Планирование и разработка продукта охватывают различные этапы жизненного цикла продукта. Процесс планирования начинается с определения требований безопасности к проектируемым продуктам, позволяя учитывать потребности как в защите, так и в доступности данных. Реализуемые в процессе дополнительные возможности предусматривают постоянный анализ и улучшение критических процессов безопасной разработки, применяемых для проектирования и тестирования продуктов. После того как требования безопасности документируются, команды разработчиков Lenovo составляют планы по внедрению соответствующих функций в новые продукты. Этап разработки фокусируется на следующих областях:

• Разработка и сертификация
• BIOS/микропрограммы
• Программное обеспечение

Контроль и управление поставками

Наличие качественной базы поставщиков в цепочке поставок продуктов, которая охватывает поставщиков ODM, OEM, производителей компонентов, BIOS и программного обеспечения, имеет ключевое значение для успешного бизнеса любого производителя устройств. Для решения этой задачи Lenovo проводит аттестацию среди своих основных поставщиков, после чего оценивает их квалификацию на ежеквартальной основе. Большинство поставщиков Lenovo являются ее партнерами более 20 лет. Взаимодействие с партнерами тщательно контролируется, также проводится анализ новых поставщиков.

Благодаря программе надежных поставщиков (Trusted Supplier Program) Lenovo повысила эффективность взаимодействия со своими поставщиками. Цель этой программы состоит в управлении рисками клиента с помощью документированной и проверяемой программы безопасности цепочки поставок, которая рассматривается как составная часть всего процесса обеспечения безопасности продукта. Программа Trusted Supplier Program фокусируется на поставщиках интеллектуальных компонентов, производителей ODM, OEM и поставщиков услуг по ремонту, от которых может зависеть безопасность клиентов.

К интеллектуальным компонентам относятся:

• любое ПО или микропрограмма на любом микропроцессоре;
• сам микропроцессор;
• любое полупроводниковое устройство, способное обрабатывать данные;
• любой компонент или устройство с внутренней памятью;
• любой компонент или устройство с функцией ввода-вывода.

Чтобы оставаться в тренде и иметь возможность предварять тенденции и уязвимости, возникающие на рынке технологий, Lenovo на постоянной основе пересматривает свои требования к привлечению ресурсов.

Деятельность Lenovo, направленная на обеспечение безопасности своих продуктов и цепочки поставок, получила признание компании Chain Security, одного из лидеров в области обеспечения безопасности в США. Такое решение было принято на основании почти трехлетнего тщательного изучения процессов безопасности, корпоративного управления и программы поставок Lenovo. Результатом проведенного анализа стало 20-страничное свидетельство, в котором Chain Security подробно описывает свою работу с Lenovo, изменения и улучшения, реализованные Lenovo за последние два года, а также заключение Chain Security о том, что Lenovo «вероятнее всего опережает отрасль» в условиях данных процессов безопасности.

Чтобы ознакомиться с полной версией письма, нажмите здесь.

Управление рисками

Благодаря своей глобальной цепочке поставок Lenovo проектирует, разрабатывает и поставляет технологические решения, в надежности которых наши клиенты могут быть полностью уверены. Со стратегической точки зрения, существует пять ключевых направлений/шагов, которые мы выполняем при управлении рисками в цепочке поставок:

1. выявление потенциальных рисков для цепочек поставок;
2. защита цепочек поставок Lenovo специальными средствами управления;
3. обнаружение проблем на ранних этапах, чтобы уделить больше времени и предоставить больше вариантов надлежащего реагирования;
4. немедленное реагирование, чтобы свести к минимуму любую угрозу;
5. восстановление с минимальным ущербом для клиентов, предполагающее разработку устойчивой цепочки поставок.

Для реализации такой стратегии Lenovo постоянно оценивает, обновляет и оптимизирует свои системы цепочек поставок с учетом потребностей клиентов и бизнеса.

• На регулярной основе Lenovo проводит аудит своих поставщиков и вендоров на предмет соответствия требованиям, уровню безопасности и финансового положения. Для критически важных компонентов производится оценка необходимости в нескольких поставщиках (или нескольких производственных площадках поставщиков).
• Также Lenovo внимательно отслеживает внутренние процессы, контролируя надлежащий уровень своих средств управления на постоянной основе.

Любые обстоятельства, которые могут повлиять на наши возможности по удовлетворению требований заказчиков, в обязательном порядке отслеживаются, анализируются и управляются, что, в конечном счете, приводит к смягчению последствий. Выявление проблем на раннем этапе позволяет Lenovo:

1. скорректировать цепочки поставок, чтобы минимизировать воздействие;
2. работать с поставщиками для успешного решения проблем;
3. заменить поставщика, если проблемы остаются нерешенными.

Сведение к минимуму рисков в цепочке поставок имеет приоритетное значение как для Lenovo, так и для ее клиентов.

Надежность производства

Для безопасной производственной площадки требуется следующее:

• Физическая безопасность. Надежные методы и средства управления для контроля безопасности персонала и охраны материального оснащения. Включает в себя средства управления доступом, средства мониторинга количества посетителей и контроля поставок.
• Защищенные производственные процессы. В рамках производственных участков за производственными процессами и средствами управления ведется тщательный контроль, а основные компоненты и узлы отслеживаются электронным способом. Готовые продукты проверяются, после чего тестируются для подтверждения соответствия требованиям безопасности, надежности и производительности.
• Защищенный доступ к образу программного обеспечения и BIOS: пользовательский образ (т. е. предварительная установка выбранных клиентом ОС и приложений) и настройка BIOS носят конфиденциальный характер в производственном процессе. Lenovo предпринимает дополнительные меры предосторожности, обеспечивая защиту от любых внешних вмешательств.

Безопасная логистика

Логистика Lenovo охватывает такие операции, как упаковка, отгрузка и доставка. После того как продукты произведены и протестированы, они готовятся к отправке и упаковываются в материалы с защитой от несанкционированного доступа, благодаря чему любые проблемы в пути могут быть замечены сразу, а инцидент будет расследован. После этапа упаковки Lenovo приступает к работе с квалифицированными поставщиками логистических услуг, которые обеспечат надежную доставку продуктов конечным пользователям.

Охраняемые объекты, грузовые автомобили и другие транспортные средства, а также тщательная проверка сотрудников, посетителей и водители — все эти меры позволяют обеспечить надежную защиту на протяжении всего процесса грузоперевозок. Отслеживание отправляемых партий продуктов происходит с того момента, как они покидают здания Lenovo, и до места прибытия, указанного клиентом.

УПРАВЛЕНИЕ ЖИЗНЕННЫМ ЦИКЛОМ

Обязательства Lenovo по обеспечению безопасности сохраняются и после того, как продукт был доставлен клиенту. Операционная система и приложения, чипсеты, микропрограммы и BIOS могут получать частые обновления от Lenovo и ее поставщиков, в том числе от операторов мобильной связи. Эти обновления могут быть как запланированными улучшениями, так и выпущенными в результате работы команды PSIRT для исправления уязвимостей безопасности.

Процессы Lenovo обеспечивают надежную доставку обновлений ПО и компонентов на протяжении всего жизненного цикла продукта, даже в случае, если по каким-либо причинам поставщики прекратили производство компонентов, используемых в системах Lenovo. Это создает потребность в производстве новых деталей. Lenovo гарантирует замену запасных деталей поставщиков, входящих в список надежных поставщиков Trusted Supplier.