تُرجمت هذه الصفحة وتم التحقق منها آليًا. النسخة الإنجليزية هي المرجع. بعض الأجزاء لا تزال بالإنجليزية ريثما يتم التحقق من ترجمتها. عرض بالإنجليزية · الإبلاغ عن خطأ في الترجمة
المصطلحات بكلمات واضحة
يحمل كل مصطلح تعريفه وسبب اهتمام الممارس به. والسطر الثاني هو الجزء الذي يجعله قابلًا للاستخدام. وهو مجاني في كل الفئات، لأن المصطلحات هي أول عائق أمام الدخول إلى هذا العمل، وليست الشيء الذي يصح فرض رسوم عليه.
A B C D E F G H I J K L M N O P Q R S T V W Z
A
- فعالية اعتماد صلاحيات الوصول
-
اعتماد الوصول هو العملية الدورية لمراجعة الحسابات النشطة وأذوناتها واتخاذ قرارات مدروسة بشأن ما إذا كان ينبغي لكل حساب الاحتفاظ بوصوله الحالي، أي تأكيد أن الوصول لا يزال ملائمًا، وتقليص النطاق حيث أصبح غير متناسب، وإلغاء الوصول الذي لم يعد مطلوبًا.
تكتسب فعالية التصديق على الوصول أهمية في TPRM لأن عمليات التصديق على الوصول كثيرًا ما يُستشهد بها بوصفها ضابط حوكمة أساسيًا لإدارة وصول الموردين، أي دليلًا على أن الوصول يُراجع دوريًا ويُؤكد أنه ملائم.
- فعالية المصادقة على صلاحيات الوصول: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: أحدث معدل إلغاء في حملات اعتماد الصلاحيات، لا معدل الإكمال فقط؛ وتأكيد منع الموافقة الجماعية في منصة الاعتماد؛ ووصف مراقبة جودة الاعتماد، أي كفاية وقت المراجعة وتوزيع القرارات.
- أخطاء تهيئة سياسات الوصول
-
أخطاء إعداد سياسات الوصول هي إعدادات للتحكم في الوصول لا تعكس على نحو صحيح نموذج الوصول المقصود لنظام أو مورد أو بيانات في الوقت الحالي.
تكتسب أخطاء إعدادات سياسات الوصول أهمية في TPRM لأن الموردين الذين يحتفظون ببيانات العملاء قد تكون لديهم سياسات وصول إلى التخزين وقواعد البيانات والتطبيقات أُعدّت بشكل صحيح وفق الحساسية الأصلية لتلك البيانات، لكنها لم تُحدَّث مع تطور البيانات.
- أخطاء إعدادات سياسات الوصول: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: أداة CSPM وأحدث نتائج فحصها؛ وإجراءات ربط إعادة تصنيف البيانات بمراجعة السياسات؛ ووثائق وتيرة مراجعة سياسات الوصول.
- مراجعات الوصول
-
مراجعة الوصول فحص دوري للتأكد من أن الأشخاص الذين لديهم وصول إلى نظام ما لا يزالون بحاجة إليه، يجريه شخص مؤهل للحكم، على مجتمع يمكنك إثبات اكتماله، مع تتبع عمليات الإلغاء حتى إتمامها. وهي الضابط الأكثر إخفاقًا في أعمال التأكيد، وتخفق بطريقة غير معتادة: فالمراجعة تُجرى ومع ذلك لا تجتاز.
كل إطار يشترطها، وكل مدقق يأخذ عينات منها، والطرق الأربع التي تفشل بها ثابتة. فالمجموعة المراجَعة كانت تصديرًا من نظام واحد وأغفلت المجموعات وحسابات الخدمة ومسار دعم المورد. والمراجع وافق على أربعين اسمًا من أسماء الصلاحيات لم يستطع قراءتها. ولم يُلغَ أي شيء، وهو ما يعني بعد عدة دورات أن أحدًا لم يشارك فعليًا. وسُجِّلت القرارات بينما لم يُتحقق قط من تنفيذ الإزالات.
- المساءلة
-
تشترط المادة 5(2) من GDPR أن يكون المتحكم مسؤولًا عن الامتثال لمبادئ حماية البيانات وقادرًا على إثباته. والمساءلة ليست مبدأً إضافيًا بين المبادئ السبعة، بل هي الالتزام بإثبات المبادئ الستة الأخرى. والوثائق والسجلات والتقييمات والسياسات هي الوسيلة التي يُبنى بها هذا الإثبات.
لهذا السبب يُعد التوثيق التزامًا لا مجرد ممارسة جيدة. فالمؤسسة التي تعالج البيانات على نحو مشروع لكنها لا تستطيع إظهار منطقها قد أخفقت في مبدأ المساءلة حتى لو استوفت كل المبادئ الأخرى. والسلوك الجيد غير الموثق يُقيَّم تقييمًا ضعيفًا في التحقيق لأن المحقق لا يستطيع تمييزه عن الحظ.
- قرارات الكفاية
-
قرار الكفاية هو استنتاج تصدره المفوضية الأوروبية بأن دولة ثالثة توفر مستوى من حماية البيانات يعادل في جوهره مستوى الاتحاد الأوروبي، مما يتيح تدفق البيانات الشخصية إليها دون أي آلية نقل إضافية. ومن الدول المشمولة المملكة المتحدة واليابان وسويسرا وكندا بالنسبة للمؤسسات التجارية، والولايات المتحدة في إطار خصوصية البيانات.
قرارات الكفاية مريحة ومشروطة. فقد أُبطل Safe Harbour في 2015. وأُبطل Privacy Shield في 2020. وفي كل مرة فقدت عمليات النقل المستندة إلى القرار آليتها بين ليلة وضحاها، وسارعت المؤسسات إلى البنود التعاقدية القياسية. وقد واجه Data Privacy Framework طعنًا بالفعل، وقرار المملكة المتحدة يتضمن بند انقضاء يستلزم التجديد.
- الهجمات العدائية على الذكاء الاصطناعي
-
تكتسب الهجمات العدائية أهمية في TPRM لأن نماذج الذكاء الاصطناعي التي ينشرها الموردون لاتخاذ قرارات ذات عواقب، كالتحقق من صحة المستندات والتحقق من الهوية وكشف الاحتيال وضبط الجودة، قد تنطوي على ثغرات عدائية لا تكشفها مقاييس الدقة المرجعية القياسية.
تكتسب الهجمات العدائية أهمية في TPRM لأن نماذج الذكاء الاصطناعي التي ينشرها الموردون لاتخاذ قرارات ذات عواقب، مثل التحقق من صحة المستندات والتحقق من الهوية وكشف الاحتيال ومراقبة الجودة، قد تنطوي على ثغرات عدائية لا تكشفها مقاييس الدقة المعيارية.
- الهجمات العدائية على الذكاء الاصطناعي: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: أنواع الهجمات المختبرة، أي الصندوق الأبيض والصندوق الأسود والهجمات المنقولة؛ وينبغي سؤال المورد الذي يؤكد دقة مرجعية تبلغ 97% عن متانة النموذج أمام الهجمات العدائية. فالدقة المرجعية تصف الأداء على بيانات اختبار قياسية، والمتانة أمام الهجمات العدائية تصف الأداء على مدخلات مصممة خصيصًا لاستغلال النموذج. كلاهما يقيس الأداء، لكنهما يقيسان أمرين مختلفين.
- كشف مفاتيح API للذكاء الاصطناعي
-
تعرض مفاتيح API للذكاء الاصطناعي هو الخطر الأمني الناشئ عندما تُنشأ بيانات الاعتماد التي تصادق على الوصول إلى واجهات برمجة نماذج الذكاء الاصطناعي، أي المفاتيح الصادرة عن بوابات المطورين لدى موردي الذكاء الاصطناعي، ونقاط نهاية الاستدلال، والبنية التحتية لتقديم النماذج، وتُدار وتُخزن وتُستخدم خارج برنامج إدارة بيانات الاعتماد المعتمد في المؤسسة.
تعرض مفاتيح API للذكاء الاصطناعي مهم لـTPRM لأن علاقات المؤسسة مع موردي الذكاء الاصطناعي، المتزايدة عددًا مع دمج الذكاء الاصطناعي في وظائف الأعمال، تولّد مجموعة متنامية من بيانات الاعتماد التي تصادق على الوصول إلى قدرات ذكاء اصطناعي حساسة، وقد تكشف نموذج المورد لأنماط استعلامات المؤسسة وبياناتها.
- كشف مفاتيح API للذكاء الاصطناعي: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: جرد مفاتيح API النشطة في المؤسسة؛ ونطاق الصلاحيات لكل مفتاح صادر؛ والقدرة على التنبيه عند الاستخدام غير المعتاد للمفاتيح.
- توسع سطح الهجوم بالذكاء الاصطناعي
-
توسع سطح الهجوم بالذكاء الاصطناعي هو النمو في إجمالي تعرض بيانات المؤسسة وقابلية أنظمتها للاختراق الذي يحدث مع اعتماد موردين وأدوات ذكاء اصطناعي متعددة بمرور الوقت، يُقيَّم كل منها منفردًا على أنه مخاطرة مقبولة، لكنها مجتمعةً تُنشئ سطح مخاطر أكبر من مجموع التقييمات الفردية.
يكتسب توسع سطح الهجوم في الذكاء الاصطناعي أهمية في TPRM لأن المؤسسة التي تقيّم موردي الذكاء الاصطناعي كلًا على حدة قد تغفل المخاطر الإجمالية الناشئة عن وصول عدة موردين للذكاء الاصطناعي مجتمعين إلى عناصر مختلفة من عالم البيانات نفسه.
- توسع سطح الهجوم في الذكاء الاصطناعي: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: توثيق نطاق الوصول الفردي إلى البيانات؛ والوعي بسياق التعرض الإجمالي؛ والمورد الذي يؤكد التحديد المناسب لنطاق الوصول إلى البيانات ينبغي سؤاله عن وعيه بالتعرض الإجمالي. فالتحديد الفردي للنطاق مناسب للوصول الفردي. أما التعرض الإجمالي فيتطلب الرؤية المجمعة التي لا تنتجها التقييمات الفردية.
- تحيز الذكاء الاصطناعي في قرارات المخاطر
-
تحيز الذكاء الاصطناعي في قرارات المخاطر هو التشوه المنهجي في تقييمات المخاطر التي يولّدها الذكاء الاصطناعي، والناتج عن تحيزات مضمّنة في بيانات التدريب أو خيارات تصميم النموذج أو حلقات التغذية الراجعة التي تنشأ عندما تؤثر مخرجات الذكاء الاصطناعي في بيانات التدريب المستقبلية.
يكتسب تحيز الذكاء الاصطناعي في قرارات المخاطر أهمية في TPRM لأن تقييم مخاطر الموردين المدعوم بالذكاء الاصطناعي يوجّه بشكل متزايد قرارات جوهرية بشأن علاقات الموردين، كعمق العناية الواجبة، وشروط العقود، وكثافة الرصد، وتصنيف الموردين في فئات.
- تحيز الذكاء الاصطناعي في قرارات المخاطر: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: تحليل كثافة التقييم في بيانات التدريب؛ وتقييم الأثر المتفاوت عبر فئات الموردين؛ والمورد الذي يؤكد موضوعية الذكاء الاصطناعي ينبغي سؤاله عن الدقة عبر الفئات ذات الخصائص المختلفة. فالموضوعية تؤكد الاتساق. أما الدقة عبر الفئات فتؤكد أن هذا الاتساق يعكس مخاطر حقيقية لا أنماط تقييم تاريخية.
- إنفاذ الامتثال في الذكاء الاصطناعي
-
إنفاذ الامتثال في الذكاء الاصطناعي هو القدرة التشغيلية على ضمان تطبيق سياسات حوكمة الذكاء الاصطناعي، كمتطلبات المراجعة ومعايير النشر والتزامات الرصد، فعليًا على جميع أنظمة الذكاء الاصطناعي الواقعة ضمن نطاق السياسة، لا على الأنظمة المقدَّمة للمراجعة عبر القنوات المتوقعة فحسب.
يكتسب إنفاذ الامتثال في الذكاء الاصطناعي أهمية في TPRM لأن الموردين الذين يدّعون حوكمة شاملة للذكاء الاصطناعي ينبغي تقييمهم على أساس شمول الإنفاذ، أي نسبة عمليات نشر الذكاء الاصطناعي لديهم التي تُراجَع فعلًا من خلال إجراء الحوكمة، لا على أساس إجراء الحوكمة نفسه فحسب.
- إنفاذ امتثال الذكاء الاصطناعي: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: جرد الذكاء الاصطناعي مع عدد الأنظمة المراجَعة مقابل إجمالي الأنظمة المكتشفة؛ ودمج مراجعة الذكاء الاصطناعي في مشتريات البرمجيات كخدمة؛ والمورد الذي يؤكد وجود عملية لحوكمة الذكاء الاصطناعي ينبغي سؤاله عن تغطية الإنفاذ. فالعملية تؤكد آلية الحوكمة. ونسبة التغطية تؤكد مقدار ما تصل إليه الآلية فعليًا من منظومة الذكاء الاصطناعي.
- فجوة الامتثال مقابل الأمن في الذكاء الاصطناعي
-
فجوة الامتثال مقابل الأمن في الذكاء الاصطناعي هي الفرق بين امتثال نظام الذكاء الاصطناعي للوائح العامة لحماية البيانات والأمن، مثل GDPR لمعالجة البيانات وSOC 2 لضوابط الأمن وISO 27001 لإدارة أمن المعلومات، وبين امتثاله للمتطلبات الخاصة التي تنطبق على أنظمة الذكاء الاصطناعي التي تتخذ قرارات ذات عواقب جوهر
تكتسب فجوة الامتثال مقابل الأمن في الذكاء الاصطناعي أهمية في TPRM لأن المؤسسة التي تنشر نظام ذكاء اصطناعي لدى مورد في حالة استخدام خاضعة للتنظيم ترث التزامات الامتثال الخاصة بتلك الحالة، بصرف النظر عما إذا كانت وثائق امتثال المورد تغطي تلك الالتزامات.
- فجوة الامتثال مقابل الأمن في الذكاء الاصطناعي: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: مثال على تفسير فردي وفق المادة 22؛ وتقييم المخاطر العالية وفق قانون الذكاء الاصطناعي الأوروبي؛ وينبغي أن يُطلب من المورد الذي يؤكد امتثاله للائحة GDPR مثال على التفسير وفق المادة 22. فالامتثال للائحة GDPR يغطي معالجة البيانات، والامتثال للمادة 22 يغطي اتخاذ القرار الآلي. اللائحة نفسها، والتزامات مختلفة.
- استمرارية الذكاء الاصطناعي وتخطيط الخروج
-
التخطيط لاستمرارية الذكاء الاصطناعي والخروج منه هو مجموعة الممارسات التي تضمن قدرة المؤسسة على الحفاظ على استمرارية أعمالها عند إيقاف نموذج ذكاء اصطناعي لدى مورد، أو خروج مورد من السوق، أو وجوب إنهاء علاقة تجارية، بما يشمل تحديدًا الحفاظ على بيانات التدريب، وتوثيق معايرة النموذج وهندسة الخصا
يكتسب تخطيط استمرارية الذكاء الاصطناعي والخروج أهمية في TPRM لأن الاعتماد التشغيلي على نماذج الذكاء الاصطناعي ينشئ مخاطر على استمرارية الأعمال لا يعالجها التخطيط المعياري لاستمرارية الأعمال.
- استمرارية الذكاء الاصطناعي وتخطيط الخروج: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: الالتزام بالمساعدة في الانتقال، أي بيانات التدريب وهندسة الخصائص؛ وقابلية نقل البيانات بصيغة قابلة لإعادة الاستخدام؛ وينبغي سؤال المورد الذي يؤكد الأداء القوي لنموذج الذكاء الاصطناعي عن الإشعار بإيقافه والمساعدة في الانتقال. فالأداء يؤكد قيمة الاعتماد على المورد، والإشعار بالإيقاف والمساعدة في الانتقال يحددان تكلفة فك هذا الاعتماد تحت ضغط الوقت.
- مشكلات تتبع مسار البيانات في الذكاء الاصطناعي
-
يصف تسلسل بيانات الذكاء الاصطناعي في سياق العمليات الأمنية المسار الكامل الذي تسلكه الإشارات والتنبيهات والمعلومات الاستخبارية الأمنية من نقطة توليدها بواسطة أنظمة الاكتشاف بالذكاء الاصطناعي عبر عمليات سير العمل وتحديد الأولويات والتصعيد والاستجابة التي تحدد كيف ومتى يتصرف البشر بناءً عليها.
يكتسب تتبع مسار البيانات في الذكاء الاصطناعي ضمن العمليات الأمنية أهمية في TPRM لأن النتيجة الأمنية لنشر المورد للرصد الأمني بالذكاء الاصطناعي تعتمد على المسار الكامل من الكشف إلى الاستجابة، لا على قدرة الذكاء الاصطناعي على الكشف فحسب.
- مشكلات تسلسل بيانات الذكاء الاصطناعي: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: الوقت المتوقع من الاكتشاف إلى التحقيق في التنبيهات الحرجة خارج ساعات العمل؛ ومتوسط وقت التحقيق بوصفه مقياسًا متابَعًا؛ وإجراءات التصعيد خارج ساعات العمل لتنبيهات الذكاء الاصطناعي الحرجة.
- مخاطر الاحتفاظ بالبيانات في الذكاء الاصطناعي
-
مخاطر الاحتفاظ ببيانات الذكاء الاصطناعي هي المخاطر الأمنية والامتثالية والقانونية الناشئة عن الاحتفاظ بالبيانات التي يُدخلها المستخدمون إلى أنظمة الذكاء الاصطناعي، وتحديدًا خطر أن تُحفظ المعلومات الحساسة أو الخاضعة للتنظيم أو المحمية قانونًا التي تُرفع إلى مساعد ذكاء اصطناعي، أو تُقدَّم كاستعلام للذكاء الاصطناعي، أو تُعالج عبر مسار ذكاء اصطناعي، لدى مورد الذكاء الاصطناعي أو
تكتسب مخاطر الاحتفاظ بالبيانات في الذكاء الاصطناعي أهمية في TPRM لأن الاعتماد غير الرسمي والسريع لأدوات الذكاء الاصطناعي في بيئات المؤسسات يخلق مخاطر احتفاظ منهجية لفئات البيانات الحساسة، مثل MNPI والبيانات الشخصية والمعلومات المشمولة بالامتياز القانوني والبيانات الصحية المنظمة، التي يرفعها الموظفون إلى مساعدات الذكاء الاصطناعي دون وعي محدد ب
- مخاطر الاحتفاظ ببيانات الذكاء الاصطناعي: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: مدة الاحتفاظ على مستوى المورد للفئة الحالية؛ والإفصاح عن مدة الاحتفاظ لدى مزود LLM؛ والتزام DPA بعدم الاحتفاظ أو باحتفاظ قابل للتهيئة.
- تحديات قابلية تفسير الذكاء الاصطناعي
-
تحديات قابلية تفسير الذكاء الاصطناعي مهمة لـTPRM لأن المتطلبات القانونية والتنظيمية لتفسير الذكاء الاصطناعي أشد صرامة بكثير مما توفره أدوات قابلية التفسير الحالية تلقائيًا.
تحديات قابلية تفسير الذكاء الاصطناعي مهمة لـTPRM لأن المتطلبات القانونية والتنظيمية لتفسير الذكاء الاصطناعي أشد صرامة بكثير مما توفره أدوات قابلية التفسير الحالية تلقائيًا.
- تحديات قابلية تفسير الذكاء الاصطناعي: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: مثال كامل على تفسير بلغة واضحة لفرد متأثر؛ وتوثيق مشروعية الخصائص ذات الإسهام المرتفع؛ وتقييم الامتثال لمعيار التفسير التنظيمي.
- حوكمة الذكاء الاصطناعي
-
حوكمة الذكاء الاصطناعي هي مجموعة القرارات والمالكين والسجلات التي تحدد أنظمة الذكاء الاصطناعي التي تستخدمها المؤسسة، وما يقرره كل منها وبشأن مَن، ومن اعتمده، وما الرقابة القائمة. وهي تختلف عن سلامة الذكاء الاصطناعي، التي تتعلق بسلوك النماذج نفسها، وعن أمن النماذج، الذي يتعلق بالهجمات عليها. فالحوكمة تتعلق باستخدام المؤسسة.
اسأل أي مؤسسة عن عدد أنظمة الذكاء الاصطناعي التي تستخدمها، وستكون الإجابة خاطئة بفارق عشرة أضعاف. فهي تحصي النموذجين اللذين بناهما فريق البيانات، وتغفل ميزة لدى مورد تقيّم تذاكر الدعم، وأداة التوظيف التي ترتب المرشحين، والمساعد المضمّن في منتج لم يفكر أحد في أن اعتماده اعتماد للذكاء الاصطناعي. والحوكمة تبدأ بمعرفة ما هو مستخدم فعلًا، ومعظم البرامج تبدأ من مكان آخر.
- أطر حوكمة الذكاء الاصطناعي
-
ثغرات أطر حوكمة الذكاء الاصطناعي هي الفروق بين إجراءات حوكمة الذكاء الاصطناعي الموثقة وتطبيقها التشغيلي: اجتماعات اللجان التي لا تُعقد بالوتيرة المعلنة، ومراجعات النماذج التي تُجرى عند النشر الأولي وتُتجاهل في التحديثات اللاحقة، وبرامج المراقبة الموصو
تكتسب فجوات أطر حوكمة الذكاء الاصطناعي أهمية في TPRM لأن وثائق الحوكمة تؤكد نية المورد.
- أطر حوكمة الذكاء الاصطناعي: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: محاضر آخر ثلاثة اجتماعات للجنة أخلاقيات الذكاء الاصطناعي؛ وسجلات مراجعة النماذج لأحدث تحديثاتها؛ وتأكيد انطباق التحقق من صحة النماذج على التحديثات.
- ثغرات حوكمة الذكاء الاصطناعي
-
ثغرات حوكمة الذكاء الاصطناعي هي أوجه القصور في إطار حوكمة الذكاء الاصطناعي لدى المؤسسة، من سياسات وعمليات ولجان مراجعة وأطر امتثال، التي تؤدي إلى نشر أنظمة الذكاء الاصطناعي أو استمرار تشغيلها دون إشراف كافٍ أو شفافية أو امتثال للمتطلبات التنظيمية المعمول بها.
تكتسب فجوات حوكمة الذكاء الاصطناعي أهمية في TPRM لأن التزامات الامتثال التنظيمي للمؤسسة تنطبق على أنظمة الذكاء الاصطناعي لدى الموردين التي تؤدي وظائف خاضعة للتنظيم ضمن سير عمل المؤسسة، بصرف النظر عما إذا كانت تلك الأنظمة قد اشتُريت بدلًا من تطويرها داخليًا.
- فجوات حوكمة الذكاء الاصطناعي: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: تقييم المخاطر العالية وفق قانون الذكاء الاصطناعي الأوروبي للأنظمة المعنية؛ والمورد الذي يؤكد نضج حوكمة الذكاء الاصطناعي لديه ينبغي سؤاله عن التوافق التنظيمي الحالي. فنضج الحوكمة يصف الإطار. أما المواكبة التنظيمية فتصف هل يعكس الإطار اللوائح المنطبقة حاليًا.
- خطر هلوسة الذكاء الاصطناعي في القرارات
-
في سياق اتخاذ القرارات ذات العواقب بالذكاء الاصطناعي، تمتد مخاطر الهلوسة إلى ما يتجاوز اختلاق المعلومات في LLM لتشمل الفئة الأوسع من قرارات الذكاء الاصطناعي الواثقة القائمة على أنماط لا تعكس استدلالًا سليمًا أو قابلًا للدفاع عنه قانونيًا أو ملائمًا أخلاقيًا.
خطر هلوسة الذكاء الاصطناعي في القرارات مهم لـTPRM لأن المؤسسة التي تنشر ذكاءً اصطناعيًا لدى مورد يتخذ قرارات ذات عواقب ترث منطق القرار لدى النموذج، والعواقب القانونية والتنظيمية والمتعلقة بالسمعة إذا تبين أن ذلك المنطق تمييزي أو تعسفي أو لا يمكن الدفاع عنه قانونيًا.
- خطر هلوسة الذكاء الاصطناعي في القرارات: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: المورد الذي يؤكد قابلية التفسير ينبغي أن يُطلب منه مثال على التفسير بلغة واضحة وتقييم التمييز عبر المتغيرات البديلة. فقابلية التفسير التقنية تحدد ما استخدمه النموذج. أما قابلية التفسير ذات المعنى فتربط ما استخدمه بسبب كونه مبررًا مشروعًا.
- تقييمات أثر الذكاء الاصطناعي
-
يحدد تقييم أثر الذكاء الاصطناعي، لأي نظام ذي أهمية، ما يقرره النظام وبشأن مَن، وما الذي قد يسوء بالنسبة لشخص لا بالنسبة للشركة، وكيف يُصنَّف بموجب القانون المعمول به، وما الرقابة والرصد اللذان سيوجدان قبل تشغيله. ومخرجاته قرارات لا وثيقة، وهو وثيق الصلة بتقييم الأثر على حماية البيانات الذي كثيرًا ما يرافقه.
تصل التقييمات في شكلين غير مفيدين: إما استبيان أمني أضيفت إليه عبارة الذكاء الاصطناعي، يسأل عن التشفير ولا يقول شيئًا عمّن يقرر النظام ضدهم، وإما وثيقة فلسفية عن العدالة لا تغيّر شيئًا. والتقييم المفيد يقع بينهما ويطرح السؤالين اللذين يحددان كل شيء: ماذا يقرر النظام، وبشأن مَن؟
- فجوات الاستجابة لحوادث الذكاء الاصطناعي
-
ثغرات الاستجابة لحوادث الذكاء الاصطناعي هي أوجه القصور في برنامج الاستجابة للحوادث لدى المؤسسة التي تترك حوادث قرارات نماذج الذكاء الاصطناعي، مثل القرارات الضارة وإخفاقات النماذج والتلاعب بالأنظمة وانتهاكات الحوكمة، دون إجراءات تحقيق محددة أو متطلبات لحفظ الأدلة أو مسارات تصعيد أو معال
تكتسب ثغرات الاستجابة لحوادث الذكاء الاصطناعي أهمية في TPRM لأن منتجات الذكاء الاصطناعي لدى الموردين التي تتخذ قرارات ذات عواقب، في الائتمان والتأمين والتوظيف والمجال السريري، ستنتج في نهاية المطاف قرارات يُعترض عليها أو يُحقق فيها أو يُتقاضى بشأنها.
- فجوات الاستجابة لحوادث الذكاء الاصطناعي: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: دليل إجراءات حوادث الذكاء الاصطناعي أو ما يعادله؛ ومسار التصعيد إلى خبرات خارجية في الذكاء الاصطناعي؛ وينبغي أن يُطلب من المورد الذي يؤكد امتلاك قدرة شاملة في IR دليل إجراءات حوادث الذكاء الاصطناعي لديه. فـIR التقليدية تغطي حوادث الأمن السيبراني، والاستجابة لحوادث الذكاء الاصطناعي تغطي حوادث قرارات النماذج، وكلاهما مطلوب لعمليات نشر الذكاء الاصطناعي في المؤسسات.
- تسرب البيانات عبر استدلال الذكاء الاصطناعي
-
تسرب بيانات الاستدلال في الذكاء الاصطناعي هو تعرض البيانات الموجودة في بيئة الاستدلال لنموذج الذكاء الاصطناعي، أي نافذة السياق، وموجه النظام المعزز بالاسترجاع، ومصادر البيانات المتصلة المحمّلة سياقًا، وحالات المعالجة الوسيطة للنموذج، للاستخراج عبر مدخلات المستخدم أو التلاعب بالأوامر أو تقنيات القنوات الجانبية
يكتسب تسرب بيانات الاستدلال في الذكاء الاصطناعي أهمية في TPRM لأن إعداد عدم الاحتفاظ بالبيانات، رغم ضرورته، لا يكفي لحماية البيانات الحساسة التي تمر عبر بيئة الاستدلال.
- تسرب بيانات الاستدلال في الذكاء الاصطناعي: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: وصف محتوى نافذة السياق، أي ما يُحمّل عند بدء الجلسة؛ ونتائج اختبار حقن الأوامر داخل الجلسة لاستخراج السياق؛ ونتائج اختبار سرية موجه النظام.
- التسجيل وإمكانية التتبع في الذكاء الاصطناعي
-
تسجيل الذكاء الاصطناعي وقابلية تتبعه هو الالتقاط الشامل للمعلومات اللازمة لإعادة بناء قرار نظام الذكاء الاصطناعي في أي وقت بعد اتخاذه، وتحديدًا إصدار النموذج الذي اتخذ القرار، وبيانات الإدخال التي قُدمت إلى النموذج وقت القرار، والمخرجات الوسيطة للنموذج، والقر
تسجيل الذكاء الاصطناعي وقابلية تتبعه مهمان لـTPRM لأن الفحوص التنظيمية والتقاضي والطعون في القرارات الفردية تتطلب جميعها القدرة على إعادة بناء قرارات محددة للذكاء الاصطناعي من السجلات التاريخية.
- التسجيل وإمكانية التتبع في الذكاء الاصطناعي: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: عرض عملي لسجل تدقيق القرارات التاريخية؛ وتأكيد تسجيل خصائص المدخلات في لحظة زمنية محددة؛ ومدة الاحتفاظ بسجلات القرارات.
- إساءة استخدام الموردين للذكاء الاصطناعي
-
تشمل إساءة الموردين استخدام الذكاء الاصطناعي الطرق التي تُنتج بها أنظمة الذكاء الاصطناعي التي ينشرها الموردون نتائج ضارة أو غير منصفة أو خاطئة تشغيليًا، بسبب تحيزات بيانات التدريب وخيارات تصميم النموذج وسياقات النشر التي تجعل الذكاء الاصطناعي يُلحق الضرر بشكل منهجي بشرائح محددة من العملاء.
تُعد إساءة استخدام الموردين للذكاء الاصطناعي مهمة لـ TPRM لأن عملاء المؤسسة يتفاعلون مع أنظمة المورد المدعومة بالذكاء الاصطناعي، والنتائج التي تُنتجها تلك الأنظمة، مثل تحديد أولويات الدعم وتصنيف الخدمات وتوجيه الردود، تؤثر في عملاء المؤسسة لا في عملاء المورد فحسب.
- إساءة استخدام الموردين للذكاء الاصطناعي: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: نتائج تدقيق الإنصاف عبر شرائح العملاء؛ والمورد الذي يؤكد قوة أداء الذكاء الاصطناعي ينبغي أن يُطلب منه مقاييس خاصة بكل شريحة. فمتوسط الأداء يؤكد أن النظام يعمل للحالة المتوسطة. أما المقاييس الخاصة بكل شريحة فتكشف هل يعمل باتساق للجميع.
- سيناريوهات إساءة استخدام الذكاء الاصطناعي
-
سيناريوهات إساءة استخدام الذكاء الاصطناعي في سياق المؤسسات هي حالات تُستخدم فيها أدوات ذكاء اصطناعي معتمدة ومنشورة لأغراض أعمال مشروعة، أو تعمل فيها هذه الأدوات ذاتيًا، بطرق تنشئ مخاطر قانونية أو أخلاقية أو مخاطر على السمعة لم تُقيَّم أثناء عملية الاعتماد.
تكتسب سيناريوهات إساءة استخدام الذكاء الاصطناعي أهمية في TPRM لأن أدوات الذكاء الاصطناعي لدى الموردين المعتمدة لوظائف مشروعة قد تمتلك قدرات، كجمع البيانات ذاتيًا واتخاذ القرار الآلي والمعالجة على نطاق واسع، تنشئ مخاطر قانونية وأخلاقية لا تظهر في التقييم الأمني الذي ركّز على كيفية تعامل الأداة مع البيانات التي يقدمها المستخدمون.
- سيناريوهات إساءة استخدام الذكاء الاصطناعي: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: الإفصاح عن القدرة على جمع البيانات ذاتيًا؛ والأساس القانوني بموجب GDPR لمعالجة البيانات الخارجية؛ وإرشادات متطلبات الشفافية للمستخدمين.
- مخاطر سلسلة توريد نماذج الذكاء الاصطناعي
-
مخاطر سلسلة إمداد نماذج الذكاء الاصطناعي هي فئة المخاطر الناشئة عن مصدر المكونات التي يتألف منها نموذج الذكاء الاصطناعي وتركيبها وسلامتها، وتحديدًا بيانات التدريب، وبنية النموذج الأساسي، وعملية الضبط الدقيق، والبنية التحتية المستخدمة لتطوير النموذج ونشره.
مخاطر سلسلة توريد نماذج الذكاء الاصطناعي مهمة لـTPRM لأن منتجات الذكاء الاصطناعي التي يدمجها الموردون الآن في مسارات عمل المؤسسات ليست برمجيات تقليدية: فهي تحمل معلومات عن البيانات التي دُرّبت عليها، وقد تتصرف بطرق غير متوقعة حين تستثير المدخلات تحيزات أو أبوابًا خلفية مضمنة، ويعتمد ملف مخاطرها على س
- مخاطر سلسلة توريد نماذج الذكاء الاصطناعي: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: تأكيد خيار استبعاد البيانات من التدريب وضوابطه؛ ومورد الذكاء الاصطناعي الذي يقدم تقرير SOC 2 ينبغي أن يُطلب منه أيضًا وثائق بطاقة النموذج ومصدر بيانات التدريب وتقييم هجمات الاستدلال. فتقرير SOC 2 يغطي الغلاف التشغيلي. أما وثائق النموذج فتغطي مخاطر سلسلة الإمداد بداخله.
- التحكم في إصدارات نماذج الذكاء الاصطناعي
-
تشمل مخاطر التحكم في إصدارات نماذج الذكاء الاصطناعي المخاطر الأمنية والتشغيلية الناشئة عن إدارة إصدارات النماذج في بيئة الإنتاج، وتحديدًا المخاطر التي تنشأ حين تتأخر تحديثات النماذج الأساسية والتصحيحات الأمنية ومراجعات النماذج، أو تُطبق على نحو غير متسق، أو لا تُتتبع بالصرامة نفسها المتبعة مع البرمجيات التقلي
التحكم في إصدارات نماذج الذكاء الاصطناعي مهم لـTPRM لأن منتجات الذكاء الاصطناعي التي ينشرها الموردون في بيئات المؤسسات مبنية على سلاسل اعتماديات، من نماذج أساسية وبنية تحتية لتقديم النماذج وأطر ML، تتطلب تصحيحات أمنية مستمرة.
- التحكم في إصدارات نماذج الذكاء الاصطناعي: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: إصدار النموذج الأساسي المنشور حاليًا مقابل أحدث إصدار متاح؛ وحداثة التصحيحات الأمنية، أي التصحيحات المعلقة وتصنيفها الأمني؛ وعملية التحقق السريع من التصحيحات الأمنية.
- المخاطر التشغيلية للذكاء الاصطناعي
-
المخاطر التشغيلية للذكاء الاصطناعي هي المخاطر الناشئة عن نشر أنظمة الذكاء الاصطناعي في سياقات تشغيلية واقعية تتفاعل فيها خصائص أداء النموذج، أي الدقة وأنماط الإخفاق ومستويات الثقة والتحيزات المنهجية، مع افتراضات إجراءات العمل ومستويات الرقابة البشرية والعواقب اللاحقة بطرق تخلق مخ
المخاطر التشغيلية للذكاء الاصطناعي مهمة لـTPRM لأن عمليات الأعمال التي تعتمد على منتجات الذكاء الاصطناعي لدى الموردين تُصمَّم عادةً حول مقاييس الدقة الإجمالية لا حول أنماط الأخطاء المنهجية.
