【铭万通讯资讯】IT供应链的完整性影响企业信息安全

企业IT供应链将会成为被破坏的目标，因此企业都在被迫思考如何对供应链的完整性进行管理。IT供应链的完整性是全球IT最关心的三大安全问题之一，报告中指出。

IT供应链越来越复杂

据调查显示，IT供应链最近几年变得越来越复杂，而且广泛分布于全球各地。硬件供应商外包的不仅是生产，还把设计的任务也外包给供应商和国外承包商。既有的亚洲供应商还会把任务外包给其他的公司，所以增加了供应链被破坏的几率。研究员表示，“IT供应链的完整性问题确实存在，而且会在未来五年对主流IT企业产生影响。”

对IT供应链威胁的担心并非孤立的。今年早些时候为美-中经济和安全评估会议准备了一份报告，里面就警告称“对供应链的成功渗透，如电信行业可能导致系统，为安全或公共安全提供架构支持的网络等出现瘫痪。”

很多企业也表示出了同样的担忧，承认政府的IT供应链威胁包括软硬件上的恶意逻辑;假冒软硬件的安装;生产过程或是重要产品或服务的分销过程中出现问题;因技术性能问题而依赖于不合格的服务供应商;软硬件上无意中安装的漏洞。

IT系统是由来自世界各地的产品组装而成，因此IT供应链的完整性非常重要。企业，政府和个人都不能对IT供应链表示完全信任，IT堆栈很容易被破坏。报告中强调称，“自从大多数硬件系统成为各个厂商所生产组件与子系统的组装物候，就出现了一个复杂的问题。”

IT供应链完整性对信息安全产业的影响

对信息安全产品信任度的缺乏将导致新型信息安全市场的50%被分割。操作系统和其他IT系统架构软件的分离还需要一些时间。到2018年，中一半的需要采购重要的非军事用途的架构，而且他们会明确禁止某些敌对，地理政治性团体的供应商生产的IT系统。

分析师称，供应链的问题不会仅仅因为系统已经交给终端用户就终结。用户仍然要依赖其他进行维护和更新。供应链的完整性必须扩展到“操作性供应链”问题，如更新。

企业倾向于软件定义型IT架构

大多数硬件系统包括基于软件的要素，如固件和设备。更多的程序逻辑都转换到了软件堆栈。运行于标准硬件的软件定义型IT架构会带来更多透明度，使得人们更容易信任供应链，因为软件层级会更容易测试。

即便有了软件，企业也需要确保自己使用的是正版软件，且应用都具备可靠的数字证书。“数字认证的东西不一定可信。如果盲目相信证书，那么偷窃的或损坏的代码签署证书将是主要的威胁。”分析师警告称。企业应该多使用基于社区的证书和文件声誉服务的认证代码。

还要注意，开源组件不会缓解供应链完整性的问题，因为未知的和过时的库和架构可能带来企业巨大威胁。企业应该确认开源产品中使用的所有架构和库都合法且得到及时更新，而且所用的编译器未被损坏。企业的IT部门必须保护自己的系统和信息，因为所有的IT系统都可疑。（作者：李海波）