حزم تطوير البرمجيات من الأطراف الثالثة، أي مجموعات أدوات تطوير البرمجيات التي يقدمها موردو التحليلات والإعلانات ودعم العملاء وإثراء الميزات، هي مكتبات شيفرة جاهزة تدمجها تطبيقات الأجهزة المحمولة والويب للوصول إلى وظائف محددة دون بنائها من الصفر. وعندما يدمج تطبيق ما SDK، فإنه يضم شيفرة تعمل داخل عملية التطبيق، ولها وصول إلى بيانات التطبيق، وقد تجمع بيانات من الجهاز أو المستخدم دون دراية كاملة من مطور التطبيق بكل سلوك لجمع البيانات. ومخاطر SDK فئة من مخاطر سلسلة التوريد تقع عند تقاطع الأمن والخصوصية والامتثال التنظيمي، وكثيرًا ما لا تُقيَّم بالقدر الكافي لأن عمليات تكامل SDK تبدو أقرب إلى إضافة ميزات منها إلى علاقات مع موردين من الأطراف الثالثة.
آلية تحديث SDK هي خطر سلسلة التوريد المحدد. فحزم تطوير البرمجيات يحدّثها مزودوها وتُدمج في التطبيقات عبر إدارة التبعيات. وعندما يغيّر مزود SDK سلوك SDK في جمع البيانات ضمن تحديث، بإضافة معرّفات أجهزة جديدة أو توسيع التتبع السلوكي أو تفعيل عمليات نقل جديدة عبر الشبكة، ينتقل ذلك التغيير إلى كل تطبيق يُحدَّث إلى إصدار SDK الجديد. ومطورو التطبيقات الذين يحدّثون حزم تطوير البرمجيات ضمن الصيانة الروتينية للتبعيات قد لا يراجعون سجل تغييرات SDK بتفصيل كافٍ لتحديد تغييرات السلوك ذات الصلة بالخصوصية قبل إصدار التطبيق المحدّث.
الاستحواذ حدث محفز محدد عالي الخطورة في حوكمة SDK. فعندما يُستحوذ على مزود SDK، قد تختلف مصالح الشركة المستحوِذة في البيانات وممارساتها في الخصوصية عن المزود الأصلي. وقد يحدّث المالك الجديد SDK لجمع بيانات إضافية تخدم نموذج أعمال الشركة المستحوِذة. ومطورو التطبيقات الذين يتتبعون مزود SDK بحثًا عن التغييرات قد يفوتهم تحديث SDK ناتج عن الاستحواذ إذا لم يراقبوا ملكية SDK وهيكلها المؤسسي إلى جانب سلوكها التقني.
لماذا يهم هذا
تكتسب مخاطر SDK أهميتها في TPRM لأن حزم تطوير البرمجيات في تطبيقات المؤسسات للأجهزة المحمولة والويب تُنشئ مخاطر في جمع البيانات ونقلها قد لا تكون المؤسسة على دراية كاملة بها، وتتغير بمرور الوقت مع تحديث مزودي SDK لمنتجاتهم. وتشترط لوائح الخصوصية، مثل GDPR وCCPA وCOPPA، أن تفصح المؤسسات عن جميع عمليات جمع البيانات الشخصية وأن يكون لها أساس قانوني لذلك، بما في ذلك البيانات التي تجمعها حزم تطوير البرمجيات المدمجة. وSDK التي تجمع بيانات تتجاوز ما تفصح عنه سياسة الخصوصية لدى المؤسسة تُنشئ تعرضًا تنظيميًا فوريًا.
- تقييم SDK عند التكامل دون مراقبة مستمرة
- عدم مراجعة تغييرات السلوك في تحديثات SDK قبل دمج التحديثات
- عدم تحديد استحواذ المزود بوصفه حدثًا محفزًا لحوكمة SDK
- عدم التحقق المستمر من توافق سياسة الخصوصية مع جمع البيانات في SDK
- غياب تحليل حركة مرور الشبكة عن تقييم سلوك SDK
كيف تبدو الممارسة الجيدة
تحتفظ برامج حوكمة SDK الناضجة بجرد محدّث لـSDK مع توثيق سلوك جمع البيانات، وتراقب تحديثات SDK بحثًا عن تغييرات في السلوك ذات صلة بالخصوصية قبل دمجها، وتعتبر تغييرات ملكية المزود أحداثًا محفزة لإعادة تقييم SDK، وتتحقق من توافق سياسة الخصوصية مع السلوك الفعلي لـSDK في جمع البيانات.
- جرد SDK مع توثيق سلوك جمع البيانات
- مراجعة سجل تغييرات تحديثات SDK بحثًا عن تغييرات السلوك ذات الصلة بالخصوصية
- مراقبة استحواذ المزود بوصفها محفزًا لإعادة تقييم SDK
- التحقق من توافق سياسة الخصوصية: الجمع الفعلي مقابل الجمع المُفصح عنه
- تحليل حركة مرور الشبكة للتحقق من سلوك SDK في نقل البيانات
الأدوات
تحليل SDK: Exodus Privacy لتحليل SDK في Android؛ وCharles Proxy وmitmproxy لتحليل حركة مرور الشبكة
تستطيع أدوات تحليل SDK تقييم سلوك حزم تطوير البرمجيات للأجهزة المحمولة في جمع البيانات ونقلها عبر الشبكة، بتحديد البيانات التي تصل إليها SDK والجهات التي تنقلها إليها. ويكشف تحليل حركة مرور الشبكة خلال اختبار SDK سلوك النقل الفعلي الذي قد لا يكون موثقًا في وثائق الخصوصية لدى مزود SDK. وبالنسبة إلى ممارسي TPRM، فإن سؤال الموردين عمّا إذا كانوا قد أجروا تحليلًا لحركة مرور الشبكة لعمليات تكامل SDK لديهم ضمن مراجعة التكامل يمثل سؤالًا محددًا لتقييم سلوك SDK.
