随着业务流程变得越来越复杂，企业逐渐倾向于使用第三方服务来提升自己为客户提供云存储、数据管理和安全等关键服务的能力。这样做虽说能够实现更高的效率与更低的成本，但使用第三方服务同时也可能会引入意想不到的重大风险。
第三方可能会成为入侵的门户，一旦服务出现故障，甚至会对企业的声誉造成损害，使其面临财务与合规问题，同时招致更多的攻击者。与供应商终止合作流程的管理不当同样是危险的，可能会导致对第三方所设系统的访问权、数据的保管权或数据本身的丢失。
01
什么是第三方风险管理？
第三方风险管理（Third-party risk management ，TPRM) 是一种风险管理学科，涉及识别、评估和缓解与使用外部合作方（如合作伙伴、供应商、承包商和服务提供商）相关的风险。这些第三方通常可以作为组织关键业务运营的主要参与者，对组织的一系列系统和数据进行访问。因此，第三方的存在会增加企业的网络风险。并且第三方出现的任何安全问题都可能会对企业产生连锁效应。
第三方风险管理（也常被称为供应商风险管理），为组织提供了一个框架，用于识别所有可以访问组织系统、数据和设施的第三方。同时，TPRM还通过对所有第三方的访问权限、安全措施以及潜在威胁进行全面评估，来确保企业对所有相关风险都有所了解和防范。
为了降低第三方风险，企业必须与其所依赖的第三方合作进行安全评估，并审计其安全措施。同时组织还必须建立明确的合同协议，详细规定对相关方的安全期望及其所需承担的安全责任。此外，成功的TPRM还需要持续的监控与监督，以确保第三方遵守所商定的措施，并制定应急响应和补救策略，以应对任何可能出现的问题。
02
第三方风险管理的重要性所在
随着对第三方服务依赖的日益增加，组织会发现自己越来越容易受到合作方所带来的潜在安全影响。
如今，企业越来越依赖第三方服务，如存储敏感数据或访问关键系统的技术和云供应商，如果第三方的网络安全控制不足，安全风险就会随着增加。一旦数据或系统受到威胁，那么企业将会面临品牌声誉受损、法律和监管处罚，以及巨大的补救成本。
然而，第三方服务的使用对于许多企业来说都是一种广泛接受的必要选择，所以他们需要对其进行持续的管理。在与第三方建立合作关系时，企业需要意识到这种关系伴随着将部分控制权转移到公司外部所带来的内在业务风险。这一问题尤为紧迫，因为在过去两年中，全球98%的组织都与至少一个曾经遭遇过数据泄露的第三方供应商具有合作联系。
03
第三方网络安全风险的主要类型
以下是第三方服务可能给企业带来的五大网络安全风险：
1
网络攻击导致的客户与公司数据的泄露
根据世界经济论坛发布的《2022全球网络安全展望》报告，过去几年中，通过第三方进行的间接网络攻击从44%增加到了61%。导致这种情况的原因之一是，许多公司没有适当的控制措施来有效地结束与第三方供应商的合作关系。他们没有适当的流程来控制这些账户的访问管理权限和配置，使得网络攻击者能够利用仍然具有权限的过时账户。
通过第三方泄露出的数据可能会被不法分子滥用，用于执行各种恶意活动，包括身份盗窃、欺诈、账户滥用以及外部账户接管攻击等。威胁行为者经常利用从第三方甚至第四方泄露的受损凭证和数据，来入侵其他受害者的环境。
另外，第三方在托管公司数据时可能会遭到攻击，或者攻击者会首先瞄准第三方，然后借此入侵企业的IT系统。因此，对供应商在其生命周期内的潜在漏洞进行尽职调查和持续监控，是降低这种风险的有效手段。
采用纵深防御策略以限制第三方对组织网络的访问，对于防止攻击者提升权限至关重要。因此，公司在允许第三方供应商访问其系统之前，必须对这些供应商进行彻底审查，以确保他们已经实施适当的安全协议。当涉及到谁掌握企业的数据时，第三方总会成为一个关注点。因此，企业应始终根据自己所面临的网络风险，来持续评估新的以及现有的第三方服务商。
2
事件成本和业务损失带来的财务风险
入侵的成本通常十分高昂，如果企业没有以正确的方式保护其系统，那么网络安全保险可能无法完全覆盖这些漏洞所带来的损失。
财务损失不仅是不可避免的，而且往往伴随着企业声誉的严重受损。一旦这种情况发生，企业会失去客户的信任，无论是新客户还是现有客户。最终，企业会失去一个收入来源，并且重新获得一个客户的信任需要耗费大量的资金和时间。因此，这种财务影响会迅速累积，给企业带来沉重的打击。