- المخاطر التشغيلية للذكاء الاصطناعي: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: تقارير الدقة مجزأة حسب نوع الحالة أو تعقيدها؛ والتحقق من افتراضات عمليات الأعمال في ضوء نمط الأخطاء؛ وتغطية نطاق المراجعة البشرية للشرائح الأكثر إخفاقًا.
- تسرب البيانات عبر مخرجات الذكاء الاصطناعي
-
يشمل تسرب البيانات عبر مخرجات الذكاء الاصطناعي، في سياق منتجات الذكاء الاصطناعي المؤسسية، بُعدين متمايزين من أبعاد المخاطر. الأول هو المعنى التقليدي لتسرب البيانات: ظهور بيانات حساسة من سياق الذكاء الاصطناعي أو مدونة تدريبه أو قاعدة المعرفة المتصلة به في مخرجات يمكن لأطراف غير مصرح لها الوصول إليها.
يكتسب تسرب بيانات مخرجات الذكاء الاصطناعي أهمية في TPRM لأن منتجات الذكاء الاصطناعي التي ينشرها الموردون لعاملي المعرفة في المؤسسات، مثل مساعدات البحث وأدوات صياغة المستندات وأدوات التواصل مع العملاء ومسرعات التحليل، تخلق مخاطر منهجية لاختلاق المعلومات في المخرجات التي ينتجها هؤلاء العاملون.
- تسرب البيانات عبر مخرجات الذكاء الاصطناعي: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: تقييم معدل الاختلاق في المجال المعني؛ وينبغي سؤال المورد الذي يؤكد جودة المساعدة البحثية بالذكاء الاصطناعي عن تقييم معدل الاختلاق وإسناد المصادر. فجودة المخرجات تؤكد أن عملية التوليد تعمل، وتقييم معدل الاختلاق يؤكد مدى دقة ما تولّده.
- ثغرات إضافات الذكاء الاصطناعي
-
ثغرات إضافات الذكاء الاصطناعي في سياق أدوات الأمان المدعومة بالذكاء الاصطناعي هي النقاط العمياء الهيكلية والقيود التشغيلية لأنظمة الاكتشاف القائمة على تعلم الآلة، وهي ليست إخفاقات في تطبيق التقنية، بل قيود متأصلة في طريقة عمل تعلم الآلة الخاضع للإشراف تخلق فجوات منهجية بين معدلات الاكت
تكتسب ثغرات الإضافات الأمنية للذكاء الاصطناعي أهمية في TPRM لأن الرصد الأمني القائم على الذكاء الاصطناعي يُطرح بشكل متزايد بوصفه طبقة الكشف الأساسية، فيحل محل مراجعة المحللين البشريين أو يقلصها بدرجة كبيرة.
- ثغرات إضافات الذكاء الاصطناعي: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: نطاق تغطية التقنيات في مجموعة بيانات الاختبار؛ وتأكيد تغطية أساليب LOTL والتهرب العدائي؛ ومعدل الإنذارات الكاذبة في الإنتاج لدى مؤسسات مماثلة.
- موثوقية تقييم المخاطر بالذكاء الاصطناعي
-
موثوقية تقييم المخاطر بالذكاء الاصطناعي هي مدى دقة درجة المخاطر التي يولّدها الذكاء الاصطناعي في التنبؤ بالمخاطر التي تدّعي قياسها، ومدى توفر البيانات الوصفية وبيانات المعايرة وقياس عدم اليقين التي تتيح لممارسي المخاطر تقييم ما إذا كان ينبغي الوثوق بالدرجة في القرار المحدد الذي تُستخدم لد
موثوقية تقييم المخاطر بالذكاء الاصطناعي مهمة لـTPRM لأن درجات المخاطر التي تُعامل على أنها موثوقة وهي غير معايرة أو غير محددة مستوى الثقة أو غير متتبعة الاتجاه تنتج تخصيصًا خاطئًا للموارد بشكل منهجي: اهتمامًا زائدًا بموردين ذوي درجات مرتفعة ليسوا عاليي المخاطر فعلًا، واهتمامًا قليلًا بموردين ذوي درجات منخفضة هم فع
- موثوقية تقييم المخاطر بالذكاء الاصطناعي: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: بيانات المعايرة حسب نطاق الدرجات؛ وفترة الثقة أو قياس عدم اليقين؛ واتجاه الدرجات التاريخي لمدة ستة أشهر على الأقل.
- الرصد الأمني بالذكاء الاصطناعي
-
لا يقتصر الرصد الأمني الشامل للذكاء الاصطناعي على أن يبلّغ برنامج الرصد عما يكشفه، بل يتطلب أن يقدّم بيانًا صادقًا بما لا يكشفه، ومواضع انخفاض ثقته في الكشف، وأنشطة المحللين البشريين اللازمة لتعويض قصور الذكاء الاصطناعي.
المراقبة الأمنية الشاملة للذكاء الاصطناعي مهمة لـTPRM لأن الضمان الأمني الذي توفره تقارير المراقبة يعتمد على تمثيل تلك التقارير بدقة لكل من قدرات البرنامج وحدوده.
- مراقبة أمن الذكاء الاصطناعي: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: الإفصاح عن فجوات التغطية في تقارير المراقبة؛ والإفصاح عن تفاوت مستوى الثقة حسب فئة التنبيه؛ والمورد الذي يقدم تقارير أسبوعية عن مراقبة الذكاء الاصطناعي ينبغي أن يُطلب منه إضافة قسم عن القيود. فمقاييس الأداء تصف ما يعمل. والإفصاح عن القيود يصف ما لا تُظهره مقاييس الأداء. وكلاهما لازم لتقرير صادق عن المراقبة الأمنية.
- فجوات اختبار أمن الذكاء الاصطناعي
-
ثغرات اختبار أمن الذكاء الاصطناعي هي أوجه القصور في برنامج الاختبار الأمني لدى المورد التي تترك نموذج الذكاء الاصطناعي نفسه، بمعزل عن البنية التحتية والتطبيق والضوابط التشغيلية المحيطة به، دون اختبار في مواجهة فئات الهجمات المحددة التي تكون أنظمة الذكاء الاصطناعي عرضة لها.
تكتسب فجوات الاختبار الأمني للذكاء الاصطناعي أهمية في TPRM لأن أدلة الضمان الأمني التي يقدمها الموردون لمنتجات الذكاء الاصطناعي كثيرًا ما تغطي الأبعاد الأمنية التقليدية تغطية شاملة، بينما تترك الأبعاد الأمنية الخاصة بالذكاء الاصطناعي دون أي تقييم.
- ثغرات اختبار أمن الذكاء الاصطناعي: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: أدلة الاختبار الأمني الخاص بالذكاء الاصطناعي، أي المدخلات العدائية وحقن الأوامر؛ ونتائج تمارين الفريق الأحمر للذكاء الاصطناعي؛ وينبغي أن يُطلب من المورد الذي يقدم أدلة SOC 2 واختبار الاختراق وSDLC أدلة الاختبار الخاص بالذكاء الاصطناعي بوصفها فئة مستقلة. فالأدلة التقليدية تغطي الغلاف، واختبار الذكاء الاصطناعي يغطي النموذج، وكلاهما مطلوب.
- اعتماديات سلسلة توريد الذكاء الاصطناعي
-
تبعيات سلسلة إمداد الذكاء الاصطناعي هي المكتبات مفتوحة المصدر ومكونات النماذج المدربة مسبقًا وأدوات معالجة البيانات وحزم أطر ML التي تشكل حزمة البرمجيات التي يُبنى عليها نظام الذكاء الاصطناعي، والتي يمكن من خلالها لهجمات سلسلة الإمداد أن تخترق نظام الذكاء الاصطناعي دون مهاجمة النموذج نفسه.
اعتماديات سلسلة توريد الذكاء الاصطناعي مهمة لـTPRM لأن أمن نظام الذكاء الاصطناعي لدى المورد محدود بأمن كل مكون في حزمة اعتمادياته، لا ببنية النموذج وعملية التدريب فحسب.
- اعتماديات سلسلة توريد الذكاء الاصطناعي: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: SBOM لمسار الذكاء الاصطناعي يشمل جميع تبعيات ML؛ وتغطية أدوات SCA لجميع تبعيات الذكاء الاصطناعي؛ وتأكيد صيغة تسلسل النماذج والتحميل الآمن.
- ثغرات اكتشاف تهديدات الذكاء الاصطناعي
-
ثغرات اكتشاف تهديدات الذكاء الاصطناعي هي فئات التقنيات وأنماط الهجوم وسلوكيات الجهات الفاعلة في التهديد التي لا تكتشفها منصة مراقبة أمنية مدعومة بالذكاء الاصطناعي، إما لأن تغطية الاكتشاف لتلك الفئات لم تُضبط قط، أو لأن بيانات تدريب الذكاء الاصطناعي لم تتضمن أمثلة تمثيلية لتلك التقنيات، أو لأ
ثغرات اكتشاف التهديدات في الذكاء الاصطناعي مهمة لـTPRM لأن لوحات الاكتشاف الخضراء بالكامل كثيرًا ما تُقدَّم دليلًا على تغطية شاملة، وتقبلها فرق TPRM التي تراجع الوضع الأمني للموردين على هذا الأساس.
- ثغرات اكتشاف تهديدات الذكاء الاصطناعي: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: الجدول الزمني من المعلومات الاستخباراتية إلى الإعدادات للتنبيهات الأخيرة؛ وخريطة تغطية ATT&CK المحدثة في الربع الأخير؛ وتأكيد الاكتشاف الفعلي لتقنيات محددة نبّه إليها ISAC.
- تقييم موردي الذكاء الاصطناعي
-
يضيف تقييم مورد يتضمن منتجه الذكاء الاصطناعي أسئلة لا تطرحها مراجعة الأمان المعيارية. ماذا يقرر النظام، وبشأن من. وعلى أي بيانات دُرِّب، بمستوى من الوصف يلتزم به المورد. وما معلومات الأداء التي ينشرها، ولأي فئات سكانية. وما الرقابة التي يدعمها المنتج، وما السجلات التي يمكنك الوصول إليها. والإجابات التي لا تستطيع الحصول عليها ملاحظات بحد ذاتها.
يصل الذكاء الاصطناعي كله تقريبًا ضمن منتجات الموردين، لذا فإن معظم المؤسسات تقيّم نموذجًا يملكه غيرها مع رؤية محدودة. والاستبيان المعتاد يثبت ما إذا كان المورد يشفّر البيانات ويراجع الوصول، لكنه لا يثبت ما إذا كان ترتيب أداة التوظيف قد قيس يومًا على المرشحين الذين تجاوزوا الخمسين، وهذا هو السؤال الذي ستطرحه الجهة التنظيمية عليك أنت لا على المورد.
- مخاطر الارتهان لموردي الذكاء الاصطناعي
-
تنشأ مخاطر الارتهان لموردي الذكاء الاصطناعي حين يصبح الاعتماد التشغيلي للمؤسسة على نموذج ذكاء اصطناعي لمورد محدد عميقًا إلى حد تصبح معه تكاليف التحول، من حيث الوقت وجهد إعادة المعايرة وإعادة تصميم سير العمل والاضطراب التشغيلي، مرتفعة على نحو باهظ.
تكتسب مخاطر الارتباط بموردي الذكاء الاصطناعي أهمية في TPRM لأن الاعتماد العميق على الذكاء الاصطناعي ينشئ مخاطر تركّز قد لا تظهر حتى يفرض اضطراب ما الانتقال إلى بديل.
- مخاطر الارتباط بموردي الذكاء الاصطناعي: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: مهلة الإشعار التعاقدية بإيقاف API؛ والمورد الذي يؤكد قوة أداء الذكاء الاصطناعي ينبغي سؤاله عن مهلة الإشعار بالإيقاف والمساعدة في الترحيل. فالأداء يؤكد قيمة الاعتماد عليه. أما المساعدة في الترحيل ومهلة الإشعار فتحددان تكلفة فك هذا الاعتماد.
- مخاطر أمن مراجعة الشيفرة بمساعدة الذكاء الاصطناعي
-
يكتسب أمن توليد الشيفرة بالذكاء الاصطناعي أهمية في TPRM لأن اعتماد مساعدات البرمجة بالذكاء الاصطناعي في سير عمل التطوير لدى الموردين قد يُدخل أنماط ثغرات ليست أدوات الأمان الحالية مضبوطة على النحو الأمثل لاكتشافها.
يكتسب أمن توليد الشيفرة بالذكاء الاصطناعي أهمية في TPRM لأن اعتماد مساعدات البرمجة بالذكاء الاصطناعي في سير عمل التطوير لدى الموردين قد يُدخل أنماط ثغرات ليست أدوات الأمان الحالية مضبوطة على النحو الأمثل لاكتشافها.
- المخاطر الأمنية لمراجعة الشيفرة بمساعدة الذكاء الاصطناعي: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: الإفصاح عن اعتماد مساعدات البرمجة بالذكاء الاصطناعي وحوكمتها؛ وتقييم تغطية SAST للأنماط المولّدة بالذكاء الاصطناعي؛ ومراقبة التغير في معدل الثغرات المكتشفة منذ الاعتماد.
- مخاطر الأتمتة المدفوعة بالذكاء الاصطناعي
-
مخاطر الأتمتة المدفوعة بالذكاء الاصطناعي هي العواقب التشغيلية والقانونية والمتعلقة بالسمعة التي تنشأ حين تنفذ سير العمل المستقلة بالذكاء الاصطناعي قرارات وإجراءات على نطاق واسع دون تكامل كافٍ مع السياق التشغيلي الكامل، ودون رقابة بشرية ملائمة على الحالات الحدية، ودون قيود تحصر الإجراءات المستقلة في
مخاطر الأتمتة المدفوعة بالذكاء الاصطناعي مهمة لـTPRM لأن الموردين الذين يستخدمون أتمتة الذكاء الاصطناعي في مسارات عمل تؤثر في المؤسسة، مثل إدارة العقود، والتواصل مع العملاء، والفوترة، وتقارير الامتثال، قد ينتجون أخطاء تشغيلية جماعية تؤثر في عملاء المؤسسة وشركائها وعلاقاتها التنظيمية.
- مخاطر الأتمتة المدفوعة بالذكاء الاصطناعي: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: المراجعة السابقة للتنفيذ للمراسلات الجماعية؛ والمورد الذي يؤكد أداء أتمتة الذكاء الاصطناعي ينبغي سؤاله عن اكتمال تكامل البيانات والمراجعة السابقة للتنفيذ. فمقاييس الأداء تعكس ما تفعله الأتمتة بشكل صحيح ضمن نطاقها. أما اكتمال التكامل وبوابات المراجعة فتقيّد ما تفعله بشكل خاطئ على نطاق واسع.
- إرهاق التنبيهات عبر المنظومات
-
إرهاق التنبيهات هو تراجع جودة التحليل الناتج عن أحجام التنبيهات الكبيرة التي تفوق القدرة التحليلية المتاحة لكل تنبيه.
يكتسب إرهاق التنبيهات أهمية في TPRM لأن جودة SOC لدى المورد هي حماية العميل من التهديدات التي تستهدف بياناته، وجودة SOC في ظل أحجام التنبيهات المرتفعة أدنى بكثير من جودة SOC في ظل أحجام تنبيهات مُدارة.
- إرهاق التنبيهات عبر المنظومات: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: حجم التنبيهات لكل محلل في كل نوبة؛ ومعدل الإيجابيات الكاذبة حسب فئة التنبيه؛ ونشر أتمتة SOAR وأثرها على حجم التنبيهات.
- فجوات تحديد أولويات التنبيهات
-
ثغرات ترتيب أولويات التنبيهات هي حالات عدم التوافق بين مستويات الخطورة الثابتة المسندة إلى التنبيهات وسياق المخاطر المتغير الذي يجعل تقنيات معينة أكثر أو أقل خطورة بحسب مشهد التهديدات الحالي. وتُسند مستويات خطورة التنبيهات عند كتابة القواعد بناءً على ملف المخاطر العام للتقنية في ذلك الوقت.
تكتسب ثغرات ترتيب أولويات التنبيهات أهمية في TPRM لأن سرعة استجابة SOC لتنبيه محدد تتحدد بمستوى خطورته، ومستوى الخطورة الذي لا يعكس سياق التهديدات الحالي ينتج سرعات استجابة معايرة لمشهد تهديدات لم يعد موجودًا.
- ثغرات ترتيب أولويات التنبيهات: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: تأكيد وجود مسار من استخبارات التهديدات إلى تحديد الأولويات؛ ومثال حديث على تحديث للخطورة نتج عن استخبارات التهديدات؛ وينبغي سؤال المورد الذي يؤكد وجود اتفاقيات مستوى خدمة محددة للتنبيهات عما إذا كانت تصنيفات الخطورة التي توجّه التنبيهات إلى تلك الاتفاقيات تُحدَّث بناءً على استخبارات التهديدات الحالية. فاتفاقيات مستوى الخدمة تقيس الالتزام، وتصنيفات الخطورة تحدد ما إذا كان هذا الالتزام مُعايَرًا وفق التهديد الحالي.
- اختبار التحيز الخوارزمي
-
يقيس اختبار التحيز ما إذا كانت مخرجات النظام تختلف بين فئات من الناس بطرق ذات أهمية، كأن تتفاوت معدلات الخطأ أو معدلات الموافقة أو الدرجات بحسب خاصية محمية أو بحسب بديل عنها. ولا يلزم أن يقصد أحد هذا الاختلاف كي يوجد. فالنموذج المدرَّب على قرارات سابقة يتعلم الأنماط الموجودة في تلك القرارات، بما فيها الأنماط التي لن يدافع عنها أحد.
إنه القياس الذي تدّعيه معظم التقييمات وقليل منها يجريه. فقد يكون الأداء المقيس إجمالًا ممتازًا بينما يكون الأداء لفئة واحدة ضعيفًا، والأرقام الإجمالية تخفي بالضبط النتيجة التي ستأتي بها جهة تنظيمية أو مدّعٍ. وتفترض التزامات قانون الذكاء الاصطناعي الأوروبي للأنظمة عالية المخاطر، ووظيفة القياس في إطار NIST، كلاهما أنك قادر على تقديم الأرقام بحسب الفئة.
- تقنيات إخفاء الهوية
-
تشمل تقنيات إخفاء الهوية التجميع، الذي يعرض المجاميع بدلًا من الأفراد؛ والتعميم، الذي يستبدل القيم الدقيقة بنطاقات؛ والحجب، الذي يزيل القيم النادرة؛ وإضافة الضوضاء، التي تُحدث اضطرابًا في القيم؛ والخصوصية التفاضلية، التي تضع حدًا لما يمكن أن يكشفه أي استعلام عن أي فرد. وكل منها يقلل خطر إعادة التعرف بطريقة مختلفة وبتكلفة مختلفة على قابلية الاستخدام.
الاختبار القانوني هو ما إذا كانت إعادة التعرف على الهوية مرجحة بشكل معقول بأي وسيلة، بما في ذلك الدمج مع مجموعات بيانات أخرى. فمجموعة البيانات التي تبدو مجهولة الهوية بمعزل عن غيرها يمكن إعادة التعرف على أصحابها بربطها بسجل ناخبين أو ملف على وسائل التواصل أو اختراق سابق. والبيانات المساعدة هي ما يجعل إعادة التعرف ممكنة، وهي ليست تحت سيطرة المتحكم.
- نقاط الضعف في مصادقة API
-
مصادقة API هي مجموعة الآليات التي تتحقق بها API من أن الطرف الطالب هو من يدّعي أنه هو، وأنه مخوّل بتقديم الطلب الذي يقدمه.
مصادقة API هي الضابط الذي يرسي حدود الثقة بين مؤسستك ومنصة المورد.
- نقاط الضعف في مصادقة API: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: وثائق مدة صلاحية الرموز المميزة وإجراء تدويرها، أي إطار زمني وإجراء لا بيان سياسة؛ ووثائق نطاقات OAuth الخاصة بالتكامل، أي النطاقات الفعلية لا النطاقات المتاحة؛ وتأكيد أن نطاق اختبار اختراق API يشمل صراحةً تقييم آلية المصادقة.
- إساءة استخدام هويات API
-
هويات API هي بيانات الاعتماد، مثل مفاتيح API والأسرار الخاصة بالعملاء ورموز OAuth وما يماثلها من رموز المصادقة المقروءة آليًا، التي تستخدمها التطبيقات والتكاملات والعمليات الآلية للمصادقة على واجهات البرمجة والمنصات.
تكتسب إساءة استخدام هويات API أهمية في TPRM لأن مفاتيح API هي الآلية الأساسية التي تصل بها تطبيقات الموردين وشركاء التكامل إلى منصات العملاء، وإدارة دورة حياة هذه المفاتيح تحدد ما إذا كان الوصول الذي توفره يظل ضمن نطاقه المقصود أم يتجاوزه زمنًا واتساعًا.
- إساءة استخدام هويات API: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: جرد مفاتيح API مع تواريخ آخر استخدام والتطبيقات المرتبطة بها؛ وتأكيد فحص المستودعات مع نتائج آخر فحص؛ ووصف مراقبة الاستخدام، أي كيفية اكتشاف الاستخدام غير المتوقع للمفاتيح.
- اختبار أمن API في CI/CD
-
يكتسب اختبار أمن API أهمية في TPRM لأن الواجهات البرمجية التي يتيحها موردو المؤسسات للتكامل، كواجهات REST ونقاط نهاية GraphQL ومستقبِلات خطافات الويب، هي نقاط وصول إلى بيانات المورد ووظائفه، وتتطلب اختبارًا أمنيًا خاصًا بواجهات API لتقييمها بفعالية.
يكتسب اختبار أمن API أهمية في TPRM لأن الواجهات البرمجية التي يتيحها موردو المؤسسات للتكامل، كواجهات REST ونقاط نهاية GraphQL ومستقبِلات خطافات الويب، هي نقاط وصول إلى بيانات المورد ووظائفه، وتتطلب اختبارًا أمنيًا خاصًا بواجهات API لتقييمها بفعالية.
- اختبار أمن API في CI/CD: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: أداة الاختبار الأمني الخاصة بواجهات API ونطاق تغطيتها؛ وحالات اختبار BOLA ونهج الاختبار متعدد المستخدمين؛ ووثائق تغطية قائمة OWASP لأهم 10 مخاطر في API.
- التعرض للذكاء الاصطناعي القائم على API
-
التعرض للذكاء الاصطناعي القائم على API هو مخاطر البيانات والأمن الناشئة عندما يستخدم منتج الذكاء الاصطناعي لدى المورد API لـLLM تابعة لطرف ثالث، مثل GPT-4 من OpenAI أو Claude من Anthropic أو Gemini من Google أو Azure OpenAI، محركًا أساسيًا للاستدلال، مما يجعل بيانات المؤسسة المقدَّمة إلى منتج المورد تمر عبر مزود LLM التابع لطرف ثالث وبنيته التحت
يكتسب التعرض للذكاء الاصطناعي القائم على API أهمية في TPRM لأن الاعتماد السريع على منتجات الموردين المدعومة بـLLM أوجد فئة جديدة من مخاطر الطرف الرابع لم تعالجها معظم برامج TPRM بشكل منهجي.
- التعرض للذكاء الاصطناعي القائم على API: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: الإفصاح عن الواجهة الخلفية لـLLM، أي المزود وفئة الخدمة؛ وتغطية DPA لتعامل مزود LLM مع البيانات؛ وتأكيد الاشتراك في فئة المؤسسات بشروط معززة.
- تسجيل التطبيقات وقابلية تتبعها
-
تسجيل أحداث التطبيقات في السياق الأمني هو الالتقاط المنهجي للأحداث ذات الصلة بالأمن، أي الأحداث التي تمكّن من اكتشاف الهجمات الجارية، والتحقيق في الحوادث بعد وقوعها، وإثبات الامتثال لالتزامات ضبط الوصول والتعامل مع البيانات.
يرتبط تسجيل التطبيقات في بيئات الموردين بـTPRM لسببين مختلفين كثيرًا ما يُخلط بينهما، لكن لكل منهما آثار مختلفة على الحوكمة.
- تسجيل التطبيقات وإمكانية التتبع: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: إجابة بالإيجاب عن سؤال سيناريو الستين يومًا مع تأكيد محدد لقدرة تسجيل الوصول إلى البيانات وإسناده إلى الهوية؛ ووثائق سياسة الاحتفاظ بالسجلات التي تُظهر مدة الاحتفاظ والمتطلب الذي عُويرت وفقه؛ وتأكيد تسجيل أحداث الوصول إلى البيانات في طبقة التطبيق مع إسنادها إلى هوية المستخدم.
- أمن سجلات الحزم البرمجية
-
أمن سجلات المُخرَجات البرمجية مهم لـTPRM لأن المُخرَجات البرمجية التي تتلقاها مؤسستك من الموردين تُوزَّع عبر سجلات يحدد وضعها الأمني ما إذا كان المُخرَج الذي تنزّله هو نفسه الذي نشره المورد.
يكتسب أمن سجلات الحزم البرمجية أهمية في TPRM لأن الحزم البرمجية التي تتلقاها مؤسستك من الموردين تُوزَّع عبر سجلات يحدد وضعها الأمني ما إذا كانت الحزمة التي تنزّلها هي الحزمة التي نشرها المورد.
- أمن سجلات الحزم البرمجية: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: سجلات مراجعة الوصول إلى السجل وقائمة الحسابات الحالية؛ وتكامل دورة حياة الهوية مع الوصول إلى السجل؛ وينبغي سؤال المورد الذي يؤكد توقيع الحِزم عن عدم قابلية السجل للتعديل وضوابط الوصول إليه. فالتوقيع يؤكد سلامة الحزمة عند نشرها، وعدم القابلية للتعديل يضمن أن الحزمة عند تنزيلها هي نفسها الحزمة عند نشرها، أما ضوابط الوصول فتحدد من يستطيع استبدال حزمة قابلة للتعديل.
- الضمان مقابل الشهادة
-
تقرير SOC 2 تصديق: تبدي فيه شركة CPA رأيًا في إقرار الإدارة بشأن ضوابطها، وفق معيار تصديق. أما ISO 27001 فهي شهادة: تشهد فيها جهة إصدار شهادات معتمدة بأن نظام الإدارة مطابق لمعيار منشور، بعد تدقيق وفق متطلبات ذلك المعيار. فالكلمتان تصفان آليات مختلفة ومخرجات مختلفة وجهات تنظيمية مختلفة.
يطلب المشترون شهادة فيتلقون تقرير تصديق، أو العكس، ولا يلاحظ أي من الطرفين ذلك حتى يُختبر بند في العقد. فتقرير SOC 2 لا يمكن تجديده كما تُجدد الشهادة؛ وشهادة ISO لا تتضمن ضوابط مختبرة كما يتضمنها التقرير.
- الضمان مقابل التحقق
-
الضمان ثقة مهنية يعبّر عنها طرف ثالث مستقل بأن منظومة الضوابط تعمل وفق معايير محددة، استنادًا إلى أدلة جُمعت بأساليب تقييم منظمة.
يكتسب التمييز بين التأكيد والتحقق أهمية في TPRM لأن المخاطر المحددة التي تنشئها العلاقات مع العملاء، أي البيانات المحددة التي تكشفها، وأنماط الوصول المحددة التي تتيحها، وسيناريوهات الهجوم المحددة الأكثر صلة، كثيرًا ما لا تقع ضمن معايير أطر الامتثال التي توفر التأكيد الأسا
- الضمان مقابل التحقق: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: تأكيد ما إذا كان السيناريو المحدد قد اختُبر في التقييمات القائمة؛ والموافقة على اختبار تحقق موجه للسيناريوهات التي لم يُتحقق منها؛ ونتائج الاختبارات السابقة إذا كان السيناريو قد قُيّم.
- مدة بقاء المهاجم عبر الموردين
-
تكتسب مدة بقاء المهاجم عبر الموردين أهمية في TPRM لأن تعرض بيانات العميل لا يبدأ عند دخول المهاجم إلى بيئة العميل، بل عند حصوله على وصول إلى أي بيئة في مسار سلسلة الإمداد المؤدي إلى بيانات العميل.
يكتسب زمن بقاء المهاجم عبر الموردين أهمية في TPRM لأن تعرض بيانات العميل لا يبدأ عندما يدخل المهاجم بيئة العميل، بل عندما يحصل على وصول إلى أي بيئة في مسار سلسلة التوريد المؤدي إلى بيانات العميل.
- مدة بقاء المهاجم عبر الموردين: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: MTTD الفعلي المستمد من حوادث حقيقية؛ ومصدر الاكتشاف، أي SOC الداخلي مقابل الإخطار الخارجي؛ وأطول مدة بقاء للمهاجم في الحوادث الأخيرة.
- التصديق والشهادة
-
تصدر الشهادة عن جهة خارجية معتمدة وفق مخطط محدد، مثل ISO 27001، بعد تدقيق، ويمكن التحقق منها لدى الجهة المُصدِرة. أما الإقرار فهو بيان عن نفسك، يوقّعه أحيانًا مسؤول وأحيانًا يصاحبه فحص مستقل، كما في تقرير SOC 2 الذي يُقرّ فيه المدقق بوصف الإدارة. وتُستخدم الكلمتان بالتبادل في محادثات المبيعات، لكن لكل منهما معنى مختلفًا عند النزاع.
يسأل المشترون هل أنت حاصل على شهادة، والإجابة الصادقة لدى كثير من البرامج القوية هي أنها تحمل تقرير تصديق لا شهادة. وشركات التأمين والجهات التنظيمية وإدارات المشتريات في المؤسسات تدرك هذا الفرق جميعها. وادعاء الحصول على شهادة وأنت تحمل تصديقًا بيان غير صحيح، وهو بيان يكتشفه المشتري الكفء في المكالمة الأولى.
- جودة أدلة التدقيق
-
جودة أدلة التدقيق هي مدى إثبات الدليل المقدَّم لضابط أمني ما يُقدَّم على أنه يثبته فعلًا، أي أن الضابط مطبَّق ويعمل بفعالية ومطبَّق على جميع الأنظمة والمستخدمين المعنيين، لا مجرد أن إعدادًا ما موجود في لقطة إعدادات في وقت معين.
جودة الأدلة مهمة لـTPRM لأن الضمان الذي يوفره التقييم المكتمل لا يكون أقوى من الأدلة التي تدعمه.
- جودة أدلة التدقيق: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: تأكيد التغطية، أي تأكيد جميع الأدوار أو لقطة شاشة شاملة للسياسة؛ وتأكيد الحداثة، أي أن الأدلة تمثل الوضع الحالي؛ ويُفضَّل مخرج الامتثال الآلي على لقطات الشاشة اليدوية.
- حدود نطاق التدقيق
-
حدود نطاق التدقيق هي حدود ما فحصه التدقيق واختبره وخلص إليه، وبالتبعية ما لم يفحصه التدقيق أو يختبره أو يتوصل إلى استنتاجات بشأنه.
قيود نطاق التدقيق مهمة لـTPRM لأن تقارير SOC 2 وشهادات ISO 27001 وتقارير التدقيق الأخرى الصادرة عن أطراف ثالثة هي الأدلة الرئيسية على فعالية الضوابط في تقييمات الموردين، ولجميعها قيود في النطاق تؤثر في ما تدعمه استنتاجات التقرير على نحو سليم.
- قيود نطاق التدقيق: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: الإفصاح عن مشكلات جودة الضوابط المعروفة خلال فترة التدقيق؛ ووصف التغييرات الجوهرية بعد الفترة؛ وقسم الاستثناءات ورد الإدارة من أحدث تقرير.
- استقلالية المدقق
-
يجب أن يكون مدقق الخدمة مستقلًا عن الضوابط التي يفحصها. وتحظر معايير التصديق على المدقق تصميم الضوابط أو تطبيقها أو تشغيلها، لأن المدقق الذي بنى الضابط لا يستطيع أن يبدي رأيًا موثوقًا في مدى عمله. فالاستقلالية شرط مسبق لكي يكون للرأي أي قيمة.
يفسر ذلك لماذا لن يكتب مدققك سياساتك، ولن يخبرك بالضبط أي ضابط تطبق، وسيجيب عن سؤال بشأن المعالجة بوصف للمعيار لا بحل. والشركة التي تقدم استشارات الجاهزية والتدقيق معًا يجب أن تفصل بينهما في فريقين منفصلين، وكثير من الشركات يرفض القيام بالأمرين للعميل نفسه.
- اتخاذ القرارات الآلي
-
تمنح المادة 22 من GDPR الأفراد الحق في ألا يخضعوا لقرار قائم فقط على المعالجة الآلية، بما في ذلك التنميط، يُحدث آثارًا قانونية بشأنهم أو آثارًا مماثلة في أهميتها. وحيثما تكون هذه القرارات مسموحًا بها، بموجب عقد أو قانون أو موافقة صريحة، يحق للفرد التدخل البشري، والتعبير عن وجهة نظره، والطعن في القرار.
تتضمن قرارات الائتمان وفرز طلبات التوظيف وتسعير التأمين وحظر الاحتيال النماذج بصورة متزايدة، وكثيرًا ما يكون العنصر البشري في الحلقة شكليًا. فالمراجع الذي يوافق على كل ما يوصي به النموذج، بمعدل مئات القرارات يوميًا، لا يتدخل فعليًا. والقرار آلي بالكامل من حيث الجوهر مهما قال مخطط الإجراءات.
B
- اختبار النسخ الاحتياطي
-
النسخة الاحتياطية مجرد نسخة. أما الاستعادة فهي الدليل على أن النسخة يمكن أن تصبح نظامًا عاملًا خلال الوقت الذي وعدت به. واختبار النسخ الاحتياطي يعني تنفيذ الاستعادة وفق جدول زمني، إلى هدف محدد، والتحقق من النتيجة، وتسجيل ما حدث. ومعظم المؤسسات تُجري نسخًا احتياطيًا، لكن عددًا أقل بكثير منها استعاد نسخة في ظروف تشبه ولو قليلًا ظروف عطل حقيقي.
النسخ الاحتياطية هي الضابط الذي يسأل عنه كل إطار وكل شركة تأمين، والضمان الذي تقدمه معظم المؤسسات هو أن مهمة النسخ الاحتياطي اكتملت. والمهمة المكتملة تثبت أن النسخة كُتبت. ولا تثبت شيئًا عما إذا كانت النسخة قابلة للقراءة، أو كاملة، أو حديثة، أو قابلة للاستعادة ضمن الهدف المحدد، وقد جعلت برمجيات الفدية الفرق بين النسخ الاحتياطي والاستعادة هو الفرق بين انقطاع مؤقت وإغلاق نهائي.
- تجاوزات حماية الفروع ومراجعة الشيفرة
-
تجاوزات حماية الفروع مهمة لـTPRM لأنها تمثل الفجوة بين ضوابط سلسلة توريد البرمجيات التي وثّقها المورد والضوابط المطبقة فعليًا على أرض الواقع.
تكتسب طرق تجاوز حماية الفروع أهمية في TPRM لأنها تمثل الفجوة بين ضوابط سلسلة توريد البرمجيات التي وثّقها المورد والضوابط المطبقة فعلًا في الممارسة.
- تجاوز حماية الفروع ومراجعة الشيفرة: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: إعدادات حماية الفروع بما في ذلك شمولها للمسؤولين؛ وقائمة المسؤولين ذوي الوصول الإداري إلى المستودع وتاريخ آخر مراجعة لها؛ ورصد سجلات التدقيق بحثًا عن الإيداعات المباشرة في الفروع المحمية.
- تحديات نسبة الاختراقات إلى مرتكبيها
-
نسبة الاختراق هي عملية تحديد من نفذ هجومًا محددًا: الجهة الفاعلة في التهديد، ودافعها، وانتماؤها التنظيمي، وخطواتها التالية المرجحة.
تكتسب تحديات نسبة الاختراقات أهمية في TPRM لأن استجابة العميل لاختراق لدى المورد لا ينبغي أن تتوقف في انتظار نسبة قاطعة من التحقيق الجنائي الرقمي الذي يجريه المورد.
