​虽然企业可以在多个层面上评估和管理风险，但第三方风险和缺乏强大的网络安全控制对业务弹性构成强大的威胁。与这些风险领域相关的漏洞和服务中断已经导致很多企业的关键系统瘫痪。2021年，在BlackKite公司对首席信息安全官的调查中，53%的首席信息安全官表示至少遭受过一次勒索软件攻击。

值得重申的是：网络安全和第三方风险是企业长期生存面临的两个最大问题。企业需要能够处理这些风险向量，以全面了解其风险状况。跨职能流程对于管理这些风险领域之间的重叠至关重要，以更好地保护企业并提高工作流效率。

确保供应商的网络安全实践符合企业的标准，这对于保护其系统和数据至关重要。事实上，它与业务的稳定性或产品和服务的交付情况一样重要。

常见的第三方网络安全风险

企业需要能够识别第三方风险的各个方面。以下是一些最常见的第三方网络安全漏洞，以及如何与合作伙伴合作来缓解这些漏洞。

• 数据泄露：勒索软件、网络钓鱼和对供应商或其系统的直接攻击威胁企业的数据隐私。此外，供应商的组织安全性差和控制执行不力会给企业带来安全风险。
• 服务中断：恶意软件和分布式拒绝服务攻击可能会破坏供应商的系统或为企业的IT基础设施提供的服务。因此，这可能会使其系统暴露在外，或者企业无法向客户提供服务。
• 合规风险：监管机构越来越多地让企业及其供应商参与网络安全合规。了解需要在外部遵守的法规，并确保供应商遵守与其相关的法规。

企业面临持续的威胁，但减轻风险需要的不仅仅是单一的防御手段。缺乏集成的网络安全和第三方风险管理(TPRM)系统可能会使企业无法准备好预测、缓解或从漏洞中恢复。

与第三方一起解决网络安全问题

第三方风险管理(TPRM)和网络安全的跨职能方法可以减少重复工作，并为企业、供应商和合作伙伴提供更深入的企业风险洞察。在支持第三方风险管理(TPRM)工作时，需要考虑以下一些行动：

(1) 弥合第三方风险管理(TPRM)与网络安全之间的差距

网络安全和第三方风险管理(TPRM)的集成对于企业更好地理解和监控监管要求、控制以及内部政策和程序至关重要。企业应了解网络安全优先事项的作用是确定供应商在第三方风险管理(TPRM)中遵守的监管标准和控制措施。整合这两种方法的企业将这两种功能从孤岛中解放出来，以减少工作流处理、报告以及更重要的是风险决策方面的重叠。

企业必须了解第三方对其系统、数据和基础设施的访问权限。除此之外，努力确保采取充分和适当的措施和控制措施来保护这些系统和入口点。

(2) 进行深入的尽职调查

一旦企业为网络安全控制和指标建立了坚实的内部基础，它就可以开始对新的和现有的供应商进行尽职调查。第三方风险管理(TPRM)团队应尽可能收集最相关的信息，以了解供应商固有的和剩余的网络安全风险，包括他们的事件历史和未来状态展望。

仅当潜在供应商的网络安全实践符合企业的政策时，才应选择并加入他们，并且应根据他们对企业构成的风险级别对他们进行分层。

(3) 持续进行监控

时间点评估不足以捕捉供应商不断变化的风险态势。通过执行持续监控以了解其网络安全控制和状态的变化，定期评估供应商群体的安全性至关重要。在初始尽职调查期间完成的网络安全评级可以提供供应商安全性的评分，从而为企业的评估计划提供信息。根据供应商在一年、两年或三年时间框架内的总体风险评级确定评估范围和频率。

了解并实施集成网络安全和第三方风险管理(TPRM)系统的企业可以全面了解其供应商的风险状况，为可能的威胁和合规性违规行为做好全面的准备，并与值得信赖的安全供应商一起改善业务成果。