下面提供了一系列用于衡量供應(yīng)鏈安全性的場(chǎng)景。這個(gè)想法是給我們一些具體的參考例子，說明供應(yīng)鏈安全的好壞，幫助我們了解自己的供應(yīng)鏈安全情況。

　　好的壞的

　　了解供應(yīng)商可能給組織、更廣泛的供應(yīng)鏈以及提供的產(chǎn)品和服務(wù)帶來的風(fēng)險(xiǎn)了解供應(yīng)商持有的信息的敏感性以及他們支持的項(xiàng)目的價(jià)值。對(duì)供應(yīng)商可能對(duì)更廣泛的供應(yīng)鏈及其提供的產(chǎn)品和服務(wù)構(gòu)成的風(fēng)險(xiǎn)缺乏了解。不知道他們持有什么數(shù)據(jù)，也不知道他們支持的項(xiàng)目的價(jià)值。

　　全面了解供應(yīng)鏈，包括分包商。只了解直接供應(yīng)商，但對(duì)任何分包商的了解有限/不了解。

　　了解供應(yīng)商的安全安排并定期與他們接觸以確認(rèn)他們繼續(xù)有效地管理合同風(fēng)險(xiǎn)。對(duì)供應(yīng)鏈的安全狀態(tài)一無(wú)所知，但認(rèn)為它們可能沒問題。無(wú)法查看此狀態(tài)。

　　控制您的供應(yīng)鏈，行使審計(jì)權(quán)和/或要求供應(yīng)商向上報(bào)告，以提供一切運(yùn)行良好的安全保證。審核請(qǐng)求不會(huì)是與供應(yīng)商的第一次互動(dòng)。鍛煉對(duì)供應(yīng)鏈控制力弱，視力判上判輸，不能行使審計(jì)權(quán)，不尋求向上報(bào)告。通常，安全團(tuán)隊(duì)與供應(yīng)商的第一次接觸是在事件發(fā)生后進(jìn)行審計(jì)。

　　根據(jù)對(duì)風(fēng)險(xiǎn)的評(píng)估和認(rèn)為必要的保護(hù)措施，為供應(yīng)商設(shè)置最低安全要求，告訴他們合同中的預(yù)期內(nèi)容。未能設(shè)置最低安全要求，讓供應(yīng)商自己做事，即使他們可能沒有安全意識(shí)來了解需要什么，或知道如何有效地做到這一點(diǎn)。或者設(shè)置最低安全要求，但未能將這些要求與對(duì)風(fēng)險(xiǎn)的評(píng)估相匹配 - 可能使許多供應(yīng)商無(wú)法實(shí)現(xiàn)安全。

　　區(qū)分將評(píng)估的風(fēng)險(xiǎn)與特定合同相匹配所需的保護(hù)級(jí)別。確保這些保護(hù)是合理的、相稱的和可實(shí)現(xiàn)的。為所有供應(yīng)商設(shè)置不成比例的“一刀切”方法，無(wú)論合同和評(píng)估風(fēng)險(xiǎn)如何。未能確保這些控制是合理且可實(shí)現(xiàn)的，可能導(dǎo)致供應(yīng)商不與競(jìng)爭(zhēng)合同。

　　要求在每種情況下都認(rèn)為必要的保護(hù)措施在整個(gè)供應(yīng)鏈中傳遞下去。檢查以確保它正在發(fā)生。將安全性留給直接供應(yīng)商來管理，但未能強(qiáng)制執(zhí)行和/或檢查它的發(fā)生。

　　履行作為供應(yīng)商的責(zé)任（并在缺乏指導(dǎo)的地方挑戰(zhàn)客戶）。向下傳遞客戶的要求并提供向上報(bào)告。忽視作為供應(yīng)商的責(zé)任，或忽視任何缺乏客戶指導(dǎo)的情況。未能向下傳遞需求，和/或未能提供向上報(bào)告。

　　為響應(yīng)事件的供應(yīng)商提供一些指導(dǎo)和支持。交流經(jīng)驗(yàn)教訓(xùn)，以便供應(yīng)鏈中的其他人避免“已知問題”。不向供應(yīng)商提供事件支持。未能采取行動(dòng)或發(fā)現(xiàn)“已知問題”可能影響供應(yīng)鏈中其他人的地方，也未就這些問題向其他人發(fā)出警告 - 可能導(dǎo)致更大的中斷：已知問題影響到許多供應(yīng)商。

　　促進(jìn)提高供應(yīng)商的網(wǎng)絡(luò)意識(shí)。積極分享最佳實(shí)踐以提高標(biāo)準(zhǔn)。鼓勵(lì)供應(yīng)商訂閱免費(fèi)的威脅情報(bào)服務(wù)，以便他們更好地了解潛在威脅。無(wú)論供應(yīng)商的安全意識(shí)和能力如何，都希望供應(yīng)商能夠預(yù)見到網(wǎng)絡(luò)攻擊的發(fā)展，提供很少或根本不提供支持或建議。

　　將保證措施納入最低安全要求（例如Cyber Essentials  Plus、審計(jì)和滲透測(cè)試）。這些提供了有關(guān)供應(yīng)商安全有效性的獨(dú)立視圖。未能將保證措施納入您的安全要求，相信供應(yīng)商會(huì)做正確的事情 - 無(wú)論他們是否有足夠的知識(shí)或經(jīng)驗(yàn)來了解對(duì)他們的期望。

　　監(jiān)控已實(shí)施的安全措施的有效性。根據(jù)從事件中吸取的經(jīng)驗(yàn)教訓(xùn)、保證活動(dòng)的反饋或供應(yīng)商對(duì)問題的反饋，準(zhǔn)備修改或刪除證明無(wú)效的控制措施。未能監(jiān)控安全措施的有效性。未能聽取反饋。不愿意做出改變，即使支持這樣做的證據(jù)是壓倒性的。