服务

供应链安全

您的安全态势，取决于您所依赖的最薄弱的那个供应商、代码库或承包商，而大多数组织的依赖清单比它们想象的长得多。供应链安全的工作，就是真正绘出这份清单，并决定您愿意接受什么。

这涉及两个常被混为一谈的不同问题。一个是软件供应链：最终进入您所交付产品的开源软件包、构建工具和 CI/CD 流水线，其中任何一个都可能在您的上游被攻破。另一个是供应商和第三方供应链：对您的数据或网络拥有某种形式访问权限的 SaaS 提供商、托管服务公司和分包商，以及您很可能完全看不到的它们自己的分包商。

我的做法

我从真正绘制这张图开始：不是某人填过一次的电子表格，而是一幅反映当前状况的图景，说明什么依赖什么，以及每项依赖实际拥有的访问权限与它应有的权限之间的差距。接下来是分级：并非每个供应商都需要同等程度的审查，把薪资处理商和免费的分析小组件同等对待，会把精力浪费在错误的地方。

对于软件依赖，这意味着清楚您的构建中到底有什么，要有一份真实的软件物料清单，而不是凭假设；并且在其中某项依赖被发现遭到攻破时，有相应的处理流程。对于供应商，这意味着合同条款要有实际意义，安全问卷要有人认真阅读，续约流程要真正重新核查风险，而不是只是重新签字。

这些工作都不会一劳永逸。新的供应商加入，新的软件包被引入，这张图在绘成的第二天就会过时，除非有什么机制让它保持更新。

如果您目前不确定自己的供应链里究竟有什么，这就是一个合理的起点。联系我，我们一起找出真正的风险敞口在哪里。