供應(yīng)鏈信息泄露途徑及其防范措施

董紹輝 西 寶 田麗娜

摘要:供應(yīng)鏈信息共享過程中共享的信息被有意或者無意的泄露給沒有參與共享的其他企業(yè)給供應(yīng)鏈造成的不良影響,甚至?xí)?dǎo)致供應(yīng)鏈合作關(guān)系的破裂。如何有效地防范信息共享過程中的信息泄露對于供應(yīng)鏈信息共享和供應(yīng)鏈合作有著十分重要的意義。

關(guān)鍵詞:供應(yīng)鏈;信息共享;信息泄露

中圖分類號:F274 文獻標(biāo)識碼:B

實施信息共享是實現(xiàn)供應(yīng)鏈體系高效、協(xié)調(diào)運轉(zhuǎn)的關(guān)鍵所在。然而,在供應(yīng)鏈實際運作過程中,看似有百利而無一害的信息共享實施起來卻并不順利,企業(yè)擔(dān)心信息共享過程中共享的信息會被泄露給競爭對手,從而導(dǎo)致企業(yè)喪失競爭優(yōu)勢。因此,使得很多企業(yè)不愿意參與信息共享。隨著共享信息被頻繁泄露及其對供應(yīng)鏈的運作產(chǎn)生的不良后果,供應(yīng)鏈信息共享過程中的信息泄露問題越來越引起學(xué)術(shù)界和企業(yè)界的關(guān)注。

一、供應(yīng)鏈信息泄露的概念

信息泄露最早見諸于經(jīng)濟學(xué)文獻,Grossman和Stiglitz認(rèn)為在市場中價格有信息收集者的功能,因此,可以將信息從擁有信息的企業(yè)傳遞給沒有信息的企業(yè)[1],這個傳遞過程就是信息泄露的過程。在R&D的研究中,為了強調(diào)技術(shù)創(chuàng)新的私有性,學(xué)者們也引入了信息泄露的概念,它專指在R&D過程中研發(fā)信息的無意傳播,因為從R&D中獲利的可能性會讓一些搭便車者從其對本身價格的影響推斷出信息的內(nèi)容。Baccara認(rèn)為信息泄露是指在企業(yè)委托承包商(contractor)生產(chǎn)產(chǎn)品時,承包商將產(chǎn)品技術(shù)泄露給企業(yè)的競爭者的過程[2]。因為,若要委托承包商生產(chǎn)產(chǎn)品,則必須令其了解產(chǎn)品的生產(chǎn)技術(shù),因此,承包商就有了將委托企業(yè)的技術(shù)泄露給其競爭者的機會。一般來說,承包商會通過以下兩種途徑把委托企業(yè)的信息泄露給其他的企業(yè):一是由于承包商沒有很好的控制所掌握的信息而通過溢出效應(yīng)(spillover)泄露給其他的企業(yè);二是承包商將自己掌握的信息標(biāo)價出售給其他的企業(yè)。

在供應(yīng)鏈中,信息共享不僅對于參與共享的零售商有“直接效應(yīng)”(direct effect),而且由于制造商制定的批發(fā)價格是共享的需求信息的函數(shù),沒有參與共享的零售商可以通過它推斷出共享信息的內(nèi)容,從而信息共享對于沒有參與其中的零售商也會產(chǎn)生“間接效應(yīng)”(indirect effect),也被稱為“泄露效應(yīng)”(leakage effect),即由于信息泄露對于沒有參與信息共享的零售商的決策產(chǎn)生的影響[3]。

綜合上述關(guān)于信息泄露的描述,所謂供應(yīng)鏈信息泄露是指在供應(yīng)鏈信息共享過程中,共享的信息被有意或者無意的泄露給沒有參與信息共享的其他企業(yè)的過程。這里所說的沒有參與共享的其他企業(yè)既包括供應(yīng)鏈上沒有參與信息共享的成員企業(yè),也包括供應(yīng)鏈之外的企業(yè)。

