في عالم اليوم المترابط، تعد سلسلة توريد البرامج عبارة عن شبكة واسعة من الاتصالات الهشة التي أصبحت هدفًا رئيسيًا لمجرمي الإنترنت. إن الطبيعة المعقدة لسلسلة توريد البرمجيات، بمكوناتها وتبعياتها العديدة، تجعلها عرضة للاستغلال. تعتمد المؤسسات على برامج من العديد من البائعين، ولكل منهم وضع الأمان الخاص به، مما قد يعرضهم للخطر إذا لم يتم إدارتها بشكل صحيح.
وكالة الأمن السيبراني وأمن البنية التحتية (CISA) نشرت مؤخرا “دليل الأمن حسب الطلب” الشامل: كيف يمكن لعملاء البرامج قيادة نظام بيئي آمن للتكنولوجيا لمساعدة المؤسسات على فهم كيفية تأمين سلاسل توريد البرامج الخاصة بهم بشكل فعال. مع زيادة استخدام كل من البائعين والجهات الفاعلة في مجال التهديد للذكاء الاصطناعي، يعد هذا الدليل مصدرًا مناسبًا للمؤسسات التي تسعى إلى التنقل بشكل أكثر فعالية في علاقاتها مع بائعي البرامج.
أهمية تأمين سلسلة توريد البرمجيات
هجمات سلسلة التوريد، مثل سيئة السمعة تغيير انتهاكات الرعاية الصحية وCDK العالمية، تسليط الضوء على الأهمية الحاسمة لتأمين سلسلة توريد البرمجيات. إنها تمثل خطرًا كبيرًا على كل مؤسسة نظرًا لأن ثغرة أمنية واحدة يمكن أن يكون لها تأثير الدومينو الذي يعرض السلسلة بأكملها للخطر. يمكن أن يكون لهذه الهجمات عواقب مدمرة، بما في ذلك خروقات البيانات، والاضطرابات التشغيلية، والعقوبات التنظيمية، والإضرار بالسمعة بشكل لا يمكن إصلاحه.
يعد دليل CISA بمثابة أساس ممتاز للمؤسسات التي تحتاج إلى تنفيذ إستراتيجية قوية لأمن سلسلة توريد البرامج. تعتبر أفضل الممارسات هذه ذات قيمة خاصة للشركات العامة المطلوب منها الإبلاغ عن الهجمات الإلكترونية المادية إلى هيئة الأوراق المالية والبورصات. أهم ثلاث وجبات سريعة للمؤسسات هي:
1. تبني الشفافية الجذرية: تحث CISA البائعين على تبني الشفافية الجذرية، وتوفير رؤية شاملة ومفتوحة لممارساتهم الأمنية ونقاط الضعف والمنهجيات والبيانات والمبادئ التوجيهية.
2. الحصول على ملكية النتائج الأمنية: يجب أن يكون البائعون مسؤولين عن النتائج الأمنية لبرامجهم. ومن خلال الرؤية الواضحة لكل من الوضع الأمني الخاص بها ووضع البائعين التابعين لها، يمكن للمؤسسات تحديد نقاط الضعف واتخاذ الإجراءات التصحيحية.
3. اجعل الأمن جهدًا جماعيًا: التأكد من أن الأهداف الأمنية للمنظمة محددة بوضوح ويتم توصيلها إلى جميع الموظفين. لا ينبغي التعامل مع الأمن السيبراني كمسؤولية فردية، بل كأولوية على مستوى الشركة، تمامًا مثل وظائف العمل المهمة الأخرى.
