執行摘要
供應鏈資安已成為零售商最迫切的擔憂之一，針對第三方供應商和服務提供者的攻擊會擾亂關鍵營運並暴露敏感資料。
當今供應鏈相互連結的特性創造了廣泛的攻擊面，單一受損的合作夥伴可能引發庫存、支付、物流和客戶服務功能的連鎖故障。
威脅行為者越來越多地利用這些薄弱環節，透過勒索軟體、網路釣魚和社交工程等手段，繞過傳統防禦並獲取敏感資訊的未經授權存取權。
應對這一挑戰需要將「假定會遭入侵」的心態從內部系統擴展到更廣泛的供應鏈網路，並以零信任架構、存取控制和持續的盡職調查作為核心安全實踐。
此事的利害關係重大，因為財務損失會因聲譽損害和監管風險而加劇。
為增強韌性，零售商必須採取主動的緩解策略——從供應商風險評估和事件應變計畫，到針對第三方風險量身訂做的自動化故障轉移系統和網路保險。
在本部落格系列的第一部分中，我們探討了一個嚴酷的現實：零售組織必須假定自家的系統將會遭到入侵。
然而，正如零售商從痛苦的第一手經驗中學到的，建立堡壘般的內部防禦只是成功的一半。在相互連結的商業生態系統中，當單一供應商成為最弱的一環時，即使是最複雜的內部安全措施也可能變得無用。
考慮以下情境：一家大型披薩零售商的麵粉供應商遭受勒索軟體攻擊。幾小時內，生產系統離線、庫存管理失靈、交貨時程崩潰。
該零售商面臨空蕩蕩的貨架、失望的客戶以及可能持續數週的潛在收入損失——儘管他們自身的資安防禦完全完好無損。更糟糕的是，威脅行為者可能已經透過支付處理或忠誠度帳戶，未經授權存取敏感資料。
這不是假設性的威脅。現代零售營運依賴數百甚至數千家服務提供者，從原材料到關鍵技術服務皆然。
當這些第三方供應商因供應鏈攻擊（例如惡意軟體、網路釣魚或社交工程）而受損時，零售商可能會失去基本的營運能力，同時無法直接控制恢復時間表。而如果客戶資料外洩，可能導致監管和聲譽後果。
安全挑戰因供應鏈漏洞的雙重性質而更加複雜。受損的供應商可以透過合法的業務連接，繞過精心構建的邊界防禦，成為進入零售商系統的後門。
與此同時，當供應商因資料外洩或勒索軟體等網路攻擊而離線時，零售商面臨的立即營運中斷，其損害可能與對其自身基礎設施的直接攻擊一樣嚴重。
當供應商提供的是關鍵技術服務而非實體商品時，攻擊面變得更加廣泛。支付處理商、物流平台、庫存管理系統和客戶服務平台都代表潛在的單點故障。
而這些故障點隨後可能成為尋求最大影響力的網路犯罪份子和駭客的誘人目標。特別是零售銷售時點情報系統（POS），歷來就是大規模竊取敏感資訊的目標。
令人不安的事實是，資安強度僅與最弱的供應商一樣。這一現實要求零售商從根本上改變應對網路韌性的方式——將「假定會遭入侵」的心態從內部系統擴展到涵蓋整個供應鏈生態系統。
強大的存取控制、穩健的安全實踐和協調一致的安全團隊應變，現在對於保護營運和客戶資料至關重要。
有效的供應鏈網路風險管理需要從傳統的供應商管理轉變為積極的網路韌性合作夥伴關係，而明智的採購實踐應明確地將資安因素與成本和效率一同納入考量。所有企業都應考慮：
執行全面的供應商風險評估
將傳統的供應鏈可視性擴展到資安漏洞和依賴關係
發展合約框架以具體規範資安責任
第一個關鍵步驟是執行全面的供應商風險評估，這需要超越標準的合規性檢查清單。
零售商需要詳細了解其供應商的資安狀況，包括事件應變能力、備份系統和恢復時間表。此評估必須是持續性的，而非年度性，並在可能的情況下對服務提供者的安全狀態進行即時監控。
來自美國國家標準暨技術研究院（NIST）、國際標準化組織（ISO）和一般資料保護規範（GDPR）等框架為評估第三方的資訊安全準備情況提供了寶貴的基準。將這種程度的盡職調查納入每個供應商關係中，可確保客戶資料和核心業務功能的風險能被及早識別並迅速補救。
多元化策略也正成為管理供應鏈風險的關鍵。正如審慎的金融投資組合將風險分散到多項投資中一樣，零售商必須避免對關鍵物資和服務的單一來源依賴。
這並不意味著要為每個項目都維持重複的供應商，而是識別關鍵的依賴關係，並確保存在具有適當前置時間的可行替代方案。
將傳統的供應鏈可視性擴展到資安漏洞和依賴關係
此外，「網路供應鏈映射」的概念將傳統的供應鏈可視性擴展到包括資安漏洞和依賴關係。零售商不僅必須了解他們的直接供應商是誰，還必須了解支持這些供應商的關鍵廠商。
