13、供应链管理与云安全
一、供应链管理的概念
1.1 供应链
NIST SP 800-161将ICT供应链的定义如下：
ICT供应链连接了收购方、集成商和供应商之间的一系列资源和流程，这些资源和流程从ICT产品和服务的设计开始，并通过ICT产品和服务的开发、资源采购、制造、处理和交付延伸到收购方。
上图显示了与供应商相关的三种流：
产品/服务流：关键的要求使项目从提供商到企业，再到内部用户或外部客户的平稳地流动。流动得越快，对企业越有利，因为它可以最大限度地缩短现金周期。
信息流：包括报价请求、采购订单、阅读计划、工程变更请求、质量投诉以及从客户方到供应商地供应商绩效报告。从生产者到消费者，信息流包括公司地介绍、报价、采购订单地确认、对偏差采取的行动的报告、发货细节、库存报告、发票等。
资金流：依据生产者提供的票据，客户检查订单的正确性。如果这些订单是争取的，资金从客户流向相应的生产者。以借方票据的形式也可以观察到生产者到客户的资金流动。
1.2 供应链管理
供应链管理（SCM）是一种对供应链活动的主动式管理，目标是最大化客户价值并实现可持续的竞争优势。实质上是企业尽可能以最有效和最高效的方式开发和运营供应链计划。
供应链管理的要素包括以下内容：
需求管理：此功能可识别支持市场的所有商品和服务需求。它涉及供应不足时的需求优先级。合适的需求管理有助于规划和使用资源，从而获得利益丰厚的业务成果。
供应商资格认证：此功能为供应商、销售商和承包商提供了适当程度的信心，使其能够按照客户和法规要求提供高质量的材料、组件和服务。一个完整的供应商资格认证过程还应该识别并减少与材料、组件和服务相关的风险。
供应商谈判：在正式沟通的过程中，两个或两个以上的人聚集在一起，就一个或多个问题需求共识。
寻源（Sourcing）、采购（Procurement）和合同管理：寻源是指选择一个或多个供应商。采购是购买商品或服务的正是过程。合同管理是买房和卖方都采用的战略管理原则，其目标是管理客户和供应商的期望和关系，控制风险和成本，并为组织的盈利/成功做出贡献。
物流和库存控制：在这种情况下，物流是通过组织及其营销渠道战略性地管理物料、零件和成品库存（以及相关信息流）的采购、转运和存储的过程。库存控制是对采购物料的跟踪和核算。
开发票、对账和付款：这是支付商品和服务的过程。
供应商绩效监控：此功能包括收集信息的方法和技术，用于持续衡量供应商的绩效，对供应商的绩效进行评级和排名。绩效是指供应商满足所述合同承诺和企业目标的能力。
二、供应链风险管理
供应链风险管理（SCRM）是组织为帮助识别、监控、检测和缓解对供应链连续性和盈利能力的威胁而做出的协同工作。
NIST SP 800-161描述了SCRM过程，提供了供应链威胁和漏洞的详细描述，并为SCRM定义了一组安全控制。NISTIR 7622关注SCRM最佳实践。
下图展示了应用于供应链的风险评估过程。与任何其他形式的风险评估一样，SCRM风险评估始于对威胁和漏洞的分析。
一旦确定了威胁和漏洞，就有可能估计威胁能够利用漏洞造成伤害的可能性。然后，风险评估涉及确定各种威胁实践发生造成的影响。
NIST SP 800-161使用NSIT SP 800-39中定义的风险管理模式，该模型由三层组成：
第一层（高层）：该层致力于制定整体ICT SCRM战略，确定组织级ICT SCRM风险，以及制定组织范围的ICT SCRM政策，以指导组织在建立和维护整个组织范围的ICT SCRM能力方面的活动。
第二层（中层）：该层致力于确定组织的任务和业务职能的优先级，进行任务/业务级风险评估，实施第一层的战略和指导，以建立管理ICT供应链风险的总体组织能力，指导组织范围的ICT收购及其相应的系统开发生命周期（SDLC）。
第三层（基础）：该层涉及应用于个人信息系统和信息技术采购的特定ICT SCRM活动，包括将ICT SCRM集成到这些系统的SDLC中。
一般而言，供应链风险可能是外部风险或内部风险，如下图：
知识产权（IPR）：由声称为原始和版权类型质量的实体所产生的知识、思想或概念的权力。
关键绩效指标（KPI）：预先上i的那个的可量化的衡量标准，反映了组织的关键成功因素。
外部风险：
需求：指对组织与市场之间供应链内的产品、信息或现金流动的感染。
供给：上游对应的需求风险，它与对组织和供应商之间供应链内的产品或信息流动的潜在或真正干扰有关。
环境：与外部相关的风险，并且从公司角度来看，它是无法控制的事件。
内部风险：
流程：公司从事的增值和管理活动的顺序。流程风险涉及使组织运行的关键业务流程中断。
控制：管理组织如何控制流程和资源的规则、系统和过程。
应急计划：存在一个事先准备好的计划，并确定在发生风险时可以动用的资源。
2.1 SCRM最佳实践
