随着企业规模的扩大与现代化进程的推进，其对第三方供应商的依赖度正同步攀升。从薪酬管理系统、专利法律顾问到软件服务商与物流合作伙伴，这些外部合作关系已成为企业运营的核心支柱。但每新增一个供应商，就等同于为网络风险打开一扇新的大门，而且其中许多大门仍然毫无防备。
第三方网络安全风险绝非理论层面的隐忧，而是能引发运营中断、声誉损害及监管连锁反应的系统性威胁，且其破坏力正在持续升级。然而，尽管风险等级居高不下，众多企业仍将供应商风险管理简单交由采购部门处理，仅通过年度核查清单与自我评估问卷等粗放方式应对。
这种模式不仅落后，更非常危险。
普华永道研究显示，仅 31% 的企业通过覆盖整个企业的正式流程评估供应商网络安全风险，其余企业实则在盲目行事。中型企业平均要管理与数十个（甚至数百个）供应商的关系，许多供应商还拥有敏感系统与数据的特权访问权限，其风险管理现状显然是不堪一击的。
第三方供应商网络安全风险已成为几乎所有企业面临的生存威胁。这亟需管理层予以高度重视。
第三方供应商风险如何演变成网络漏洞
近年来，因第三方供应商风险引发重大网络安全事件的案例屡见报端。2020 年轰动全球的 SolarWinds 攻击事件与 2013 年 Target 数据泄露事件都生动展现了当第三方风险成为企业后门时可能引发的灾难性后果，而此类事件绝非个案。在各行各业，攻击者都在不断寻找数字供应链中最薄弱的环节展开攻击，其破坏性后果往往触目惊心。
如今的攻击者早已突破传统 IT 供应商的边界。他们将矛头同样对准了金融服务商、云与电信合作伙伴，乃至电力公司。只要供应商与您的系统存在直接或间接连接，就会成为攻击目标。其中包括软件开发商、原始设备制造商 (OEM)、分销商，以及日益受到波及的客户群体。
入侵成功后，攻击者不会急于求成。他们会横向渗透整个网络，猎取客户档案、知识产权、凭证等敏感数据。攻击者常将恶意软件嵌套在 API、浏览器插件或更新机制中，通过仿冒可信进程绕过防御体系。
软件供应链的防护尤为脆弱。Enterprise Strategy Group 研究显示，41% 的企业软件供应链遭遇过利用第三方代码中新发现或未知漏洞的零日攻击，40% 的企业曾因云服务配置不当遭受入侵。
这些绝非偶发事件，而是警示信号。它们印证了众多首席信息安全官 (CISO) 的共识：第三方风险不仅是网络安全问题，更是需要持续警惕的企业级漏洞。
供应商攻击的高风险后果
第三方攻击往往悄无声息。当企业察觉时，损失已然造成。
只要一个合作伙伴沦陷，就可能导致敏感数据泄露和业务运营中断，迫使企业陷入漫长的取证调查、漏洞修复和系统恢复周期。此刻瘫痪的不仅是系统，更是客户、监管机构、合作伙伴与公众的信任。
单就监管后果而言，就足以令人瞠目。从欧盟《通用数据保护条例》(GDPR) 到巴西《通用数据保护法》(LGPD) 再到美国医疗行业的《健康保险携带和责任法案》(HIPAA)，如今数据保护框架要求企业为数据泄露担责，无论漏洞源自何处。企业不但要承担经济处罚，更要遭受长期的声誉损害。
这正是第三方风险如此危险的原因：其危害性会随着业务增长同步放大。每新增一家供应商、每增加一项系统集成、每开拓一片新市场，攻击面就会随之扩张。若缺乏对合作伙伴生态的实时可视性，这些扩张面将成为防御盲区，而攻击者正越来越擅长利用此类漏洞。
企业当下应采取的行动
应对第三方风险升级不能仅靠流程调整，更需要思维模式的转变。当攻击面通过外部合作关系持续扩大时，静态审计、供应商问卷、一次性合规检查等传统手段已力有不逮。
企业必须做出以下变革：
- 根据业务重要性分级管理供应商。不同第三方风险等级各异，网络安全措施应与之对应。企业应采用分级管理模式，根据供应商的业务重要性及系统访问权限划分风险等级。对于核心供应商，强制要求全面遵循零信任策略，包括严格身份验证、网络分段和持续监控。对于中低风险供应商，确保满足基本控制条件，按比例降低相应要求。
- 从静态风险评估转向实时风险评估。第三方环境瞬息万变，今日的安全配置可能明日就沦为漏洞。因此，风险评估机制也必须与时俱进。定期重新评估长期合作供应商与审查新供应商同样重要。
- 在整个体系贯彻零信任原则。零信任模型应覆盖整个企业生态链，包括供应商体系。若合作伙伴未实施访问分段控制、全入口身份验证及异常行为监控，您的防御能力将取决于合作伙伴最薄弱的环节。
- 让供应商与您的安全策略架构保持一致。合作伙伴的安全协议往往比较宽松。企业应要求供应商严格遵循内部政策框架，从数据处理到事件响应——绝无例外。
- 运用现代化威胁情报与自动化工具。如今，实时了解第三方风险已成为可能，但需投资智能分析工具。人工智能与机器学习能在漏洞被利用前预警，特别是持续输入实时遥测数据和威胁情报时。
- 与关键供应商主动共享威胁情报。企业不能止步于自身防线，必须提升整个生态系统的协同防御力。关键供应商至少应参与双向情报共享，尤其在能源、医疗和零售等行业，这些行业的安全举措远不及金融服务业。供应商的安全问题终究会算在企业的账上。
- 将责任范围扩大到整个生态系统。第三方不仅是商业伙伴，更是您数字边界的延伸。而享受权利即须承担责任。要将持续的安全监控纳入采购生命周期，而非事后补救。
核心问题并非供应商是否存在风险。关键在于企业能多快定位风险来源并采取行动。随着监管审查力度加大以及网络攻击日益复杂，假设与默认信任早已不适用当今的情况。
提高第三方风险的标准不仅仅是为了规避下一个漏洞，更是为了守护您苦心经营的业务和不容有失的声誉。
想了解 Haider 的更多看法？欢迎访问视角阅读他的其他文章。
1《SOC 报告如何助力评估第三方关系及其他场景中的网络安全风险管理》，普华永道，2022 年。
2《日益复杂的软件供应链安全挑战》，Enterprise Strategy Group，2024 年 5 月
