要确保您用于内部风险管理的控制措施，与第三方供应商中类似风险相对应。通过这样做，您可以确保在风险管理方面大家使用统一的语言，并确保您的方法中不存在漏洞或不一致之处。
4）纳入持续监测
仅对第三方风险进行一次评估然后便置之不理是不够的。为确保持续的安全性，您需要将持续监测纳入相关流程。利用自动化技术实时监测供应商、在潜在问题出现时即刻予以标记，并与第三方合作整改这些问题，是主动应对威胁、确保始终掌握最新风险的有效方式。
5）优先实现实时可视化
从供应商入驻的那一刻起，直至离职，持续跟踪其网络健康状况都十分重要。通过这样做，您可以确保在任何潜在风险或问题出现时立即识别，并在其演变为重大问题之前采取行动予以缓解。这意味着要利用自动化和实时监测，确保您始终清楚掌握供应商的风险状况。
