真正的安全采购流程应该是怎样的?

我的企业正在考虑新的安全采购计划，但我们的预算有限，而且我们担心成为供应商炒作的“牺牲品”。对于安全产品采购和供应商选择，我们是否应该制定基本准则?在与预选的供应商交谈以及评估供应商之前，信息安全官应该提出什么问题，我们应该避免哪些常见的陷阱?

[[157659]]

Mike O. Villegas：***信息安全官(CISO)每天都被供应商轮番轰炸，这些供应商都声称他们的产品可以解决所有问题。另外有些供应商则很冷淡，即使他们的产品很优秀，CISO可能都不会再想见他们。这里的挑战在于买什么以及从谁那里购买。

在你知道你需要的产品(SIEM、FIM、NGFW、WAF、防病毒、反恶意软件、DLP等等)后，你可以通过选择供应商来开始供应商管理流程。

确定供应商：企业在寻找潜在的供应商时，可考虑Gartner魔力象限或Forrester Wave作为可靠的信息来源。在你感兴趣的领域有哪些供应商?看看右上象限内的供应商，并了解其详细信息。不要只挑***的产品，尽管有时候开源可能是正确的选择。

短名单：挑选少数具有不错成绩的供应商。如果你与其他CISO有联系，可以询问他们的意见。

概念验证：在供应商管理流程中，在确定潜在供应商清单后，下一步是打电话给供应商，并建立概念证明(POC)。企业可以查看供应商的宣传册，并进行粗略的背景调查。另外，安排时间让供应商展示其产品，并邀请主题专家(SME)。POC可能需要花一些钱，因为它需要内部资源对产品进行测试。请确保你起草了非公开的协议，并根据功能、平台(设备或软件)、资源和需要的技能以及成本制定了选择标准。同时，使用相同的选择标准来评估所有产品，让它们处于同一起跑线。

POC不应该使用实时数据或生产数据来测试，但你还是要考虑对你环境的影响：

• 在POC测试环境中每秒预期事件，并估计在生产环境的情况;

• 日志记录活动以及它需要多少存储空间;

• 日志记录活动是否协调或者不一致，以及这对生产延迟性的影响;

• 如果数据包在目标设备需要代理，确定代理的足迹、对生产的延迟性、性能或可访问性问题;

• 如果需要特殊培训、技能或SME资源，你是否需要从外部聘请，或者从供应商或其他专业服务机构获得。

联系参考客户：所有供应商必须提供参考客户。选择与你环境和行业类似的参考客户。向供应商要求只有你和参考客户参与电话会议，供应商不参与。确保参考客户与供应商没有利益冲突。询问参考客户寻找供应商产品的驱动力是什么，他们使用其产品的时间?他们还评估了哪些其他产品?POC?为什么他们选择该供应商?他们是否满意POC工程师?他是否知识渊博且有问必答?他们是否花了很长时间让该产品在其环境中运行?在他们使用产品时，产品在哪方面没有达到他们的预期?他们是否认为价格合理并且值得购买?

成本：成本不应该是选择产品的首要因素。成本是相对的，但所有价格都可以与供应商商量。永远不要支付标签价格。看看数据包是否可捆绑同一供应商的其他产品，如果可能的话，等到月末、季度末或年末再决定。我们都知道供应商有其销售目标，你可以用它来协商成本，但如果你不打算买的话，不要浪费供应商的时间。如果各供应商之间的成本差别不小，确定功能是否超过了成本。如果成本远远超出了你的预算，确定预期投资回报率是否超过成本。同时，与信息安全、网络、IT、开发团队、审计、风险管理和合规团队共享这些数据，看看他们是否可以使用该产品。如果该产品为软件，考虑下载软件以节省税费。

高管认可：没有人喜欢惊喜，包括管理层。在你与供应商的谈判结束后，再告诉高管产品的成本。追踪你的预算，不要让供应商知道你的预算。让高管知道供应商管理流程谈判，并让法律团队认可该产品，这可以有助于高管对这次购买感到满意。同时，让IT认同该产品。你还应向高管展示你在选择时进行了尽职调查，并在谈判结束后，展示列表价格和产品实际价格，让高管看到你的管理工作做得不错，同时你自己也会被看好。***，你可以换位思考，假设这是你自己的公司，你在做出购买决定。你会怎么做?

合同谈判：让法律部门的同事帮助你完成合同谈判。确保合同包含针对POC和购买的条款，审查许可协议、维护成本和续订成本。有时候，在花时间进行POC后，你与供应商的法律部门可能不会达成一致意见，这可能导致最终交易无法完成。在大多数情况下，合同谈判应该是双方都同意的。确保有终止条款—有原因或没原因，合同中应具有双方责任限制条款以及审核权利条款。如果涉及代码或软件，考虑代管条款或不披露条款。

总之，如果雪佛兰皮卡车就行，那就不要买凯迪拉克。你应该选择正确的产品，而不是***的产品。因为***的产品有时候最昂贵，但并不是基于你的商业模式、预算和需求，正确的产品才是你的目标。你需要确保所选择的产品可以根据公司发展进行扩展。另外，基于你的行业、企业文化以及人员技能，你可能还有其他考虑因素，但你应该购买你所需要的产品，不一定是你想要的产品。