分享

【注】本文节选自为即将发布的绿盟技术内刊，我被邀写一写新的动向，于是捉刀砍向最近关注的ICT供应链完整性，或大家更喜欢“安全”。这个话题在这篇初次提到，又在这篇再次涉及到，这次的内容稍微丰富了一些，希望能够给大家在工作研究之余，多一些参考。

1、什么是供应链安全？
供应链安全并不是一个新词汇，在业界媒体和学术期刊中已有相当的覆盖。随着经济全球化的逐渐深入，供应链的长度和复杂度、地理分布都大幅增长。在货物生产过程和运输过程中造成的盗窃、丢失、伪造、损坏、以及恐怖袭击等带来的损失对商业和经济的影响越来越大[CTPAT]。在此背景下，政府权威机构和业界发起了一系列的安全增强活动。例如，由美国国土安全部海关与边界保护局（CBP）推动，与进口商、物流业及制造厂商合作的“海关 – 商贸反恐布联盟”C-TPAT（Customs-Trade Partnership Against Terrorism）成为新时代供应链安全管理的一个具有代表性的项目。该项目是在“9‧11”事件发生后所倡议成立的一个自愿性计划，于2002年4月16日正式施行。 CBP希望通过此项目能与相关业界合作建立供应链安全管理系统，以确保供应链从起点到终点的运输安全，安全讯息及货物状况的流通，从而阻止恐怖分子的渗入[DHS]。
2、ICT的供应链有什么不同？
相对于IT和电信来说，信息通信技术（ICT）是个相对较新的词，虽然关于其定义，也有一些争论，读者可以参见维基百科，也可自行使用百度或Google搜索相关结果。
在转型的时代主题下，电信运营商也开始频频使用ICT 来概括电信业务的新边界。新的用法语义上全然不同，最先使用ICT的电信公司是英国电信。在英国电信网站上有一段描述性的解释：“ICT- Information Communication Technology， The ‘C’ now added to the traditional ‘IT’ reflects the worldwide convergence of computing and telecommunications. ICT has made possible instant exchange of information, regardless of distance.”大意是“C”加入到“IT”中反映全世界计算和电信的融合，ICT促成了超越空间的快速信息交换。从字面意义上看，反映的是IT服务和电信服务之间边界消失过程中扩张和衍生的产物。
相对于传统领域的供应链，ICT系统通常是采购+开发+集成模式，其最终用户感知到的安全很大程度上取决于采购、开发和集成等这些中间环节，涉及到更多的外包方、集成商、以及其它第三方等，这些供应商的安全素养、流程和产品质量的重要性愈发地凸显出来。简要来说，ICT的供应链包括：
• 使用的设备通常包括硬件、软件等众多组件；
• 项目涉及到全球很多地区的供应商、生产厂、集成商、运输服务商等；
• ICT业界主要依靠采购成熟的商业组件和设备，对供应链的依赖性更强；
• 设备之间有很多通信功能等关联关系；
• 设备的功能和质量很难被完全的测试、测量和直观的展示出来；
• 等等。
这些独特性给ICT的供应链带来了很多新的威胁挑战。如图1所示，从软件工程过程中出现的软件缺陷，到供应商内部的恶意人员，到可能的商业间谍甚至国家网络战等各种各样的威胁方，针对目标的供应链的攻击成为攻击其ICT系统的一个重要路径。

3. 关于安全和完整性
这个标题看似有些多余。机密性（Confidentiality）、完整性（Integrity）和可用性（Availability）是信息安全的三个重要属性，如图2所示的CIA铁三角是信息安全标准内容。在有些场合下，真实性（Authenticity）、不可否认（Non-Reputation）、可纠责性（Accountability）、可靠性（Reliability）等也会成为信息安全的属性[ISO27000]。

图2 机密性、完整性和可用性是信息安全的三个属性
但是，值得我们注意的是，安全和完整性之间的结构关系在不同的领域并不总是如此。例如，保障（Assurance）、可靠性、质量等概念在有些场合成为比“安全”更高的概念，安全成为其概念下的一个属性。ENISA在其名为“当前和未来网络技术研究的优先级”报告中较为详细地阐述了ICT供应链完整性领域的研究状况，报告中借鉴了SAFECode的软件保障概念模型[SAFECode]，如图3所示。

图3 SAFECode关于软件保障、完整性、真实性和安全性的概念模型
其中，安全性、完整性、真实性成为属于软件保障概念下并列的属性，共同定义了总体的软件保障概念。我们来看看该模型中如何定义这几个概念。
安全：安全威胁在软件的设计、开发和测试中被解决。这就要求同时关注质量（例如不存在缓冲区溢出漏洞）和功能（例如数据库中的护照号码必须加密）。
完整性：完整性是指分包、创建和交付软件的流程中包含增强关于软件按照供应商意图运行的信心的控制措施。
这个完整性定义中的关键信息点是“软件按照供应商意图的方式运行”。与此相对照，在信息安全的概念范畴中，完整性的定义通常是：
• 完整性是指保护资产的准确性和完备性[ISO27000]，
• 或完整性是指数据不会被非授权的改变[Wiki]
从上述不同的定义中可以看出，在供应链完整性中的定义是一个范围非常大的概念，偏重于“动态开发过程”和“供应的流动环节”，强调客观上的功能和运行方式满足商业目标。而信息安全的“完整性”则强调“非授权”对“资产”带来的“改变”。相对来说，“资产”是已经拥有的，其在描述未来的、开发中的软硬件产品的“功能”和“运行方式”时显得有些力不从心。
从这个对照分析上，我们看到了在ICT供应链这个领域中“完整性”概念的内涵和必要性。

…….

• [CTPAT] http://www.aiou.edu/banews/062005/01062005.doc
• [DHS] Strategy To Enhance International Supply Chain Security, http://www.dhs.gov/xlibrary/assets/plcy-internationalsupplychainsecuritystrategy.pdf
• [ENISA] Priorities for Research on Current and Emerging Network Technologies, http://www.enisa.europa.eu/act/it/library/deliverables/procent/at_download/fullReport
• [ISO27000] ISO/IEC 27000
• [SAFECode] The Software Supply Chain Integrity Framework, http://www.safecode.org/publications/SAFECode_Supply_Chain0709.pdf
• [Sbin] http://sbin.cn/blog/2010/05/06/ewi-worldwide-cybersecurity-summit-supplier-chain-security/
• [Wiki] http://en.wikipedia.org/wiki/Information_security
• 另外一篇很不错的参考文件是：

http://www.pharmacy.wisc.edu/esp/prog/IsraelQbD/handouts/Assuring%20Supply%20Chain%20Integrity%20-%20Quality%20&%20Counterfeiting%204%2710%20Yu.pdf

分享