在當(dāng)今的數(shù)字化時代，第三方風(fēng)險管理(TPRM)本應(yīng)是保障企業(yè)網(wǎng)絡(luò)安全的重要一環(huán)，但現(xiàn)實卻往往令人失望。TPRM，這個曾被視為數(shù)字防御核心的策略，如今卻陷入了形式主義的泥潭，過度關(guān)注合規(guī)性，而忽視了真正的安全目標。

想當(dāng)年，TPRM被設(shè)計為一種主動措施，旨在保護企業(yè)的敏感數(shù)據(jù)，加強數(shù)字基礎(chǔ)設(shè)施抵御外部風(fēng)險的能力，然而，隨著時間的推移，這一初衷逐漸被扭曲。如今，TPRM更多地表現(xiàn)為一種走過場的儀式，企業(yè)為了應(yīng)付檢查而填寫安全問卷，卻并未真正解決潛在的安全問題。

這一切的根源，在于安全行業(yè)與企業(yè)期望之間的錯位。在追求合規(guī)性的過程中，企業(yè)過于依賴審計驅(qū)動的框架，而審計人員則更看重文檔的完整性和可重復(fù)性，而非實際的安全效果。結(jié)果，TPRM失去了其原始意義，變成了一個基于安全假象的體系。

更糟糕的是，“勾選框文化”在TPRM內(nèi)部蔓延開來，成為了一個自我強加的負擔(dān)。安全問卷，這個本應(yīng)是為了確保對第三方關(guān)系進行徹底審查和真正風(fēng)險緩解的工具，卻變成了復(fù)雜、冗余且有時毫無意義的文件堆砌。企業(yè)為了完成這些清單而疲于奔命，卻并未真正增加對安全風(fēng)險的洞察力。

這種虛假的安全感不僅無效，還帶來了嚴重的后果。供應(yīng)商在接到一刀切的安全問卷時，往往感到“問卷疲勞”，因為許多問題與他們的具體角色或風(fēng)險狀況并不相關(guān)，這種缺乏定制和上下文的審查，最終只能淪為形式上的參與，而無法捕捉到現(xiàn)實世界中的復(fù)雜威脅。

問題的根源還在于TPRM工具的激增。這些自動化平臺雖然簡化了安全問卷的創(chuàng)建、分發(fā)和完成過程，但也無意中強化了勾選框的做法。許多評估在提供有意義的洞察力方面顯得不足，因為它們更多地關(guān)注于形式而非實質(zhì)。

更關(guān)鍵的是，沒有任何一個核心監(jiān)管框架明確要求進行安全問卷流程，這讓我們不得不反思：我們究竟在為什么而忙碌?是真正的安全，還是僅僅為了應(yīng)付檢查?

管理TPRM的人員，即治理、風(fēng)險和合規(guī)(GRC)專業(yè)人員，往往在監(jiān)管需求和網(wǎng)絡(luò)安全目標之間尋求平衡，但依賴勾選框合規(guī)性卻提出了嚴重的問題：這些把關(guān)者是否真正具備評估風(fēng)險的能力?他們是否真正理解不斷演變的威脅和漏洞?

為了擺脫這種有害的循環(huán)，企業(yè)必須從根本上改革其TPRM方法，這意味著采用一種真正基于風(fēng)險的方法，超越簡單的合規(guī)性，企業(yè)應(yīng)開發(fā)具有針對性、實質(zhì)性的安全問卷，優(yōu)先考慮深度而非廣度，深入探究供應(yīng)商的安全實踐。

此外，企業(yè)還應(yīng)與供應(yīng)商培養(yǎng)一種透明和協(xié)作的文化，當(dāng)TPRM成為一條雙向街道時，供應(yīng)商被視為實現(xiàn)共同安全目標的合作伙伴，而非單純的服務(wù)提供商，這種文化轉(zhuǎn)變有可能將TPRM從一種勾選框的活動轉(zhuǎn)變?yōu)榫W(wǎng)絡(luò)安全中主動且有效的部分。

同時，重新定義GRC專業(yè)人員的角色也至關(guān)重要。他們不應(yīng)僅僅是合規(guī)執(zhí)行者，而應(yīng)成為具備網(wǎng)絡(luò)安全知識的風(fēng)險合作伙伴，這種轉(zhuǎn)變不僅僅是內(nèi)部技能的提升，更是關(guān)于在各方之間創(chuàng)造共同的清晰性。

真正的TPRM不僅僅是評估供應(yīng)商的安全性，更是確保買方也知道自己的責(zé)任。當(dāng)雙方都明白自己所承擔(dān)的責(zé)任時，這種關(guān)系就從合規(guī)劇場轉(zhuǎn)變?yōu)檎嬲穆?lián)合防御。

已經(jīng)接管TPRM的勾選框心態(tài)是我們造成的問題，但也是我們有能力解決的問題。通過采用一種更周到、更具戰(zhàn)略性的TPRM方法，企業(yè)可以超越主導(dǎo)當(dāng)前實踐的合規(guī)驅(qū)動過程，將TPRM重新確立為其安全計劃中不可或缺的一部分，這需要我們挑戰(zhàn)現(xiàn)狀，投資于全面、基于風(fēng)險的策略，以確保我們的數(shù)字安全得到真正的保障。