تحديات الحوكمة
يتمثل التحدي الحوكمي في حوكمة SDK في متطلب الدمج في سير عمل التطوير. إذ يجب دمج مراجعة تحديثات SDK في عملية التطوير عند نقطة تحديث التبعية، لا إجراؤها مراجعةً أمنية منفصلة بعد دمج التحديثات. ويكمن الحل الحوكمي في متطلبات لمراجعة سجل التغييرات خاصة بـSDK في سير عمل التطوير، تُفعَّل عند أي تحديث لإصدار SDK في بيان التبعيات.
- اشتراط مراجعة سجل تغييرات SDK قبل دمج أي تحديث لإصدار SDK
- مراقبة ملكية مزود SDK لرصد عمليات الاستحواذ والاندماج
- التحقق من توافق سياسة الخصوصية مع جمع البيانات في SDK بعد كل تحديث
- إجراء تحليل لحركة مرور الشبكة لحزم تطوير البرمجيات التي تجمع قدرًا كبيرًا من البيانات
- تضمين حوكمة SDK في تقييم أمن تطبيقات الأجهزة المحمولة والويب
إذا كنت فريقًا صغيرًا
أنشئ جردًا لجميع حزم تطوير البرمجيات من الأطراف الثالثة في تطبيقاتك للأجهزة المحمولة والويب. ولكل SDK، وثّق البيانات التي تذكر وثائق مزود SDK أن SDK تجمعها وتنقلها. ثم تحقق من أن سياسة الخصوصية لديك تفصح عن جميع عمليات الجمع تلك. وبالنسبة إلى حزم الإعلانات والتحليلات، وهي الفئات الأعلى خطورة من حيث جمع البيانات غير المتوقع، أجرِ اختبار اعتراض لحركة مرور الشبكة لتأكيد أن النقل الفعلي للبيانات يطابق الوثائق. وتحدد عملية الجرد والتحقق هذه مخاطر جمع البيانات في SDK التي حددها تقييم التكامل في لحظة زمنية معينة لكنها لا تُتتبع بالمراقبة المستمرة.
- جرد جميع حزم تطوير البرمجيات من الأطراف الثالثة مع توثيق سلوك جمع البيانات
- التحقق من توافق سياسة الخصوصية مع وثائق جمع البيانات في SDK
- مراقبة ملكية مزود SDK لرصد عمليات الاستحواذ
- إجراء تحليل لحركة مرور الشبكة لحزم تطوير البرمجيات الخاصة بالإعلانات والتحليلات
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«هل يمكنكم تقديم وثائق لجميع حزم تطوير البرمجيات من الأطراف الثالثة المدمجة في تطبيقكم، مع تحديد البيانات التي تجمعها كل SDK وتنقلها، وكيف تحددون تغييرات السلوك ذات الصلة بالخصوصية في تحديثات SDK وتراجعونها قبل دمجها في منتجكم؟»
ما تتوقعه دليلًا
- جرد SDK مع توثيق سلوك جمع البيانات
- عملية مراجعة تحديثات SDK للتغييرات ذات الصلة بالخصوصية
- تأكيد توافق سياسة الخصوصية
- نتائج تحليل حركة مرور الشبكة لحزم تطوير البرمجيات عالية الخطورة
ينبغي سؤال المورد الذي يؤكد أمن التطبيقات لديه عن جرد SDK والحوكمة المستمرة لها. فتقييم SDK عند التكامل يؤكد السلوك في تلك اللحظة. أما مراقبة التحديثات المستمرة وتتبع الملكية فمطلوبان لرصد تغييرات السلوك التي تحدث بعد التكامل.
كيف تُثبت ذلك
- جرد SDK مع توثيق جمع البيانات
- سجلات مراجعة تحديثات SDK
- سجلات مراقبة ملكية المزودين
- التحقق من توافق سياسة الخصوصية
الخلاصة الرئيسية
SDK: قُيّمت عند التكامل. المزود: استُحوذ عليه بعد 18 شهرًا. تحديث SDK: قدرات جديدة لجمع البيانات. سياسة الخصوصية لدى المؤسسة: لم تُحدَّث. التعرض التنظيمي: فوري. يرصد تقييم SDK عند التكامل السلوك في لحظة زمنية واحدة. أما مخاطر سلسلة التوريد في حزم تطوير البرمجيات فهي السلوك الذي يتغير بعد التكامل، عبر تحديثات SDK واستحواذات المزودين وإضافات الميزات الجديدة التي توسّع جمع البيانات إلى ما يتجاوز نطاق التقييم الأصلي. ومراجعة سجل تغييرات التحديثات ومراقبة الملكية والتحقق من توافق سياسة الخصوصية هي آليات الحوكمة المستمرة التي ترصد ما لا يستطيع التقييم في لحظة زمنية رصده.