從定義可以看出,供應(yīng)鏈信息泄露可以分為無意的信息泄露和有意的信息泄露兩種類型。不難發(fā)現(xiàn)文獻[3]描述的泄露效應(yīng),只是片面的強調(diào)了沒有參與信息共享的企業(yè)通過批發(fā)價格獲得共享信息,即無意的信息泄露的過程,而忽略了制造商主動將信息泄露給沒有參與共享的企業(yè)的過程。

二、供應(yīng)鏈信息泄露的途徑

(一)獨立于供應(yīng)鏈之外的第三方企業(yè)泄露信息

在供應(yīng)鏈中,企業(yè)往往需要和第三方信息收集公司共享信息以便于更好的把握市場狀況并進行決策。但是,掌握了供應(yīng)鏈成員的信息以后很容易引發(fā)第三方信息收集公司的敗德行為,比如有一些信息收集公司會將自己掌握的信息標(biāo)價出售給共享信息企業(yè)的競爭對手。2001年Wal-Mart宣布不再和Information Resources Inc.和ACNielsen等第三方信息收集公司共享銷售數(shù)據(jù),原因是這些公司將共享銷售信息出售給了Wal-Mart的競爭對手,從而使Walmart遭受了嚴(yán)重的經(jīng)濟損失[4]。第三方的信息泄露不僅來源于信息收集公司,還來源于第三方的外包加工企業(yè)以及咨詢公司等。Dye還提到當(dāng)企業(yè)在委托第三方咨詢公司對風(fēng)險投資項目的價值進行評估的時候,往往由于咨詢公司泄露了項目的內(nèi)容而減少了項目的價值[5]。

(二)供應(yīng)鏈上游企業(yè)泄露信息

供應(yīng)鏈信息共享通常是指下游企業(yè)將信息和上游企業(yè)共享,下游零售商將其掌握的市場需求信息傳遞給上游制造商與之共享。但是,這也增加了零售商共享給制造商的信息被泄露的可能。原因在于,將共享信息泄露給下游零售商可以提高制造商對市場需求預(yù)測的精度,從而使制造商的產(chǎn)量更加接近于市場需求的真實水平,這樣就會減少因缺貨或者庫存而產(chǎn)生的成本。因此,為了提高收益制造商往往會將共享的信息主動或者有意的泄露給沒有參與共享的企業(yè)。由于泄露信息可以提高自己的收益,制造商往往是無償披露零售商共享的信息,這一點也有別于Baccara提到的標(biāo)價出售的有意信息泄露行為。當(dāng)然,在供應(yīng)鏈中也存在供應(yīng)商將零售商共享的信息出售給其他零售商的現(xiàn)象,比如由supplychainaccess.com進行的一項調(diào)查表明,有64%的供應(yīng)鏈經(jīng)理指出其共享信息被供應(yīng)商出售給他們的競爭對手[6]。在前文音樂產(chǎn)業(yè)的例子中,泄露信息的不僅是SoundScan,還有Newbury Comic的上游供應(yīng)商——唱片公司。

另外,從supplychainaccess.com的調(diào)查不難看出,上游企業(yè)泄露下游企業(yè)的共享信息的現(xiàn)象在供應(yīng)鏈中非常普遍。

(三)供應(yīng)鏈下游企業(yè)泄露信息

在供應(yīng)鏈中上游企業(yè)將產(chǎn)品出售給下游企業(yè)也往往會導(dǎo)致信息泄露的出現(xiàn)。出售給下游企業(yè)產(chǎn)品包含了上游制造商的很多技術(shù)創(chuàng)新,下游企業(yè)購買產(chǎn)品后為了促進上游企業(yè)之間的競爭以便獲得更低廉的采購價格,往往會將產(chǎn)品中的技術(shù)創(chuàng)新故意泄露給其他的上游企業(yè)。這種現(xiàn)象在汽車產(chǎn)業(yè)中尤為明顯,因此,產(chǎn)品創(chuàng)新的保護問題在汽車產(chǎn)業(yè)中是一個急需解決的問題。