一個位於供應鏈深處第三層的入侵，如果影響到單一來源的元件或服務，仍然可能造成重大的營運中斷。然而，主動的緩解規劃可以最小化這些連鎖故障。
最後，合約框架必須發展，以具體規範資安責任。傳統的供應商協議側重於產品品質、交貨時間表和定價，但現代合約還必須詳細說明資安要求、事件通報程序和恢復時間承諾。
這些協議應規定最低安全標準、定期評估要求，以及在資料外洩或其他網路事件期間的明確通訊協定。將正式的事件應變計畫嵌入合約中，也有助於確保供應商和零售商在危機期間能迅速且同步地行動。
現代的供應鏈網路風險管理需要複雜的技術解決方案，以提供即時可視性和快速應變能力。先進的威脅情資平台可以監控供應商環境是否有遭入侵的跡象，包括惡意軟體、網路釣魚或內部威脅的指標，從而提供早期預警系統，以便在營運中斷發生前主動應變。
嚴重依賴第三方整合和 API 驅動平台的零售商應考慮使用 Akamai App & APIProtector，它為 Web應用程式和 API（供應鏈攻擊中最常見的兩個目標）提供端到端保護。
App & API Protector
實施強大的存取控制、即時檢測威脅行為者，並在邊緣阻擋惡意流量，有助於防止因合作夥伴受損或未經授權的存取嘗試而導致的資料外洩和服務中斷。App & API Protector 內建來自 Akamai 全球威脅網路的自動化和智慧功能，為安全團隊提供了保護複雜供應商生態系統中敏感資料所需的可視性和速度。
零售商和供應商之間的安全通訊管道也已成為關鍵基礎設施，必須以與內部系統相同的嚴謹度加以保護。這些應包括加密通訊協定、多重要素驗證（MFA）和定期安全評估，以確保它們不會被利用作為攻擊媒介。
需要直接存取零售商系統的供應商，應透過零信任網路存取（ZTNA）解決方案（例如Enterprise Application Access）來實現，而不是使用 VPN 提供完整的網路層級存取。
自動化故障轉移系統可以在供應商受損時提供即時的應變能力。這些系統應能夠以最少的人為干預來重新導向訂單、切換支付處理商或啟動替代物流供應商。靈活性在這裡至關重要，因為應變速度通常決定了是輕微中斷還是災難性業務影響之間的差異。
供應鏈網路保險是一個新興領域，需要仔細考慮。傳統的網路保險通常涵蓋對零售商自身系統的直接攻擊。
然而，供應鏈中斷可能需要專門的保險範圍，以解決因供應商受損而導致的業務中斷。這種保險的結構應能在供應商恢復期間提供快速的財務應變，而不是等待漫長的理賠流程。
當供應鏈網路事件發生時，零售商面臨的營運挑戰遠超出技術恢復。在供應鏈中斷期間，尤其是在短缺發生或服務水準下降時，維持客戶信任的能力至關重要。成功通常取決於對情況的透明溝通、實際的解決時間表以及對客戶資料的明確保護。
員工培訓必須包含供應鏈中斷情境，確保第一線員工了解在正常供應管道受損時如何處理客戶查詢並維持營運。此培訓應包括：
明確說明在常規系統不可用時，員工在保護資訊安全方面的角色
關鍵營運的手動流程
聯繫替代服務提供者的程序
供應鏈緊急事件的升級通報協議
為供應鏈中斷做好財務準備需要不同於直接網路攻擊的規劃。雖然直接攻擊可能導致立即的系統停機，但供應鏈中斷——通常由資料外洩、廣泛的惡意軟體或協同的網路釣魚活動引發——可能導致服務水準和庫存可用性逐漸下降。
財務規劃必須考慮到潛在的長期收入減少以及與替代供應商和加急物流相關的成本增加。
供應鏈網路事件會帶來獨特的恢復挑戰，成功往往取決於供應商協調的速度和力度。與從直接攻擊中恢復（組織可控制自身系統）不同，供應鏈恢復取決於外部各方，而他們有自己的優先事項和時間表。
零售商必須制定假定供應商會長期無法供貨的應變計畫，並且必須在危機發生前就與替代供應商建立關係。
將盡職調查納入這些應變策略中，可確保新的合作夥伴符合最低資訊安全標準，並能在中斷期間維持關鍵功能。
在本部落格系列的第三部分，我們將探討即將到來的資安威脅——從人工智慧驅動的攻擊和物聯網漏洞，到量子計算風險——並探討零售商如何建立適應性強的安全組織，為未來的網路局勢做好準備。原文出處
Akamai
iThome鐵人賽
看影片追技術