W cyberbezpieczeństwie zakres może obejmować sprzęt, firmware, oprogramowanie, usługi chmurowe i zarządzane, systemy rozwoju i budowy, dystrybutorów, maintainerów, kanały aktualizacji i dostawców wyższego rzędu.
Zarządzanie ryzykiem łańcucha dostaw cyberbezpieczeństwa (C-SCRM) to dyscyplina powszechnie używana do zarządzania tymi ryzykami; nie jest jedynie oceną dostawców. Organizacje potrzebują pewności co do tego, co pozyskują, jak to zostało wyprodukowane i dostarczone, jakie zależności to wprowadza, jak podatności i incydenty będą obsługiwane oraz czy krytyczne zdolności mogą trwać lub zostać zastąpione. Dostawcy też potrzebują kontroli dla własnych zależności i dostarczalnych produktów.
Najważniejsze punkty
Zrozum łańcuchMapuj krytyczne produkty i usługi, zależności komponentów i dostawców, uprzywilejowane połączenia, przepływy danych, kwestie geograficzne lub własnościowe oraz pojedyncze punkty awarii.
Wbudowuj bezpieczeństwoUżywaj bezpiecznych praktyk rozwoju i inżynierii, chronionych systemów budowy i podpisywania, pochodzenia komponentów, kontroli zmian, wykrywania manipulacji oraz procesów ujawniania i usuwania podatności.
Zarządzaj pozyskiwaniemUstalaj wymagania oparte na ryzyku, oceniaj istotne dowody, definiuj odpowiedzialności umownie, kontroluj zatwierdzone źródła i oceniaj ponownie duże zmiany oraz podwykonawców.
Projektuj na zakłócenieUtrzymuj alternatywy, chronione materiały odtwarzania, plany wyjścia i testowane procedury na przestój dostawcy, kompromitację, niebezpieczną aktualizację lub utratę wsparcia.
Istotne ograniczenieSBOM, attestacja dostawcy, certyfikacja, kontrola kraju pochodzenia ani jednorazowa ocena adresuje tylko część ryzyka łańcucha dostaw. Żadne nie dowodzi, że produkt jest bezpieczny ani że zależność pozostanie dostępna.