În securitatea cibernetică, domeniul poate include hardware, firmware, software, servicii cloud și gestionate, sisteme de dezvoltare și construcție, distribuitori, menținători, canale de actualizare și furnizori în amonte.
Gestionarea riscului lanțului de aprovizionare de securitate cibernetică (C-SCRM) este disciplina folosită în mod obișnuit pentru a guverna aceste riscuri; nu este doar evaluarea furnizorilor. Organizațiile au nevoie de încredere în ceea ce achiziționează, cum a fost produs și livrat, ce dependențe introduce, cum vor fi tratate vulnerabilitățile și incidentele și dacă capabilitățile critice pot continua sau fi înlocuite. Furnizorii au și ei nevoie de controale pentru propriile dependențe și livrabile.
Puncte esențiale
Înțelegeți lanțulMapați produsele și serviciile critice, dependențele de componente și furnizori, conexiunile privilegiate, fluxurile de date, preocupările geografice sau de proprietate și punctele unice de eșec.
Construiți securitatea în interiorFolosiți practici sigure de dezvoltare și inginerie, sisteme de construcție și semnare protejate, proveniența componentelor, control al modificărilor, detecție de falsificare și procese de divulgare și remediere a vulnerabilităților.
Guvernați achizițiaStabiliți cerințe bazate pe risc, evaluați dovezile relevante, definiți responsabilitățile contractual, controlați sursele aprobate și reevaluați modificările majore și subcontractorii.
Proiectați pentru întrerupereMențineți alternative, materiale de recuperare protejate, planuri de ieșire și proceduri testate pentru o cădere, compromitere, actualizare nesigură sau pierdere a suportului a furnizorului.
Limitare importantăUn SBOM, o atestare a furnizorului, o certificare, o verificare a țării de origine sau o evaluare unică adresează doar o parte din riscul lanțului de aprovizionare. Niciuna nu dovedește că un produs este sigur sau că o dependență va rămâne disponibilă.