- تحديات نسبة الاختراقات: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: الحقائق التقنية المؤكدة بمعزل عن نسبة الهجوم، أي الجدول الزمني للوصول، والأنظمة، وأنواع البيانات؛ والتكتيكات والتقنيات والإجراءات الملاحظة في التحقيق بصرف النظر عن نسبة الهجوم؛ وتقييم أولي للنطاق مستقل عن نسبة الهجوم.
- الإخطار بخرق البيانات
-
تشترط GDPR على المتحكم إخطار السلطة الرقابية بأي خرق للبيانات الشخصية خلال 72 ساعة من علمه به، ما لم يكن من غير المرجح أن يؤدي الخرق إلى مخاطر على الأفراد. وإذا كانت المخاطر عالية، فيجب أيضًا إبلاغ الأفراد المتأثرين دون تأخير غير مبرر. ويجب على المعالجين إخطار المتحكمين التابعين لهم دون تأخير غير مبرر.
العلم بالحادث يسبق التأكد منه. فالفرق تنتظر اكتمال الصورة قبل الإخطار فتفوتها المهلة، في حين أن اللائحة تسمح صراحةً بالإخطار على مراحل: إخطار أولي بما هو معروف، تليه معلومات تكميلية مع تقدم التحقيق. ومهلة الـ72 ساعة مخصصة للتواصل الأول، لا للتقرير النهائي.
- فجوات محاكاة الاختراق
-
ثغرات محاكاة الاختراق هي الفروق بين ما يختبره تمرين محاكاة الاختراق وما يتطلبه حادث أمني حقيقي، وتحديدًا الفجوة بين محاكاة مكتوبة مسبقًا يتعاون فيها الجميع ويُبلغ فيها فريق IR بكل خطوة، واختراق حقيقي يكون فيه الاكتشاف غامضًا والنطاق غير مؤكد والمهاجم نشطًا ويتك
تكتسب فجوات محاكاة الاختراق أهمية في TPRM لأن تقرير المحاكاة الذي يؤكد قدرة IR وفق معايير محددة قد يختبر مجموعة من القدرات تختلف عما يتطلبه اختراق حقيقي.
- ثغرات محاكاة الاختراق: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: منهجية المحاكاة، أي مكتوبة مسبقًا أم تبدأ بالاكتشاف؛ وسجل تمارين الفريق الأرجواني أو تمارين الذخيرة الحية؛ وMTTD وMTTC من التمارين العدائية.
- خطابات الجسر
-
خطاب التجسير، الذي يُسمى أحيانًا خطاب الفجوة، يغطي المدة بين نهاية فترة الملاحظة في التقرير والتاريخ الذي يقرؤه فيه العميل. ويؤكد عدم حدوث تغييرات جوهرية في بيئة الرقابة منذ انتهاء الفترة. وتكتبه إدارة المورد وتوقّعه.
التقارير تاريخية دائمًا. فإذا انتهت الفترة في سبتمبر ونحن الآن في فبراير، فهناك خمسة أشهر غير مغطاة، وخطاب الجسر هو الوسيلة المعتادة لمعالجة هذه الفجوة دون انتظار التقرير التالي.
- خلل التحكم في الوصول في تطبيقات الموردين
-
خلل التحكم في الوصول هو إخفاق التطبيق في إنفاذ القواعد التي تحدد بشكل صحيح أي المستخدمين المصادق عليهم يمكنهم الوصول إلى أي الموارد، وتنفيذ أي الإجراءات، ورؤية أي البيانات.
يُعد خلل التحكم في الوصول في تطبيق المورد خطيرًا على نحو فريد من منظور مخاطر الأطراف الثالثة، لأنه قد يكشف بيانات مؤسستك لعملاء آخرين على المنصة نفسها، ويعرضك لبيانات عملاء آخرين بطرق تنشئ مسؤولية تنظيمية بصرف النظر عن النية.
- خلل التحكم في الوصول في تطبيقات الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: توثيق نطاق اختبار الاختراق الذي يشمل صراحةً اختبار IDOR وسيناريوهات تصعيد الصلاحيات؛ وتأكيد اختبار العزل بين المستأجرين للتطبيقات متعددة المستأجرين مع أدلة على المنهجية؛ وتأكيد إنفاذ التفويض من جانب الخادم، لا التحكم في الوصول على طبقة UI، بل من جانب الخادم.
- التحقق من سلامة البناء
-
التحقق من سلامة البناء هو مجموعة الضوابط التي تتحقق من جدارة عملية إنتاج المُخرَجات بالثقة، أي سلسلة الأدلة الممتدة من الشيفرة المصدرية المراجَعة إلى الملف الثنائي المنشور، والتي تثبت أن كل خطوة في البناء نُفذت كما هو متوقع، بواسطة أنظمة مصرح لها، وبالمدخلات المقصودة، ودون تعديل غير مصرح به
سلامة البناء هي الضابط الذي يعالج الفجوة التي يتركها توقيع الشيفرة مفتوحة، أي الفجوة بين عبارة "وُقّعت الحزمة بمفتاح المورد" وعبارة "الحزمة تمثل بدقة الشيفرة المصدرية التي رُوجعت". وبالنسبة لممارسي TPRM، فإن هذه الفجوة هي حيث تعمل هجمات سلسلة التوريد الأشد أثرًا.
- التحقق من سلامة البناء: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: إقرارات المصدر وفق SLSA أو مراجع سجلات الشفافية للإصدارات الأخيرة؛ وتأكيد ملفات قفل الاعتماديات مع سياسة التحقق من البصمات؛ ووصف عزل بيئة البناء، أي بيئات مؤقتة أو ما يعادلها.
- سلامة مسار البناء
-
تكتسب سلامة خط الإنتاج البرمجي أهمية في TPRM لأن مورد البرمجيات الذي يتعرض خط إنتاجه للاختراق ينتج برمجيات مخترقة، بصرف النظر عن قوة ضوابط الأمن في بيئة الإنتاج لديه.
سلامة مسار البناء مهمة لـTPRM لأن مورد البرمجيات الذي يتعرض مساره للاختراق ينتج برمجيات مخترقة، بصرف النظر عن قوة ضوابط الأمن في بيئة الإنتاج لديه.
- سلامة خط الإنتاج البرمجي: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: قائمة جرد تكاملات الأطراف الثالثة في CI/CD مع نطاق بيانات اعتمادها؛ وتوليد مصدر المنشأ وفق SLSA ومستواه؛ والمورد الذي يؤكد أمن بيئة الإنتاج ينبغي سؤاله عن أمن مسار البناء. فضوابط بيئة الإنتاج تحمي ما يعمل. وضوابط مسار البناء تحمي كيفية بنائه. وقد تجاوز هجوم SolarWinds الأولى باختراق الثانية.
- تحليل الأثر على الأعمال
-
يحدد تحليل تأثير الأعمال، لكل خدمة أو عملية، ما يحدث بمرور الوقت إذا أصبحت غير متاحة: أي العملاء يتأثرون، وأي الإيرادات تتوقف، وأي الالتزامات تُخالَف، وعند أي نقطة يصبح الضرر غير مقبول. ومخرجاته هي أهداف التعافي لكل خدمة وترتيب لما يجب استعادته أولًا عندما يتعطل كل شيء في آن واحد.
أهداف التعافي المنسوخة من نموذج جاهز لا تحمي شيئًا، وخطط الاستمرارية التي تعامل كل خدمة على أنها عاجلة بالقدر نفسه تعيد تشغيل موقع الويكي بينما المدفوعات متوقفة. وBIA هو الخطوة التي تنتج الأرقام التي يعتمد عليها كل ما عداها في الاستمرارية، وهي الخطوة الأكثر استبدالًا بجدول بيانات من التخمينات.
C
- CAIQ
-
استبيان Consensus Assessments Initiative هو مجموعة الأسئلة القياسية الصادرة عن Cloud Security Alliance، والمربوطة بمصفوفة Cloud Controls Matrix الخاصة بها. وهو مصمم لمزودي الخدمات السحابية، وكثير منهم ينشر نسخة مكتملة منه في سجل عام، مما يعني أن نسبة جيدة من مورديك السحابيين قد أجابوا عنه بالفعل قبل أن تسأل.
إنها مجموعة الأسئلة القياسية الأرجح وجودًا مسبقًا لدى أي مورد برمجيات كخدمة أو بنية تحتية، لذا فهي أول ما ينبغي البحث عنه قبل كتابة استبيان خاص بك. كما تبرز حين يطلبها منك مشترٍ، وعندها فإن وجود CAIQ مكتمل وحديث في مركز الثقة لديك يلغي فئة كاملة من الطلبات.
- بيانات نطاق الشهادات
-
بيان نطاق الشهادة هو الجملة الواردة في الشهادة، أو في وصف النظام في التقرير، التي تحدد ما فُحص فعلًا: أي المنتجات، وأي البيئات، وأي المواقع، وأي الكيانات. وكل ما تدّعيه الشهادة ينطبق داخل هذه الجملة ولا شيء خارجها. والمشتري الذي يقرأ الشهادات يقرأ بيان النطاق قبل الشعار.
غطى تقرير SOC 2 من النوع II الخالي من الملاحظات لدى أحد الموردين منصته الأساسية. لكن المشتري استخدم منتجًا أحدث من المورد نفسه، أُطلق بعد فترة الملاحظة ولم يُذكر في وصف النظام. وكان التقرير دقيقًا وغير متحفظ وغير ذي صلة بعملية الشراء، ولم يلاحظ أحد ذلك لأن التحقق اقتصر على وجود تقرير.
- إدارة التغيير بموجب CC8
-
يشترط CC8 أن تكون التغييرات على البنية التحتية والبيانات والبرمجيات والإجراءات مصرحًا بها ومصممة ومطوَّرة ومختبرة ومعتمدة ومنفذة بطريقة مضبوطة. وهو المعيار الذي يسأل عما إذا كانت الأمور تصل إلى الإنتاج عن قصد.
يكون مسار التغيير العادي عادةً خاضعًا لضوابط جيدة، لأنه مصمم وموثق ومستخدم يوميًا. أما مسار الطوارئ فهو حيث ينكسر. شيء ما متوقف، والإصلاح مطلوب الآن، فتُتخطى الموافقة المعتادة، وبعد أسبوع لا يستطيع أحد العثور على السجل. والمدققون يعلمون ذلك ويتعمدون أخذ عينات من تغييرات الطوارئ.
- دعوة Charter Practitioner
-
مرحبًا،
- بيانات الأطفال
-
تحدد GDPR السن التي يستطيع فيها الطفل الموافقة على خدمات مجتمع المعلومات بستة عشر عامًا، مع السماح للدول الأعضاء بخفضها إلى ثلاثة عشر عامًا، وقد حددتها معظم الدول عند سن ما بينهما. وتتطلب معالجة بيانات الطفل على أساس الموافقة دون تلك السن إذنًا من الوالدين. وتفرض مدونات مثل Age Appropriate Design Code في المملكة المتحدة التزامات تصميمية على الخدمات التي يُرجَّح أن يصل إليها الأطفال، بصرف النظر عن الجمهور المستهدف.
الخدمات غير الموجهة إلى الأطفال تجتذبهم مع ذلك، وعبارة «ليسوا جمهورنا» ليست تقييمًا. فالاختبار هو ما إذا كان من المرجح أن يصل الأطفال إلى الخدمة، والمنصة متعددة الأغراض التي لا تتحقق من العمر يُرجح أن يصل إليها الأطفال. وتترتب الالتزامات على هذا الاحتمال.
- مراجعات الوصول إلى CI/CD وإلغاء الصلاحيات
-
تكتسب مراجعات الوصول في CI/CD أهمية في TPRM لأن حسابات CI/CD اليتيمة مسارات وصول إلى بيئة المسار قائمة دون مبرر عمل فعلي. وحساب الموظف السابق بيانات اعتماد ربما اختُرقت عبر التصيد أو سرقة بيانات الاعتماد دون وجود موظف نشط يلاحظ النشاط المريب.
تكتسب مراجعات الوصول في CI/CD أهمية في TPRM لأن حسابات CI/CD اليتيمة مسارات وصول إلى بيئة المسار قائمة دون مبرر عمل فعلي.
- مراجعات الوصول وإلغاء التجهيز في CI/CD: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: ربط دورة حياة الهوية بإنهاء خدمة الموظفين؛ وإجراءات إلغاء تجهيز حسابات الخدمة وحسابات الموردين؛ وقائمة جرد الوصول إلى CI/CD مع المبرر والمالك.
- سجلات التدقيق وقابلية الرصد في CI/CD
-
تكتسب سجلات التدقيق في CI/CD أهمية في TPRM لأن قدرة المورد على التحقيق في اختراق سلسلة الإمداد أو في حادث أمني في مساره تعتمد على جودة سجل تدقيق CI/CD لديه ومدة الاحتفاظ به.
تكتسب سجلات التدقيق في CI/CD أهمية في TPRM لأن قدرة المورد على التحقيق في اختراق سلسلة الإمداد أو في حادث أمني في مساره تعتمد على جودة سجل تدقيق CI/CD لديه ومدة الاحتفاظ به.
- سجلات التدقيق وقابلية المراقبة في CI/CD: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: مدة الاحتفاظ بسجلات تدقيق CI/CD؛ وتخزين خارجي غير قابل للتعديل لسجلات التدقيق؛ واكتمال الأحداث، أي السياق المسجَّل مع أحداث النشر.
- إخفاقات إدارة بيانات الاعتماد في CI/CD
-
تكتسب إدارة بيانات الاعتماد في CI/CD أهمية في TPRM لأنها تحدد نطاق الضرر في أسوأ الحالات عند اختراق خط الإنتاج. فالمورد الذي يستخدم خط إنتاجه حساب خدمة واحدًا ببيانات اعتماد النشر في الإنتاج يكون نطاق الضرر لديه وصولًا كاملًا إلى الإنتاج من أي اختراق لخط الإنتاج.
إدارة بيانات اعتماد CI/CD مهمة لـTPRM لأنها تحدد نطاق الضرر في أسوأ الحالات عند اختراق المسار.
- إخفاقات إدارة بيانات الاعتماد في CI/CD: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: تأكيد تطبيق هوية أعباء العمل أو خارطة طريق لتطبيقها؛ وقصر بيانات اعتماد الإنتاج على خطوات النشر فقط؛ وتدقيق حسابات الخدمة من حيث نطاق بيانات الاعتماد.
- أمن منصات CI/CD: مخاطر GitHub Actions وGitLab CI
-
إجراء المجتمع: اعتُمد في الإصدار v2.1. حُدّث إلى الإصدار v2.2: وظائف جديدة.
أمن منصات CI/CD مهم لـTPRM لأن الإجراءات والمكونات التي تعمل في مسارات CI/CD لدى الموردين هي شيفرة أطراف ثالثة تُنفَّذ ببيانات اعتماد المسار، أي نموذج التهديد نفسه الخاص باعتماديات التطبيقات، لكن مطبقًا على بنية البناء التحتية بدلًا من التطبيق نفسه.
- أمن منصات CI/CD: مخاطر GitHub Actions وGitLab CI: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: تطبيق التثبيت بقيم SHA في ملفات سير العمل؛ وقائمة الإجراءات المعتمدة أو قيود على الناشرين؛ وينبغي سؤال المورد الذي يؤكد أمن CI/CD عن تثبيت الإجراءات وحوكمة اعتمادها. فتثبيت اعتماديات التطبيق يتحكم في الشيفرة التي تعمل في التطبيق، وتثبيت الإجراءات يتحكم في الشيفرة التي تعمل في خط الإنتاج الذي يبني التطبيق.
- أمن CI/CD للقطاعات الخاضعة للتنظيم
-
يكتسب أمن CI/CD في القطاعات الخاضعة للتنظيم أهمية في TPRM لأن شهادات الامتثال في هذه القطاعات قد لا تعكس امتثال خطوط CI/CD إذا لم يتضمن نطاق الشهادة تقييمًا دقيقًا لمتطلبات CI/CD المحددة.
يكتسب أمن CI/CD في القطاعات الخاضعة للتنظيم أهمية في TPRM لأن شهادات الامتثال في هذه القطاعات قد لا تعكس امتثال خطوط CI/CD إذا لم يتضمن نطاق الشهادة تقييمًا دقيقًا لمتطلبات CI/CD المحددة.
- أمن CI/CD للقطاعات الخاضعة للتنظيم: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: ربط مسار CI/CD بالمتطلبات التنظيمية؛ ونتائج تقييم الفجوات وحالة معالجتها؛ وأدلة الامتثال للضوابط الخاصة بـCI/CD.
- بنية أمن الشبكات السحابية
-
تكتسب بنية أمن الشبكات السحابية أهمية في TPRM لأن الانتقال إلى السحابة كثيرًا ما ينقل أعباء عمل التطبيقات إلى البنية التحتية السحابية دون نقل الانضباط في أمن الشبكات الذي كان يحكم البيئة المحلية.
تكتسب بنية أمن الشبكات السحابية أهمية في TPRM لأن الانتقال إلى السحابة كثيرًا ما ينقل أعباء عمل التطبيقات إلى البنية التحتية السحابية دون نقل انضباط أمن الشبكات الذي كان يحكم البيئة المحلية.
- بنية أمن الشبكات السحابية: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: نتائج تدقيق مجموعات الأمان بحثًا عن 0.0.0.0/0؛ وينبغي سؤال المورد الذي يؤكد أمن السحابة عن إعدادات مجموعات الأمان. فمجموعات الأمان السحابية هي ضابط أمن الشبكة الأساسي في البيئات السحابية، وفتح 0.0.0.0/0 على منافذ الإدارة يكشف الخوادم للإنترنت بأكمله بصرف النظر عن ضوابط الأمن في طبقة التطبيقات.
- أمن السحابة
-
لا يتعلق الأمن السحابي في سياق مخاطر الأطراف الثالثة أساسًا بالبنية التحتية لمزود الخدمة السحابية، فذلك الجزء مُعالج إلى حد كبير. بل تكمن المخاطر الحقيقية في كيفية إعداد مؤسستك لبيئتها السحابية وكيفية السماح للموردين بالعمل داخلها.
عندما يعمل المورد داخل بيئتك السحابية، ينهار النموذج التقليدي لمخاطر الأطراف الثالثة، أي تقييم الضوابط وتلقي التصديق وحفظ التقرير، انهيارًا شبه كامل.
- الأمن السحابي: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: مجموعة أذونات موثقة وقابلة للدفاع عنها للدور السحابي للمورد، لا لقطة شاشة لصلاحية AdministratorAccess؛ ودليل على تطبيق CSPM أو أدوات مكافئة على البيئات التي يديرها؛ وإجراء محدد لإخطار العملاء بتغييرات الإعدادات التي تُجرى داخل بيئاتهم.
- إخفاقات عزل أحمال العمل السحابية
-
عزل أعباء العمل السحابية هو مجموعة الآليات التقنية التي تمنع عبء عمل، سواء كان تطبيقًا أو عملية أو حاوية أو آلة افتراضية، من الوصول إلى الذاكرة أو التخزين أو حركة الشبكة أو سياق التنفيذ لعبء عمل آخر يعمل على البنية التحتية الأساسية نفسها.
عزل أعباء العمل هو الضمان التقني الذي تقوم عليه بيئات الموردين متعددة المستأجرين.
- إخفاقات عزل أعباء العمل السحابية: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: تأكيد حظر الحاويات المميزة أو إخضاعها لرقابة مشددة في بيئات الإنتاج؛ SLA محددة للترقيع لثغرات بيئة تشغيل الحاويات الحرجة، ويُفضَّل أن تكون من 24 إلى 72 ساعة لثغرات CVE الحرجة؛ وثائق نطاق اختبار الاختراق التي تؤكد إدراج سيناريوهات عزل أحمال العمل.
- توقيع الشيفرة وحدوده
-
تكتسب حدود توقيع الشيفرة أهمية في TPRM لأن المؤسسات التي تشترط توقيع الشيفرة ضابطًا لأمن سلسلة التوريد قد يكون لديها شعور زائف بالاطمئنان إلى أصالة البرمجيات الموقّعة.
حدود توقيع الشيفرة مهمة لـTPRM لأن المؤسسات التي تشترط توقيع الشيفرة ضابطًا لأمن سلسلة التوريد قد يكون لديها شعور زائف بالاطمئنان إلى أصالة البرمجيات الموقعة.
- توقيع الشيفرة وحدوده: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: تأكيد استخدام HSM أو وسيلة مكافئة لحماية المفاتيح؛ وينبغي سؤال المورد الذي يؤكد توقيع الشيفرة عن حماية المفاتيح وسجلات الشفافية. فالتحقق من التوقيع يؤكد أن المفتاح وقّع الحزمة، وحماية المفتاح تمنع اختراقه، وسجلات الشفافية تكشف الاختراق. والثلاثة جميعها مطلوبة لضمان ذي معنى في توقيع الشيفرة.
- ممارسات توقيع الشيفرة
-
كثيرًا ما يُستشهد بتوقيع الشيفرة في تقييمات أمن الموردين دليلًا على سلامة المُخرَجات وأمن توزيعها. وبالنسبة لممارسي TPRM، تُظهر هجمات 3CX وSolarWinds أن المُخرَج الموقّع بمفتاح المورد المشروع قد يظل خبيثًا إذا كانت بيئة البناء التي أنتجته مخترقة.
كثيرًا ما يُستشهد بتوقيع الشيفرة في تقييمات أمن الموردين دليلًا على سلامة المخرجات البرمجية وأمن توزيعها.
- ممارسات توقيع الشيفرة: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: تأكيد طريقة تخزين مفاتيح التوقيع، أي تخزين قائم على HSM أو تخزين مكافئ مقاوم للعبث؛ وضوابط الوصول إلى خط التوقيع الآلي، أي عدم إتاحة مفتاح التوقيع لوصول المطورين الأفراد؛ وإقرارات المصدر وفق SLSA أو وثائق مكافئة لمصدر البناء.
- أطر الضوابط المشتركة
-
إطار الضوابط المشترك هو مجموعة واحدة من الضوابط تصف ما تفعله مؤسستك فعلًا، مع معرّف ثابت لكل ضابط، مربوطة خارجيًا بكل إطار تُقيَّم وفقه. فبدلًا من مجموعة ضوابط لـSOC 2، ومجموعة لـISO، ومجموعة لـHITRUST تحتفظ بها ثلاثة فرق، تجيب مجموعة واحدة من ثلاثين إلى ثمانين ضابطًا عن الثلاثة، ويُنتج كل دليل مرة واحدة.
الإطار الثاني هو حيث تتضاعف تكلفة البرنامج، ولا ينبغي أن يحدث ذلك. فمعظم ما تتطلبه SOC 2 وISO 27001 وNIST CSF وHITRUST هو الممارسة الأساسية نفسها معبَّرًا عنها بطرق مختلفة: منح الوصول عن قصد ومراجعته، واعتماد التغييرات، ومعالجة الحوادث، وتقييم الموردين. والاختلافات تكمن في مواضع التركيز وتوقعات الأدلة، لا في ما تفعله يوم الاثنين.
- الضوابط التعويضية
-
الضابط التعويضي إجراء بديل يُعتمد حين يتعذر تطبيق ضابط مطلوب كما هو محدد، بسبب قيد حقيقي وموثق. ويجب أن يحقق مقصد المتطلب الأصلي ويوفر صرامة مماثلة، ويجب تدوين المبررات بصيغة يستطيع المقيّم اختبارها. وهو يتطلب عملًا أكثر من الامتثال، لا أقل.
لكل إطار متطلبات لا تستطيع بعض المؤسسات الوفاء بها حرفيًا. نظام قديم لا يدعم المصادقة متعددة العوامل، ومورد لا يستطيع التوقيع على بند معين، وإجراء تفترضه صياغة الجهة التنظيمية ولا يوجد في عملك. والضابط التعويضي هو المسار المشروع للالتفاف على كل منها، وهو أيضًا المسار الأكثر إساءة في استخدامه وسيلةً لتجاوز أمر غير مريح.
- الضوابط التكميلية في العقود
-
تصف ضوابط CUECs ما يجب على العميل فعله لكي تكون ضوابط المورد فعالة. وعلى نحو متزايد، تشير عقود الموردين إلى ضوابط CUECs مباشرةً، مما يجعل تطبيق العميل لها التزامًا تعاقديًا لا توصية في ملحق.
إذا أُرجع اختراق إلى ضابط أدرجه تقرير المورد ضمن مسؤوليات العميل، فسيشير المورد إلى تلك القائمة، وإلى العقد الذي يتضمنها. وقد أصبح قسم CUEC بهدوء المستند الذي يحدد من كان المخطئ.
- الضوابط التكميلية للمؤسسات الفرعية المقدمة للخدمة
-
ضوابط المؤسسة الخدمية الفرعية التكميلية (CSOCs) هي الضوابط التي تفترض الشركة الخاضعة للتدقيق أن مؤسستها الخدمية الفرعية تنفذها، مثل الأمن المادي لمركز البيانات، والعزل بين المستأجرين على مستوى المشرف الافتراضي، والتخلص الآمن من الأجهزة. وهي مذكورة في التقرير ولا يختبرها أحد فيه.
ضوابط CUECs تدفع المسؤولية نحوك أنت العميل، وضوابط CSOCs تدفعها نحو المزود الذي يقع تحت المورد. والقائمتان معًا تصفان كل ما لا يغطيه رأي التقرير، وقراءتهما معًا هي الطريقة الوحيدة لفهم ما يتناوله الرأي فعلًا.
- ضوابط الجهة المستخدمة التكميلية (CUECs)
-
لا تعمل ضوابط المورد إلا إذا أديت دورك، وضوابط الجهة المستخدمة التكميلية (CUECs) هي دورك، مكتوبًا من قِبل المورد. إنها الضوابط التي يفترض المورد أنك تشغلها كي تكون بيئته آمنة: فرض MFA على المستخدمين الذين تنشئهم، ومراجعة الوصول الذي منحته، وضبط قيمة الاحتفاظ، وإبقاء مفاتيح API الخاصة بك خارج نظام إدارة الشيفرة المصدرية. وهي موجودة في قسم من تقرير SOC 2 يتخطاه معظم القراء.
تقرير SOC 2 دليل على المورد. وقائمة CUEC هي الجزء الوحيد منه الذي يتعلق بك، ولم يختبر المدقق شيئًا منها، لأن المورد هو من كلّف المدقق، ولا يملك المدقق أي اطلاع على جانبك. وكل CUEC هو ضابط رفض المورد تحمّل مسؤوليته كتابةً وأعاده إليك.
- ثغرات أتمتة الامتثال
-
منصات أتمتة الامتثال، مثل Drata وVanta وSecureframe والأدوات المماثلة، تؤتمت جمع أدلة الامتثال ومراقبة فعالية الضوابط وتقييم الجاهزية للشهادات الأمنية.
تكتسب فجوات أتمتة الامتثال أهمية في TPRM لأن الموردين يستشهدون بشكل متزايد بالرصد الآلي للامتثال دليلًا على الفعالية المستمرة للضوابط.
- ثغرات أتمتة الامتثال: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: جرد نطاق تكامل منصة الامتثال؛ وتأكيد حالة تكامل الإضافات الأخيرة؛ وتأكيد توافق النطاق مع وصف النظام في SOC 2.
- الفجوة بين الامتثال والأمن
-
الامتثال هو حالة المطابقة لمجموعة محددة من المتطلبات، كمعيار أو لائحة أو إطار، ضمن نطاق محدد وفي نقطة زمنية معينة. أما الأمن فهو المقاومة المستمرة للتهديدات الفعلية عبر سطح الهجوم بأكمله.
الامتثال مقابل الأمن مسألة مهمة لـTPRM لأن شهادات الامتثال هي أكثر أدلة الأطراف الثالثة استخدامًا في تقييمات أمن الموردين، وهي تعاني بشكل منهجي من القيود الموصوفة.
- الفجوة بين الامتثال والأمن: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: جرد الأنظمة المجاورة خارج النطاق المتصلة بالبيئة المشمولة بالنطاق؛ وسجل التغييرات بعد التقييم مع تقييم أثرها على الامتثال؛ وتحديد فجوات النطاق والتقييم التعويضي.
- الامتثال بوصفه شيفرة في CI/CD
-
يكتسب الامتثال بوصفه شيفرة أهمية في TPRM لأن شهادات الامتثال في نقطة زمنية محددة، مثل تقارير PCI DSS QSA وتقارير مدققي SOC 2 وشهادات ISO 27001، تصف حالة الامتثال بدقة وقت التدقيق، لكنها لا تستطيع تأكيد حالة الامتثال الحالية إذا مضى وقت طويل.
يكتسب الامتثال ككود أهمية في TPRM لأن شهادات الامتثال في لحظة زمنية معينة، كتقارير QSA وفق PCI DSS وتقارير مدققي SOC 2 وشهادات ISO 27001، تصف بدقة حالة الامتثال وقت التدقيق، لكنها لا تستطيع تأكيد حالة الامتثال الحالية إذا مضى وقت طويل.
- الامتثال ككود في CI/CD: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: تطبيق الامتثال كشيفرة وتغطيته للأطر؛ واكتشاف انحراف الامتثال والتنبيه إليه؛ والمورد الذي يؤكد حصوله على شهادة امتثال ينبغي سؤاله عن المراقبة المستمرة منذ الحصول على الشهادة. فالشهادة تؤكد الامتثال وقت التدقيق. والمراقبة المستمرة للامتثال تؤكد استمرار حالة الامتثال. وكلاهما لازم لضمان الامتثال الحالي.
- الوصول المشروط: الفجوة بين السياسة والإنفاذ
-
تكتسب فجوات الوصول المشروط أهمية في TPRM لأن تجاوز المصادقة القديمة يقوّض متطلب MFA الذي يمثل الدفاع الأساسي ضد سرقة بيانات الاعتماد.
ثغرات الوصول المشروط مهمة لـTPRM لأن تجاوز المصادقة القديمة يقوّض متطلب MFA الذي يمثل الدفاع الأساسي ضد سرقة بيانات الاعتماد.
- ثغرات الوصول المشروط
-
الوصول المشروط نموذج لسياسات الأمن تُتخذ فيه قرارات الوصول بناءً على إشارات سياقية متعددة، وليس فقط على نجاح المصادقة.
تكتسب فجوات الوصول المشروط أهمية في TPRM لأنها تحدد ما إذا كانت ضوابط الوصول التي تحكم كيفية وصول موظفي المورد ومستخدميه الداخليين إلى البيانات الحساسة واعية بالمخاطر حقًا أم ممتثلة شكليًا.
- ثغرات الوصول المشروط: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: وثائق متطلبات امتثال الأجهزة، أي اشتراط التسجيل في MDM للوصول الحساس؛ وقائمة جرد إشارات الوصول المشروط، أي جميع الشروط التي تُقيَّم في سياسات الوصول؛ وسياسة وصول الأجهزة الشخصية، أي حظرها صراحة للوصول إلى الإنتاج.
- الموافقة
-
يجب أن تكون الموافقة وفق GDPR حرة ومحددة ومستنيرة وغير ملتبسة، يُعبَّر عنها بفعل إيجابي واضح، وأن يكون سحبها بسهولة منحها. ويجب أن يكون المتحكم قادرًا على إثبات الحصول عليها. والموافقة المدمجة في شروط الخدمة، أو التي حُصل عليها عبر مربعات محددة مسبقًا، أو التي جُعلت شرطًا لخدمة لا تحتاج إليها، غير صحيحة.
الموافقة هي الأساس الأشد صرامة، والأساس الذي تكون أنماط إخفاقه أوضح ما تكون. فبإمكان الجهة التنظيمية أن تنظر إلى نموذج التسجيل وترى ما إذا كان المربع محددًا مسبقًا. والموافقة الواحدة التي تغطي عدة أغراض متمايزة لا تستوفي شرط التحديد. والموافقة التي لا يمكن سحبها دون الاتصال بخط مساعدة لا تستوفي شرط السحب.
- سجلات الموافقة
-
يجب على المتحكم الذي يعتمد على الموافقة أن يكون قادرًا على إثبات أن صاحب البيانات قد وافق. وهذا يعني سجلًا يبين من وافق، ومتى، وعلى ماذا تحديدًا، وبأي آلية، وما الصياغة التي عُرضت عليه حينها. ويجب أن يصمد السجل أمام تغييرات الصياغة، لأن الموافقة التي حُصل عليها بموجب صيغة لا تغطي الأغراض المضافة في صيغة لاحقة.
تتغير الصياغة. فإشعارات الخصوصية تُنقح، والأغراض تُضاف، والموافقة التي حُصل عليها في 2021 لرسائل البريد الإلكتروني التسويقية يُعتمد عليها لاحقًا في التنميط الذي لم يكن موجودًا آنذاك. والسجل الذي لا يلتقط إلا واقعة الموافقة لا يستطيع أن يُظهر ما غطته، وستعاملها الجهة التنظيمية على أنها لا تغطي شيئًا يتجاوز ما يمكن إثباته.
- سلسلة إمداد صور الحاويات
-
تكتسب مخاطر سلسلة توريد صور الحاويات أهمية في TPRM لأن البرمجيات المسلَّمة في حاويات تتضمن مجموعة برمجيات المورد بأكملها، بما في ذلك مكتبات النظام ومكونات نظام التشغيل، لا شيفرة التطبيق فحسب.
تكتسب مخاطر سلسلة توريد صور الحاويات أهمية في TPRM لأن البرمجيات المسلَّمة في حاويات تتضمن مجموعة برمجيات المورد بأكملها، بما في ذلك مكتبات النظام ومكونات نظام التشغيل، لا شيفرة التطبيق فحسب.
- سلسلة توريد صور الحاويات: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: نتائج فحص صور الحاويات بجميع طبقاتها؛ ووتيرة إعادة بناء الصور الأساسية وعمليتها؛ وSBOM للحاويات بما في ذلك مكتبات النظام.
- أمن سجلات الحاويات في CI/CD
-
يكتسب أمن سجلات الحاويات أهمية في TPRM لأن صور الحاويات التي تنشرها المؤسسات من سجلات الموردين هي آلية التسليم في سلسلة إمداد البرمجيات للتطبيقات المعبأة في حاويات.
أمن سجلات الحاويات مهم لـTPRM لأن صور الحاويات التي تنشرها المؤسسات من سجلات الموردين هي آلية تسليم سلسلة توريد البرمجيات للتطبيقات المعبأة في حاويات.
- أمن سجلات الحاويات في CI/CD: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: أصالة مساحة الأسماء في السجل، خاصة أو موثقة؛ والمورد الذي يوزّع صور الحاويات ينبغي سؤاله عن توقيع الصور والتحقق من مساحة الأسماء. فتوقيع الصور يوفر ضمان الأصالة. والتحقق من التوقيع في مسار المستهلك ينفذه. وكلاهما مطلوب لسد ثغرة انتحال الأسماء المشابهة واختراق التوزيع.
- أمن الحاويات في CI/CD
-
يكتسب أمن الحاويات في CI/CD أهمية في TPRM لأن البرمجيات المقدمة في حاويات تتضمن حزمة البرمجيات بأكملها، أي الصورة الأساسية والتبعيات والتطبيق، ويجب أن تمتد إدارة الثغرات إلى جميع الطبقات.
يكتسب أمن الحاويات في CI/CD أهمية في TPRM لأن البرمجيات المقدمة في حاويات تتضمن حزمة البرمجيات بأكملها، أي الصورة الأساسية والتبعيات والتطبيق، ويجب أن تمتد إدارة الثغرات إلى جميع الطبقات.
- أمن الحاويات في CI/CD: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: أداة فحص الحاويات وتأكيد تغطيتها لجميع الطبقات؛ والمورد الذي يؤكد فحص الحاويات ينبغي سؤاله عن تغطية الطبقات. ففحص طبقة التطبيق يغطي الاعتماديات التي أضافها المورد. والفحص الشامل لجميع الطبقات يغطي بيئة التنفيذ. وكلاهما مطلوب لإدارة ثغرات الحاويات بشكل كامل.