福特在采購條款中明確說明任何應(yīng)用與整車的部分設(shè)計或者修改必須給福特一個永久的非排他性的許可,這就從根本上給予了福特公司將這些設(shè)計和修改出售給其他供應(yīng)商的可能。這樣,福特就能將供應(yīng)商的產(chǎn)品創(chuàng)新泄露給其他的供應(yīng)商并獲取更低廉的采購價格[7]。20世紀(jì)90年代,GM公司在沒有得到許可的情況下將供應(yīng)商的產(chǎn)品創(chuàng)新泄露給其他的供應(yīng)商,以獲得更低的采購價格,從而達到節(jié)約成本的目的。在Ward2007年的一項針對447個汽車零配件供應(yīng)商進行的關(guān)于產(chǎn)品創(chuàng)新保護的調(diào)查中,有超過28%的汽車零件供應(yīng)商反應(yīng)其知識產(chǎn)權(quán)至少被一家汽車制造商泄露過[7]。

(四)供應(yīng)鏈管理系統(tǒng)泄露信息

供應(yīng)鏈?zhǔn)且粋€極其復(fù)雜的信息管理系統(tǒng),尤其當(dāng)它發(fā)展到集成供應(yīng)鏈階段時,要靠計算機網(wǎng)絡(luò)來傳輸和承載大量的數(shù)據(jù)。除了少數(shù)的信息安全要求特別高的供應(yīng)鏈網(wǎng)絡(luò)采用專網(wǎng)以外,絕大多數(shù)供應(yīng)鏈?zhǔn)腔贗nternet網(wǎng)絡(luò)體系構(gòu)建的。Internet技術(shù)的注入,使得供應(yīng)鏈上各個節(jié)點企業(yè)之間進行高質(zhì)量的信息傳遞和信息共享成為可能。帶來便利的同時,網(wǎng)絡(luò)環(huán)境的開放性使供應(yīng)鏈企業(yè)在利用Internet進行信息共享的過程中不可避免的帶來了信息泄露的隱患。在供應(yīng)鏈信息共享過程中信息可能要通過多個網(wǎng)絡(luò)設(shè)備,從這些網(wǎng)絡(luò)設(shè)備上都能不同程度地截獲信息的內(nèi)容,這樣就增加了信息泄露的可能。競爭對手或商業(yè)間諜可能從Internet入侵企業(yè)內(nèi)網(wǎng),得到企業(yè)的私有信息,從而在市場競爭中獲得主動。黑客也可以發(fā)起針對供應(yīng)鏈網(wǎng)絡(luò)服務(wù)器的攻擊,給企業(yè)造成巨大的損失。在供應(yīng)鏈的網(wǎng)絡(luò)信息安全問題中,數(shù)據(jù)庫的安全問題尤其需要格外重視,由于供應(yīng)鏈中的各個企業(yè)往往需要共享庫存信息、需求信息、銷售信息、預(yù)測信息、客戶資料和技術(shù)文檔等信息,這些對各個企業(yè)及整個供應(yīng)鏈至關(guān)重要的共享信息被大量的存儲于數(shù)據(jù)庫中,如果數(shù)據(jù)庫遭受攻擊,則供應(yīng)鏈上所有的企業(yè)都將受到影響,如果數(shù)據(jù)庫內(nèi)的信息被無意或有意篡改,同樣這些企業(yè)將無法進行正常的經(jīng)營活動。

三、供應(yīng)鏈信息泄露的防范措施

為了便于說明問題,現(xiàn)將在供應(yīng)鏈信息共享中擁有信息的供應(yīng)鏈成員稱為委托人,接受共享信息的供應(yīng)鏈成員稱為代理人。在供應(yīng)鏈信息共享過程中,代理人為了追求自身利益的增加,往往會將委托人共享的信息泄露給沒有參與共享供應(yīng)鏈成員,這樣會導(dǎo)致委托人的收益的降低,從而打擊委托人共享信息的積極性,最終導(dǎo)致供應(yīng)鏈合作關(guān)系的破裂。因此,如何有效地防范信息共享過程中的信息泄露對于供應(yīng)鏈信息共享以及供應(yīng)鏈合作有著十分重要的意義。

