產業觀點

近年多起重大資安事件都不是直接攻破目標企業，而是先入侵其信任的軟體供應商或委外廠商，再透過正常的更新或存取管道滲透進入。供應鏈攻擊的隱蔽性高、影響範圍廣，已成為企業資安防護不可忽視的一環。

觀察近年重大供應鏈攻擊事件，可以發現幾個共通模式：攻擊者鎖定資安防護相對薄弱的中小型供應商作為跳板，再利用其與大型企業之間的信任關係擴大攻擊面。

中小企業可立即採取的防護措施

• 盤點所有委外廠商與軟體供應商，建立供應商清冊
• 要求關鍵供應商簽署資安承諾條款，並定期檢視其資安狀態
• 對第三方軟體與更新來源進行完整性驗證
• 落實最小權限原則，限制供應商帳號的存取範圍
• 建立供應鏈事件的通報與應變流程

顧問提醒：供應鏈安全不是簽了合約就結束，而是需要持續監控與定期複核，才能真正降低風險。

結語

面對供應鏈攻擊威脅，企業無法完全掌控供應商內部的資安狀態，但可以透過完善的供應商管理制度降低曝險。若您想評估貴公司的供應鏈風險，歡迎與頂峰資訊顧問團隊聯繫，安排完整的資安健檢。