- واقع الامتثال المستمر
-
الامتثال المستمر فلسفة لتصميم البرامج تستبدل بتقييمات الامتثال الدورية في نقطة زمنية فحوصًا آلية مستمرة تراقب فعالية الضوابط بين دورات التقييم الرسمية. ويوحي مصطلح المستمر بالمراقبة الدائمة، أي ببرنامج يكتشف فورًا أي إخفاق في الضوابط.
يكتسب واقع الامتثال المستمر أهمية في TPRM لأن مصطلح الامتثال المستمر في أوصاف أمن الموردين يوحي بمراقبة آنية لا يدعمها التطبيق التشغيلي دائمًا.
- واقع الامتثال المستمر: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: تكرار الفحص للضوابط الحيوية؛ وتهيئة توجيه التنبيهات، إلى قائمة الحوادث أم قائمة الامتثال؛ وزمن الاستجابة المستهدف والفعلي لإخفاقات الامتثال الحرجة.
- فجوات الرصد المستمر
-
المراقبة المستمرة في TPRM هي الجمع والتقييم المستمران للإشارات المتعلقة بالوضع الأمني للموردين بين دورات التقييم الرسمية، باستخدام بيانات التصنيف الأمني الخارجية، وموجزات معلومات التهديدات، والإفصاحات العامة عن الثغرات، والمعلومات المؤسسية، ومراقبة الإجراءات التنظيمية، لاكتشاف التغييرات الجوهرية في مخ
ثغرات المراقبة المستمرة مهمة لـTPRM لأن الفاحصين التنظيميين في الخدمات المالية والرعاية الصحية والبنية التحتية الحيوية يتوقعون بشكل متزايد المراقبة المستمرة مكونًا من مكونات برامج مخاطر الأطراف الثالثة، لا بديلًا عن التقييمات الدورية بل مكملًا لها يكتشف التغييرات الجوهرية بين التقي
- ثغرات المراقبة المستمرة: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: وثائق إجراء الإخطار بالتغييرات الجوهرية؛ وسياسة الإخطار بتغييرات القيادات الأمنية الرئيسية؛ والإخطار بالحوادث الأمنية التي تقل عن الحد التعاقدي الرسمي.
- منصات الرصد المستمر
-
تتصل منصات أتمتة الامتثال بأنظمتك السحابية وأنظمة الهوية والتذاكر والشيفرة، فتفحص الإعدادات باستمرار مقابل متطلبات الضوابط وتجمع الأدلة تلقائيًا أثناء عمل الضوابط. وهي تكشف الفجوات بين عمليات التدقيق وتزيل جزءًا كبيرًا من العمل اليدوي لجمع الأدلة.
فهي تخفض فعلًا تكلفة SOC 2، وتجعل انحراف الضوابط مرئيًا خلال أيام بدلًا من التدقيق التالي. وبالنسبة للفريق الصغير، قد تكون الفارق بين تدقيق يمكن إدارته وتدقيق لا يمكن إدارته.
- المراقبة المستمرة مقابل التقييم في نقطة زمنية
-
يكتسب الرصد المستمر أهمية لأن أحداث المخاطر الأكثر استدعاءً للاستجابة في TPRM، كاختراقات الموردين وتغييرات البنية التحتية وتغيّر القيادات، تقع عادةً بين التقييمات، لا في الوقت المناسب لدورة المراجعة السنوية.
تُعد المراقبة المستمرة مهمة لأن أحداث المخاطر التي تستدعي استجابة TPRM أكثر من غيرها، مثل اختراقات الموردين وتغييرات البنية التحتية وتبدّل القيادات، تقع عادةً بين التقييمات لا في التوقيت المناسب لدورة المراجعة السنوية.
- المراقبة المستمرة مقابل التقييم في نقطة زمنية: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: التزام تعاقدي بالإبلاغ الذاتي مع محفزات محددة؛ والجدول الزمني للإخطار بحسب أنواع التغيير المختلفة؛ وأمثلة حديثة على الإخطار الاستباقي للعملاء.
- المراقبة المستمرة للموردين
-
المراقبة المستمرة تعني تحديد الأحداث التي تغير مخاطر المورد، ورصد تلك الأحداث، وجعل كل حدث منها يطلق إجراءً محددًا له مالك ومهلة زمنية. وهي ليست منتجًا. وهناك أربعة أمور تستحق الرصد: معلومات الاختراقات المتعلقة بمورديك، وانتهاء صلاحية المستندات التي تعتمد عليها، والتغيرات لدى المورد مثل المعالجين الفرعيين الجدد أو الملكية الجديدة، والتغيرات في استخدامك أنت لخدماتهم.
الموردون يتغيرون، والتغييرات ليست سنوية. فقد يتعرض مورد للاختراق في مارس، وتنتهي صلاحية تقريره في يونيو، ويضيف معالجًا فرعيًا في أغسطس، ويُستحوذ عليه في أكتوبر. ولا يظهر شيء من ذلك في تصنيف سُجل في يناير، والتصنيف هو ما يعرضه السجل. والمحفّز الرابع، أي توسع استخدامك أنت، هو أكثر ما تغفله البرامج، لأنه يحدث في جانبك ولا يصل شيء ليعلن عنه.
- إنفاذ المتطلبات الأمنية التعاقدية
-
يكتسب إنفاذ متطلبات الأمان التعاقدية أهمية لأن قيمة متطلبات الأمان التعاقدية في خفض المخاطر تعتمد كليًا على تطبيقها فعلًا.
يكتسب إنفاذ المتطلبات الأمنية التعاقدية أهمية لأن قيمة المتطلبات الأمنية التعاقدية في خفض المخاطر تعتمد كليًا على ما إذا كانت تُطبَّق فعلًا.
- إنفاذ المتطلبات الأمنية التعاقدية: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: تأكيد الامتثال لكل متطلب على حدة مع الأدلة؛ وأدلة تقنية على متطلبات التشفير والتحكم في الوصول؛ ووثائق إجراءات الإخطار بالحوادث التي تُظهر الامتثال لمهلة 72 ساعة.
- الضوابط التعاقدية مقابل الفعلية
-
تحدد متطلبات الأمان التعاقدية الوضع الأمني الذي يجب على المورد الحفاظ عليه شرطًا لعلاقة العمل. فهي ترسي الالتزامات، وتحدد المعايير، وتوفر سبيلًا للانتصاف القانوني إذا لم تُستوفَ المعايير.
تكتسب المقارنة بين الضوابط التعاقدية والضوابط الفعلية أهمية في TPRM لأن الأطر التنظيمية تتوقع بشكل متزايد ألا تكتفي المؤسسات بوضع متطلبات أمنية في عقود الموردين، بل أن تستطيع إثبات استيفاء تلك المتطلبات.
- الضوابط التعاقدية مقابل الضوابط الفعلية: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: أدلة التهيئة التقنية لمتطلبات تعاقدية محددة؛ والإفصاح عن الاستثناءات، أي الثغرات المعروفة مقارنةً بالمتطلبات التعاقدية؛ وتقييم المسارات القديمة مقابل المتطلبات التعاقدية.
- ازدواجية الضوابط
-
ازدواجية الضوابط هي الإبقاء على نسخ متعددة من وظيفة الضابط الأمني نفسها في أرجاء المؤسسة، أي أدوات منفصلة أو عمليات منفصلة أو برامج منفصلة تؤدي وظائف أمنية متكافئة بنطاق متداخل أو متطابق.
يكتسب تكرار الضوابط أهمية في TPRM لأن الموردين الذين يحتفظون بضوابط مكررة قد يبدو وضع امتثالهم شاملًا، بأدوات متعددة وبرامج متعددة ودفاع متعدد الطبقات، في حين أن التغطية الفعلية أقل اكتمالًا مما تبدو عليه، والعبء التشغيلي أعلى بكثير من برنامج مُرشَّ
- ازدواجية الضوابط: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: سجلات تحديد الازدواجية وترشيدها.
- سوء فهم وراثة الضوابط
-
توريث الضوابط هو ممارسة الاعتماد على شهادة أو تدقيق أو تقييم من طرف ثالث دليلًا على وجود ضوابط معينة، بدلًا من إجراء تقييم مباشر لتلك الضوابط.
يكتسب سوء فهم وراثة الضوابط أهمية في TPRM لأنه ينشئ نوعًا محددًا من الضمان الزائف، أي الثقة الناتجة عن شهادة حقيقية ومرموقة لا تغطي فعليًا الأصول المتعلقة بمخاطر العميل.
- سوء فهم توارث الضوابط: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: بيان نطاق الشهادة أو وصف النظام الذي يؤكد شمول الخدمة المعنية؛ وقائمة الأنظمة المستبعدة صراحة من وصف النظام في SOC 2؛ وبيان قابلية التطبيق الخاص بـ ISO 27001 عند طلبه.
- أوجه عدم الاتساق في ربط الضوابط
-
ربط الضوابط هو ممارسة توثيق العلاقات بين الضوابط الأمنية المطبقة ومتطلبات أطر امتثال متعددة ومعايير تنظيمية ومتطلبات العملاء.
تكتسب أوجه عدم الاتساق في مواءمة الضوابط أهمية في TPRM لأن وثائق المواءمة كثيرًا ما تُقدَّم دليلًا على الامتثال في تقييمات الموردين، لإثبات أن ضوابط المورد تستوفي المتطلبات المتعلقة بالعميل.
- عدم الاتساق في ربط الضوابط: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: وصف لمحتوى الضابط يتناول تحديدًا نص المتطلب؛ ووثائق المنهج التدريبي أو الإجراء التي تبيّن محتوى خاصًا بالمتطلب؛ وتحديد الفجوة إذا كان المتطلب مستوفى جزئيًا لا كليًا.
- هدف الضابط ونشاط الضابط
-
هدف الضابط هو النتيجة التي تحتاج إليها، ونشاط الضابط هو ما يفعله شخص ما فعلًا لتحقيقها. فعبارة "الوصول إلى أنظمة الإنتاج ملائم" هدف، أما عبارة "يراجع المديرون كل ربع سنة قائمة يولّدها النظام بصلاحيات وصول فرقهم إلى الإنتاج، ويسجلون الموافقة أو الإزالة لكل بند" فهي نشاط. والمدققون يختبرون الأنشطة.
كثيرًا ما تسرد مصفوفات الضوابط أهدافًا وتسميها ضوابط. وعندما يطلب المدقق الأدلة، لا يوجد ما يُقدَّم، لأن الهدف لا يترك أثرًا، ولا يمكن إلا مناقشته. وتتعثر المهمة بينما يُحدَّد النشاط بأثر رجعي.
- مالك الضابط ومالك الدليل
-
مالك الضابط هو الشخص المسؤول عن عمل الضابط كما صُمم. ومالك الدليل هو الشخص المسؤول عن إنتاج المستند الذي يثبت أنه عمل. وكثيرًا ما يكونان شخصين مختلفين، وقد يعمل الضابط على أكمل وجه بينما لا يُلتقط الدليل أبدًا، لأن أحدًا لم يكن مسؤولًا عن التقاطه.
تخفق عمليات التدقيق عند التسليم بين الطرفين. فالمدير الذي يراجع الوصول يجري المراجعة؛ والمحلل الذي كان يُفترض أن يصدّر السجل في إجازة؛ ويطلب المدقق الدليل؛ فلا يوجد شيء. لقد عمل الضابط، ومع ذلك يسجل التدقيق استثناءً.
- عمق اختبار الضوابط
-
عمق اختبار الضوابط هو مدى اختبار الأمان للضوابط والأنظمة ومسارات الهجوم الأكثر صلة بنموذج التهديد الفعلي، بدلًا من الضوابط والأنظمة ومسارات الهجوم الأسهل اختبارًا ضمن ميزانية وجدول زمني محددين.
يكتسب عمق اختبار الضوابط أهمية في TPRM لأن تقارير اختبار الاختراق من أكثر عناصر الأدلة طلبًا وأثقلها وزنًا في تقييمات أمن الموردين.
- عمق اختبار الضوابط: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: وثائق نطاق اختبار الاختراق بما فيها الأنظمة المشمولة وغير المشمولة؛ وتأكيد أن بيئات API التي تتطلب مصادقة مشمولة بالنطاق؛ ووصف منهجية الاختبار، أي المكونات الآلية واليدوية.
- اختبار الضوابط مقابل تصميم الضوابط
-
يمكن أن يفشل الضابط بطريقتين مختلفتين. فإخفاق التصميم يعني أن الضابط، حتى لو نُفِّذ على أكمل وجه، لن يحقق هدفه: المراجعة تجري لكن المجتمع الذي تراجعه غير مكتمل، أو خطوة الاعتماد موجودة لكنها تأتي بعد النشر. وإخفاق التشغيل يعني أن الضابط مصمم جيدًا لكنه لم يعمل كما صُمم: أُغفلت المراجعة في الشهر الثاني، أو مُنح الاعتماد بعد وقوع الأمر.
يبلّغ المدققون عن النوعين بشكل منفصل، والمعالجة مختلفة تمامًا. فإخفاق التصميم يتطلب إعادة تصميم الضابط، وإخفاق التشغيل يتطلب إصلاح الأشخاص والوتيرة. والتعامل مع أحدهما على أنه الآخر يُهدر المعالجة: فإعادة تدريب المراجعين لا تصلح مجتمعًا أغفل حسابات الخدمة، وإعادة تصميم المراجعة لا تصلح مراجعًا كان في إجازة دون أن يغطيه أحد.
- الفجوة بين الضابط وتطبيقه
-
الفجوة بين الضابط وتطبيقه هي الفرق بين ما صُمم الضابط الأمني للقيام به، كما هو محدد في السياسة ووثائق البرنامج والإجراءات، وما يفعله فعلًا في الممارسة، كما يظهر في سجلات التنفيذ وبيانات النتائج والمقاييس التشغيلية.
تكتسب ثغرات تطبيق الضوابط أهمية في TPRM لأن خفض المخاطر الذي يوفره الضابط الأمني يعتمد كليًا على حالته التشغيلية، لا على حالته في السياسات.
- الفجوة بين الضابط وتطبيقه: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: تاريخ آخر اختبار اختراق والعدد الحالي للملاحظات المفتوحة مع عمر أقدمها؛ ومعدل الأداء الفعلي وفق SLA المعالجة، أي نسبة الامتثال، لا سياسة SLA؛ وتاريخ آخر اجتماع للجنة الأمن.
- إخفاقات الاستجابة المنسقة
-
إخفاقات الاستجابة المنسقة هي الانهيارات في الاستجابة المشتركة للحوادث التي تقع عندما تتضمن خطط IR لدى المورد والعميل أهدافًا متعارضة أو إجراءات غير متوافقة أو جداول زمنية غير متوافقة لا يمكن التوفيق بينها دون تفاوض أثناء حادث نشط. وقد تكون الخطط الفردية ممتازة في تصميمها وتنفيذها.
إخفاقات الاستجابة المنسقة مهمة لـTPRM لأن نتيجة العميل في حادث مشترك تعتمد على جودة الاستجابة المنسقة، والاستجابة المنسقة التي تُحل فيها تعارضات الخطط آنيًا أثناء حادث نشط هي نتيجة أسوأ بكثير من استجابة منسقة حُددت فيها التعارضات وحُل
- إخفاقات الاستجابة المنسقة: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: الإقرار بالتعارض مع SLA الاستعادة الخاص بالعميل؛ وحل متفاوض عليه مسبقًا لهذا التعارض؛ وتمرين محاكاة مشترك يتضمن سيناريو التعارض.
- ربط COSO
-
تقوم معايير خدمات الثقة على الإطار المتكامل للرقابة الداخلية الصادر عن COSO، وتحديدًا مبادئه السبعة عشر، مع معايير تكميلية خاصة بسياق خدمات الثقة. وتتوافق المعايير المشتركة من CC1 إلى CC5 مباشرة مع المكونات الخمسة لإطار COSO: بيئة الرقابة، وتقييم المخاطر، وأنشطة الرقابة، والمعلومات والتواصل، والمتابعة.
يفسر ذلك وجود معايير تتعلق بإشراف مجلس الإدارة والهيكل التنظيمي والكفاءة والمساءلة فيما يتوقع معظم الناس أن يكون تقريرًا أمنيًا. فهذه مستمدة من COSO، وهي موجودة لأن بيئة الرقابة التي لا تقف وراءها حوكمة لا تصمد.
- المعايير مقابل الضوابط في الاستبيانات
-
يسأل الاستبيان الأمني عن ضوابط محددة: هل تشفّر البيانات المخزنة، وهل تدوّر المفاتيح كل ربع سنة، وهل تراجع الوصول شهريًا. أما تقرير SOC 2 فيُعِدّ تقاريره مقابل معايير، بضوابط يختارها المورد لاستيفائها. ونادرًا ما يتطابق الاثنان بندًا ببند، لأن الاستبيان يفترض طريقة واحدة لاستيفاء المعيار وقد يكون المورد اختار طريقة أخرى.
قد يجيب المورد بالنفي عن سؤال محدد بشأن ضابط ما ومع ذلك يستوفي المعيار الأساسي بطريق مختلف. وتسجيل ذلك على أنه فجوة، والضغط على المورد لاعتماد الضابط الذي تفضله، هو مطالبة له بتغيير شيء يعمل بالفعل.
- تخطيط استراتيجية الخروج من الموردين الحيويين
-
يكتسب تخطيط استراتيجية الخروج أهمية لأن العجز عن الخروج من علاقة مع مورد حرج دون كارثة تشغيلية هو بحد ذاته خطر، أي مخاطر التركز ومخاطر النفوذ ومخاطر المرونة التشغيلية التي تتحملها المؤسسة بصرف النظر عن الوضع الأمني للمورد.
يكتسب تخطيط استراتيجية الخروج أهمية لأن العجز عن الخروج من علاقة مع مورد حرج دون كارثة تشغيلية هو بحد ذاته خطر، أي مخاطر التركز ومخاطر النفوذ ومخاطر المرونة التشغيلية التي تتحملها المؤسسة بصرف النظر عن الوضع الأمني للمورد.
- التخطيط لاستراتيجية الخروج من الموردين الحيويين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: التزام بالمساعدة في الانتقال مع جدول زمني؛ وثائق قابلية نقل البيانات وصيغة التصدير؛ توفر وثائق API لأغراض التكامل عند الخروج.
- مخاطر تدفقات البيانات عبر الحدود
-
تنشأ مخاطر تدفق البيانات عبر الحدود عندما تنتقل البيانات الشخصية بين ولايات قضائية ذات معايير مختلفة لحماية البيانات، مما يُنشئ التزامات امتثال تنظيمي يجب الوفاء بها لكل عملية نقل.
تكتسب حوكمة تدفقات البيانات عبر الحدود أهمية في TPRM لأن الالتزامات التنظيمية المنطبقة على النقل الدولي للبيانات، مثل البنود التعاقدية القياسية وقواعد الشركات الملزمة وقرارات الكفاية، تقع على عاتق مصدّر البيانات لا مستورد البيانات.
- مخاطر تدفق البيانات عبر الحدود: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: خريطة النطاق الجغرافي للمعالجة، أي جميع المواقع التي تُعالَج فيها بيانات العملاء؛ وجرد آليات النقل، أي نوع الآلية وإصدارها الحالي لكل موقع نقل؛ وتأكيد آليات النقل لدى المعالجين من الباطن، لا القائمة فحسب بل تغطية الآليات.
- النقل عبر الحدود
-
يقيّد الفصل الخامس من GDPR نقل البيانات الشخصية إلى خارج المنطقة الاقتصادية الأوروبية ما لم تنطبق آلية نقل: قرار كفاية، أو بنود تعاقدية قياسية، أو قواعد مؤسسية ملزمة، أو أحد الاستثناءات الضيقة. ويلازم هذا القيد البيانات أينما ذهبت، بما في ذلك عمليات النقل اللاحقة التي يجريها المتلقي.
الوصول نقلٌ. فمهندس الدعم في بلد ثالث الذي يطلع على سجل عميل أوروبي قد نقل تلك البيانات، حتى لو لم تغادر الخادم الأوروبي قط. والإدارة عن بُعد والدعم على مدار الساعة عبر المناطق الزمنية والتطوير في الخارج كلها عمليات نقل، والاقتصار على رسم خريطة لأماكن تخزين البيانات يفوّت معظمها.
- الجداول الزمنية للاستجابة بين المؤسسات
-
تنشأ مشكلات الجداول الزمنية للاستجابة عبر المؤسسات عندما تحقق كل مؤسسة متأثرة بمفردها في الحوادث الأمنية التي تطال مؤسسات متعددة، ولا سيما حوادث سلسلة التوريد التي تستهدف الموردين وعملاءهم في الحملة نفسها، بدلًا من التحقيق فيها عبر تبادل منسق للمعلومات.
الجداول الزمنية للاستجابة بين المؤسسات مهمة لـTPRM لأن حوادث سلسلة التوريد كثيرًا ما تُنشئ سيناريوهات استهداف مشترك يؤدي فيها التنسيق في الاستجابة إلى اكتشاف أسرع وتقليص مدة بقاء المهاجم لدى جميع الأطراف.
- الجداول الزمنية للاستجابة بين المؤسسات: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: إجراء إخطار العملاء في سيناريوهات الاستهداف المشترك؛ وآلية مشاركة IOC، سواء STIX/TAXII أو MISP أو اتفاقية ثنائية؛ والمشاركة في ISAC للقطاع المشترك.
- الرؤية عبر المنصات
-
فجوات الرؤية عبر المنصات هي النقاط العمياء في المراقبة الأمنية التي توجد عند نقاط الالتقاء بين منصات تقنية مختلفة وخدمات مُدارة ومشغلين من أطراف ثالثة، وتحديدًا الأنظمة والبيئات التي تكون فيها حدود مسؤولية المراقبة بين طرفين غامضة، أو مفترضة دون تأكيد، أو
تكتسب الرؤية عبر المنصات أهمية في TPRM لأن البيئات التقنية المعقدة لدى الموردين، بما فيها من خدمات مُدارة متعددة ومشغّلين من أطراف ثالثة وبنية تحتية هجينة، تنشئ فرصًا لفجوات الرصد عند كل نقطة التقاء بين الأطراف.
- الرؤية عبر المنصات: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: تأكيد مراقبة أمن Kubernetes أثناء التشغيل؛ ونطاق مراقبة أمن الخدمة المُدارة في الاتفاقية؛ والمورد الذي يؤكد تغطية نقاط النهاية والسحابة والشبكة ينبغي سؤاله تحديدًا عن مراقبة أمن الحاويات وKubernetes. فالفئات المؤكدة تغطي المكونات المؤكدة. أما عنقود Kubernetes الذي يستضيف بيانات العملاء فيتطلب تأكيدًا خاصًا به.
- انتشار الهوية عبر الأنظمة
-
انتقال الهوية عبر الأنظمة هو العملية التي تُبلَّغ بها أحداث دورة حياة الهوية، كإنشاء المستخدمين وتغيير الأدوار وإلغاء الصلاحيات، من مصدر هوية مركزي (عادةً مزود هوية أو منصة IGA) إلى جميع الأنظمة المتصلة، بما يضمن اتساق حالة الهوية عبر مشهد التطبيقات بأكمله.
يكتسب انتشار الهوية عبر الأنظمة أهمية في TPRM لأن الموردين الذين يصلون إلى بيئات العملاء عبر أنظمة متعددة، مثل مساحات عمل المشاريع وأدوات التعاون مع العملاء وبيئات التطوير المشتركة، قد تكون لديهم ثغرات في إلغاء التجهيز عبر IGA في الأنظمة المجاورة لبيئة العميل التي نُشرت خصيصًا لهذا التكليف.
- انتقال الهوية عبر الأنظمة: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: قائمة موصلات IGA مع تاريخ آخر مطابقة؛ وقدرة أو إجراءات اكتشاف التطبيقات الظلية؛ وإجراءات التحقق من الوصول بعد المغادرة التي تشمل الأنظمة غير المرتبطة بـ IGA.
- مخاطر الوصول بين المستأجرين
-
مخاطر الوصول بين المستأجرين هي احتمال أن تتعرض بيانات عميل أو عبء عمله أو بيئته ضمن منصة سحابية متعددة المستأجرين للوصول أو التأثر أو الاختراق نتيجة وجود عميل آخر على المنصة نفسها، أو نتيجة نقاط ضعف في المكونات المشتركة للمنصة التي تخدم جميع المستأجرين في آن واح
تُعد المخاطر العابرة للمستأجرين من أقل أبعاد مخاطر السحابة لدى الأطراف الثالثة تقييمًا، وذلك تحديدًا لأنها غير مرئية في نموذج التقييم المعتاد.
- مخاطر الوصول العابر للمستأجرين: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: وصف معماري واضح لعزل المستأجرين، لا بيان تسويقي بل شرح تقني؛ ووثائق ضوابط وصول فريق الدعم بما فيها متطلبات التفويض وسجلات التدقيق؛ وتقارير اختبار الاختراق أو ملخصاتها التنفيذية التي تؤكد اختبار سيناريوهات الوصول بين المستأجرين.
- كشف الهجمات العابرة للمستأجرين
-
اكتشاف الهجمات بين المستأجرين هو تحدي تحديد متى يكون اختراق أمني أصاب بيئة عميل في منصة متعددة المستأجرين قد وصل، أو يحتمل أن يصل، إلى بيئات عملاء آخرين عبر مكونات البنية التحتية المشتركة.
اكتشاف الهجمات بين المستأجرين مهم لـTPRM لأن العملاء على المنصات متعددة المستأجرين يواجهون خطر اختراق ينشأ في بيئة عميل آخر، وهو خطر خارج سيطرتهم تمامًا ويعتمد على قدرة المورد على اكتشاف الوصول بين المستأجرين وإخطار العملاء المتأثرين.
- اكتشاف الهجمات بين المستأجرين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: قائمة تحقق التحقيق بين المستأجرين، أي الطبقات التي يجري التحقق منها؛ ومحفّز إخطار المستأجرين المشاركين وجدوله الزمني؛ وإجراء مراجعة ضوابط الوصول إلى قواعد البيانات المشتركة.
- جداول المطابقة
-
جدول المقابلة هو ربط بين متطلبات إطارين أو أكثر، يُظهر أي متطلب في أحدهما يقابل أي متطلب في الآخر. والجيد منها متدرج، يبين هل المقابلة كاملة أو جزئية أو موضوعية فحسب. أما الرديء منها فقوائم أرقام متجاورة، أعدها مرة واحدة شخص قرأ العناوين.
جدول المطابقة هو الطريقة التي يتجنب بها برنامج الضوابط أداء العمل نفسه ثلاث مرات، وهو أيضًا الطريقة التي يبالغ بها في ادعاءاته بهدوء. فالمطابقة الجزئية المسجلة على أنها كاملة هي النقطة التي يبدأ عندها البرنامج بإخبار المقيّمين بأن متطلبًا ما مستوفى بينما المستوفى معظمه فقط. وتتراوح جداول المطابقة المنشورة من هيئات الأطر والموردين بين الدقيقة والشكلية، ولا يستطيع القارئ عادةً تمييز ذلك من الشكل.
D
- الأنماط المضللة في الحصول على الموافقة
-
الأنماط المضللة هي تصاميم واجهات توجّه المستخدمين نحو خيار ما كانوا ليتخذوه لولاها: زر قبول بلون بارز بجوار رابط رفض باللون الرمادي، ومسار رفض مدفون على عمق ثلاث نقرات، وتكرار المطالبة بعد الرفض، ونفي مزدوج مربك، أو جدار ملفات تعريف الارتباط الذي يحجب المحتوى حتى تُمنح الموافقة. وباتت الجهات التنظيمية تسمّي أنماطًا محددة في إرشاداتها وإجراءات الإنفاذ.
الموافقة التي يُحصل عليها عبر نمط مضلل لا تُعطى بحرية، والموافقة التي لا تُعطى بحرية ليست موافقة. والمعالجة التي تعتمد عليها لا أساس قانونيًا لها. وقد فرضت الجهات التنظيمية الأوروبية غرامات على شركات تحديدًا بسبب واجهات موافقة غير متكافئة، وأصبح التصميم ذاته دليلًا.
- ثغرات تغطية DAST في تطبيقات الموردين
-
يُقدَّم DAST في معظم برامج أمن الموردين بوصفه مكملًا لـ SAST، فبينما يكتشف التحليل الساكن الثغرات على مستوى الشيفرة قبل النشر، يكتشف الاختبار الديناميكي ثغرات وقت التشغيل في التطبيق المنشور.
يُقدَّم DAST في معظم برامج أمن الموردين بوصفه مكملًا لـ SAST، فبينما يكتشف التحليل الساكن الثغرات على مستوى الشيفرة قبل النشر، يكتشف الاختبار الديناميكي ثغرات وقت التشغيل في التطبيق المنشور.
- ثغرات تغطية DAST في تطبيقات الموردين: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: نسبة التغطية في أحدث فحص DAST مع بيان صريح بما استُبعد من النطاق؛ وتأكيد إجراء الاختبار المصادق عليه مع وصف لكيفية إدارة المصادقة في أداة الفحص؛ وتأكيد البيئة، أي الإنتاج أو بيئة مكافئة له، مع وصف أي اختلافات جوهرية عن الإنتاج.
- DAST في مسار CI/CD
-
تكتسب فعالية DAST أهمية في TPRM لأن إعدادات المصادقة والتهيئة التي يُشغَّل بها DAST تحدد الثغرات التي يستطيع اكتشافها.
تكتسب فعالية DAST أهمية في TPRM لأن إعدادات المصادقة والتهيئة التي يُشغَّل بها DAST تحدد الثغرات التي يستطيع اكتشافها.
- DAST في مسار CI/CD: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: وصف إعدادات البيئة المستهدفة في DAST؛ ووثائق نطاق DAST، أي نقاط النهاية ومسارات المصادقة المشمولة؛ والمورد الذي يؤكد إجراء فحص DAST ينبغي سؤاله عن إعدادات البيئة الخاضعة للاختبار. فـ DAST يختبر ما يعمل فعلًا. وإذا لم يطابق ما يعمل إعدادات الإنتاج، فإن نتائج DAST لا تصف ثغرات الإنتاج.
- ثغرات تسجيل الوصول إلى البيانات
-
تسجيل الوصول إلى البيانات هو الالتقاط المنهجي لسجلات تبيّن أي مستخدم أو عملية وصل إلى أي بيانات، ومتى، ومن أي موقع، وما العملية المنفذة: قراءة أو كتابة أو تصدير أو حذف أو استعلام.
يكتسب تسجيل الوصول إلى البيانات أهمية في TPRM لأن التهديد الداخلي، أي إساءة موظف لدى المورد استخدام وصوله المشروع إلى بيانات العملاء، من أشد فئات التهديدات أثرًا وأصعبها كشفًا في مشهد مخاطر الأطراف الثالثة.
- فجوات تسجيل الوصول إلى البيانات: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: وصف القدرة على كشف التهديدات الداخلية، أي الضابط المحدد الذي سيكشف نشاط التصدير الجماعي؛ وتأكيد تسجيل الوصول في طبقة التطبيقات مع التنبيه على التصدير الجماعي؛ ومدة الاحتفاظ بالسجلات وأساس معايرتها.
- التراكم التدريجي لصلاحيات الوصول إلى البيانات
-
زحف الصلاحيات هو التراكم التدريجي لحقوق الوصول بمرور الوقت، إذ يحصل الأفراد على وصول جديد لأغراض محددة دون أن يفقدوا الوصول السابق عند انتهاء تلك الأغراض. وكل منح فردي يتبع إجراء التجهيز الصحيح: طلب، فموافقة، فوصول.
يكتسب زحف الصلاحيات أهمية في TPRM لأنه ينشئ مخاطر تهديدات داخلية لا تراها التقييمات التي تركز على منح الوصول الفردية.
- زحف صلاحيات الوصول إلى البيانات: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: أدلة مراجعة الصلاحيات التراكمية للموظفين ذوي الخدمة الطويلة؛ وتأكيد وجود مُحفِّز لسحب الوصول عند تغيير الدور؛ ومنصة IGA لإدارة دورة الحياة إن وُجدت.
- الوصول إلى البيانات عبر الواجهات البرمجية
-
أصبحت واجهات برمجة التطبيقات الواجهة الرئيسية التي تنتقل عبرها البيانات بين الأنظمة، أي الآلية التي تصل بها تكاملات الموردين، وتطبيقات الأجهزة المحمولة، واتصالات الشركاء، والخدمات الداخلية إلى البيانات التي تحتفظ بها قواعد البيانات وأنظمة التطبيقات.
يكتسب الوصول إلى البيانات عبر API أهمية في TPRM لأن واجهات البرمجة هي الآلية الفعلية للوصول إلى البيانات في جميع تكاملات الموردين تقريبًا، والضوابط الأمنية في طبقة API هي التي تحدد الحماية الفعلية التي تحظى بها البيانات في التكاملات، بصرف النظر عن الضوابط على مستوى قاعدة البيانات التي تقيّمها تقييمات الحوكمة عادةً.
- الوصول إلى البيانات عبر واجهات برمجة التطبيقات: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: تأكيد القدرة على تصفية الحقول، أي نطاق الحقول لكل تكامل أم إرجاع السجل كاملًا؛ وتهيئة تحديد معدل الطلبات، أي الحدود لكل مفتاح على نقاط نهاية استرجاع البيانات؛ وتأكيد نطاق اختبار أمن API بما يشمل تفويض الحقول واختبار التعداد.
- خرافات إخفاء هوية البيانات
-
إخفاء هوية البيانات هو عملية تحويل البيانات الشخصية بطريقة تمنع على نحو لا رجعة فيه التعرف على الأفراد الذين تتعلق بهم، بإزالة المعلومات المعرِّفة أو تعديلها بحيث لا تكون إعادة التعرف ممكنة بشكل معقول باستخدام الوسائل التي يُرجَّح أن تتوفر لخصم محتمل.
إخفاء هوية البيانات مهم لـTPRM لأنه كثيرًا ما يُستخدم آليةً لتخفيف عبء الحوكمة على البيانات المشتركة مع موردي التحليلات والأبحاث وAI/ML، والحجة في ذلك أن البيانات مجهولة الهوية ليست بيانات شخصية، ومن ثم لا تتطلب ضوابط الوصول وأحكام DPA والمتطلبات الأمنية نفسها التي تتطلبها البيانات المحد
- خرافات إخفاء هوية البيانات: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: وثائق تقنية إخفاء الهوية، أي الطريقة المحددة المطبقة لا مجرد عبارة "أُزيلت المعرّفات"؛ وتقييم خطر إعادة التعرف باستخدام أدوات رسمية وافتراضات واقعية بشأن البيانات المساعدة؛ وتأكيد إعادة التقييم الدوري للبيانات التي أُخفيت هويتها منذ أكثر من 12 شهرًا.
- تحديات قابلية تدقيق البيانات
-
قابلية تدقيق البيانات هي القدرة على تقديم أدلة الامتثال لالتزامات حماية البيانات عند الطلب، لا من خلال برنامج امتثال يولّد الأدلة عندما تطلبها جهة تنظيمية، بل من خلال بنية تحتية مستمرة للأدلة تلتقط أحداث الامتثال باستمرار وتحتفظ بها بصيغة تدعم التدقيق و
تكتسب قابلية تدقيق البيانات أهمية في TPRM لأنها القدرة التي تحوّل ممارسة الامتثال إلى امتثال قابل للدفاع عنه، أي القدرة على أن تثبت لجهة تنظيمية أو عميل أو مدقق أن التزامات حماية البيانات تُستوفى، ومتى تُستوفى، وأن أدلة استيفائها متاحة للمراجعة.