(一)建立信息泄露識別機制

信息泄露識別是有效的預(yù)防供應(yīng)鏈信息泄露的首要階段,是發(fā)現(xiàn)潛在信息泄露風(fēng)險、伴隨整個供應(yīng)鏈信息交換的關(guān)鍵過程。信息泄露識別是用感知、判斷或歸類的方式對現(xiàn)實的和潛在的可能發(fā)生的信息泄露進行鑒別的過程。只有在正確識別出信息泄露的基礎(chǔ)上,供應(yīng)鏈企業(yè)才能主動選擇適當(dāng)有效的方法進行相應(yīng)的處理。信息泄露識別的主要任務(wù)是要從錯綜復(fù)雜的環(huán)境中找出供應(yīng)鏈中所有可能發(fā)生的信息泄露。信息泄露識別一方面可以通過感性認(rèn)識和歷史經(jīng)驗來判斷,另一方面也可通過對各種客觀的資料和有關(guān)記錄來分析、歸納和整理,以及必要的專家咨詢,從而找出各種明顯和潛在的信息泄露風(fēng)險及其損失規(guī)律。

(二)簽訂保密協(xié)議

供應(yīng)鏈運作過程中的信息共享涉及的很多信息是供應(yīng)鏈成員的機密信息,但是機密并不意味著絕對不能與其他成員分享。對于要分享的信息,委托人和代理人之間一定要簽訂保密協(xié)議。保密協(xié)議應(yīng)該是供應(yīng)鏈合作的第一步,在保密協(xié)議中委托人要明確規(guī)定保密信息的類型、信息的使用范圍及分享范圍,不經(jīng)委托人的(書面)同意,代理人不能將保密協(xié)議列出的保密信息的類型泄露給協(xié)議規(guī)定的信息分享范圍以外的任何企業(yè),保證僅限于代理人工作上確實需要知道此類信息的部門指導(dǎo),并且對此類信息的保護程度要不下于對自己企業(yè)的同類信息的保護。

保密協(xié)議中還要明確規(guī)定,如果協(xié)議雙方違反協(xié)議后應(yīng)該承擔(dān)的法律責(zé)任,這樣就能使用法律武器保護企業(yè)的合法權(quán)益。不僅如此,委托人還要實施懲罰措施,一旦代理人違反保密協(xié)議就給出相應(yīng)的懲罰。

除了和代理人簽訂保密協(xié)議外,委托人在企業(yè)內(nèi)部也要制定嚴(yán)格的保密措施,限定知悉機密信息的人員,盡量縮小知悉機密信息的范圍,嚴(yán)格限制知密人員以外的其他人員出入具有商業(yè)機密的場所。還要通過合理的競業(yè)禁止,防止人才流動泄露企業(yè)機密信息。對于技術(shù)創(chuàng)新和知識產(chǎn)權(quán)要及時地申請專利,通過法律手段保護企業(yè)的合法權(quán)利。

(三)建立激勵機制

信息泄露會影響供應(yīng)鏈的整體效率。當(dāng)然,通過供應(yīng)鏈節(jié)點企業(yè)之間建立起良好的信用機制和合作氛圍,使各成員的利益和目標(biāo)相協(xié)調(diào),可以在一定程度上減少信息泄露。但由于有限理性的存在,企業(yè)往往之關(guān)注自身效用和收益的最大化,因此,僅僅靠信用的約束是不夠的,必須有一套行之有效的激勵約束機制來制約和激勵供應(yīng)鏈節(jié)點企業(yè)的信息傳遞行為,促使代理人不泄露委托人的信息。激勵機制可以通過提供合適的信息和激勵措施,保證買賣雙方協(xié)調(diào)優(yōu)化銷售渠道的有關(guān)條款。它可以在一定的信息結(jié)構(gòu)下制約個體的行為,或者刺激個體提供良好的服務(wù)。同時供應(yīng)鏈企業(yè)要加強對代理人的監(jiān)督,建立一種全面的指標(biāo)評價體系和有效的監(jiān)督機制,有效的改進系統(tǒng)的整體性能。

