数据安全管理之供应链管理

本博客地址：https://security.blog.csdn.net/article/details/131274880

一、供应链管理概述

在一个企业的发展历程中，伴随着企业业务多样性的增加，各业务线及职能线的系统需求也会逐步增大，随之而来的就是对外部系统采购需求的增长。同时，企业的核心业务都会存在非常多的敏感信息，包括企业机密信息与个人敏感信息等，如果在核心业务上使用外部采购系统，如何保障供应商运维活动中的数据安全就成为了需要关注的重点。

对于供应链的安全管理，从生命周期看一般的着手点有三个：

● 对供应商的安全审计；
● 对供应商的权限控制；
● 对供应商的行为监控。

除了保障供应商运维活动中的数据安全外，还需要保障必要的数据外发需求，以实现对供应商在数据处理中的安全管理。

二、对供应商的安全审计

2.1、安全审查

在与供应商合作前，首先要对供应商开展安全审查，审查一般包括以下方面：

● 供应商的安全资质：主要评估供应商是否有相关资质认证，如等保、ISO27001等客观评价证明；
● 供应商的安全组织架构：主要评估供应商是否有专门的团队负责这块的工作；
● 供应商的违法或通报记录：主要评估供应商是否有历史案底，这个一般是我方进行查证；
● 供应商的安全保障能力：主要评估供应商在数据生命周期中的安全保障能力是否符合我方的安全要求，包含安全流程与制度、安全防护技术水平等。

对供应商的安全审查一般是通过调查问卷的形式开展，我方出具调查问卷，由供应商填写，我方再进行评估。

2.2、测试评估

在与供应商合作前，需要对供应商的系统进行安全测试，不管供应商提供服务的形式是一整套软件还是API接口，亦或是开发包、SDK、源码等等，都需要经过安全测试，在安全测试通过后才可以开展合作。除此外，还可以让供应商提供第三方的安全测试报告，我方对第三方的安全测试报告进行评估。

2.3、合同约束

在完成对供应商的审查与安全测试后，进入签合同环节，本环节需要通过合同或协议对供应商的行为进行法律约束，一般是约束供应商的数据提供、数据处理、共同处理等情况。这里需要注意的是对外采购数据的场景，这种场景下不需要进行安全测试，但合同中一定要写明【承诺提供数据均来自于公开、合法渠道，否则由数据提供方承担一切法律责任】等相关条款。

2.4、供应商台账

此外，在供应商日益增多的情况下，应当建立供应商台账，便于更完善的管理供应商。供应商台账内容一般包括：

● 对供应商审计时收集的尽调资料：包括资质材料、证明截图、文档规范等；
● 供应商的基本信息：包括供应商名称、合作业务描述、合作期限、对接负责人等；
● API接口对接信息：包括供应商域名、对接API信息、关联业务系统名称等；
● 交互的敏感数据：包括传输对接的数据字段（库 - 表 - 字段）、数据字段流向等。

建立好供应商台账后，需要定期对供应商的数据安全保护能力进行评估，确保供应商的数据安全保护能力在线，对于数据安全保护能力不在线的供应商，可以考虑在合同到期后更换。

三、对供应商的权限控制

对供应商的权限控制可以通过安全域来实施，安全域可以满足供应商在访问公司指定资源时的安全管控。当供应商对系统进行运维时，需要向企业申请安全域权限，在相关部门审批通过后为其提供安全域账号，安全域内仅开通堡垒机资源，供应商通过安全域进入堡垒机后即可看到自己名下申请的资源，供应商无法连入除堡垒机外的任何网络，所有的数据外发渠道均无法使用。

同时，还需要针对安全域的账号期限及安全管控对供应商进行要求，供应商应当妥善保管被配发的安全域账号并对其负责。例如供应商运维人员离职或转岗，供应商应当申请回收账号或转交他人使用，若因账号管理问题导致数据泄露并引发安全事件的，就可以对供应商进行必要的追责及处罚了，这里的追责及处罚在特别情况下可以考虑公安介入。

其次，可以通过堡垒机对供应商登录系统服务器的权限进行严格管控。这里可以将权限分为普通权限与超级权限两套体系，两套体系针对供应商不同的运维需求使用。当供应商进行查看日志、处理报错等普通维护需求时使用普通权限，开通时间控制一周左右，这样既保证了安全性，也降低了供应商申请权限的频次，为业务排查带来便利。当遇到供应商对系统版本进行变更时，可以为其开通超级权限，并严格限制在几个小时内，避免供应商通过高权限账号进行违规操作。

四、对供应商的行为监控

这里的对供应商进行行为监控，主要是监控供应商在我方企业内部的操作行为，而不是供应商在它本地的行为，供应商在它本地的行为我们是监控不到的。

监控的方式主要是通过堡垒机，在供应商通过堡垒机进入服务器时，它的操作都会被堡垒机记录下来，另外可以制定账号命名规则，通过特定的堡垒机账号就可以直观区分是哪家供应商，哪个人的操作。之后对供应商的操作指令进行分析审计，通过敏感操作告警等机制，实现对供应商的行为监控。

最后，当供应商需要导出数据时（如运维日志信息），需提提交企业内部的数据外发流程，在有关部门审批同意后，方可将数据导出外发。

五、总结

对于供应链的安全管理，从生命周期看一般的着手点有三个：【对供应商的安全审计】主要是对供应商进行安全审查与测试评估，同时通过合同对供应商进行约束，另外还需要建立供应商台账，便于更完善的管理供应商。【对供应商的权限控制】主要是通过安全域和堡垒机对供应商在运维操作时进行严格的权限管控。【对供应商的行为监控】主要是监控供应商在我方企业内部的操作行为。