- تحديات قابلية تدقيق البيانات: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: مخرجات مراجعة الوصول بصيغة قابلة للبحث وجاهزة للتدقيق؛ وسجل الحذف مع توثيق النظام والجدول الزمني والتأكيد؛ وسجل DSAR مع حالة التنفيذ وأدلة الجدول الزمني.
- فجوات الإخطار بخرق البيانات
-
حوكمة الإخطار بخرق البيانات في علاقات الموردين هي مجموعة الآليات التعاقدية والتشغيلية التي تضمن أن يُبلغ المورد العميل بالحوادث الأمنية التي تمس بيانات العميل في إطار زمني يمكّن العميل من الوفاء بالتزاماته التنظيمية الخاصة بالإخطار.
ثغرات الإخطار بالاختراقات مهمة لـTPRM لأن الالتزامات التنظيمية للعميل لا تتوقف بينما يحقق المورد.
- ثغرات الإخطار بخرق البيانات: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: وثائق إجراءات الاستجابة للحوادث التي تُظهر إخطار العميل بوصفه خطوة محددة ومقيدة زمنيًا؛ وتحديد الجدول الزمني للإخطار، أي الحد الأقصى للساعات بين الاكتشاف والإخطار؛ ونموذج الإخطار الأولي مع تأكيد الحد الأدنى من المحتوى.
- تصنيف البيانات
-
يحدد تصنيف البيانات متطلبات التعامل مع المعلومات وفق حساسيتها. ويتضمن المخطط النموذجي أربعة مستويات: عام، وداخلي، وسري، ومقيد، ولكل مستوى قواعد للتخزين والنقل والوصول والمشاركة والتخلص. وعادةً ما تُصنَّف البيانات الشخصية والبيانات من الفئات الخاصة ضمن المستويات الأعلى.
فالضوابط وقرارات الاحتفاظ والوصول تستند جميعها إلى التصنيف، ولذلك فإن البيئة التي لا تصنيف فيها تفرض سياسة واحدة لكل شيء، تكون إما مفرطة الصرامة على المواد العامة أو مفرطة التساهل مع المواد المقيدة. والتصنيف هو ما يتيح التعامل المتناسب.
- التحقق من حذف البيانات
-
التحقق من حذف البيانات هو عملية تأكيد أن البيانات أُزيلت إزالة كاملة لا رجعة فيها من جميع المواقع التي وُجدت فيها، لا مجرد تأكيد أن إجراء الحذف نُفِّذ على الأنظمة المشمولة بنطاق طلب الحذف.
يكتسب التحقق من حذف البيانات أهمية في TPRM لأن الحق في المحو بموجب GDPR والحقوق المكافئة بموجب CCPA وLGPD وغيرها من الأطر تنشئ التزامات واجبة النفاذ قانونًا تتطلب الحذف الكامل من جميع الأنظمة، بما فيها النسخ الاحتياطية والأرشيفات، لا الحذف من الأنظمة النشطة الأساسية فحسب.
- التحقق من حذف البيانات: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: تأكيد تغطية الأنظمة، أي قائمة الأنظمة التي جرى البحث فيها وتأكيد الحذف في كل منها؛ وسجلات الحذف حيثما توفرت، أي أدلة على الإجراء لا أدلة على الغياب؛ وتأكيد الحذف من النسخ الاحتياطية والأرشيفات بصورة صريحة.
- ثغرات اكتشاف تسريب البيانات
-
ثغرات اكتشاف تسريب البيانات هي القيود في قدرة البرنامج الأمني على تحديد متى ينقل مهاجم البيانات إلى خارج المؤسسة، وهي ثغرات تنشأ عن معايرة العتبات، وبنية الاكتشاف، وتقنيات التسريب المحددة التي يستخدمها المهاجمون للالتفاف على آليات الاكتشاف المهيأة.
تكتسب فجوات كشف تسريب البيانات أهمية في TPRM لأن DLP هي الدليل الأساسي في تحقيقات ما بعد الاختراق لمعرفة ما إذا كانت البيانات قد سُرِّبت فعلًا وبأي حجم، ونظام DLP الذي قيّم اثنتي عشرة عملية نقل كلًا على حدة دون أن يكشف التسريب على مستوى الجلسة لا يقدم أي دليل على اختراق قد يستطيع محقق
- ثغرات اكتشاف تسريب البيانات: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: تأكيد تهيئة تجميع الجلسات في DLP؛ والمورد الذي يؤكد نشر DLP بعتبات مهيأة ينبغي سؤاله عما إذا كانت التهيئة تشمل تجميع الجلسات. فالعتبات لكل حدث تكتشف التسريب في حدث واحد. وتجميع الجلسات يكتشف التسريب المجزأ. وكلاهما يتطلب تهيئة محددة. وكلاهما يتطلب تأكيدًا محددًا.
- مسارات تسريب البيانات
-
تسريب البيانات هو النقل غير المصرح به للبيانات من بيئة خاضعة للرقابة إلى بيئة غير خاضعة لها، سواء بنية خبيثة، أو بإهمال من الموظفين، أو عبر طرق مختصرة بدافع الملاءمة تتجاوز الضوابط الأمنية.
تكتسب حوكمة مسارات تسريب البيانات أهمية في TPRM لأن مخاطر التسريب التي يمثلها المورد لا تتحدد بقوة الضوابط التي طبقها على القنوات التي عالجها، بل باكتمال الضوابط عبر جميع القنوات التي يمكن أن تنتقل عبرها البيانات.
- مسارات تسريب البيانات: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: تأكيد تغطية DLP لإعادة التوجيه إلى البريد الإلكتروني الشخصي، أي ضابط تقني أو إقرار صريح بالفجوة؛ ووثائق سياسة الأجهزة والحسابات الشخصية، أي حظر صريح وآلية إنفاذ؛ وسجل حوادث تسريب البيانات، أي الحوادث الأخيرة والقناة المستخدمة ونتيجة الضابط.
- ثغرات أدوات حوكمة البيانات
-
أدوات حوكمة البيانات هي البنية التحتية التقنية التي تحوّل سياسات الحوكمة إلى واقع تشغيلي: المنصات والأدوات والأنظمة الآلية التي تنفذ التصنيف، وتفرض الاحتفاظ، وتدير مراجعات الوصول، وتحافظ على قوائم جرد البيانات، وتراقب الامتثال باستمرار بدلًا من الاعتماد على إجراءات يدوية دورية.
ثغرات أدوات حوكمة البيانات مهمة لـTPRM لأنها تحدد الاتساق والنطاق الفعليين لتنفيذ برنامج الحوكمة، أي الفجوة بين ما تصفه السياسة وما يمكن أن تحققه العمليات اليدوية.
- ثغرات أدوات حوكمة البيانات: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: اسم أداة التصنيف ونسبة تغطيتها؛ واسم منصة IGA مع تأكيد الإلغاء التلقائي؛ وأدوات إدارة دورة الحياة مع سجل الحذف الآلي.
- حوكمة البيانات مقابل الإنفاذ
-
حوكمة البيانات هي إطار السياسات والمعايير والعمليات التي تحدد كيفية جمع البيانات وتصنيفها وحمايتها والاحتفاظ بها والتخلص منها داخل المؤسسة.
يكتسب التمييز بين حوكمة البيانات والإنفاذ أهمية في TPRM لأن قيمة وثائق حوكمة البيانات لدى المورد من حيث التأكيد تعتمد كليًا على مدى عكسها للواقع التشغيلي.
- حوكمة البيانات مقابل الإنفاذ: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: أدلة نشر أدوات التصنيف، أي النظام المنشور لا السياسة؛ وإعدادات أتمتة الاحتفاظ، أي إجراء الحذف المُعدّ لا جدول السياسة؛ وملاحظات التدقيق الداخلي وحالة معالجتها، أي أدلة اختبار الامتثال للحوكمة.
- اكتمال جرد البيانات
-
قائمة جرد البيانات سجل موثق لجميع الأنظمة وقواعد البيانات ومواقع التخزين وتدفقات البيانات التي تحتوي على بيانات حساسة أو تعالجها داخل بيئة المؤسسة أو المورد.
يكتسب اكتمال قائمة جرد البيانات أهمية في TPRM لأن جميع ضوابط حوكمة البيانات اللاحقة، مثل إدارة الوصول والتشفير وسياسات الاحتفاظ ونطاق الاستجابة للحوادث، تعتمد على أن تحدد قائمة الجرد الأنظمة التي يجب تطبيق تلك الضوابط عليها.
- اكتمال قائمة جرد البيانات: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: أدلة فحص الاكتشاف مقارنةً بقائمة الجرد الموثقة، مع توثيق الفروقات؛ ووثائق إجراءات تحديث قائمة الجرد، أي المحفزات والوتيرة؛ وتأكيد نطاق قائمة الجرد، أي شمول جميع فئات الأنظمة المعنية.
- سوء إدارة دورة حياة البيانات
-
إدارة دورة حياة البيانات هي حوكمة البيانات منذ إنشائها أو جمعها مرورًا باستخدامها والاحتفاظ بها وأرشفتها وحتى حذفها أو إتلافها في النهاية.
يُعد سوء إدارة دورة حياة البيانات مهمًا لـ TPRM لأن الاحتفاظ غير المصرح به بالبيانات، أي الاحتفاظ بها بعد المدة التي يجيزها غرض المعالجة، يُنشئ مخاطر متبقية خالصة دون أي قيمة تجارية مقابلة.
- سوء إدارة دورة حياة البيانات: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: وثائق إجراءات الحذف، أي سير عمل رسمي من الطلب إلى التنفيذ إلى التحقق؛ وملكية مسماة لدورة الحياة، أي دور محدد مسؤول عن التنفيذ وتقديم الأدلة؛ وأدلة التحقق من الحذف من عملية إنهاء خدمة عميل حديثة، تُثبت أن الإجراءات تعمل.
- تتبع مسار البيانات عبر الأطراف الثالثة
-
تسلسل البيانات هو السجل القابل للتتبع لمصدر البيانات، وكيفية تحويلها، والأماكن التي انتقلت إليها، أي سلسلة عهدة تحدد كل نظام وعملية وطرف تعامل مع البيانات منذ إنشائها حتى حالتها الراهنة.
يكتسب تتبع مسار البيانات عبر الأطراف الثالثة أهمية في TPRM لأن الالتزامات التنظيمية المنطبقة على بيانات العملاء، مثل قيود المعالجة والقيود الجغرافية ومتطلبات تفويض المعالجين الفرعيين وحقوق صاحب البيانات، تنطبق على البيانات بصرف النظر عن عدد الوسطاء الذين يفصلونها عن العميل.
- تتبع مسار البيانات عبر الأطراف الثالثة: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: القائمة الحالية للمعالجين من الباطن بالأسماء والولايات القضائية والبيانات المتلقاة وغرض المعالجة؛ ووثائق إجراء الإخطار بالتغييرات مع حق العملاء في الاعتراض والانسحاب؛ وتأكيد حظر إعادة استخدام البيانات لأغراض أخرى، أي أن المعالجين من الباطن ممنوعون تعاقديًا من استخدام بيانات العملاء لأغراض غير مصرح بها.
- رسم خرائط البيانات
-
رسم خرائط البيانات هو عملية تحديد البيانات الشخصية التي تحتفظ بها المؤسسة، وأين توجد، وكيف تنتقل بين الأنظمة والأطراف، ومن يمكنه الوصول إليها، وما يحدث لها على مدى دورة حياتها. وهو الأساس التجريبي لسجل المعالجة، وجدول الاحتفاظ، وسجل النقل، وكل طلب حقوق.
كل التزام آخر من التزامات الخصوصية يعتمد عليها. فالمؤسسة لا تستطيع تلبية طلب محو دون أن تعرف مكان البيانات، ولا تقييم عمليات النقل دون أن تعرف إلى أين تذهب البيانات، ولا تحديد مدد الاحتفاظ دون أن تعرف ما تحتفظ به. والبرنامج الذي لا يملك خريطة برنامج يخمّن.
- تقليل البيانات
-
يشترط تقليل البيانات أن تكون البيانات الشخصية كافية وذات صلة ومقتصرة على ما هو ضروري للأغراض التي تُعالج من أجلها. اجمع ما يتطلبه الغرض ولا أكثر. واحتفظ بها فقط طوال المدة التي يتطلبها الغرض. وهو أحد المبادئ السبعة في المادة 5 من GDPR ومن أصعبها إنفاذًا على فريق منتج.
تبدو البيانات الإضافية مفيدة دائمًا في وقت لاحق. نموذج يطلب تاريخ الميلاد بينما لا يلزم إلا الفئة العمرية، وسجل يلتقط محتوى الطلبات كاملًا بينما لا يلزم إلا رموز الحالة، وCRM يخزن كل حقل يتيحه التكامل. وكل منها إخفاق في تقليل البيانات، وكل منها يوسع سطح كل اختراق وكل طلب وصول وكل التزام بالاحتفاظ.
- إخفاقات تقليل البيانات
-
يكتسب تقليل البيانات أهمية في TPRM لسبب مهم قانونيًا وبديهي عمليًا: لا يمكن اختراق بيانات لا تملكها. فكل عنصر بيانات يُنقل إلى المورد زيادة على ما يلزم للغرض المعلن يمثل توسيعًا غير ضروري لسطح الاختراق.
يكتسب تقليل البيانات أهمية في TPRM لسبب مهم قانونيًا وبديهي عمليًا: لا يمكن اختراق بيانات لا تملكها.
- إخفاقات تقليل البيانات: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: جرد محدد لحقول البيانات مع مبرر الغرض لكل حقل مستلم؛ وتأكيد عدم استلام أي حقول دون غرض تشغيلي قائم؛ وتقييم القدرة على إخفاء الهوية أو استخدام الأسماء المستعارة للحقول التي لا يتطلب التشغيل تحديد الهوية فيها.
- غموض ملكية البيانات
-
تشمل ملكية البيانات في علاقات الموردين فئتين مختلفتين كثيرًا ما يُخلط بينهما. الأولى هي ملكية البيانات ذاتها، أي سجلات العملاء وسجلات المعاملات والبيانات السلوكية والمعلومات التشغيلية التي يشاركها العميل مع المورد لمعالجتها.
غموض ملكية البيانات مهم لـTPRM لأن العواقب التجارية والتنافسية لثغرات الملكية قد تكون بأهمية الاختراقات الأمنية.
- غموض ملكية البيانات: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: نص ملكية الأصول المشتقة، أي صياغة تعاقدية صريحة بشأن ملكية النماذج والخوارزميات؛ وتأكيد تقييد الاستخدام التنافسي، أي حظر تقديم قدرات مشتقة من التعامل مع العميل إلى منافسيه؛ ووثائق التعامل مع الأصول بعد انتهاء العقد، أي حذف النماذج المدرَّبة أو إعادتها عند انتهاء العقد.
- قابلية نقل البيانات
-
يتيح الحق في نقل البيانات للشخص أن يتلقى البيانات الشخصية التي قدمها إلى المتحكم بصيغة منظمة وشائعة الاستخدام وقابلة للقراءة آليًا، وأن ينقلها إلى متحكم آخر. ولا ينطبق إلا حين تستند المعالجة إلى الموافقة أو العقد، ولا ينطبق إلا حين تُجرى بوسائل آلية.
كثيرًا ما يُطلب لبيانات لا يشملها. فالاستنتاجات التي استخلصتها، والدرجات التي حسبتها، والسجلات التي أنشأتها عن الشخص من مصادر أخرى ليست بيانات قدّمها هو، وليست قابلة للنقل. كما أن البيانات المعالَجة على أساس المصالح المشروعة أو الالتزام القانوني ليست مشمولة بالنطاق أيضًا.
- اتفاقيات معالجة البيانات
-
اتفاقية معالجة البيانات هي العقد الذي تشترطه المادة 28 من GDPR بين المتحكم والمعالج. ومحتواها الإلزامي مذكور في المادة: موضوع المعالجة ومدتها، وطبيعتها وغرضها، وأنواع البيانات وفئات أصحاب البيانات، والتزامات الطرفين، بما في ذلك المعالجة بناءً على التعليمات فقط، والسرية، والأمن، وقواعد المعالجين من الباطن، والمساعدة في الحقوق وتقييمات الأثر على حماية البيانات، والحذف أو الإعادة عند الانتهاء، وحقوق التدقيق.
إن DPA التي تفتقر إلى أي من البنود الإلزامية غير ممتثلة، مهما كانت صياغتها احترافية. والموافقة على المعالجين من الباطن وحقوق التدقيق هما أكثر بندين يغيبان عن نماذج الموردين، وغيابهما في العادة ليس متعمدًا. فالنموذج كُتب لغرض مختلف ولم تتم مطابقته مع المادة قط.
- تقييمات الأثر على حماية البيانات
-
تقييم الأثر على حماية البيانات عملية موثقة لتحديد مخاطر حماية البيانات في مشروع ما والحد منها قبل بدئه. وهو إلزامي حيث يُرجَّح أن تؤدي المعالجة إلى مخاطر عالية على الأفراد، ولا سيما مع التقنيات الجديدة أو الرصد واسع النطاق أو التقييم المنهجي أو التنميط أو معالجة البيانات من الفئات الخاصة على نطاق واسع.
DPIA هو اللحظة الموثقة التي سأل فيها أحدهم عما إذا كان ينبغي بناء هذا بالطريقة التي يُبنى بها، وما الذي يمكن فعله بشكل مختلف. وهو أيضًا أول ما تطلبه الجهة التنظيمية بعد تلقي شكوى، وغيابه حيث كان مطلوبًا يُعد مخالفة في حد ذاته، بصرف النظر عما إذا تبين أن المعالجة ضارة.
- مسؤولو حماية البيانات
-
يشترط GDPR تعيين مسؤول حماية البيانات في ثلاث حالات: أن تكون المؤسسة سلطة عامة، أو أن تنطوي أنشطتها الأساسية على مراقبة منتظمة ومنهجية للأفراد على نطاق واسع، أو أن تنطوي أنشطتها الأساسية على معالجة واسعة النطاق لفئات خاصة من البيانات أو لبيانات الإدانات الجنائية. وليس عدد الموظفين أو الإيرادات هو المعيار.
تعيّن مؤسسات كثيرة DPO طوعًا، ويجلب ذلك معه الالتزامات القانونية كاملة: الاستقلالية، والموارد الكافية، والتبعية المباشرة لأعلى مستوى إداري، والحماية من الفصل بسبب أداء الدور، والمشاركة في جميع مسائل حماية البيانات. وDPO المعيَّن طوعًا ليس نسخة مخففة.
- مخاطر نسخ البيانات المتماثل
-
نسخ البيانات المتماثل هو إنشاء نسخ من البيانات لأغراض تشغيلية ولأغراض الإتاحة والتحليل: أنظمة احتياطية جاهزة تضمن الاستمرارية إذا تعطل النظام الأساسي، ونسخ احتياطية تتيح التعافي من أحداث فقدان البيانات، وبيئات DR تحاكي الإنتاج لاختبار التحويل عند الأعطال، وبيئات تطوير واختبار مملوءة ب
تكتسب مخاطر نسخ البيانات المتماثل أهمية في TPRM لأن تقييم أمن المورد يغطي عادةً النظام الأساسي، أي قاعدة البيانات التي يصفها المورد في وثائقه الأمنية، والتي يغطيها تقييم SOC 2 لديه، والتي تحافظ عليها إجراءات مراجعة الوصول لديه.
- مخاطر نسخ البيانات المتماثل: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: جرد النسخ المتماثلة، أي جميع الأنظمة التي تحتفظ ببيانات العملاء مع حالة الملكية وضوابط الوصول؛ وتأكيد بيانات بيئة التطوير، أي بيانات اصطناعية أو مقنّعة أو بيانات إنتاج بضوابط مكافئة؛ وتأكيد نطاق الحذف، أي إدراج جميع النسخ المتماثلة في عمليات الحذف.
- إقامة البيانات وسيادتها
-
إقامة البيانات هي المكان الذي تُخزن فيه البيانات فعليًا. وسيادة البيانات هي مسألة قوانين من يمكنها فرض الوصول إليها. فمجموعة البيانات المخزنة في منطقة فرانكفورت التي تشغلها شركة مقرها الولايات المتحدة مقيمة في ألمانيا وخاضعة للإجراءات القانونية الأمريكية، لأن المشغل يمكن إلزامه بموجب القانون الأمريكي بصرف النظر عن مكان الخوادم.
يسأل العملاء عن السيادة فيُجابون عن الإقامة. فمحدد المنطقة في وحدة التحكم السحابية يحقق إقامة البيانات بنقرة واحدة ولا يقول شيئًا عن السيادة، لأن التعرض القانوني للمشغل يتبع المشغل لا مركز البيانات.
- إقامة البيانات مقابل الوصول إليها
-
توطين البيانات قيد على مكان تخزين البيانات فعليًا: أي مركز بيانات، وأي بلد، وأي ولاية قضائية. وهو ضابط ذو معنى في سياق متطلبات سيادة البيانات، وقواعد الولاية القضائية التنظيمية، وقيود النقل عبر الحدود التي تحدد أين يجوز أن تستقر البيانات الشخصية عند تخزينها.
تُستخدم التزامات توطين البيانات بشكل متزايد كآلية أساسية للامتثال لـGDPR، والحجة في ذلك أن البيانات المخزنة في الاتحاد الأوروبي لا تخضع أبدًا لنقل دولي مقيد بموجب الفصل الخامس من GDPR.
- توطين البيانات مقابل الوصول إليها: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: خريطة جغرافية للوصول تشمل جميع المواقع التي يُوصل منها إلى بيانات المنطقة المحددة، مع إطار التفويض لكل منها؛ وتأكيد جغرافية نسخ النسخ الاحتياطية، أي داخل المنطقة المحددة أو بآليات نقل معتمدة؛ وتأكيد إتاحة سجلات جغرافية الوصول.
- إخفاقات فصل البيانات
-
فصل البيانات في البيئات متعددة المستأجرين هو النهج المعماري والتقني المستخدم لضمان عدم إمكانية الوصول إلى بيانات عميل عبر الجلسة المصادق عليها لعميل آخر.
تكتسب إخفاقات فصل البيانات أهمية في TPRM لأنها تمثل فئة مخاطر خاصة بالمنصات متعددة المستأجرين، ويمكن أن تكشف بيانات العملاء لعملاء آخرين دون أي تدخل من مهاجم، عبر الأخطاء البرمجية وأخطاء الإعداد وعيوب التصميم المتأصلة في البنية متعددة المستأجرين.
- إخفاقات فصل البيانات: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: وصف البنية متعددة المستأجرين، أي آلية العزل المحددة؛ وتأكيد نطاق اختبار الاختراق بين المستأجرين، مع جعل تجاوز العزل هدفًا صريحًا؛ وتأكيد أمان الصفوف على مستوى قاعدة البيانات أو عزل معماري بديل.
- اتفاقيات مشاركة البيانات
-
حين يتشارك متحكمان بيانات شخصية، كلٌّ لأغراضه الخاصة، يكون الترتيب من متحكم إلى متحكم ويحتاج إلى اتفاقية مشاركة بيانات بدلًا من DPA وفق المادة 28. وتغطي الاتفاقية غرض المشاركة، والأساس القانوني الذي يستند إليه كل طرف، والبيانات المشتركة، والتدابير الأمنية، وكيفية التعامل مع طلبات الحقوق، وما يبلغه كل طرف لأصحاب البيانات، وما يحدث عند الإنهاء.
تحكم اتفاقيات معالجة البيانات وفق المادة 28 علاقات المعالجين، ولا تناسب إطلاقًا المشاركة من متحكم إلى متحكم. فـDPA تُلزم المعالج بالتصرف وفق تعليمات المتحكم فقط، وهذا لا معنى له بين متحكمين يحدد كل منهما أغراضه. وتوقيع اتفاقية كهذه لترتيب مشاركة يوثق الطرفين في أدوار لا يشغلها أي منهما.
- إنفاذ سيادة البيانات
-
سيادة البيانات هي المبدأ القائل بأن البيانات تخضع لقوانين وأنظمة الولاية القضائية التي تُخزن أو تُعالج فيها، وبأن المؤسسة المتحكمة في تلك البيانات محمية من وصول الحكومات الأجنبية إلا عبر آليات قانونية محددة، مثل معاهدات المساعدة القانونية المتبادلة، والأوامر القضائية الرسمية المستوفية للضما
يكتسب إنفاذ سيادة البيانات أهمية في TPRM لأن عملاء القطاع العام والقطاعات الخاضعة للتنظيم والمؤسسات التي تقع عليها التزامات تتعلق بالتعامل مع بيانات الأمن الوطني يشترطون بصورة متزايدة سيادة حقيقية على البيانات، لا سيادة على موقع التخزين يمكن تجاوزها عبر الهيكل المؤسسي والقوانين ذات الأثر خارج الحدود الإقليمية.
- إنفاذ سيادة البيانات: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: الإفصاح عن الهيكل المؤسسي، أي الشركة الأم النهائية وولايتها القضائية؛ وتقييم التعرض للقوانين ذات الأثر خارج الحدود في ولاية الشركة الأم؛ وتأكيد فصل الوصول التشغيلي، أي وصول الشركة الأم إلى البنية التحتية.
- طلبات وصول أصحاب البيانات
-
طلب وصول صاحب البيانات هو ممارسة الشخص لحقه في الحصول على البيانات الشخصية التي تحتفظ بها مؤسسة ما عنه، إلى جانب الأغراض والمتلقين ومدة الاحتفاظ والمصدر. ولدى المتحكم شهر واحد للرد، قابل للتمديد شهرين إضافيين للطلبات المعقدة أو الكثيرة، ويبدأ احتساب المدة من تاريخ الاستلام.
تصل الطلبات من أي مكان. تذكرة دعم، أو رد على بريد تسويقي، أو رسالة على وسائل التواصل الاجتماعي، أو تعليق ضمن شكوى. ولا يوجد نموذج مطلوب، ويبدأ احتساب المهلة من لحظة استلام المؤسسة للطلب، لا من لحظة إدراك أحدهم أنه DSAR وتحويله إلى الفريق المناسب.
- حقوق صاحب البيانات إلى جانب حق الوصول
-
إلى جانب حقي الوصول والمحو، يمنح GDPR الأفراد الحق في تصحيح البيانات غير الدقيقة، وتقييد المعالجة في ظروف محددة، والاعتراض على المعالجة القائمة على المصالح المشروعة أو لأغراض التسويق المباشر، والحقوق المتعلقة باتخاذ القرارات الآلية. ولكل منها المهلة نفسها للرد وهي شهر واحد، والالتزام نفسه بالرد.
تُبنى الإجراءات لطلبات الوصول لأنها الأكثر شيوعًا، ويُرتجَل ما عداها. فيُعامَل الاعتراض كأنه طلب حذف، ولا يُتعرَّف على طلب التقييد إطلاقًا، ويُطبَّق التصحيح على نظام واحد دون الأنظمة الأخرى. وكل ذلك إخفاق في احترام حق، وله العواقب نفسها التي تترتب على تجاهل DSAR.
- أوجه عدم الاتساق في وسم البيانات
-
وسم البيانات هو تطبيق تسميات التصنيف، كمستويات الحساسية وفئات البيانات ومتطلبات التعامل، على عناصر البيانات في جميع الأنظمة التي توجد فيها. ويضمن الوسم المتسق أن يحمل عنصر البيانات التصنيف نفسه والضوابط المقابلة له بصرف النظر عن النظام الذي يقيم فيه.
يكتسب عدم اتساق وسم البيانات أهمية في TPRM لأنه يعني أن ضوابط حماية البيانات المطبقة في النظام الأساسي للبيانات لا تنطبق بالضرورة على البيانات نفسها في الأنظمة الثانوية، وقد يكون نطاق من يملكون الوصول إلى الأنظمة الثانوية أوسع بكثير.
- أوجه عدم الاتساق في وسم البيانات: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: وصف آلية نشر التصنيفات أو الإقرار بوجود فجوة؛ وتوثيق مخطط التصنيف المرجعي الذي يغطي جميع الأنظمة؛ وأدلة التحقق من اتساق التصنيف عبر الأنظمة.
- مراقبة استخدام البيانات
-
رصد استخدام البيانات هو القدرة على ملاحظة كيفية معالجة البيانات فعليًا في بيئة المورد، أي الاستعلامات التي تُنفَّذ عليها، وخطوط المعالجة التي تستهلكها، والمنتجات التي تشير إليها، وما إذا كان استخدامها الفعلي متسقًا مع مواصفات الاستخدام التعاقدية.
تكتسب مراقبة استخدام البيانات أهمية في TPRM لأنها الآلية التي تحوّل DPA من بيان بالاستخدام المصرح به إلى أداة حوكمة قابلة للإنفاذ.
- مراقبة استخدام البيانات: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: تأكيد رصد الاستخدام الداخلي، أي سجلات الاستعلامات ونسبتها إلى خطوط المعالجة؛ ووصف رصد بيانات تدريب ML؛ ووصف القدرة على كشف تجاوزات النطاق.
- الحماية من هجمات حجب الخدمة الموزعة ومرونة الموردين
-
تكتسب الحماية من هجمات حجب الخدمة الموزعة والمرونة أهمية في TPRM لأن توافر منصة المورد اعتماد مباشر لعملاء المؤسسات الذين تعتمد عملياتهم على تلك المنصة.
تكتسب الحماية من هجمات حجب الخدمة الموزعة والمرونة أهمية في TPRM لأن توافر منصة المورد اعتماد مباشر لعملاء المؤسسات الذين تعتمد عملياتهم على تلك المنصة.
- الحماية من هجمات حجب الخدمة الموزعة ومرونة الموردين: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: مزود الحماية من هجمات حجب الخدمة الموزعة وقدرته الاستيعابية؛ وإجراءات إخطار العملاء وجدولها الزمني؛ وتغطية SLA لحالات الانقطاع المرتبطة بهجمات حجب الخدمة الموزعة.
- مخاطر صلاحيات الإدارة المفوضة
-
الإدارة المفوَّضة ميزة في المنصات السحابية تتيح لمؤسسة واحدة (شريك أو مزود خدمات مُدارة) إدارة البيئة السحابية لمؤسسة أخرى نيابةً عنها، إذ يستطيع موظفو الشريك الوصول إلى مستأجر العميل بصلاحيات إدارية باستخدام بيانات الاعتماد الخاصة بمؤسستهم، دون أن يُنشـ
تُعد مخاطر الإدارة المفوَّضة مهمة لـ TPRM لأن علاقات الإدارة المفوَّضة تمثل إحدى أعلى منح الوصول امتيازًا التي يمكن لمؤسسة أن تمنحها لمورد: وصول إداري إلى مستأجر سحابي كامل يخضع لسياسات أمن المورد لا لسياسات العميل.
- مخاطر صلاحيات الإدارة المفوضة: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: المبرر التشغيلي الحالي لكل علاقة إدارة مفوضة؛ وسياسة MFA لموظفي الشريك في جلسات الإدارة المفوضة؛ وتحديد أدوار GDAP إذا كانت العلاقة شراكة مع Microsoft.
- الحذف مقابل الإتلاف
-
الحذف يزيل البيانات من الأنظمة النشطة بحيث لا تعود متاحة في التشغيل العادي. أما الإتلاف فيجعلها غير قابلة للاسترداد في كل مكان توجد فيه، بما في ذلك النسخ الاحتياطية والنسخ المتماثلة واللقطات والسجلات وملفات التحليلات المُصدَّرة وذاكرات التخزين المؤقت. ويُستوفى طلب المحو بالأول ويُدقق وفق الثاني.
النسخ الاحتياطية هي حيث يفشل الحذف. فالبيانات المحذوفة من قاعدة بيانات الإنتاج تبقى في النسخ الاحتياطية الليلية طوال مدة الاحتفاظ بها، وفي النسخ المتماثلة حتى تتزامن، وفي مستخرجات مستودع البيانات حتى التحميل الكامل التالي، وفي السجلات حتى تُستبدل. والمتحكم الذي أكد الحذف بينما لا تزال كل تلك المواضع تحتفظ بالبيانات قد أدلى ببيان غير صحيح.
- النقاط العمياء في التبعيات (SCA)
-
تحليل تكوين البرمجيات هو ممارسة تحديد المكتبات مفتوحة المصدر ومكتبات الأطراف الثالثة المضمنة في شجرة اعتماديات التطبيق وتقييمها، أي رسم خريطة للمكونات التي يعتمد عليها التطبيق، والثغرات المعروفة الموجودة في تلك المكونات، والتزامات الترخيص التي تنشئها.
أظهرت Log4Shell على نطاق واسع ما كان ممارسو مخاطر الأطراف الثالثة يدركونه نظريًا: فالوضع الأمني للمورد في التطبيقات التي يقدمها يتحدد إلى حد كبير بالوضع الأمني لكل مكتبة في شجرة اعتمادياته، بما في ذلك الاعتماديات التي لم يخترها وقد لا يعلم بوجودها.
- النقاط العمياء في التبعيات (SCA): الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: تأكيد تغطية الاعتماديات غير المباشرة مع اسم الأداة ووصف نطاق الفحص؛ وSBOM بصيغة CycloneDX أو SPDX محدّثة ضمن دورة الإصدار الأخيرة؛ والتزام بمتوسط زمن العلم بالثغرات الحرجة في الاعتماديات، أي إطار زمني لا وصف لإجراء.
- هجمات الخلط في الاعتماديات
-
يكتسب الالتباس في الاعتماديات أهمية في TPRM لأنه هجوم على سلسلة التوريد قد يكون مورّدوك عرضة له، ولا سيما موردو البرمجيات ومزودو أدوات التطوير الذين يستخدمون سجلات حزم داخلية إلى جانب الاعتماديات العامة.
الخلط في الاعتماديات مهم لـTPRM لأنه هجوم على سلسلة التوريد قد يكون مورّدوك عرضة له، ولا سيما موردو البرمجيات ومزودو أدوات التطوير الذين يستخدمون سجلات حزم داخلية إلى جانب الاعتماديات العامة.
- هجمات الالتباس في الاعتماديات: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: حجز أسماء الحزم الداخلية في السجلات العامة؛ وعزل بيئة البناء عن الوصول إلى الشبكات الخارجية؛ والمورد الذي يؤكد ممارسات البناء الآمن ينبغي سؤاله تحديدًا عن الحد من الخلط في التبعيات. فأمن بيئة البناء يشمل إعدادات السجلات، لا مراجعة الشيفرة والتحليل الساكن فحسب.
- تثبيت إصدارات التبعيات مقابل الإصدارات العائمة
-
يكتسب تثبيت إصدارات الاعتماديات أهمية في TPRM لأن مواصفات الإصدارات المرنة في قواعد شيفرة الموردين تعني أن البرمجيات التي سلّمها المورد أمس قد تختلف عن البرمجيات التي سيبنيها غدًا، حتى لو لم تتغير أي شيفرة في التطبيق. وفي أمن سلسلة التوريد، تُعد قابلية إعادة إنتاج حل الاعتماديات ضابطًا أساسيًا.
تثبيت إصدارات الاعتماديات مهم لـTPRM لأن مواصفات الإصدارات العائمة في قواعد شيفرة الموردين تعني أن البرمجيات التي سلّمها المورد أمس قد تختلف عن البرمجيات التي سيبنيها غدًا، حتى لو لم تتغير أي شيفرة في التطبيق.
- تثبيت إصدارات الاعتماديات مقابل الإصدارات العائمة: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: وجود ملفات القفل في مستودعات الإنتاج؛ وفرض ملفات القفل في مسار CI/CD؛ وأدوات التحديث الآلي للتبعيات، مثل Dependabot أو Renovate.
- أتمتة تحديث التبعيات
-
جودة أتمتة تحديث الاعتماديات مهمة لـTPRM لأن وجود الأتمتة هو التأكيد السهل، فالتأكد من تهيئة Dependabot يستغرق ثوانٍ. أما معرفة ما إذا كانت تلك الأتمتة تقلل فعلًا من التعرض لثغرات الاعتماديات فتتطلب فهم معدلات الدمج، وتقادم المتراكم، وأولوية التحديثات الأمنية.