(四)加強網(wǎng)絡(luò)安全

構(gòu)筑并維護供應(yīng)鏈完善的網(wǎng)絡(luò)安全體系是一個龐大而復(fù)雜的工程,能從根本上解決通過網(wǎng)絡(luò)造成的信息泄露。首先必須在供應(yīng)鏈構(gòu)建中考慮信息安全性問題;其次要建立自主產(chǎn)權(quán)的網(wǎng)絡(luò)操作系統(tǒng),建立在他人操作系統(tǒng)之上的網(wǎng)絡(luò)安全系統(tǒng),無論從何角度上講,安全性都值得懷疑;必須研制高強度的保密算法,網(wǎng)絡(luò)安全從本質(zhì)上說與數(shù)據(jù)加密息息相關(guān),網(wǎng)絡(luò)安全建設(shè)應(yīng)與密碼算法研制、密鑰管理理論和安全性證明方法的研究同步發(fā)展;最后,可以針對供應(yīng)鏈管理系統(tǒng)運行的實際信息安全需要,利用虛擬專用網(wǎng)VPN來構(gòu)架信息安全框架。VPN可以提供如下功能:加密數(shù)據(jù),以保證通過公網(wǎng)傳輸?shù)男畔⒓词贡凰私孬@也不會泄露;信息認(rèn)證和身份認(rèn)證,保證信息的完整性、合法性,并能鑒別用戶的身份;提供訪問控制,不同的用戶有不同的訪問權(quán)限。另外,研制專門針對供應(yīng)鏈管理系統(tǒng)網(wǎng)絡(luò)安全的殺毒軟件也刻不容緩。

(五)建立應(yīng)急處理機制

企業(yè)雖然采取了各種措施來規(guī)避和控制供應(yīng)鏈中的信息泄露。但是,天有不測風(fēng)云,一些意外的事件會時有發(fā)生。在信息泄露發(fā)生后,企業(yè)要有要采取一定的應(yīng)急措施,將損失控制在最小范圍內(nèi)。這就要求企業(yè)在對供應(yīng)鏈信息泄露充分認(rèn)識的同時,預(yù)先建立應(yīng)急處理機制,對緊急、突發(fā)的信息泄露進行應(yīng)急處理,以避免給供應(yīng)鏈中多個企業(yè)帶來更大的損失。

四、結(jié)論

眾所周知,信息共享不僅可以使供應(yīng)鏈上企業(yè)更好的安排生產(chǎn)作業(yè)及庫存配送計劃,降低供應(yīng)鏈的整體成本,還能促進合作企業(yè)間的相互信任,加快供應(yīng)鏈整體對市場變化的響應(yīng)。但是,由于信息泄露的影響使得信息共享實施起來并不順利。本文結(jié)合前人的研究提出了供應(yīng)鏈信息泄露的概念,通過一系列實例分析發(fā)現(xiàn)供應(yīng)鏈中的共享信息會通過獨立于供應(yīng)鏈的第三方企業(yè)、供應(yīng)鏈上游企業(yè)、供應(yīng)鏈下游企業(yè)以及供應(yīng)鏈管理系統(tǒng)等四種途徑泄露給沒有參與共享的其他企業(yè),最后在此基礎(chǔ)上提出了建立有效的信息泄露識別機制、簽訂保密協(xié)議、建立有效的激勵機制、加強網(wǎng)絡(luò)安全及建立應(yīng)急處理機制等防范措施。通過實施這些措施可以有效地解決供應(yīng)鏈運作過程中的信息泄露問題。

參考文獻:

[1] Grossman S J, Stiglitz J E. On the Impossibility of Informationally Efficient Markets[J].American Economic Review, 1980, 70(3):393-408.

[2] Baccara M. Outsourcing, information leakage, and consulting firms[J].RAND Journal of Economics, 2007, 38(1):269-289.

[3] Li L. Information sharing in a supply chain with horizontal competition[J].Management Science, 2002, 48(9):1196-1212.

[4] Hays C L. What Wal-Mart Knows About Customers′ Habits[N].The NewYork Times, 2004.

[5] Dye R A, Sridhar S S. Investment Implications of Information Acquisition and Leakage[J].Management Science, 2003,49(6):767-783.

[6] Zhang C, Li S. Secure information sharing in internet-based supply chain management systems[J].Journal of Computer Information Systems, 2006, 46(4):18-24.

[7] Murphy T. Protection In Question[EB/OL]. http://wardsautoworld.com/ar/auto_protection_question/, 2007.

(責(zé)任編輯:石樹文)