SCRM最佳实践包括SOGP、NISTIR 7622和关于供应链安全的ISO 28000系统。
三、云计算
3.1 云计算要素
NIST 在NIST SP 800-145中定义了云计算：
云计算：是一种可提供普适且便携的通过网络按需访问可配置计算资源（如网络、服务器、存储、应用软件和服务）的共享池模型，而且只需投入很少的管理工作或与服务提供者进行很少的交互，这些资源就可以被迅速地供应和释放。这种云模型由五种基本特征、三种服务模型和四种部署模型组成，提高了资源的可用性。
私有云有两种典型部署方式：
公有云典型部署方式：
3.2 云计算参考架构
云计算参考架构描述了一个通用的高级概念模型，用于讨论云计算的要求、结构和操作。NIST SP 500-292对于该框架的描述如下：
NIST云计算参考架构的重点在于提供“什么样”的云服务，而非“如何”提出解决方案和给出具体实现。参考架构旨在帮助理解云计算中的复杂操作。它并不代表特定云计算系统的系统脚骨，而是一种利用通用参考结构来描述、探讨和开发特定系统架构的工具。
NIST开发的参考架构，考虑了以下目标：
在整体云计算概念模型的上下文中说明和理解各种云服务。
提供一个有助于消费者理解、探讨、分类和比较云服务的技术性参考。
提供一个便于进行各方面分析的候选标准，包括安全性、互操作性、可移植性以及可参考实现。
云消费者：与云提供商保持业务关系并使用其服务的个人或组织。
云提供商（CP）：负责向感兴趣的各方提供服务的个人、组织或实体。
云审计者：对云服务、信息系统操作、性能、云实现的安全性进行独立评估和团体。
云经纪人：管理云服务的使用、性能和分配的实体，且可调节云提供商和云消费者之间的关系。
服务中介：增值服务。
服务聚合：经纪人结合多种云服务以满足消费者需求，服务并非来自单一的CP，经纪人还可以优化性能和降低成本。
服务套利：类似于服务聚合，只是聚合的服务不固定。服务套利意味着经纪人可以灵活地从多个机构中选择服务。
云运营商：提供云服务，包括从CP到云消费者之间的连接和传输的媒介。
四、云安全
4.1 云计算的安全注意事项
当组织将数据和应用程序移动到云端时，需要解决以下问题：
机密性和隐私：组织在数据机密性和隐私方面对其员工和客户做出承诺。此外，任何违法机密性或隐私的行为都可能对业务产生不利影响。
数据泄露责任：在云端防止数据和服务加剧了对数据泄露的担忧，而安全性并不受客户的直接控制。以下是这方面的问题：
通知的责任：数据泄露通常附有通知的义务。谁负责通知（客户、供应商、第三方）以及如何快速地通知？
知识产权的风险：风险包括授权、（不恰当地）维护由第三方持有的知识产权的所有权的条款和条件，以及削弱组织为创作“不使用组织资源”开发维护“职务作品”的能力。
出口管制：供应商是否在国外的网站上存储数据？这些系统是由外国人管理吗？
电子取证：机构及其法律顾问有义务保留法律发现所需的记录。
风险评估：要进行有效的风险评估，客户必须掌握大量有效的有关云服务提供商的安全策略和控制的信息。
业务连续性：需要制定计划来处理云服务的暂停或终止。客户需要具有可移植性功能，以便将数据移动到其他云服务提供商。
法律问题：必须澄清和记录法律风险和业务。
4.2 云服务用户的威胁
云服务和资源的使用为企业网络安全带来了一系列新的威胁。
责任歧义：企业所有的系统依赖于云服务提供的服务。提供的服务级别（SaaS、PaaS、IaaS）决定了从IT系统转移到云系统的资源量。
治理损失：将部分企业IT资源迁移到云基础设施，可以将部分管理控制权交给云服务提供商。
信任损失：由于云服务的黑客特征，云服务用户有时很难评估提供商的新人级别，无法以正式获取和共享提供商的安全级别。
服务提供商锁定：失去治理的后果可能是在如何将一个云提供商替换为另一个云服务提供商方面缺乏自由。
不安全的云服务用户访问：由于大多数资源交付时通过远程连接的，因此不受保护的应用程序编程脚本（API）是最简单的攻击媒介。
缺乏资产管理：云服务用户可能难以评估和监控云服务提供商的资产管理。此外，云服务用户也非常担忧向外国政府公开数据和遵守隐私法。
数据丢失和泄露：此威胁可能与前一项密切相关。
4.3 云服务协议
外包云服务的一个重要方面时正式的云服务协议（CSA）。以下是CAS的主要组成部分：
客户协议：描述客户与提供商之间的整体关系。条款包括客户应如何使用服务，收费和支付方式，提供商暂停服务的原因以及终止和责任限制。
可接受的使用政策：禁止提供商认为的不正当或非法使用其服务的活动。此外，提供商通常同意不侵犯客户的知识产权。
云服务级别协议：定义一组服务级别的目标，包括可用性、性能、安全性和合规性/隐私性。SLA规定了与违法这些阈值相关的阈值和罚款。
隐私政策：一般而言，隐私政策描述了收集的不同类型的信息，包括如何使用、公开和分享这些信息，以及提供商如何保护这些信息。