تكتسب جودة أتمتة تحديث الاعتماديات أهمية في TPRM لأن وجود الأتمتة هو التأكيد السهل، فتأكيد إعداد Dependabot يستغرق ثوانٍ.
- أتمتة تحديث التبعيات: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: معدل إنشاء طلبات PR للتحديثات الأمنية ودمجها؛ وإعدادات أولوية التحديثات الأمنية مقارنةً بغير الأمنية؛ وينبغي أن يُطلب من المورد الذي يؤكد استخدام Dependabot أو أتمتة تحديث الاعتماديات معدل الدمج. فالأتمتة المُعدّة هي الأداة، ومعدل الدمج هو مقياس الفعالية. وإنشاء 847 طلب دمج ودمج 23 منها فقط ليس إدارة لأمن الاعتماديات.
- عزل بيئات النشر
-
يكتسب عزل بيئات النشر أهمية في TPRM لأن بيئات ما قبل الإنتاج التي تتعامل مع بيانات الإنتاج أو تتشارك بيانات الاعتماد مع أنظمة الإنتاج تنشئ مخاطر أمنية لا ترصدها تقييمات أمن بيئة الإنتاج.
يكتسب عزل بيئات النشر أهمية في TPRM لأن بيئات ما قبل الإنتاج التي تتعامل مع بيانات الإنتاج أو تتشارك بيانات الاعتماد مع أنظمة الإنتاج تنشئ مخاطر أمنية لا ترصدها تقييمات أمن بيئة الإنتاج.
- عزل بيئات النشر: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: إجراء تنقية البيانات وتأكيد التحقق منه؛ ووثائق بيانات اعتماد منفصلة لكل مستوى من مستويات البيئات؛ وينبغي سؤال المورد الذي يؤكد ضوابط الوصول إلى بيانات الإنتاج عن عزل البيانات وبيانات الاعتماد في بيئات ما قبل الإنتاج. فضوابط الإنتاج تحمي بيانات الإنتاج، وعزل البيئات يحدد ما إذا كانت تلك البيانات تصل إلى بيئات لا تنطبق عليها الضوابط نفسها.
- قدرات التراجع عن النشر والتعافي
-
قدرات التراجع مهمة لـTPRM لأنها تحدد مدى سرعة تعافي المورد من عملية نشر إشكالية، بما في ذلك عملية نشر تتضمن ثغرة أو اختراقًا لسلسلة التوريد.
تكتسب قدرات التراجع أهمية في TPRM لأنها تحدد مدى سرعة تعافي المورد من عملية نشر إشكالية، بما في ذلك عملية نشر تتضمن ثغرة أو اختراقًا لسلسلة الإمداد.
- قدرات التراجع عن النشر والاستعادة: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: مثال حديث على تنفيذ التراجع مع قياس الوقت؛ وإجراءات تقييم قابلية عكس ترحيل قواعد البيانات؛ وبنية مفاتيح تفعيل الميزات لسيناريوهات التراجع المعقدة.
- معايير الوصف
-
تحكم معايير الوصف، المنشورة باسم DC القسم 200، ما يجب أن يتضمنه وصف النظام: الخدمات المقدمة، والالتزامات الرئيسية للخدمة ومتطلبات النظام، ومكونات النظام، والجوانب ذات الصلة من بيئة الرقابة، والحوادث خلال الفترة، والمعايير المستخدمة. ويتبع كل وصف SOC 2 هذه البنية.
وهذا يفسر لماذا تبدو أوصاف الأنظمة الصادرة عن موردين لا علاقة بينهم كأنها كُتبت من النموذج نفسه. وهي كذلك بالفعل، بمعنى أن المعايير نفسها شكّلتها. ويعني ذلك أيضًا أن العنصر الغائب يكون ملحوظًا: فالوصف الذي يخلو من قسم الحوادث أو من بيان التزامات الخدمة قد أغفل شيئًا تشترطه المعايير.
- النقاط العمياء في الكشف
-
النقاط العمياء في الكشف هي أجزاء البيئة التقنية التي لا تغطيها إعدادات الرصد الأمني الحالية، أي الأنظمة والخدمات والبيئات التي تولّد أحداثًا ذات صلة بالأمن لكنها غير مُعدّة لإرسال تلك الأحداث إلى منصة الرصد حيث يستطيع SOC كشفها والاستجابة لها.
تكتسب النقاط العمياء في الكشف أهمية في TPRM لأن شمول الرصد لدى المورد لا يتجاوز شمول أحدث تدقيق لإعداداته، وفي البيئات سريعة النمو قد تمثل الفجوة بين الإعدادات والبيئة الفعلية جزءًا كبيرًا من سطح الهجوم.
- النقاط العمياء في الاكتشاف: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: مقارنة قائمة جرد البيئات بإعدادات المراقبة؛ ونسبة التغطية للبيئة الحالية؛ وتأكيد إجراءات نشر إعدادات المراقبة.
- ثغرات هندسة الاكتشاف
-
هندسة الاكتشاف هي تخصص تصميم منطق الاكتشاف وبنائه واختباره وصيانته، أي قواعد الربط، والتحليلات السلوكية، وسياسات اكتشاف الحالات الشاذة، الذي يمكّن SIEM وSOC من تحديد النشاط الضار في بيئة محددة.
تكتسب فجوات هندسة الكشف أهمية في TPRM لأن قدرة SOC على الكشف لا تتجاوز جودة القواعد التي بُنيت وتجري صيانتها.
- ثغرات هندسة الاكتشاف: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: نسبة القواعد المخصصة إلى القواعد الافتراضية؛ وعدد القواعد الخاصة بالقطاع وتغطيتها للتقنيات؛ ووتيرة اختبار القواعد وتاريخ آخر اختبار.
- التوازن بين الاكتشاف والوقاية
-
مشكلة التوازن بين الاكتشاف والوقاية في تقييم أمن الموردين هي تحدي فهم ما إذا كان سجل المورد الخالي من الاختراقات يعكس قدرة وقائية فعالة أم مجرد تعرض منخفض للهجمات. فكلاهما ينتج سجل الاختراقات نفسه.
التوازن بين الاكتشاف والوقاية مهم لـTPRM لأن أهداف سلسلة التوريد تُختار تحديدًا لوصولها إلى بيانات عالية القيمة، والموردون الذين يحتفظون ببيانات عالية القيمة أو يعالجونها سيواجهون ضغطًا متزايدًا من الهجمات كلما أصبحت قيمة بياناتهم معروفة للجهات المهاجمة.
- التوازن بين الكشف والمنع: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: سجل الحوادث الوشيكة، أي الهجمات الكبيرة التي جرى منعها؛ ومعدل الحظر في أمن البريد الإلكتروني وحجمه؛ والجداول الزمنية لتصحيح الثغرات الحرجة.
- مشكلات التكافؤ بين بيئتي التطوير والإنتاج
-
التكافؤ بين بيئتي التطوير والإنتاج هو المبدأ القائل بأن بيئات التطوير والتجهيز والإنتاج ينبغي أن تكون متشابهة قدر الإمكان لمنع ظهور مشكلات في الإنتاج لم تُكتشف أثناء الاختبار.
بالنسبة لممارسي TPRM، يمثل التكافؤ بين بيئتي التطوير والإنتاج مشكلة الموثوقية الكامنة وراء كل نتيجة لاختبار أمن الموردين.
- مشكلات التكافؤ بين بيئتي التطوير والإنتاج: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: وثائق نطاق اختبار الاختراق التي تؤكد اختبار بيئة الإنتاج، أو تحققًا موثقًا من تطابق بيئة التجهيز مع الإنتاج؛ والإفصاح عن الإعدادات الخاصة بالإنتاج، أي أي إعدادات أو ميزات أو تكاملات في الإنتاج لا يغطيها الاختبار الأمني؛ ووثائق إجراء إدارة التغيير في الإنتاج بما في ذلك المراجعة الأمنية ومزامنة الاختبار.
- الثقة بالأجهزة في وصول الموردين
-
ثقة الأجهزة هي مكون حوكمة الوصول الذي يقيّم الوضع الأمني لنقطة النهاية التي يُطلب منها الوصول، فيحدد ما إذا كان الجهاز مُدارًا من المؤسسة (أو من مؤسسة موثوقة)، ويستوفي متطلبات الامتثال المحددة، ويملك حماية حديثة لنقاط النهاية، وقادرًا على الاستجابة لـ
تكتسب الثقة في الأجهزة أهمية في TPRM لأن وصول المورد إلى بيئات العملاء يعني أن بيانات الجلسات والملفات المنزَّلة والمحتوى المخزن مؤقتًا من أنظمة العملاء تقيم على أجهزة مهندسي المورد، وأن أمن تلك البيانات بعد وصولها إلى نقطة النهاية لدى المورد يعتمد كليًا على وضع أمن نقاط النهاية لديه.
- الثقة بالأجهزة في وصول الموردين: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: تأكيد تسجيل الأجهزة المستخدمة للوصول إلى بيئات العملاء في MDM؛ ووثائق سياسة امتثال الأجهزة، أي مستوى التحديثات وحماية نقاط النهاية والتشفير؛ وتأكيد القدرة على المسح عن بُعد وزمن الاستجابة.
- DevSecOps للأنظمة القديمة
-
يكتسب DevSecOps للأنظمة القديمة أهمية في TPRM لأن موردي المؤسسات كثيرًا ما يحتفظون بأنظمة قديمة تواصل معالجة بيانات أعمال حرجة بينما يستثمر المورد في التحديث.
تكتسب منهجية DevSecOps للأنظمة القديمة أهمية في TPRM لأن موردي المؤسسات كثيرًا ما يحتفظون بأنظمة قديمة تظل تعالج بيانات أعمال حيوية بينما يستثمر المورد في التحديث.
- DevSecOps للأنظمة القديمة: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: اختبار أمن إجراءات التسليم في الأنظمة القديمة، أي فحص التبعيات وSAST؛ ومسار أمني للأنظمة القديمة أثناء الترحيل؛ وقائمة جرد الديون الأمنية للأنظمة القديمة وخطة معالجتها.
- نموذج نضج DevSecOps لتقييم TPRM
-
تقييم نضج DevSecOps مهم لـTPRM لأن جودة برمجيات المورد، وتحديدًا كثافة الثغرات غير المكتشفة في الشيفرة المسلّمة، ترتبط مباشرةً بفعالية برنامج DevSecOps لديه، لا بمدى تطور وصفه فحسب.
يكتسب تقييم نضج DevSecOps أهمية في TPRM لأن جودة برمجيات المورد، وتحديدًا كثافة الثغرات غير المكتشفة في الشيفرة المسلّمة، ترتبط ارتباطًا مباشرًا بفعالية برنامج DevSecOps لديه، لا بمدى تطور وصفه فحسب.
- نموذج نضج DevSecOps لتقييم TPRM: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: عدد البوابات المانعة فعليًا مقابل الاستشارية؛ والمتراكم الحالي من النتائج الحرجة والمرتفعة؛ وصافي التغير في المتراكم خلال الربع الأخير.
- Digital Trust Common Framework DTCF
-
إطار الضوابط المشترك للجمعية: أهداف موحدة مربوطة بالأطر التي يعمل الممارسون وفقها، ومنشور مجانًا.
تُصنَّف عمليات الربط حسب درجتها، وتُسجَّل الخانة الفارغة على أنها غياب مقصود مع سببه بدلًا من إخفائها.
See also: scope, control-owner
- قواعد التسويق المباشر
-
يخضع التسويق المباشر الإلكتروني في أوروبا لتوجيه الخصوصية الإلكترونية، المطبَّق وطنيًا في المملكة المتحدة بوصفه PECR وبما يعادله في أماكن أخرى، إلى جانب GDPR لا بدلًا منها. ويضع هذا التوجيه قواعد للبريد الإلكتروني ورسائل SMS والمكالمات غير المرغوب فيها، ويشترط بشكل عام الموافقة المسبقة للأفراد مع استثناء مخفف للعملاء الحاليين، ويطبق قواعد مختلفة على المشتركين من الشركات.
تستوفي الفرق متطلبات GDPR بتحديد أساس قانوني وتفترض أن التسويق مشمول، وهو ليس كذلك. فـGDPR تنظم معالجة البيانات الشخصية، وتنظم قواعد الخصوصية الإلكترونية إرسال الرسالة، ويجب استيفاء الاثنين معًا. والأساس القائم على المصالح المشروعة بموجب GDPR لا يتجاوز اشتراط الموافقة في قواعد الخصوصية الإلكترونية.
- أمن DNS ومخاطر الموردين
-
يكتسب أمن DNS أهمية في TPRM لأن ضوابط طبقة DNS قدرة منخفضة التكلفة على المنع والاكتشاف تقلل كثيرًا من فعالية التصيد واتصالات C2 الخاصة بالبرمجيات الخبيثة، وكلاهما من نواقل الهجوم الرئيسية ضد موظفي الموردين.
يكتسب أمن DNS أهمية في TPRM لأن ضوابط طبقة DNS قدرة منخفضة التكلفة على المنع والاكتشاف تقلل كثيرًا من فعالية التصيد واتصالات C2 الخاصة بالبرمجيات الخبيثة، وكلاهما من نواقل الهجوم الرئيسية ضد موظفي الموردين.
- أمن DNS ومخاطر الموردين: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: تأكيد تصفية DNS المدعومة بمعلومات التهديدات؛ والمورد الذي يؤكد أمن الشبكة ينبغي سؤاله عن أمن DNS. فتصفية DNS تحجب التصيد وتحليل عناوين C2 في طبقة الشبكة. وسجلات DNS توفر رؤية لمؤشرات الاختراق. وكلاهما ضابط في طبقة الشبكة يقلل فعالية الهجمات كثيرًا بتكلفة منخفضة.
- عمق العناية الواجبة مقابل فئة المورد
-
يكتسب عمق العناية الواجبة أهمية لأن المخاطر التي يمثلها المورد لا تنخفض بجمع أدلة تؤكد أن ضوابطه موثقة، بل تنخفض بفهم ما إذا كانت تلك الضوابط مطبقة بفعالية.
يكتسب عمق العناية الواجبة أهمية لأن المخاطر التي يمثلها المورد لا تنخفض بجمع أدلة تؤكد أن ضوابطه موثقة، بل تنخفض بفهم ما إذا كانت تلك الضوابط مطبقة بفعالية.
- عمق العناية الواجبة مقابل مستوى المورد: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: تقرير SOC 2 مع أوصاف الاختبارات المنفذة؛ وتوضيح ما يشمله النطاق وما يستبعده؛ وخطاب جسر لتغطية الفترة الحالية إذا مضى على التقرير أكثر من ستة أشهر.
- استبيانات العناية الواجبة
-
استبيان العناية الواجبة مجموعة من الأسئلة تُرسل إلى المورد عن ممارساته في الأمان والخصوصية. وتخبرك إجاباته بما يرغب المورد في الالتزام به كتابيًا، وهذا مفيد، وبالممارسات التي يقول إنها موجودة، وهذا ادعاء. ولا يخبرك هل يعمل الضابط فعلًا، لأن المورد يصف نيته ولم يختبرها أحد.
الاستبيانات هي الأداة الأكثر استخدامًا والأقل تمحيصًا في هذا المجال بأكمله. تُرسَل مئات الأسئلة، وتعود الإجابات بعد أسابيع، ويقيّمها أحدهم، وبعد ذلك لا يستطيع أحد أن يحدد ما الذي ثبت سوى أن المورد يملأ الاستبيانات. ومع ذلك يواصل المشترون إرسالها، لأنها الشيء الوحيد القابل للتوسع.
E
- مراقبة الموظفين
-
مراقبة مكان العمل، سواء للبريد الإلكتروني أو استخدام الويب أو الموقع أو ضغطات المفاتيح أو الإنتاجية، هي معالجة للبيانات الشخصية تخضع لقانون حماية البيانات بالكامل. والموافقة أساس غير صالح لها بشكل عام، لأن اختلال ميزان القوة بين صاحب العمل والموظف يعني أن الموافقة لا يمكن أن تُعطى بحرية. والمصالح المشروعة، مع تقييم موثق وشفافية حقيقية، هي المسار المعتاد القابل للدفاع عنه، وتضيف بعض الولايات القضائية متطلبات محددة من قانون العمل.
كثيرًا ما تُنشر أدوات المراقبة استنادًا إلى بند موافقة في عقد العمل، على أساس أن توقيع العقد كان موافقة. وهو لم يكن كذلك، وقد أكدت الجهات التنظيمية ذلك مرارًا. فالموظف لم يكن لديه خيار واقعي، والموافقة دون خيار ليست موافقة.
- التشفير أثناء التخزين مقابل التشفير أثناء الاستخدام
-
تأكيد التشفير أثناء التخزين من أكثر الضوابط الأمنية ذكرًا في إجابات استبيانات الموردين، فهو ظاهر وقابل للتدقيق وموثق في تقارير SOC 2.
تأكيد التشفير أثناء التخزين من أكثر الضوابط الأمنية ذكرًا في إجابات استبيانات الموردين، فهو ظاهر وقابل للتدقيق وموثق في تقارير SOC 2.
- التشفير أثناء التخزين مقابل التشفير أثناء الاستخدام: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: وصف بنية إدارة المفاتيح، أي خدمة KMS وفصل الوصول إلى المفاتيح عن الوصول إلى البيانات؛ ووصف الحماية أثناء الاستخدام، أي ضوابط الوصول أو التشفير على مستوى الحقول أو الحوسبة السرية للبيانات الأعلى حساسية؛ وتأكيد تغطية TLS للاتصالات بين الخدمات الداخلية.
- فئات المخاطر في قانون الذكاء الاصطناعي الأوروبي
-
يصنف قانون الذكاء الاصطناعي الأوروبي أنظمة الذكاء الاصطناعي حسب الاستخدام لا حسب التقنية. فالممارسات المحظورة ممنوعة منعًا باتًا. والاستخدامات عالية المخاطر، المدرجة في ملاحقه ومنها التوظيف والائتمان والتعليم والخدمات الأساسية وإنفاذ القانون، تترتب عليها التزامات جوهرية. والأنظمة الخاضعة لالتزامات الشفافية، مثل الأنظمة التي تتفاعل مع الأشخاص أو تولّد المحتوى، يجب أن تُفصح. وكل ما عدا ذلك لا تترتب عليه سوى التزامات قليلة تتجاوز القانون العادي.
الفئة تحدد كل شيء، ومع ذلك تُجري معظم المؤسسات تقييماتها كأن هذا السؤال غير موجود. فالنموذج الذي يرتب أولويات إعادة تخزين المستودعات والنموذج الذي يرتب المتقدمين للوظائف متشابهان في البنية ومختلفان تمامًا في الالتزامات، لأن الثاني استخدام عالي المخاطر. ودورك مهم أيضًا: فالمزودون الذين يطرحون نظامًا في السوق يتحملون أكثر مما يتحمله المستخدمون الذين يستخدمونه، وإن كان مستخدمو الأنظمة عالية المخاطر يتحملون واجبات حقيقية، منها الإشراف البشري والرصد.
- تقاويم الأدلة
-
يسرد تقويم الأدلة، لكل ضابط، الأثر الذي يثبت أنه عمل، والنظام الذي يصدر منه، والمسؤول المسمّى عن إنتاجه، ووتيرته، ومدة الاحتفاظ به، وموقع تخزينه. ويجب أن تغطي أدلة تقرير من النوع II أو شهادة ما الفترة بأكملها، ولذلك تُنتَج شهريًا وفصليًا خلال الفترة بدلًا من جمعها في نهايتها، والتقويم هو ما يجعل ذلك يحدث.
معظم ألم التدقيق هو ألم الأدلة. فالضوابط تعمل عادةً. أما ما يفشل فهو القدرة على إثبات أنها عملت، طوال الفترة، من مصدر يثق به المدقق، دون ثلاثة أسابيع من بحث الأشخاص في الأنظمة. تصل قائمة طلبات من أربعين بندًا، فيذهب كل بند إلى مالك ضابط يصدّر شيئًا ويلتقط صورة شاشة لشيء آخر، ونصف المُخرَجات بلا تاريخ، واثنان منها أُنتجا هذا الأسبوع لضابط كان يُفترض أن يعمل كل ربع سنة.
- كفاية الأدلة
-
الأدلة الكافية تُظهر ما حدث، ومتى حدث، وفي أي نظام، ومن قام به، وتغطي الفترة الخاضعة للاختبار. وهي مكتملة بما يكفي لئلا يضطر المدقق إلى الأخذ بكلام أحد في الأجزاء التي لا تُظهرها.
معظم الأدلة المرفوضة ليست خاطئة، بل غير مكتملة. فلقطة الشاشة التي لا تحمل طابعًا زمنيًا ولا معرّفًا للنظام ولا إشارة إلى النطاق تثبت أن شيئًا ما وُجد في لحظة مجهولة على شاشة مجهولة. ولا يمكن ربطها بالضابط أو الفترة أو المجتمع، لذا لا يمكنها دعم أي استنتاج.
- الدليل مقابل الإقرار
-
الإقرار بيان يصدره شخص مخوّل يؤكد فيه صحة حالة ما، ويستند عادةً إلى معرفته أو اعتقاده أو فهمه لسياسات المؤسسة ومعاييرها وممارساتها.
الأدلة مقابل الإقرارات مسألة مهمة لـTPRM لأن الخطر الأمني الذي تُنشئه العلاقة مع المورد يتحدد بالتهيئة الفعلية للأنظمة التي تتعامل مع بيانات العملاء، لا بمعيار المؤسسة ولا باعتقاد CISO بشأن الامتثال لذلك المعيار.
- الدليل مقابل الإقرار: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: سجلات إعدادات التشفير على مستوى الأنظمة أو مخرجات CSPM؛ وقائمة بجميع الأنظمة التي تحتفظ ببيانات العملاء مع إعدادات تشفيرها؛ ووثائق الاستثناءات، أي أي أنظمة لا تطابق المعيار المعلن.
- إساءة استخدام إدارة الاستثناءات
-
إدارة الاستثناءات هي آلية الحوكمة للإقرار بأن ظروفًا تشغيلية محددة تفرض قيودًا حقيقية تمنع تطبيق متطلب من متطلبات خط الأساس الأمني، ولإدارة هذه الحالات رسميًا بضوابط تعويضية، وقبول موثق للمخاطر المتبقية، وجداول زمنية محددة إما للمعا
تكتسب إساءة استخدام إدارة الاستثناءات أهمية في TPRM لأن خطوط الأساس الأمنية للموردين المؤكدة عبر الاستبيانات قد تقابلها سجلات استثناءات واسعة تستبعد بصورة منهجية أجزاء كبيرة من البيئة من متطلبات خط الأساس.
- إساءة استخدام إدارة الاستثناءات: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: توزيع أعمار الاستثناءات وعدد مرات تكرارها؛ ومعدل الامتثال الأساسي للمتطلبات الحرجة؛ وخرائط طريق التنفيذ لاستثناءات التأجيل.
- عمليات الاستثناء
-
الاستثناء قرار بأن ضابطًا أو سياسة لن تُطبق في حالة محددة لفترة محددة. ويحتاج إلى كل ما يحتاجه القبول، إضافةً إلى نطاق ومراجعة قبل انتهاء الصلاحية. والخلل المعتاد هو الاستثناء الدائم: يُمنح لعملية ترحيل مدتها ستة أشهر، ولا يُراجع أبدًا، ويظل ساريًا بعد أربع سنوات، وتعتمد عليه الآن أنظمة بُنيت بعده.
برنامج الضوابط الذي لا يتضمن مسارًا للاستثناءات ينتج نتيجتين، كلتاهما سيئة: إما أن يلتف الناس على الضابط بصمت، وإما أن يتوقفوا فتتعطل الأعمال. وإجراء الاستثناءات هو ما يتيح للضابط أن يصمد بينما تُعالَج الحالة الاستثنائية الحقيقية بشكل مرئي، باسم وسبب وتاريخ.
- معالجة الاستثناءات ورد الإدارة
-
حين يصف تقرير من النوع II استثناءً، يجوز للإدارة أن تُدرج ردًا: ما الذي حدث، ولماذا، وما الذي اتُّخذ حياله، ومتى. والرد رد الإدارة لا المدقق، ويُورده المدقق دون اختباره.
تخبرك الاستجابة عن المؤسسة أكثر مما يخبرك الاستثناء. فالمعالجة المحددة والمؤرخة مع مالك مسمى وتغيير في الضابط تُقرأ على نحو مختلف تمامًا عن فقرة من التطمينات، وهذا الفرق مؤشر مباشر على كيفية تعامل المؤسسة مع إخفاقاتها.
- الاستثناءات
-
الاستثناء حالة لم يعمل فيها الضابط كما هو موصوف خلال فترة الملاحظة. مراجعة وصول ربع سنوية أُجريت متأخرة. مستخدم انتهت خدمته وبقي وصوله أسبوعًا بعده. تغيير نُشر دون الموافقة المسجلة. ويصف التقرير الاستثناء واختبار المدقق ورد الإدارة.
الاستثناءات أمر طبيعي. فأي مؤسسة تشغّل ضوابط لمدة اثني عشر شهرًا ستفوتها أمور، والتقرير الذي يصف ما فات وما اتُّخذ حياله يؤدي بالضبط الغرض الذي وُجد التقرير من أجله. وعدد الاستثناءات أقل أهمية من طبيعتها ومن كيفية استجابة الإدارة.
F
- الإنذارات الكاذبة مقابل المخاطر المتجاهَلة
-
ترتبط حوكمة الإنذارات الكاذبة في برامج الأمن لدى الموردين ارتباطًا مباشرًا بـTPRM لأنها تحدد ما تكتشفه أدوات الأمن لدى المورد فعلًا وتتخذ إجراءً بشأنه، مقارنةً بما تكتشفه وتتجاهله.
ترتبط حوكمة الإنذارات الكاذبة في برامج الأمن لدى الموردين ارتباطًا مباشرًا بـTPRM لأنها تحدد ما تكتشفه أدوات الأمن لدى المورد فعلًا وتتخذ إجراءً بشأنه، مقارنةً بما تكتشفه وتتجاهله.
- الإيجابيات الكاذبة مقابل المخاطر المتجاهلة: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: بيانات معدل الكتم حسب مستوى الخطورة، أي نسبة النتائج المكتومة مقابل المعالَجة في كل مستوى خطورة؛ ووثائق سير عمل اعتماد الكتم التي تؤكد اشتراط المراجعة الأمنية للنتائج العالية والحرجة؛ وتأكيد الربط بين اختبار الاختراق وSAST، أي هل طابقت أي نتائج لاختبار الاختراق نتائج SAST سبق كتمها.
- نظافة قواعد جدار الحماية وشبكات الموردين
-
تكتسب سلامة قواعد جدار الحماية أهمية في TPRM لأن البنية المعلنة لأمن الشبكة لدى المورد لا تكون دقيقة إلا بقدر ما تعكسها مجموعة قواعد جدار الحماية لديه.
نظافة قواعد جدار الحماية مهمة لـTPRM لأن بنية أمن الشبكة التي يعلنها المورد لا تكون دقيقة إلا بقدر ما تعكسها مجموعة قواعد جدار الحماية لديه.
- نظافة قواعد جدار الحماية وشبكات الموردين: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: عدد قواعد جدار الحماية وتاريخ آخر مراجعة لها؛ والمورد الذي يؤكد أمن جدار الحماية ينبغي سؤاله عن نظافة القواعد. فأمن جدار الحماية هو مزيج من بنية جدار الحماية وجودة القواعد التي تطبقها. وجدار حماية فيه 3,847 قاعدة غير معروفة المبرر ليس جدار حماية يطبق بدقة بنية أمنية مقصودة.
- تحديات الوصول لأغراض التحليل الجنائي الرقمي
-
تحديات الوصول إلى الأدلة الجنائية الرقمية هي العقبات العملية والقانونية والتعاقدية أمام الحصول على الأدلة الجنائية الرقمية، من سجلات وصور جنائية ولقطات للذاكرة وسجلات لحركة الشبكة، اللازمة لإجراء تحقيق مستقل في حادث أمني وقع في بيئة المورد.
تحديات الوصول إلى الأدلة الجنائية الرقمية مهمة لـTPRM لأن العملاء الذين لا يستطيعون إجراء تحقيق جنائي رقمي مستقل في اختراق لدى المورد لا يستطيعون تحديد تعرضهم بالدقة اللازمة للإفصاحات التنظيمية ومطالبات التأمين والإجراءات القانونية.
- تحديات الوصول الجنائي الرقمي: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: إجراء الوصول الجنائي الرقمي في سيناريو الاختراق؛ والالتزام بحفظ الأدلة قبل المعالجة؛ وقيود الحجز القانوني لأغراض تحقيق العميل.
- مخاطر الطرف الرابع
-
الطرف الرابع هو مورد مورّدك: السحابة التي تعمل عليها برمجياته، ومعالج المدفوعات داخل أداة الفوترة لديه، وخدمة النسخ الصوتي داخل منصة الدعم لديه. لم تخترهم، وليس لديك عقد معهم، وأي انقطاع أو اختراق لدى أحدهم يصل إليك عبر شركة لم تسمع بها قط.
هنا تكمن مشكلتان تحتاجان إلى إجابتين مختلفتين. الرؤية، حين لا تستطيع تحديد من في السلسلة حتى يتعطل شيء ما. والتركز، حين يتبين أن كثيرًا من مورديك المستقلين ظاهريًا يعملون على حفنة المزودين نفسها، فيصل إخفاق واحد عبر عدة أبواب في آن واحد، ويتضح أن تنويعك لم يكن سوى مجموعة شعارات فوق منصة واحدة.
- غياب الرؤية لمخاطر الأطراف الرابعة
-
تكتسب مخاطر الطرف الرابع أهمية لأن سطح الهجوم على المؤسسة يمتد عبر سلاسل توريد مورديها، لا عبر الموردين أنفسهم فحسب.
تكتسب مخاطر الطرف الرابع أهمية لأن سطح الهجوم على المؤسسة يمتد عبر سلاسل توريد مورديها، لا عبر الموردين أنفسهم فحسب.
- الغفلة عن مخاطر الطرف الرابع: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: قائمة كاملة بالمعالجين من الباطن مع وظيفة كل منهم؛ وتحديد مزودي البنية التحتية والمصادقة؛ وتأكيد وجود برنامج لمخاطر الأطراف الثالثة لدى المورد نفسه.
G
- المخاطر الجيوسياسية في اختيار الموردين
-
تكتسب المخاطر الجيوسياسية أهمية لأنها تنشئ فئة من مخاطر الموردين لا تعالجها تقييمات الأمان التقنية التقليدية، وهي المخاطر الناشئة عن البيئة القانونية التي يوجد فيها موظفو المورد وهيكله المؤسسي وعملياته. فالضوابط التقنية تحمي البيانات من الوصول غير المصرح به من قبل المهاجمين.
تكتسب المخاطر الجيوسياسية أهمية لأنها تنشئ فئة من مخاطر الموردين لا تتناولها التقييمات الأمنية التقنية التقليدية، وهي المخاطر الناشئة عن البيئة القانونية التي يوجد فيها موظفو المورد وهيكله المؤسسي وعملياته.
- المخاطر الجيوسياسية في اختيار الموردين: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: الإفصاح عن الولايات القضائية التي يخضع لها الموظفون في أدوار الوصول إلى البيانات؛ وتحليل قوانين وصول الحكومات في الولايات القضائية المُفصح عنها؛ والإطار القانوني لإخطار العملاء في حال وصول جهة حكومية.
- أنماط أمن GitOps
-
يكتسب أمن GitOps أهمية في TPRM لأن تطبيقات GitOps التي تمنح صلاحيات واسعة للمشغل تنشئ مسارًا مباشرًا من صلاحية الدمج في مستودع Git إلى التحكم في عنقود الإنتاج.
يكتسب أمن GitOps أهمية في TPRM لأن تطبيقات GitOps التي تمنح صلاحيات واسعة للمشغل تنشئ مسارًا مباشرًا من صلاحية الدمج في مستودع Git إلى التحكم في عنقود الإنتاج.
- أنماط أمن GitOps: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: ضوابط الوصول إلى مستودع GitOps والموافقة على الدمج؛ والمورد الذي يؤكد النشر عبر GitOps ينبغي سؤاله عن RBAC الخاص بالمشغّل. فصلاحيات مشغّل GitOps تحدد نطاق الضرر لصلاحية الدمج في مستودع GitOps. والمشغّل بصلاحيات مدير المجموعة مع صلاحية دمج مفتوحة يمنح سلطة نشر بمستوى مدير المجموعة لكل من يملك صلاحية الدمج.
- فجوات المساءلة في الحوكمة
-
المساءلة في الحوكمة هي الشعور الشخصي بالالتزام والملكية، الذي يشعر به فرد محدد، لضمان أن العلاقة مع المورد تُحكم بفعالية، وأن المخاطر تُدار، وأنه حين تسوء الأمور يُتخذ إجراء حاسم دون انتظار إذن أو تعليمات.
تكتسب ثغرات المساءلة في الحوكمة أهمية في TPRM لأن الإدارة الفعالة لمخاطر الموردين، ولا سيما في المواقف عالية المخاطر مثل الحوادث الأمنية لدى الموردين، تتطلب أفرادًا يتحملون شخصيًا مسؤولية النتيجة ويتصرفون بحزم.
- ثغرات المساءلة في الحوكمة: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: فرد مسمى يتحمل المساءلة عن العلاقة بأكملها؛ وبيانات الاتصال المباشرة، أي رقم الهاتف المحمول للإخطار بالحوادث خارج ساعات العمل؛ وتأكيد علمه بالتزامات الإخطار التعاقدية.
- غموض ملكية الحوكمة
-
غموض ملكية الحوكمة في علاقات الموردين هو غياب مالك واحد مسؤول عن علاقة المورد ككل، أي الفرد أو الدور المسؤول عن ضمان أن تعمل العلاقة على النحو المقصود، وأن تُدار المخاطر في جميع أبعادها، وأن يُنسَّق التصعيد والاستجابة عند ظهور مشك
يكتسب غموض ملكية الحوكمة أهمية في TPRM لأن العلاقات المعقدة مع الموردين تواجه حتمًا مواقف تتطلب استجابة منسقة، مثل الحوادث الأمنية وأعطال الخدمة والاستفسارات التنظيمية والنزاعات التعاقدية والتغييرات الجوهرية لدى المورد.
- غموض ملكية الحوكمة: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: مالك مسؤول مسمى لعلاقة العميل؛ وإجراءات توجيه إخطارات الحوادث، أي كيف تصل الإخطارات إلى المالك المسؤول؛ والجدول الزمني للتصعيد من الحادث الأمني إلى إخطار العميل.
- قيود أدوات GRC
-
قيود أدوات GRC هي الفجوات بين ما تستطيع منصة GRC إدارته تقنيًا وما يستخدمها برنامج إدارة المخاطر فعليًا لإدارته.
تكتسب قيود أدوات GRC أهمية في TPRM لأن منصة GRC تُستخدم بصورة متزايدة دليلًا على نضج برنامج المخاطر، في الفحوصات التنظيمية وتقارير مجلس الإدارة ووثائق العناية الواجبة بالموردين.
- قيود أدوات GRC: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: وثائق إجراء إدخال المعلومات في برنامج GRC؛ وسجلات إضفاء الطابع الرسمي على قنوات المخاطر غير الرسمية؛ وتقييم شمول المنصة مقارنةً بمشهد المخاطر.
H
- بيانات الاعتماد المضمنة في الشيفرة في تطبيقات الموردين
-
بيانات الاعتماد المضمنة في الشيفرة هي قيم مصادقة، مثل أسماء المستخدمين وكلمات المرور ومفاتيح API والمفاتيح التشفيرية والرموز أو الشهادات، مدمجة مباشرة في الشيفرة المصدرية للتطبيق أو ملفه التنفيذي المترجم أو برمجياته الثابتة أو ملف إعداداته أو نص النشر البرمجي، بطريقة لا يمكن تغييرها عبر آليات الإعداد العادية.