إتقان تقييمات البائعين
مؤخرًا بحث وجدت شركة SecurityScorecard أن 99% من شركات Global 2000 كانت مرتبطة بشكل مباشر باختراق سلسلة التوريد. يمكن أن تكون هذه الحوادث مكلفة للغاية، حيث تكون تكاليف المعالجة والإدارة أعلى 17 مرة من انتهاكات الطرف الأول. وللتخفيف من هذه المخاطر، يجب على المؤسسات إعطاء الأولوية لإجراء تقييمات شاملة للبائعين. يمكن أن تستغرق تقييمات البائعين وقتًا طويلاً، ولكنها لا تقل أهمية عن ضمان أمان شركتك. تشمل العديد من العمليات الرئيسية التي يجب مراعاتها ما يلي:
-
إجراء تقييمات منتظمة للموردين: أولاً وقبل كل شيء، لن ينجح تقييم البائع إذا قمت بذلك مرة واحدة فقط في الشهر الأزرق. قم بتقييم المواقف الأمنية لمورديك بشكل مستمر للتأكد من امتثالهم لمعايير أمان الصناعة وأن برامجهم لا تعرض مؤسستك لنقاط الضعف. يتضمن ذلك إجراء عمليات تدقيق أمنية منتظمة، ومراجعة الممارسات الأمنية للبائعين، وتقييم قدراتهم على الاستجابة للحوادث.
-
اطلب منتجات آمنة التصميم: اجعل “الآمن حسب التصميم” أمرًا غير قابل للتفاوض. قم بإعطاء الأولوية للموردين الذين يقومون بدمج الأمان في كل مرحلة من دورة حياة المنتج، مما يضمن اعتباره اعتبارًا أساسيًا بدءًا من التطوير وحتى النشر، وليس فكرة لاحقة.
-
تنفيذ سياسات قوية لإدارة البائعين: قم بتطوير سياسة شاملة لإدارة البائعين تتضمن إجراءات الإعداد والمراقبة المستمرة والمبادئ التوجيهية للتوقعات الأمنية طوال العلاقة مع البائع. يجب أن تحدد هذه السياسة متطلبات الأمان التي يجب على البائعين استيفائها وإنشاء قنوات اتصال واضحة للإبلاغ عن المشكلات الأمنية ومعالجتها.
-
ضمان الوصول والامتيازات المحدودة: العمل على مبدأ الامتياز الأقل مع البائعين. امنحهم فقط الحد الأدنى من الوصول والأذونات اللازمة لإنجاز مهامهم. يمكن أن يؤدي الإفراط في توفير الوصول إلى توسيع سطح الهجوم لديك بشكل كبير. قم بتنفيذ ضوابط وصول قوية وإجراء مراجعات منتظمة للتأكد من أن الموظفين المصرح لهم فقط هم من يمكنهم الوصول إلى الأنظمة والبيانات الحساسة.
-
رصد نقاط الضعف والضعف: راقب بشكل فعال نقاط الضعف الجديدة في البرامج التي يقدمها البائعون لديك. استخدم الأدوات الآلية لاكتشاف نقاط الضعف والاستجابة بسرعة لتقليل التعرض لها. ابق على اطلاع بالتهديدات الناشئة وأفضل ممارسات الصناعة لضمان استعداد مؤسستك لمواجهة التحديات الجديدة.
تأمين مستقبل سلسلة التوريد
تُظهر خروقات سلسلة التوريد في Change Healthcare وCDK Global العواقب المدمرة لإهمال أمن سلسلة توريد البرامج. يمكن أن تؤدي هذه الهجمات إلى خسائر بمليارات الدولارات، وأشهر من الاضطراب التشغيلي، وأضرار لا يمكن إصلاحها للسمعة، وتداعيات قانونية، وغرامات تنظيمية، وفقدان ثقة العملاء. علاوة على ذلك، تتطلب جهود التعافي، مثل تحقيقات الطب الشرعي واستعادة النظام، موارد كبيرة.
يعد التعاون أمرًا مهمًا في أي صناعة، ولكن في عصرنا الحالي الذي يتسم بتزايد الجهات الفاعلة التي تهدد الدولة القومية وحتى المتسللين الأفراد في مرآب آبائهم، يعد التعاون وتبادل المعلومات بين المتخصصين في مجال الأمن السيبراني أمرًا حيويًا. ومن خلال التوافق مع مبادئ الأمن حسب الطلب، واستخدام المراقبة المستمرة، وتنفيذ ثقافة الشفافية، يمكن للمؤسسات تعزيز دفاعاتها وتقليل مخاطر هجمات سلسلة التوريد بشكل كبير.