3
声誉损害，客户信任丧失
即使公司内部并未出现数据泄露的情况，但如果在第三方服务中发生了涉及客户公司或其客户数据的泄露事件，该公司仍有责任对此进行公开声明，或及时通知受影响的个体。由于这种间接的、下游的影响，可能导致的声誉损害往往会远超财务上的损失。
另外，即使数据泄露事件并非源于公司内部，而是由第三方服务提供商所引发，它依然会对公司的声誉造成显著的负面影响。当这些服务提供商出现数据泄露或其他问题时，这些问题往往会被直接关联到企业的声誉之上。客户通常不会关注到你的产品组装、服务或与他们互动的能力是由第三方支持的。他们只会看到你的名字、品牌，以及你是否能够履行对他们的承诺。因此，当第三方服务出现问题时，公司的声誉也可能会随之受损。。
尽管许多组织采取了积极的措施来确保他们的第三方供应商能够妥善保护数据，但当这些第三方服务商自身也拥有复杂的供应链关系时，情况就变得尤为复杂且难以管理。随着对供应商及其供应链的进一步追踪，很难全面洞察所有这些实体及其第三方风险管理计划的成熟度，以及这些计划是否能够达到企业所期望的严格标准来保护敏感数据。。
4
地缘政治风险
乌克兰战争凸显了组织需要密切关注政治动态、在局势不稳定的情况下准备采取行动的必要性。当一个国家或地区受到国际或国内制裁时，与该国家或地区有业务往来的企业必须确保自己在该地区的所有业务活动（包括与供应商、合作伙伴以及合资企业的合作）都已全面停止。
然而，乌克兰战争及其对俄罗斯和白俄罗斯的制裁并非唯一需要考虑的地缘政治风险。对于在政权易变、军事政变、暴力起义以及系统性压制少数民族风险较高的国家运营的供应商，企业需要对其进行严谨且持续的监控。
政治动荡往往伴随着国家间网络间谍活动的增加。组织需要确保自己所依赖的第三方供应商对其承包商进行彻底的审查，以排查是否与已知从事此类行为的政府有联系。第三方可能会在无意中雇佣自由职业的IT远程工作者，而这些人可能是被政府派遣来为其威权政权创收或获取企业网络访问权限的。虽然他们在工作中可能不会参与任何恶意的网络活动，但却可能会利用其访问权限，从内部启动恶意的网络入侵。这使得恶意活动的检测变得更加困难。
5
合规风险
第三方供应商在违反政府法律、行业法规或公司内部流程时，也会使得组织面临合规风险。供应商的不合规行为可能会使雇佣它们的公司面临巨大的经济处罚。
组织需要确保自己的第三方供应商符合SOC2审计标准。SOC2旨在确保第三方保护客户的敏感数据免受未经授权的访问。同时，组织还必须确保第三方遵守隐私和安全法律，如欧盟的《通用数据保护条例》（GDPR）与加利福尼亚隐私权法案（CPRA）的要求。
合规性是一个重大的风险问题。即使组织自身已经做好了符合规定的工作并设立了必要的控制措施，但是一旦引入第三方供应商，并且没有评估他们是否也具备必要的控制措施，就仍可能会违反合规性要求。
数世点评
随着数字化转型的不断深化，第三方风险管理已逐渐成为企业持续运营和成功的核心要素。企业需要积极培养风险意识的文化，将第三方风险管理（TPRM）融入日常的管理实践中，以便从源头上预防潜在风险的发生。
面对日益复杂的网络环境，第三方风险管理要求企业具备前瞻性的视野和全面的风险意识。为实现与第三方合作的安全可靠，企业应持续进行安全评估，通过明确的合同协议界定责任，并加强监控监督。
* 本文为茉泠编译，原文地址：https://www.csoonline.com/article/574543/5-major-risks-third-party-services-may-bring-along-with-them.html
注：图片均来源于网络，无法联系到版权持有者。如有侵权，请与后台联系，做删除处理。
— 【 THE END 】—
🎉 大家期盼很久的#数字安全交流群来了！快来加入我们的粉丝群吧！
🎁 多种报告，产业趋势、技术趋势
这里汇聚了行业内的精英，共同探讨最新产业趋势、技术趋势等热门话题。我们还有准备了专属福利，只为回馈最忠实的您！
👉 扫码立即加入，精彩不容错过！
😄 嘻嘻，我们群里见！
更多推荐