تمثل بيانات الاعتماد المضمنة في الشيفرة في تطبيقات الموردين فئة من المخاطر تقع خارج سيطرة العميل تمامًا وداخل شيفرة المورد تمامًا، وهو مزيج ينشئ موقفًا محددًا وغير مريح من منظور الحوكمة.
- بيانات الاعتماد المضمّنة في تطبيقات الموردين: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: أدلة إعدادات SAST التي تؤكد أن قواعد كشف بيانات الاعتماد مفعّلة ومطبقة على قاعدة الشيفرة بأكملها؛ ووثائق بيانات الاعتماد الافتراضية، أي الإفصاح الكامل عن أي قيم افتراضية تُشحن مع التطبيق وآلية تغييرها المتاحة للعملاء؛ وتأكيد أن نطاق اختبار الاختراق يشمل صراحةً اكتشاف بيانات الاعتماد المضمّنة في الشيفرة.
- أنظمة الذكاء الاصطناعي عالية المخاطر
-
نظام الذكاء الاصطناعي عالي المخاطر، بمفهوم قانون الذكاء الاصطناعي الأوروبي، هو نظام يُستخدم في سياق يدرجه القانون في ملاحقه: التوظيف وإدارة العاملين، والجدارة الائتمانية، والتعليم وتصحيح الاختبارات، والوصول إلى الخدمات الأساسية، وإنفاذ القانون، والهجرة، وإقامة العدل، وغيرها. وتتعلق القائمة بما يقرره النظام وبمن يخصهم القرار. فالنموذج البسيط في استخدام عالي المخاطر يُعد عالي المخاطر؛ أما النموذج المتطور الذي يلخص ملاحظات اجتماعاتك فليس كذلك.
معظم المؤسسات ناشرة لأنظمة مشتراة من موردين، وهذه هي الحالة التي تُقيَّم في الغالب كما لو أنه لا تنطبق عليها أي واجبات. ويجب على ناشر النظام عالي المخاطر ضمان الإشراف البشري من قبل أشخاص أكفاء، ومراقبة تشغيل النظام، والاحتفاظ بالسجلات، واستخدامه وفق تعليمات المزود، وإبلاغ الأشخاص المتأثرين. ولا شيء من ذلك ضابط أمني، ولا شيء منه يظهر في تقرير SOC 2 الخاص بالمورد.
- الرقابة البشرية
-
الرقابة البشرية هي التصميم الذي يتيح لشخص التدخل في قرارات نظام الذكاء الاصطناعي، ولا تكون حقيقية إلا بأربعة شروط. أن يرى المراجع ما يكفي للحكم، أي المخرجات والعوامل الكامنة وراءها لا مجرد درجة. وأن يكون لديه الوقت، مقيسًا بهدف المعالجة الفعلي. وأن يملك الكفاءة اللازمة للقرار. وأن يكون نقض القرار آمنًا مهنيًا، أي ألا يُقيَّم أداؤه بطريقة تعاقبه على ذلك.
عبارة «يراجع إنسانٌ جميع المخرجات» هي أكثر الجمل شيوعًا في وثائق حوكمة الذكاء الاصطناعي وأقلها إفادة. فإذا أزلت أيًا من الشروط الأربعة أصبح الإشراف مجرد توقيع. والشرط الرابع هو الذي نادرًا ما تفحصه المؤسسات، وهو عادةً القيد الحاسم: فالمراجِع الذي يُقاس أداؤه بعدد الحالات في الساعة لن يقضي دقيقتين في مخالفة النموذج.
I
- ثغرات اكتشاف الحالات الشاذة في الهوية
-
اكتشاف الحالات الشاذة في الهوية هو القدرة على تحديد أنماط الوصول التي تحيد عن السلوك الطبيعي المعتاد، أي اكتشاف أحداث المصادقة وأنماط الوصول وعمليات نقل البيانات وخصائص الجلسات التي لا تتسق مع السلوك المرجعي للمستخدم أو التي تمثل أنماط هجوم معروفة.
يكتسب كشف الحالات الشاذة في الهوية أهمية في TPRM لأن موظفي المورد الذين يصلون إلى بيئات العملاء ينشئون نمطًا سلوكيًا للهوية ينبغي أن يكون قابلًا للكشف بوصفه شاذًا عندما يحيد عن نشاط الدعم أو التشغيل المعتاد.
- ثغرات اكتشاف الحالات الشاذة في الهوية: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: تحليل كشف سيناريو الهجوم، أي الإشارات التي سيطلقها الهجوم الموصوف؛ ونشر UEBA مع خطوط أساس سلوكية فردية؛ وإجراء وضع خط أساس لوصول المورد.
- توسع سطح الهجوم على الهوية
-
سطح الهجوم على الهوية هو مجموع نقاط المصادقة وأنظمة الهوية ومخازن بيانات الاعتماد التي تشغلها المؤسسة، أي كل نظام يمكن للمهاجم أن يحاول فيه المصادقة بصفته مستخدمًا صالحًا والحصول على الوصول.
توسع سطح الهجوم على الهوية مهم لـTPRM لأن الموردين الذين نموا عبر الاستحواذات واعتماد البرمجيات كخدمة والانتقال إلى السحابة قد يكون لديهم سطح هجوم على الهوية أكبر بكثير مما يوحي به وصف مزود الهوية المركزي لديهم.
- توسع سطح الهجوم على الهوية: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: قائمة جرد كاملة لأنظمة الهوية تتجاوز IdP المؤسسي؛ ومقارنة سياسات المصادقة عبر جميع أنظمة الهوية؛ وإعدادات المصادقة في SaaS، أي IdP المؤسسي مقابل الدليل المحلي.
- نطاق الضرر عند اختراق الهوية
-
نطاق الضرر هو نطاق الأنظمة والبيانات والقدرات التي تصبح متاحة للمهاجم عند اختراق بيانات اعتماد هوية معينة. وهو الإجابة عن السؤال: لو سُرقت بيانات الاعتماد هذه الآن، فما الذي يستطيع المهاجم فعله بها؟
نطاق الضرر مهم لـTPRM لأن العلاقات مع موردين يخدمون عملاء متعددين تُنشئ احتمال هجمات على سلسلة التوريد ببيانات اعتماد واحدة، حيث يتيح اختراق هوية مورد واحدة وصولًا متزامنًا إلى بيئات عملاء متعددة.
- نطاق ضرر اختراق الهوية: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: الحد الأقصى لنطاق الوصول إلى بيئة العميل لكل بيانات اعتماد؛ وسياسة حد نطاق الضرر إن كانت محددة؛ والوصول JIT لبيانات الاعتماد ذات نطاق الضرر الكبير.
- مخاطر الثقة في اتحاد الهويات
-
اتحاد الهوية علاقة ثقة بين مزودي الهوية تمكّن المستخدمين من مؤسسة ما من الوصول إلى الموارد في مؤسسة أخرى باستخدام بيانات اعتماد مؤسستهم الأصلية.
تكتسب مخاطر الثقة في اتحاد الهويات أهمية في TPRM لأنها تمثل ما يعادل هجوم سلسلة التوريد في IAM، إذ يخترق الخصم الذي لا يستطيع اختراق الهدف مباشرةً شريكًا موثوقًا ويستغل علاقة الثقة للحصول على الوصول.
- مخاطر الثقة في اتحاد الهوية: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: وثائق سياسة MFA لدى مزود الهوية الخاص بالشريك، أي مستوى الإنفاذ وأي استثناءات؛ وإجراء الإخطار باختراق مزود الهوية الخاص بالشريك مع جدوله الزمني؛ وحوكمة دورة حياة الهوية، أي وتيرة مراجعة الحسابات وإجراء إلغاء الصلاحيات.
- ثغرات حوكمة الهوية
-
حوكمة الهوية هي برنامج السياسات والإجراءات والأدوات الذي يضمن أن الهويات الرقمية، أي حسابات المستخدمين وحسابات الخدمة وبيانات اعتماد API وغيرها من كيانات الوصول، تُنشأ على النحو الملائم، وتُدار بتناسب، وتُلغى في الوقت المناسب طوال عمرها التشغيلي.
تكتسب فجوات حوكمة الهوية أهمية في TPRM لأنها تكشف فرقًا منهجيًا في نضج الحوكمة بين إدارة المورد لهويات موظفيه وإدارته لهويات موظفيه الذين يصلون إلى بيئات العملاء.
- ثغرات حوكمة الهوية: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: وثائق نطاق تغطية IGA، أي فئات الهويات المشمولة؛ وجرد حسابات الموردين مع تاريخ آخر مطابقة؛ وبيانات معدل إنجاز مراجعات الوصول حسب فئة الهوية.
- ثغرات سجلات الهوية
-
تسجيل أحداث الهوية هو الالتقاط الشامل لجميع الأحداث المتعلقة بالهوية في البيئة: محاولات المصادقة (الناجحة والفاشلة)، وقرارات التفويض (منح الوصول ورفضه)، وأحداث دورة حياة الجلسة (إنشاء الجلسة وتمديدها وانتهاء صلاحيتها وإنهاؤها)، وسجلات الإجراءات المميزة (ما فعله المستخدمون ذوو الصلاحيات المميزة أث
تكتسب ثغرات سجلات الهوية أهمية في TPRM لأن الموردين الذين يصلون إلى بيئات العملاء يحتاجون إلى تسجيل شامل للهوية لاكتشاف الهجمات على بيئاتهم الخاصة قبل أن تصل تلك الهجمات إلى بيانات العملاء.
- فجوات تسجيل الهوية: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: وثائق نطاق أحداث سجلات الهوية، أي أنواع الأحداث المسجلة؛ وتأكيد تسجيل محاولات المصادقة الفاشلة مع التنبيه في SIEM؛ ومدة احتفاظ بالسجلات مُعايَرة وفق متطلبات التحقيق.
- التحقق من هوية الموردين
-
إثبات الهوية هو عملية التحقق من أن الفرد الذي يطلب الوصول أو الذي يُطلب الوصول له هو من يدعي أنه هو، أي إقامة ربط موثوق بين هوية رقمية (حساب وبيانات اعتماد) وشخص محدد في العالم الحقيقي ذي هوية مؤكدة.
يكتسب التحقق من هوية الموردين أهمية في TPRM لأن الخصائص الأمنية لوصول الموردين، كالحد الأدنى من الصلاحيات والمساءلة الفردية والرصد السلوكي، تعتمد جميعها على افتراض أن هوية صاحب الحساب دقيقة.
- التحقق من هوية الموردين: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: تأكيد التحقق من التوظيف للموظفين المرشحين؛ ووثائق إجراء الترشيح المعتمد، أي من يحق له الترشيح وعلى أي مستوى؛ وسياسة الإفصاح عن المتعاقدين من الباطن وحوكمة وصولهم.
- افتراضات الثقة في الهوية
-
افتراضات الثقة في الهوية هي المعتقدات الضمنية بشأن الوضع الأمني لأنظمة الهوية وممارسات الوصول لدى الموردين ومدى جدارتها بالثقة، وهي التي تقوم عليها منح الوصول وضوابط الوصول وإعدادات المراقبة المطبقة على العلاقات مع الموردين.
افتراضات الثقة في الهوية مهمة لـTPRM لأن ضوابط الوصول وتهيئات المراقبة وتدابير تخفيف المخاطر المطبقة على وصول هويات الموردين تُعاير وفق مستوى الثقة المقيّم للمورد.
- افتراضات الثقة في الهوية: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: الإفصاح عن التغييرات التنظيمية، مثل عمليات الاستحواذ وتغييرات القيادة وعمليات ترحيل البنية التحتية؛ والإفصاح عن الحوادث الأمنية بما فيها الحوادث دون عتبة الإبلاغ؛ وبيانات المراقبة المستمرة للوضع الأمني.
- الحركة الجانبية القائمة على الهوية
-
الحركة الجانبية القائمة على الهوية هي أسلوب التنقل في البيئة عبر ربط خطوات مشروعة في الهوية والصلاحيات، باستخدام مجموعة من بيانات الاعتماد الصالحة للحصول على أخرى، واستخدام الوصول إلى مورد لاكتشاف بيانات اعتماد مورد آخر أو الوصول إليها، والتقدم تدريجيًا نحو هدف عالي القيمة عبر سلسلة من
تكتسب الحركة الأفقية القائمة على الهوية أهمية في TPRM لأن بيئات الموردين التي تملك وصولًا إلى أنظمة العملاء هي تحديدًا البيئات التي قد ينتشر فيها اختراق بيانات الاعتماد عبر سلاسل الصلاحيات حتى يصل إلى بيانات العملاء أو بنيتهم التحتية.
- الحركة الأفقية القائمة على الهوية: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: أداة تحليل مسارات الهجوم وتاريخ آخر تحليل؛ وسجلات معالجة مسارات الحركة الجانبية؛ وتوثيق تقييد الوصول إلى مخازن بيانات الاعتماد.
- تصنيف الحوادث
-
تصنيف الحوادث هو مقياس الخطورة الذي يحدد، في الدقائق الأولى، من يُوقظ، وعدد مرات إصدار تحديثات الحالة، وهل يُستعان بالفريق القانوني، وهل يجوز للمهندس إيقاف نظام عن العمل دون استئذان. ثلاثة مستويات أو أربعة، لكل منها محفزات موضوعية يستطيع من يكتشف المشكلة تطبيقها، ولكل منها استجابة محددة.
تُقضى الساعة الأولى من الحادث في أسئلة كان يمكن الإجابة عنها مسبقًا، والجدل حول ما إذا كان الأمر خطيرًا بما يكفي للتصعيد هو أكثرها تكلفة. والمقياس الذي لا محفزات فيه يتحول إلى ذلك الجدل في أسوأ لحظة. أما المقياس الذي يتضمن محفزات فيحوّله إلى مجرد بحث في جدول، وتتبعه الاستجابة تلقائيًا.
- انهيار التواصل أثناء الحوادث
-
انهيار التواصل بشأن الحوادث في علاقات الموردين هو الإخفاقات في تدفق المعلومات المحددة والمفيدة تقنيًا من فريق IR لدى المورد إلى فريق IR لدى العميل أثناء حادث مشترك، وهي إخفاقات تُضعف قدرة العميل على فهم تعرضه للمخاطر، والوفاء بالتزاماته التنظيمية، واحتـ
تكتسب أعطال التواصل بشأن الحوادث أهمية في TPRM لأن قدرة العميل على الوفاء بالتزاماته التنظيمية، مثل تقييم مخاطر الاختراق وفق HIPAA والإخطار وفق GDPR والإبلاغ عن حوادث الخدمات المالية، تعتمد على الحصول على معلومات تقنية محددة من المورد ضمن المهل التنظيمية المنطبقة.
- أعطال التواصل بشأن الحوادث: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: جهة اتصال محددة بالاسم في فريق IR للتواصل التقني أثناء الحوادث؛ والتزام بتقديم تفاصيل تقنية محددة ضمن جدول زمني محدد؛ وعملية للتواصل المباشر من IR إلى IR تتجاوز تأخير المراجعة القانونية.
- تصعيد الحوادث عبر الموردين
-
تصعيد الحوادث عبر الموردين هو تحدي ضمان تصعيد الحوادث الأمنية في بيئات الموردين التي تؤثر في بيانات العملاء إلى العميل، وإلى السلطات التنظيمية، ضمن جداول زمنية تفي بالالتزامات التنظيمية للعميل، لا باتفاقيات مستوى الخدمة الداخلية لإدارة الحوادث لدى المورد فحسب.
يكتسب تصعيد الحوادث عبر الموردين أهمية في TPRM لأن الالتزامات التنظيمية للعميل يحددها القانون، لا تصنيف المورد للحوادث.
- تصعيد الحوادث عبر الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: معايير تصنيف الحوادث للأنظمة ذات الصلة بالعملاء؛ والجدول الزمني للإخطار الأولي من لحظة الاكتشاف؛ وتأكيد معايرة SLA الإخطار وفق المهلة التنظيمية للعميل.
- الالتباس في ملكية الحوادث
-
الغموض في ملكية الحوادث هو غياب فرد أو فريق واحد يملك صلاحية واضحة ومحددة مسبقًا لاتخاذ قرارات معينة عالية المخاطر أثناء حادث أمني.
الالتباس في ملكية الحوادث مهم لـTPRM لأن إخطار المورد بالاختراق يبدأ احتساب المهلة التنظيمية للعميل، وحلقة التصعيد لدى العميل هي الآلية التي تحدد مقدار ما يُستهلك من تلك المهلة قبل اتخاذ قرار الإخطار.
- الالتباس في ملكية الحوادث: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: مالك قرار مسمّى لقرار إخطار العملاء؛ ومالك قرار مسمّى لقرار الإخطار التنظيمي؛ ومعلومات الاتصال بمالكي القرارات خارج ساعات العمل.
- فجوات أدلة الاستجابة للحوادث
-
فجوات أدلة الاستجابة للحوادث هي أوجه القصور في إجراءات الاستجابة للحوادث الخاصة بالسيناريوهات التي تمنع التنفيذ الفعال في ظروف الحوادث الفعلية، وهي فجوات في الاكتمال وسهولة الوصول والدقة والتحديد التشغيلي تسبب تأخيرات أو أخطاء أو إخفاقات عندما يحاول المستجيبون تنفيذ الدليل أثناء حادث نشـ
تكتسب ثغرات أدلة الاستجابة للحوادث أهمية في TPRM لأن جودة استجابة المورد للحوادث أثناء اختراق يمس بيانات العملاء تعتمد على مدى فعالية تنفيذ أدلته في ظروف الحوادث الفعلية، التي قد تكون في الثانية فجرًا يوم سبت، مع محلل مناوب يستخدم جهازه الشخصي، دون وصول إلى موقع الويكي الخاص بفريق الشبكة
- فجوات أدلة الاستجابة للحوادث: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: تاريخ اختبار قابلية التشغيل وطريقته؛ الفجوات المكتشفة في اختبار قابلية التشغيل؛ تصميم الإجراءات المكتفية ذاتيًا مقابل المعتمدة على مراجع خارجية.
- اتفاقيات مستوى الخدمة للاستجابة للحوادث
-
تحدد اتفاقيات مستوى الخدمة للاستجابة للحوادث في عقود الموردين المتطلبات الزمنية لإجراءات استجابة محددة، كالجداول الزمنية للإخطار، والتزامات تحديثات التحقيق، والمواعيد النهائية لإتمام المعالجة. ويُقاس الامتثال لاتفاقية SLA بمدى وقوع الإجراءات ضمن الأطر الزمنية المحددة.
اتفاقيات مستوى الخدمة لـIR مهمة لـTPRM لأنها الآلية التعاقدية الرئيسية لحماية الجدول الزمني لاستجابة العميل، لكن الاتفاقيات التي تحمي التوقيت دون أن تشترط المحتوى الذي يمكّن من الاستجابة تحمي العلاقة التعاقدية دون أن تحمي قدرة العميل على الاستجابة فعليًا.
- اتفاقيات مستوى الخدمة للاستجابة للحوادث: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: متطلبات محتوى الإخطار، أي ما سيتضمنه الإخطار؛ وSLA تأكيد النطاق، أي متى يلي تأكيدُ النطاق الإخطارَ الأولي؛ والمورد الذي يؤكد SLA إخطار خلال ثمانٍ وأربعين ساعة ينبغي سؤاله عما سيتضمنه الإخطار عند وصوله. فالتوقيت بُعد واحد من أبعاد SLA. والمحتوى هو البعد الآخر. وكلاهما لازم كي يمكّن الإخطار من الاستجابة التي صُمم لحمايتها.
- الاستجابة للحوادث بموجب CC7
-
يغطي CC7 عمليات النظام: اكتشاف الحالات الشاذة ومراقبتها، وتقييم الأحداث، والاستجابة للحوادث، والتعافي منها. ويغطي أيضًا إبلاغ الأطراف المتأثرة بالحوادث. إنه المعيار الذي يسأل هل كنت ستلاحظ أن خللًا ما يحدث، وماذا كنت ستفعل حياله.
يطلب المدققون الحوادث التي وقعت خلال الفترة ويتتبعونها عبر الإجراءات. وعدم وجود أي حادث هو بحد ذاته مسألة تستدعي السؤال، لأن سنة بلا أحداث أمنية هي على الأرجح سنة بلا اكتشاف لا سنة بلا هجمات. وتُختبر الخطة مقابل ما حدث فعلًا.
- المعلومات التي تنتجها الجهة
-
المعلومات التي تنتجها الجهة، IPE، هي أي تقرير أو قائمة أو مستخلص تنشئه وتقدمه إلى المدقق دليلًا. قائمة مستخدمين من نظام الهوية. سجل تغييرات من أداة التذاكر. جدول بيانات بنتائج مراجعة الوصول. وقبل أن يعتمد عليها المدقق، يجب أن يقتنع بأنها كاملة ودقيقة.
لهذا يطلب المدقق الاطلاع على الاستعلام والمعاملات وتاريخ تشغيله والنظام الذي صدر منه، وأحيانًا مشاهدته وهو يُنشأ. فالقائمة التي وصلت بالبريد الإلكتروني دون ما يثبت مصدرها ادعاء لا دليل، والتحقق منها يكلف عادةً أكثر مما كان سيكلفه إعدادها بالطريقة الصحيحة.
- اكتشاف انحراف البنية التحتية
-
انحراف البنية التحتية مهم لـTPRM لأن الوضع الأمني للبنية التحتية الإنتاجية لدى المورد لا يكون دقيقًا إلا بقدر دقة تهيئة البنية التحتية كشيفرة التي تصفه، والانحراف يعني أن الوضع الفعلي قد يكون أقل أمانًا مما توحي به وثائق البنية التحتية كشيفرة.
يكتسب انحراف البنية التحتية أهمية في TPRM لأن الوضع الأمني لبنية الإنتاج التحتية لدى المورد لا يكون دقيقًا إلا بقدر دقة إعدادات IaC التي تصفها، والانحراف يعني أن الوضع الفعلي قد يكون أقل أمانًا مما توحي به وثائق IaC.
- كشف انحراف البنية التحتية: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: تطبيق كشف الانحراف في الإعدادات ومراقبته؛ تاريخ آخر تقييم للانحراف ونتائجه؛ عملية التغيير الطارئ مع اشتراط تدوينها في صورة بنية تحتية برمجية.
- أمن تجهيز البنية التحتية
-
يكتسب أمن تجهيز البنية التحتية أهمية في TPRM لأن الموردين الذين يجهّزون البنية التحتية تلقائيًا عبر خطوط CI/CD يمنحون تلك الخطوط بيانات اعتماد مزود الخدمة السحابية وقدرات إدارة البنية التحتية.
يكتسب أمن تجهيز البنية التحتية أهمية في TPRM لأن الموردين الذين يجهزون البنية التحتية آليًا عبر مسارات CI/CD يمنحون هذه المسارات بيانات اعتماد مزود الخدمة السحابية وصلاحيات إدارة البنية التحتية.
- أمن تجهيز البنية التحتية: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: موقع تخزين ملف الحالة مع تأكيد إدارة الإصدارات وتسجيل الوصول؛ ووثائق التحكم في الوصول إلى ملف الحالة، أي من يستطيع القراءة والكتابة؛ وإجراءات مراجعة الخطط لتغييرات الإنتاج.
- مخاطر سلسلة التوريد في البنية التحتية ككود
-
تكتسب مخاطر سلسلة إمداد IaC أهمية في TPRM لأن الموردين الذين يستخدمون أتمتة البنية التحتية، وهي ممارسة تزداد شيوعًا في البيئات السحابية الأصلية، يبنون بنيتهم التحتية على سلاسل تبعيات تتضمن وحدات من السجلات العامة.
تكتسب مخاطر سلسلة التوريد في البنية التحتية ككود أهمية في TPRM لأن الموردين الذين يستخدمون أتمتة البنية التحتية، وهي ممارسة تزداد شيوعًا في البيئات السحابية الأصلية، يبنون بنيتهم التحتية على سلاسل اعتماديات تتضمن وحدات من سجلات عامة.
- مخاطر سلسلة التوريد في البنية التحتية ككود: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: تغطية فحص البنية التحتية كشيفرة بما يشمل محتوى الوحدات؛ وسجل داخلي للوحدات المعتمدة أو ما يعادله؛ والمورد الذي يؤكد ممارسات أمن IaC ينبغي سؤاله عن تغطية سلسلة توريد الوحدات. ففحص أمن IaC للشيفرة الخاصة يؤكد الغلاف. أما الفحص الكامل لمحتوى الوحدات فيغطي سلسلة التوريد.
- المخاطر الكامنة والمخاطر المتبقية
-
المخاطر المتأصلة هي التعرض قبل أن يعمل أي ضابط. والمخاطر المتبقية هي ما يبقى بعد الضوابط الموجودة لديك فعلًا، وهي تعمل كما تعمل فعلًا. والفجوة بينهما هي قيمة برنامج الضوابط لديك، والخلط بينهما ينتج تقارير إما مثيرة للقلق بلا سبب أو مطمئنة بلا سبب.
يسأل مجلس الإدارة عن مدى تعرض المؤسسة، والإجابة الصادقة تعتمد على الرقم الذي تقدمه. فسجل الموردين الذي يدوّن المخاطر المتأصلة يُظهر كل مورد حيوي باللون الأحمر ولا يخبر أحدًا بما يجب فعله. أما السجل الذي يدوّن المخاطر المتبقية فقط فيخفي أن ضابطًا رخيصًا هو كل ما يفصل بين درجة منخفضة ودرجة مرتفعة، وهذا تحديدًا ما ينبغي أن يعرفه مجلس الإدارة.
- تصنيف المخاطر المتأصلة إلى فئات
-
تصنيف المخاطر الكامنة إلى مستويات هو عملية تصنيف العلاقات مع الموردين حسب مخاطرها المحتملة على المؤسسة، قبل تقييم الضوابط، بناءً على خصائص موضوعية للعلاقة: البيانات التي يصلون إليها، والخدمات التي يقدمونها، والأنظمة التي يتصلون بها، والأهمية التشغيلية التي يمثلونها.
يكتسب تصنيف المخاطر الكامنة إلى مستويات أهمية لأنه بدونه يُوزَّع جهد العناية الواجبة وفقًا للملاءمة الإدارية لا وفقًا للمخاطر.
- تصنيف المخاطر الكامنة إلى مستويات: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: معايير تصنيف محددة إلى مستويات مع حدود فاصلة؛ واستبيان أو نطاق تقييم يختلف حسب المستوى؛ والمورد الذي يؤكد إجراء عناية واجبة صارمة لجميع الموردين ينبغي سؤاله عن معايير التصنيف لديه. فتقييم جميع الموردين بالطريقة نفسها إما تناسب شكلي وإما إخفاق في التناسب، بحسب ما إذا كان الاستبيان معايرًا على أعلى مستوى للمخاطر أو أدناه.
- الخلط بين المخاطر الكامنة والمتبقية
-
يكتسب إطار المخاطر الكامنة مقابل المخاطر المتبقية أهمية لأن درجات المخاطر المتبقية هي التي توجه تخصيص الموارد، أي أي الموردين يخضعون لمراقبة مكثفة وأيهم يخضع لإشراف أخف.
إطار المخاطر المتأصلة مقابل المتبقية مهم لأن درجات المخاطر المتبقية توجّه تخصيص الموارد: أي الموردين يخضعون لمراقبة مكثفة، وأيهم يخضعون لإشراف أخف.
- الخلط بين المخاطر الكامنة والمتبقية: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: ما يشمله نطاق التقييم وما يستبعده؛ وتأكيد أن أنظمة التفاعل مشمولة بالنطاق؛ ومنهجية اختبار الضوابط للأنظمة المشمولة بالنطاق.
- ثغرات الحقن في شيفرة الموردين
-
ثغرات الحقن فئة من نقاط الضعف في أمن التطبيقات تنشأ عندما يُدرج التطبيق بيانات غير موثوقة، عادةً مدخلات يقدمها المستخدم، في أمر أو استعلام بطريقة تسمح بتفسير البيانات على أنها جزء من الأمر بدلًا من كونها بيانات يعالجها الأمر.
ثغرات الحقن في تطبيقات الموردين بالغة الأثر بشكل خاص من منظور مخاطر الأطراف الثالثة، لأن أثرها لا يقتصر على بيانات المورد نفسه، بل يمتد إلى كل ما يستطيع التطبيق الوصول إليه، وهو ما يشمل في سياق البرمجيات كخدمة متعددة المستأجرين بيانات جميع العملاء في آن واحد في كثير من الأحيان.
- ثغرات الحقن في شيفرة الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: توثيق نطاق اختبار الاختراق الذي يشمل صراحةً تغطية الحقن عبر الميزات المضافة حديثًا وأسطح الإدخال غير الواضحة؛ وسجل نتائج الحقن مع الجداول الزمنية للمعالجة وأدلة التحقق، إذ إن وجود نتائج سابقة عولجت وتُحقق منها أكثر طمأنة من عدم وجود نتائج قط؛ وتأكيد تهيئة اكتشاف الحقن في SAST مع نطاق تغطية قاعدة الشيفرة.
- الاستفسار، والملاحظة، والفحص، وإعادة الأداء
-
يستخدم المدقق أربعة إجراءات لاختبار الضابط. الاستفسار هو سؤال شخص ما عن كيفية عمله. والملاحظة هي مشاهدته أثناء حدوثه. والفحص هو تفحص الأدلة التي أنتجها. وإعادة الأداء هي تنفيذه مجددًا بشكل مستقل ومقارنة النتيجة. وهي مرتبة هنا حسب قوتها.
الاستفسار وحده لا يكفي تقريبًا أبدًا لتقرير من النوع II، لأن إخبارك بأن ضابطًا ما يعمل ليس دليلًا على أنه عمل فعلًا. ولهذا لا تُغلق عبارة "شرحنا لهم الإجراء" أي طلب تدقيق، ولهذا يواصل المدقق طلب الأثر بعد الاجتماع.
- الوصول الداخلي لدى الموردين
-
التهديد الداخلي لدى الموردين هو خطر أن يسيء موظفو المورد الذين يملكون وصولًا مشروعًا إلى بيانات العملاء استخدامَ هذا الوصول، لتحقيق مكاسب مالية أو ميزة تنافسية أو بدافع ضغينة شخصية أو إكراه خارجي، بطرق لا تمنعها ضوابط الوصول لأن الوصول مصرح به، ولا يكتشفها أمن المحيط لأ
وصول المطلعين لدى الموردين مهم لـTPRM لأن علاقة المورد تُنشئ فئة من الأشخاص، هم موظفو المورد، لديهم وصول مصرح به إلى بيانات العملاء لكنهم لا يخضعون لإجراءات الموارد البشرية لدى العميل، ولا لتدريبه الأمني، ولا لمراقبته السلوكية، ولا لضوابط التوظيف لديه.
- وصول المطلعين لدى الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: وصف تطبيق التحليلات السلوكية، أي تطبيق UEBA على الوصول إلى البيانات، وخطوط الأساس المعتمدة، واكتشاف الحالات الشاذة المهيأ؛ وتأكيد مراقبة تصدير البيانات، أي اكتشاف الأنماط التراكمية مع معايرة العتبات؛ وسجل حوادث التهديدات الداخلية، أي أحداث الاكتشاف ونتائج التحقيقات.
- التهديدات الداخلية لدى الموردين
-
التهديدات الداخلية لدى الموردين هي خطر أن يسيء موظفو المورد أو متعاقدوه أو مستخدموه الموثوقون ممن لديهم وصول مشروع إلى أنظمة تحتوي على بيانات العملاء استخدام هذا الوصول، عمدًا أو إهمالًا أو تحت الإكراه، بطرق تضر بالعميل.
تكتسب التهديدات الداخلية لدى الموردين أهمية في TPRM لأن العميل لا يستطيع مراقبة سلوك موظفي المورد مباشرة، فليس للعميل وصول إلى UEBA الذي كان سيكتشف تغير نمط استعلامات مهندس البيانات، ولا رؤية لمراقبة وجهات التصدير التي كانت ستنبه إلى النقل إلى Dropbox، ولا آلية مباشرة لاك
- التهديدات الداخلية لدى الموردين: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: تأكيد نشر UEBA للموظفين الذين يصلون إلى بيانات العملاء؛ ووثائق تحديد نطاق الوصول بالحد الأدنى الضروري؛ وإعدادات DLP لكشف عمليات التصدير على دفعات صغيرة.
- التعرض للإنترنت وإدارة سطح الهجوم
-
تكتسب إدارة التعرض للإنترنت أهمية في TPRM لأن أسطح الهجوم الخارجية التي يؤكدها الموردون كثيرًا ما تختلف عن الخدمات الفعلية المتاحة خارجيًا بسبب تقنية المعلومات الظلية وسوء الإعداد والطبيعة الديناميكية للبنية التحتية السحابية.
تكتسب إدارة التعرض للإنترنت أهمية في TPRM لأن أسطح الهجوم الخارجية التي يؤكدها الموردون كثيرًا ما تختلف عن الخدمات الفعلية المتاحة خارجيًا بسبب تقنية المعلومات الظلية وسوء الإعداد والطبيعة الديناميكية للبنية التحتية السحابية.
- التعرض للإنترنت وإدارة سطح الهجوم: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: مقارنة نتائج الفحص بالجرد الموثق.
- أمن IPv6: البروتوكول الذي ربما نسيه فريق الأمن لديك
-
تفعيل IPv6: افتراضيًا على جميع نقاط النهاية. مراقبة IPv6: لا توجد.
يكتسب أمن IPv6 أهمية في TPRM لأن IPv6 مفعّل افتراضيًا في معظم البيئات الحديثة، ويمكن للمهاجمين المدركين لذلك استخدام مسارات اتصال IPv6 لتجاوز الضوابط الأمنية الخاصة بـ IPv4.
- ISAE 3402 والمعايير الدولية المكافئة
-
ISAE 3402 هو المعيار الدولي للضمان الخاص بالتقارير عن الضوابط في المؤسسات الخدمية، ويصدره IAASB لا AICPA، وهو يعادل على نطاق واسع SOC 1. أما ISAE 3000 فهو المعيار الأوسع لمهام الضمان بخلاف عمليات تدقيق المعلومات المالية، وتصدر بموجبه خارج الولايات المتحدة التقارير التي تغطي الضوابط الأمنية والتشغيلية.
كثيرًا ما يحمل الموردون في أوروبا والمملكة المتحدة وأستراليا وغيرها هذه التقارير بدلًا من SOC 2، وهي تقارير مشروعة. فالمورد البريطاني الذي يحمل تقرير ISAE 3000 عن الضوابط الأمنية قد فحصه ممارس مستقل وفق معيار معترف به، ورفضه لأنه لا يسمى SOC 2 خطأ.
- بيان قابلية التطبيق ISO 27001
-
بيان قابلية التطبيق هو مستند ISO 27001 الذي يدرج كل ضابط في الملحق A من المعيار، وهل ينطبق كل منها على مؤسستك، ومبرر ذلك، وحالة تطبيقه. ويشترطه المعيار، ويُشار إليه في الشهادة، وهو أول مستند يفتحه مدقق الشهادات، لأن كل ما عداه في التدقيق ينبثق منه.
تخبرك الشهادة بأن المؤسسة حاصلة على الشهادة. أما بيان قابلية التطبيق فيخبرك بما يعنيه ذلك: أي الضوابط مشمولة بالتدقيق، وأيها استُبعد ولماذا، وهل تتعلق الاستثناءات بمدى الصلة أم بالملاءمة. والمورد الذي لا يستطيع تقديم بيان قابلية التطبيق عند طلبه قد أخبرك بشيء عن كيفية الحصول على الشهادة.
- ISO 42001
-
ISO 42001 هو معيار نظام الإدارة للذكاء الاصطناعي، وبنيته مماثلة لـISO 27001: بنود للسياق، والقيادة، والتخطيط، والدعم، والتشغيل، والتقييم، والتحسين، مع ملحق للضوابط الخاصة بالذكاء الاصطناعي. وهو قابل للاعتماد، أي يمكن لجهة معتمدة التدقيق وفقه وإصدار شهادة مع بيان للنطاق.
بدأ المشترون الذين يطلبون ISO 27001 للأمان يطلبون ISO 42001 للذكاء الاصطناعي، لا سيما حين يتخذ المنتج قرارات تخص الأشخاص. ويُطرح أيضًا داخليًا بوصفه وسيلة لمنح حوكمة الذكاء الاصطناعي الأدوات نفسها التي تملكها حوكمة الأمن: نطاق، وتقييم للمخاطر، وبيان قابلية التطبيق، وتدقيق داخلي، ومراجعة من الإدارة.
J
- الانضمام والانتقال والمغادرة
-
الانضمام والانتقال والمغادرة هي العملية التي يُمنح بها الوصول عند بدء شخص ما العمل، ويُعدَّل عند تغيير دوره، ويُزال عند مغادرته. وحالات الانضمام تُعالج لأن أحدهم يحتاج إلى العمل. وحالات المغادرة تُعالج، في نهاية المطاف، لأن التدقيق يفحصها. أما حالات الانتقال فهي حيث يتراكم الوصول، لأن إضافة الوصول طلب يقدمه أحدهم، وإزالة الوصول القديم ليست مهمة أحد.
إنه الضابط الذي يقف وراء نصف النتائج في أي تدقيق للوصول، وهو الآلية التي تفترض معظم ضوابط الجهة المستخدمة التكميلية في تقارير الموردين أنك تشغّلها، وهو الموضع الذي يغيّر فيه حساب مستخدم منتهية خدمته بيانات مصرفية بعد ثمانية عشر شهرًا من مغادرته. ويختبره المدققون بمطابقة بيانات الموارد البشرية مع عمليات إنشاء الحسابات وإزالتها، وفي المطابقة تظهر الثغرات.
- المتحكمون المشتركون
-
عندما تحدد مؤسستان أو أكثر معًا أغراض المعالجة ووسائلها، تكون متحكمين مشتركين. وتشترط GDPR عليها تحديد مسؤوليات كل منها في ترتيب شفاف، بما في ذلك من يتولى حقوق أصحاب البيانات ومن يقدّم إشعار الخصوصية، وإتاحة جوهر هذا الترتيب لأصحاب البيانات.
تنشأ السيطرة المشتركة دون أن يقصدها أحد. حملة بعلامة تجارية مشتركة يقرر فيها الطرفان من يستهدفان. ومنصة مشتركة يحدد فيها الطرفان ما يُجمع. وترتيب إحالة يستخدم فيه الطرفان البيانات نفسها لأغراضهما الخاصة. وقد قضت المحاكم بوجود سيطرة مشتركة في ترتيبات وصفها أطرافها بأنها شيء آخر.
- الوصول في الوقت المناسب مقابل الوصول الدائم
-
الوصول في الوقت المناسب نموذج للوصول المميز تُمنح فيه بيانات الاعتماد المرتفعة عند الحاجة لمهمة محددة وتُلغى تلقائيًا عند اكتمال المهمة أو انقضاء مدة محددة.
يكتسب الوصول JIT مقابل الوصول الدائم أهمية في TPRM لأن ترتيبات الدعم والخدمات المُدارة لدى الموردين كثيرًا ما تنطوي على وصول مميز دائم إلى بيئات العملاء، وهو وصول جُهّز لأغراض الإتاحة ويمثل تعرضًا مستمرًا لبيانات الاعتماد طوال مدة العلاقة مع المورد.
- الوصول في الوقت المناسب مقابل الوصول الدائم: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: تأكيد الوصول JIT أو وثائق تبرير الوصول الدائم؛ ومقاييس استخدام الوصول، أي ساعات الاستخدام مقابل ساعات صلاحية بيانات الاعتماد؛ وتأكيد منصة PAM للتجهيز JIT.
K
- أمن Kubernetes في CI/CD
-
أمن تهيئة Kubernetes مهم لـTPRM لأن أخطاء تهيئة مجموعات Kubernetes كثيرًا ما تكون المسار القابل للاستغلال الذي يحوّل ثغرة في حاوية إلى اختراق للمجموعة بأكملها.
يكتسب أمن إعدادات Kubernetes أهمية في TPRM لأن أخطاء إعدادات عناقيد Kubernetes كثيرًا ما تكون المسار القابل للاستغلال الذي يحوّل ثغرة في حاوية إلى اختراق للعنقود بأكمله.
- أمن Kubernetes في CI/CD: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: فحص ملفات Kubernetes التعريفية في مسار CI/CD؛ وآلية فرض سياق أمان الحاويات؛ وتطبيق سياسات الشبكة والوضع الافتراضي.
L
- الحركة الجانبية والشبكات المسطحة
-
الحركة الجانبية والشبكات المسطحة مهمة لـTPRM لأن قيمة هجوم سلسلة التوريد كثيرًا ما لا تتحدد بموطئ القدم الأولي، بل بقدرة الحركة الجانبية التي تتيحها بنية الشبكة.
تكتسب الحركة الأفقية والشبكات المسطحة أهمية في TPRM لأن قيمة هجوم سلسلة الإمداد كثيرًا ما لا يحددها موطئ القدم الأولي، بل قدرة الحركة الأفقية التي تتيحها بنية الشبكة.
- الحركة الجانبية والشبكات المسطحة: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: وصف تجزئة الشبكة حسب وظائف الأعمال؛ والحواجز أمام الحركة الجانبية بين المناطق؛ ونتائج اختبار الاختراق الداخلي لمسارات الحركة الجانبية.
- الأساس القانوني
-
تشترط GDPR وجود أساس قانوني لكل نشاط معالجة، وتنص على ستة أسس: الموافقة، وتنفيذ عقد، والامتثال لالتزام قانوني، وحماية المصالح الحيوية، وأداء مهمة عامة، والمصالح المشروعة. ويجب أن ينطبق أحدها قبل بدء المعالجة، ويجب تحديده وتوثيقه منذ البداية.
الموافقة هي الأساس الذي يلجأ إليه الناس أولًا لأنها تبدو الأكثر أمانًا. لكنها الأشد صرامة. فيجب أن تُمنح بحرية، وأن تكون محددة ومستنيرة ولا لبس فيها، وأن يكون سحبها بسهولة منحها، وهي تُنشئ التزامات تستمر ما دامت المعالجة مستمرة. ومعظم معالجة B2B تستند إلى المصالح المشروعة أو العقد، واختيار الموافقة افتراضيًا يبني البرنامج على أصعب أساس متاح.
- مبدأ الحد الأدنى من الصلاحيات في وصول الموردين
-
مبدأ الحد الأدنى من الصلاحيات هو أن تُمنح كل جهة، سواء كانت مستخدمًا أو حساب خدمة أو تطبيقًا أو تكاملًا مع مورد، الحد الأدنى من الوصول اللازم لأداء وظيفتها المحددة، لا أكثر.
يكتسب مبدأ الحد الأدنى من الصلاحيات في وصول الموردين أهمية في TPRM لأن نطاق الضرر الناتج عن اختراق بيانات اعتماد المورد لا يتحدد بما كان المورد يحتاج إليه، بل بما مُنح له.
- مبدأ الحد الأدنى من الصلاحيات في وصول الموردين: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: وثائق أذونات حسابات الخدمة، أي الأذونات المحددة مع تبرير وظيفي لكل منها؛ وسجل مراجعات نطاق الوصول، أي مراجعة التناسب لا مجرد تأكيد الوجود؛ وعدم منح صلاحيات إدارية لوظائف غير إدارية.
- المصلحة المشروعة في التسويق
-
تعتمد قدرة المؤسسة على إرسال رسائل تسويقية إلى شخص لم يوافق مسبقًا على مكان وجود المتلقي. ففي جزء كبير من أوروبا، يمكن أن يستند البريد الإلكتروني B2B المرسَل إلى عنوان مؤسسي إلى المصالح المشروعة، بشرط إتاحة الانسحاب. وفي كندا، يفسّر CASL الموافقة الضمنية تفسيرًا ضيقًا، ويربطها بعلاقة قائمة، ويحدد لها تاريخ انتهاء. وفي الولايات المتحدة، يسمح CAN-SPAM بالإرسال مع إتاحة الانسحاب وذكر عنوان بريدي. ويقع PECR في المملكة المتحدة بينهما.
كثيرًا ما تمتد قائمة الحملة الواحدة عبر جميع هذه الأنظمة، والقاعدة التي تُطبَّق بشكل موحد تكون خاطئة في موضع ما. فالأساس الذي يمكن الدفاع عنه لعنوان مؤسسي ألماني لا يمكن الدفاع عنه لعنوان كندي، وتختلف أنظمة العقوبات بمقدار عشرة أضعاف.
- المصالح المشروعة والتنميط
-
يمكن أن يستند التنميط، أي التقييم الآلي للجوانب الشخصية للتنبؤ بالسلوك أو الاهتمامات أو الخصائص، إلى المصالح المشروعة أساسًا قانونيًا. لكن اختبار الموازنة يجب أن يراعي مدى تدخّل الملف التعريفي، والتوقعات المعقولة للفرد، وأثر التنميط عليه. وكلما كانت عواقب الملف التعريفي أكبر، صعب تحقيق التوازن.
كثيرًا ما تُبرَّر نماذج التقييم السلوكي ونماذج الميل وتوقعات التفاعل بـ LIA لا يراعي سوى المنفعة التجارية. ويسأل اختبار الموازنة عمّا يتوقعه الفرد، وهل سيعترض لو علم، وما الذي يُحدثه الملف التعريفي في طريقة معاملته. والملف التعريفي الذي يؤثر في التسعير أو الأهلية أو المحتوى الذي يراه الشخص ليس تدخلًا طفيفًا.
- مخاطر تكامل LLM
-
مخاطر تكامل LLM هي المخاطر الأمنية ومخاطر الخصوصية الناشئة عن ربط النماذج اللغوية الكبيرة بمستودعات بيانات المؤسسة، كمكتبات المستندات وقواعد البيانات وأنظمة البريد الإلكتروني وقواعد المعرفة، مما ينشئ نظام ذكاء اصطناعي قادرًا على استرجاع بيانات المؤسسة ومعالجتها استجابةً لاستفسارات المستخدمين.
مخاطر تكامل LLM مهمة لـTPRM لأن عمليات نشر LLM في المؤسسات المرتبطة بمستودعات المستندات الحساسة تُنشئ فئة جديدة من مخاطر الوصول إلى البيانات لم تُصمم ضوابط الوصول التقليدية لمعالجتها.
- مخاطر تكامل LLM: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: مقارنة نطاق أذونات حساب الخدمة بأذونات المستخدمين؛ ورصد الاستعلامات بحثًا عن أنماط الاستخراج؛ وينبغي سؤال المورد الذي يؤكد أمن تكامل LLM عن نطاق أذونات حساب الخدمة واستبعاد فئات المستندات الحساسة. فضوابط الوصول تحمي الوصول المباشر إلى المستندات، أما نطاق الاسترجاع لحساب الخدمة ورصد نافذة السياق فيحميان المسار غير المباشر الذي ينشئه LLM.
- استيعاب السجلات من الموردين
-
استيعاب السجلات من الموردين هو تحدي الحصول على بيانات سجلات الأمن من بيئات الموردين والوصول إليها والاحتفاظ بها لأغراض التحقيق في الحوادث وأدلة الامتثال والكشف المستمر عن التهديدات في SIEM لدى العميل.
يكتسب استيعاب السجلات من الموردين أهمية في TPRM لأن التحقيقات الأمنية تتطلب بصورة متزايدة أدلة من سجلات بيئات الموردين، وتوافر هذه الأدلة يعتمد على سياسات الاحتفاظ وترتيبات الوصول التي تؤكد معظم تقييمات الموردين وجودها دون التحقق من كفايتها لأغراض التحقيق.
- استيعاب السجلات من الموردين: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: مدة الاحتفاظ لكل فئة من السجلات؛ وإجراءات الوصول إلى السجلات لأغراض التحقيق وجدولها الزمني؛ وقدرة إعادة توجيه السجلات للأنظمة الحرجة.
- التسجيل والاحتفاظ بالأدلة
-
يلتقط التسجيل ما حدث: من سجّل الدخول، وما الذي تغير، وما الذي جرى الوصول إليه، وما الذي فعله النظام. ويحدد الاحتفاظ المدة التي يبقى فيها هذا السجل. ومعًا يشكلان الأدلة التي تقف وراء معظم الضوابط الأخرى، إذ لا يمكن إثبات مراجعة الوصول أو الموافقة على التغيير أو الجدول الزمني للحادث إلا إذا كان السجل الذي دوّنها لا يزال موجودًا حين يسأل أحد عنها.
نادرًا ما تكون ملاحظة التدقيق أن الضابط لم يُنفذ. بل إن أحدًا لا يستطيع إثبات أنه نُفذ طوال الفترة، لأن السجل استُبدل بعد تسعين يومًا بينما فترة التدقيق اثنا عشر شهرًا. وتظهر المسألة في الحوادث، حين يتعذر الإجابة عن سؤال متى بدأ الوصول لأن السجل قد انتهت مدته. وتظهر في الخصوصية، حين يتبين أن السجلات التي تلتقط حمولات الطلبات تحتوي على بيانات شخصية لم يرسم أحد خريطتها.
- الوصول المنطقي وفق CC6
-
يغطي CC6 الوصول المنطقي والمادي: كيف يُمنح الوصول ويُصادَق عليه ويُصرَّح به ويُراجَع ويُزال، وكيف يُضبط الوصول المادي إلى المرافق، وكيف تُحمى البيانات أثناء النقل وفي حالة التخزين وعند التخلص منها. وهو أكبر مجموعات المعايير المشتركة التسع بفارق كبير.
يمس CC6 كل نظام وكل منضم ومنتقل ومغادر. وحجم الأدلة فيه أكبر من أي مجموعة أخرى، والمجتمع الخاضع للاختبار يتغير باستمرار، وأنماط الإخفاق فيه هي التي تسبب الاختراقات. وهو ينتج استثناءات أكثر من أي مجموعة أخرى، ويقضي المدقق فيه وقتًا أطول من أي مجموعة أخرى.
M
- هويات الآلات مقابل الهويات البشرية
-
تكتسب هويات الآلات أهمية في TPRM لأنها المسار الأساسي الذي تنتشر عبره هجمات سلسلة التوريد من بيئات الموردين إلى بيئات العملاء. فقد اخترق هجوم SolarWinds هويات الآلات في خط البناء.
هويات الآلات مهمة لـTPRM لأنها المسار الرئيسي الذي تنتشر عبره هجمات سلسلة التوريد من بيئات الموردين إلى بيئات العملاء.
- هويات الآلات مقابل هويات البشر: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: عدد هويات الآلات والقدرة على جردها؛ ونشر منصة لإدارة الأسرار لبيانات اعتماد الآلات؛ وإدراج مراجعة هويات الآلات في دورة الحوكمة.
- تعقيد TPRM لدى مزودي الخدمات المُدارة
-
يكتسب تعقيد TPRM الخاص بمزودي MSP أهمية لأن العلاقات مع MSP من أعلى علاقات الموردين خطورة لدى المؤسسة، فهي تنطوي على وصول واسع إلى الأنظمة وتحكم تشغيلي في وظائف حيوية وتعرض عميق للبيانات.
يكتسب تعقيد TPRM الخاص بمزودي MSP أهمية لأن العلاقات مع MSP من أعلى علاقات الموردين خطورة لدى المؤسسة، فهي تنطوي على وصول واسع إلى الأنظمة وتحكم تشغيلي في وظائف حيوية وتعرض عميق للبيانات.
- تعقيد TPRM لمزودي الخدمات المُدارة: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: قائمة كاملة بمجموعة أدوات MSP مع توصيف الوصول؛ والشهادات الأمنية لأدوات الوصول المباشر؛ والمتطلبات الأمنية المطبقة على موردي أدواته.
- الأهمية النسبية في التصديق
-
الأهمية النسبية هي الحد الذي يصبح عنده الانحراف مهمًا بما يكفي للتأثير في رأي المدقق أو للإبلاغ عنه بوصفه استثناءً. وهي تقدير يُجريه المدقق في ضوء المعيار المتأثر وطبيعة الانحراف وأثره المرجح في قرارات القارئ.
يفسر ذلك لماذا قد لا يظهر ضابط أخفق مرة واحدة في عينة من خمسة وعشرين بوصفه استثناءً، ولماذا قد يظهر إخفاق واحد في ضابط حرج. ويفسر أيضًا لماذا لا يكون التقرير سجلًا كاملًا لكل ما جرى على نحو غير مثالي خلال السنة. إنه رأي، يتشكل بالتقدير لما هو مهم.
- قياس ROI لبرنامج DevSecOps
-
يكتسب قياس ROI في DevSecOps أهمية في TPRM لأن الموردين الذين لا يستطيعون إثبات النتائج الأمنية لاستثمارهم في DevSecOps قد يستثمرون في أمن شكلي بدلًا من تحسين الأمن.
يكتسب قياس ROI في DevSecOps أهمية في TPRM لأن الموردين الذين لا يستطيعون إثبات النتائج الأمنية لاستثمارهم في DevSecOps قد يستثمرون في أمن شكلي بدلًا من تحسين الأمن.
- قياس ROI لبرنامج DevSecOps: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: سجلات تتبع MTTR واتجاهه؛ ومعدل اكتشاف الثغرات قبل الإنتاج مقارنةً بما بعده؛ ونموذج التكلفة المتجنَّبة لبرنامج الأمن.
- مخاطر كشف البيانات الوصفية
-
البيانات الوصفية هي بيانات عن البيانات، أي المعلومات السياقية والهيكلية والتقنية التي تصف البيانات الأساسية وتحدد موضعها وتدعمها دون أن تكون هي البيانات الأساسية نفسها.
تعرض البيانات الوصفية مهم لـTPRM لأنه يمثل فئة من الإفصاح عن المعلومات تكاد تكون غير مرئية للتقييمات التي تركز على حماية البيانات الأساسية.
- مخاطر كشف البيانات الوصفية: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: مراجعة إعدادات ترويسات HTTP، أي إخفاء الترويسات التي تكشف هوية الخادم؛ وإعدادات معالجة الأخطاء، أي رسائل خطأ عامة دون تفاصيل عن النظام؛ وإجراءات إدارة البيانات الوصفية للمستندات، أي إزالتها قبل التوزيع الخارجي.
- مقاييس تصمد أمام اجتماع مجلس الإدارة
-
مجلس الإدارة مسؤول عن الإشراف لا عن الضوابط: هل تفهم المؤسسة تعرضها للمخاطر، وهل البرنامج مزوّد بالموارد الكافية، وهل تقول الإدارة الحقيقة. وينبغي أن تخدم مقاييس المجلس هذه الأسئلة الثلاثة. أما التهديدات المحجوبة، ونسب إتمام التدريب، وخريطة حرارية لم تتغير منذ ثلاثة أرباع، فلا تخدم أيًا منها، والمجلس الذي يومئ ثم ينتقل إلى البند التالي يستجيب بإنصاف لتقرير لا يطلب منه شيئًا.
التقرير الذي يُفضي إلى قرار هو الذي يُظهر شيئًا يتحرك في اتجاه مهم وينتهي بطلب. فانزلاق مدة معالجة النتائج الحرجة من تسعة أيام إلى ستة وعشرين يومًا أطلق نقاشًا حول الموارد. وعدد الالتزامات الأمنية تجاه العملاء التي لا تستند إلى أي أدلة أدى مباشرةً إلى تمويل مورد للامتثال لم تحققه سنة كاملة من الخرائط الحرارية.
- ثغرات إنفاذ MFA
-
ثغرات إنفاذ MFA هي مسارات المصادقة في بيئة ما التي لا يُشترط فيها العامل الثاني، أي المسارات التي يمكن للهويات أن تصادق عبرها بعامل واحد فقط (عادةً كلمة مرور أو مفتاح API أو شهادة) دون التحقق الإضافي الذي يوفره MFA.
ثغرات إنفاذ MFA مهمة لـTPRM لأن الموردين الذين يعالجون بيانات العملاء يمثلون أهدافًا جذابة تحديدًا لأن أنظمتهم تحتفظ ببيانات من عملاء متعددين في آن واحد.
- ثغرات إنفاذ MFA: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: جرد مسارات المصادقة، أي جميع المسارات مع حالة MFA لكل منها؛ وتوثيق طريقة مصادقة حسابات الخدمة؛ وجرد نقاط النهاية القديمة مع خطة الترحيل أو الضوابط التعويضية.
- التقسيم الدقيق في بيئات الموردين
-
تكتسب التجزئة الدقيقة للشبكة أهمية في TPRM لأن تأكيد تجزئة الشبكة دون تقييم جودة القواعد قد يصف فصلًا طوبولوجيًا مع اتصال وظيفي قائم، أي تجزئة موجودة في مخطط الشبكة لكن يمكن عبورها من خلال قواعد واسعة على مستوى المناطق.
التقسيم الدقيق مهم لـTPRM لأن تأكيد تقسيم الشبكة دون تقييم جودة القواعد قد يصف فصلًا طوبولوجيًا مع اتصال وظيفي قائم، أي تقسيمًا موجودًا في مخطط الشبكة لكن يمكن اجتيازه عبر قواعد واسعة على مستوى المناطق.
- التقسيم الدقيق في بيئات الموردين: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: وصف قواعد حدود التجزئة، أي تحديد المصدر والوجهة والمنفذ؛ وسياسة الرفض الافتراضي على حدود المناطق؛ وإجراء مراجعة القواعد وتاريخ آخر مراجعة.
- التعرض الناتج عن سوء إعداد التخزين السحابي عبر الموردين
-
يُعد التخزين السحابي للكائنات، مثل AWS S3 وAzure Blob Storage وGoogle Cloud Storage، من أكثر الخدمات استخدامًا وأكثرها تعرضًا لسوء الإعداد في البيئات السحابية للمؤسسات. فهو رخيص وقابل للتوسع ومصمم لإتاحة البيانات بسرعة.
تقع أخطاء إعدادات التخزين السحابي عند تقاطع فئتين من المخاطر كثيرًا ما تتعامل معهما برامج TPRM بشكل منفصل: تعامل المورد مع البيانات، وأمن السحابة.
- التعرض الناتج عن سوء إعداد التخزين السحابي عبر الموردين: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: لقطات شاشة للإعدادات أو ملفات مُصدَّرة تؤكد تفعيل حظر الوصول العام، لا مجرد خانة اختيار في استبيان؛ ووثائق إعدادات التشفير التي تحدد معيار التشفير ونهج إدارة المفاتيح؛ وتأكيد تسجيل الوصول مع تحديد مدة الاحتفاظ.
- أمن CI/CD لتطبيقات الأجهزة المحمولة
-
يكتسب أمن CI/CD للتطبيقات المحمولة أهمية في TPRM لأن التطبيقات المحمولة الموزعة عبر متاجر التطبيقات تصل إلى أجهزة المستخدمين بأي إعدادات أمنية أنتجها خط البناء.
يكتسب أمن CI/CD للتطبيقات المحمولة أهمية في TPRM لأن التطبيقات المحمولة الموزعة عبر متاجر التطبيقات تصل إلى أجهزة المستخدمين بأي إعدادات أمنية أنتجها خط البناء.
- أمن تطبيقات الأجهزة المحمولة في CI/CD: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: التحقق من إعدادات الملفات التنفيذية في مسار CI/CD؛ والتحقق من سجلات تصحيح الأخطاء في إصدارات النشر؛ وأدوات اختبار الأمان الخاصة بالأجهزة المحمولة المستخدمة.
- التحكم في الوصول إلى النماذج
-
يعالج التحكم في الوصول إلى النماذج في سياق أمن الذكاء الاصطناعي تحديًا لا وجود له في أمن البرمجيات التقليدية: إذ يمكن سرقة النموذج عبر API الخاصة به دون أي اختراق لضوابط الوصول في API. فضوابط الوصول التقليدية تمنع الوصول غير المصرح به إلى مورد ما.
يكتسب التحكم في الوصول إلى النماذج أهمية في TPRM لأن الموردين الذين يتيحون واجهات برمجة نماذج الذكاء الاصطناعي لعملائهم من المؤسسات، ومن خلالهم ربما لعملاء تلك المؤسسات وشركائها، ينشئون سطح هجوم لاستخراج النماذج لا يعالجه أمن API التقليدي.
- التحكم في الوصول إلى النماذج: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: مراقبة حجم الاستعلامات لكل مفتاح API؛ ونتائج تقييم هجمات استخراج النماذج؛ والمورد الذي يؤكد مصادقة API وتحديد معدل الطلبات ينبغي سؤاله عن اكتشاف الاستخراج. فالمصادقة تؤكد الوصول المصرح به. أما اكتشاف الاستخراج فيحدد هل يُستخدم الوصول المصرح به لإعادة بناء النموذج.
- بطاقات النماذج
-
بطاقة النموذج مستند منظم يصف نموذج ذكاء اصطناعي: ما الذي دُرّب على القيام به، وعلى أي نوع من البيانات، وكيف قُيّم أداؤه ولأي فئات سكانية، وقيوده المعروفة، والاستخدامات المقصودة له وغير المقصودة. وينشرها الموردون للنماذج التي يقدمونها؛ وتكتبها المؤسسات للنماذج التي تبنيها.
إنها الوثيقة التي تجيب عن الأسئلة التي يجب أن يطرحها تقييم أثر الذكاء الاصطناعي، وغيابها بحد ذاته ملاحظة. فعندما لا يستطيع المورد أن يذكر الفئات السكانية التي قيس عليها أداء نموذجه، تعلم أنه قيس على فئة واحدة، وهي عادةً الحالة المهمة: أداة لفرز طلبات الدعم اختُبرت باللغة الإنجليزية بينما يكتب ثلث عملائك بالإسبانية.
- مخاطر انحراف النماذج
-
انحراف النموذج هو تراجع التوافق بين سلوك نموذج تعلم الآلة في الإنتاج وسلوكه المقصود، وهو عدم توافق يتطور بمرور الوقت مع ابتعاد توزيع البيانات الواقعية التي يواجهها النموذج في الإنتاج عن توزيع بيانات التدريب التي بُني عليها.
يكتسب انحراف النماذج أهمية في TPRM لأن نماذج الذكاء الاصطناعي التي ينشرها الموردون لاتخاذ قرارات ذات عواقب، مثل كشف الاحتيال والتصنيف الائتماني والتصنيف الأمني وتقييم مخاطر العملاء، ستنحرف بمرور الوقت بطرق لا تظهر دائمًا في مقاييس الأداء المعيارية.
- مخاطر انحراف النماذج: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: مراقبة خاصة بالانحراف تتجاوز مقاييس الأداء؛ وتتبع استقرار أهمية الخصائص لنماذج التعلم المستمر؛ وتقييم انحراف المفاهيم ووتيرة إعادة التدريب.
- مخاطر سرقة النماذج
-
خطر سرقة النموذج هو خطر أن يتمكن مهاجم من إعادة بناء منطق القرار والقدرات لنموذج ذكاء اصطناعي مملوك من خلال الاستعلام المنهجي عبر API الخاصة بالنموذج، سواء مباشرةً أو عبر طرف ثالث يملك وصولًا مشروعًا إلى API، دون أن يصل المهاجم أبدًا إلى أوزان النموذج أو بنيته أو بيانات تدريبه.
سرقة النماذج مهمة لـTPRM من اتجاهين.
- مخاطر سرقة النماذج: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: متطلبات أمن API لعملاء المؤسسات؛ وتأكيد مراقبة حجم الاستعلامات لكل مفتاح؛ والمورد الذي يؤكد أمن API ينبغي سؤاله عن أمن تكاملات عملاء المؤسسات. فـ API لدى المورد يتحكم في الوصول المباشر. أما تكاملات العملاء فهي السطح الممتد الذي يمكن عبره الوصول إلى النموذج بصورة غير مباشرة.
- اعتبارات الأمان في CI/CD متعدد السحابات
-
يكتسب أمن CI/CD متعدد السحابات أهمية في TPRM لأن عدم اتساق البنية الأمنية عبر السحابات ينشئ حلقة أضعف واحدة، فالسحابة ذات الإدارة الأضعف لبيانات الاعتماد أو الإعدادات الأمنية الأضعف هي نقطة الضعف الأعلى في مسار يمتد عبر السحابتين.
أمن CI/CD متعدد السحابات مهم لـTPRM لأن عدم اتساق البنية الأمنية عبر السحابات يُنشئ حلقة أضعف واحدة: فالسحابة ذات أضعف إدارة لبيانات الاعتماد أو أضعف تهيئة أمنية هي نقطة الضعف القصوى لمسار يمتد عبر السحابتين.
- اعتبارات الأمان في CI/CD متعدد السحابات: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: توثيق آلية المصادقة لكل سحابة؛ وحالة تطبيق هوية أحمال العمل لكل سحابة؛ وتواريخ تدوير بيانات اعتماد حسابات الخدمة.
- مخاطر الموردين متعددي السحابات
-
مخاطر الموردين متعددي السحابات هي فجوة الحوكمة التي تنشأ حين تمتد البنية التحتية للمورد عبر عدة مزودي خدمات سحابية بينما يقتصر نطاق العناية الواجبة والضوابط التعاقدية والمراقبة المستمرة لدى العميل على مزود واحد، وهو عادةً المزود الذي يعلم به العميل أو الذي قدمه المورد أثناء الإعداد.
تتحدى بنية الموردين متعددة السحابات مباشرةً أحد الافتراضات الأساسية لنموذج تقييم TPRM المعتاد، وهو أن المورد بيئة أمنية واحدة متماسكة يمكن تقييمها باستبيان وشهادة امتثال.
- مخاطر الموردين متعددي السحابات: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: قائمة كاملة بمزودي الخدمات السحابية والمناطق المستخدمة في معالجة بيانات العملاء، لا المنصة الأساسية فحسب؛ ووثائق نطاق SOC 2 التي تؤكد تغطية جميع البيئات ذات الصلة، أو إقرار صريح بما هو خارج النطاق وسببه؛ ومخطط لتدفق البيانات يوضح كيف تنتقل بيانات العملاء عبر البنية متعددة السحابات لدى المورد.
N
- أمن NAT ومخاطر ترجمة عناوين الشبكة
-
تكتسب المفاهيم الخاطئة عن أمن NAT أهمية في TPRM لأن الموردين الذين يصفون أنظمتهم الداخلية بأنها «محمية بـ NAT» قد يصفون بدقة غياب إمكانية التوجيه المباشر عبر IP، بينما يحتفظون بقواعد لإعادة توجيه المنافذ تجعل الأنظمة نفسها قابلة للوصول من الإنترنت عبر إعدادات مسارات متعمدة أو منسية.
تكتسب المفاهيم الخاطئة عن أمن NAT أهمية في TPRM لأن الموردين الذين يصفون أنظمتهم الداخلية بأنها «محمية بـ NAT» قد يصفون بدقة غياب إمكانية التوجيه المباشر عبر IP، بينما يحتفظون بقواعد لإعادة توجيه المنافذ تجعل الأنظمة نفسها قابلة للوصول من الإنترنت عبر إعدادات مسارات متعمدة أو منسية.
- أمن NAT ومخاطر ترجمة عناوين الشبكة: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: قائمة جرد قواعد إعادة توجيه المنافذ ومراجعتها.
- الطبيعة والتوقيت والمدى
-
الطبيعة هي نوع الاختبار الذي يجريه المدقق. والتوقيت هو متى خلال الفترة. والمدى هو المقدار، أي حجم العينة والعمق. وتصف هذه العناصر معًا حجم العمل الذي سيؤديه المدقق على كل ضابط، وتستجيب ثلاثتها لمقدار المخاطر التي يدركها المدقق.
فهم هذه العوامل الثلاثة يفسر لماذا يبدو طلب ما بسيطًا ويبدو آخر مبالغًا فيه. فالضابط ذو السجل القوي والأدلة الجيدة والمخاطر المنخفضة يخضع لاختبار خفيف. أما الضابط في مجال سبقت فيه استثناءات، أو توثيقه ضعيف، أو تعرضه مرتفع، فتُرفع فيه المؤشرات الثلاثة جميعها.
- التحكم في الوصول إلى الشبكة في بيئات المؤسسات
-
يكتسب NAC أهمية في TPRM لأن شبكات الموردين التي تسمح للأجهزة غير المُدارة بالانضمام إلى شبكة الشركة لديها سطح وصول غير خاضع للتحكم، فأي موقع فعلي فيه منفذ شبكة أو إشارة لاسلكية يصبح نقطة دخول محتملة إلى الشبكة لأي جهاز.
يكتسب NAC أهمية في TPRM لأن شبكات الموردين التي تسمح للأجهزة غير المُدارة بالانضمام إلى شبكة الشركة لديها سطح وصول غير خاضع للتحكم، فأي موقع فعلي فيه منفذ شبكة أو إشارة لاسلكية يصبح نقطة دخول محتملة إلى الشبكة لأي جهاز.
- التحكم في الوصول إلى الشبكة في بيئات المؤسسات: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: تأكيد نشر NAC في الشبكات السلكية واللاسلكية؛ ووصول متدرج للأجهزة المُدارة مقابل غير المُدارة؛ والمورد الذي يؤكد أمن الشبكة ينبغي سؤاله عن NAC. فأمن نقاط النهاية على الأجهزة المُدارة يحمي الأجهزة المُدارة. أما NAC فيتحكم فيما يمكن للأجهزة غير المُدارة الوصول إليه عند اتصالها بالشبكة. وكلاهما لازم لإدارة سطح الوصول إلى الشبكة.
- إدارة الوصول إلى الشبكة للمتعاقدين والأطراف الثالثة
-
إدارة وصول المتعاقدين إلى الشبكة مهمة لـTPRM لأن المتعاقدين الذين لديهم وصول إلى شبكة الشركة وانتهى ارتباطهم يمثلون خطر الوصول اليتيم نفسه الذي يمثله الموظفون المغادرون، لكن عبر ثغرة في إدارة دورة الحياة لا تعالجها تلقائيًا أنظمة الهوية المتكاملة مع الموارد البشرية.
إدارة وصول المتعاقدين إلى الشبكة مهمة لـTPRM لأن المتعاقدين الذين لديهم وصول إلى شبكة الشركة وانتهى ارتباطهم يمثلون خطر الوصول اليتيم نفسه الذي يمثله الموظفون المغادرون، لكن عبر ثغرة في إدارة دورة الحياة لا تعالجها تلقائيًا أنظمة الهوية المتكاملة مع الموارد البشرية.
- إدارة الوصول إلى الشبكة للمتعاقدين والأطراف الثالثة: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: إجراءات إنهاء خدمة المتعاقدين وسجلات SLA؛ والتحقق من ربط تاريخ انتهاء العقد بالأنظمة؛ وسجلات التدقيق الشهرية لوصول المتعاقدين.
- مراجعة الوصول إلى الشبكة واعتماده
-
تكتسب جودة مراجعة الوصول إلى الشبكة أهمية في TPRM لأن تأكيد مراجعة الوصول دون تقييم منهجيتها قد يصف نشاط امتثال لا ضابطًا أمنيًا فعالًا.
تكتسب جودة مراجعة الوصول إلى الشبكة أهمية في TPRM لأن تأكيد إجراء مراجعة الوصول دون تقييم منهجيتها قد يصف نشاط امتثال لا ضابطًا أمنيًا فعالًا.
- مراجعة الوصول إلى الشبكة والتصديق عليه: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: تتبع الحسابات المزالة في كل مراجعة.
- كشف الشذوذ في الشبكة والانحراف عن خط الأساس
-
يكتسب اكتشاف الحالات الشاذة في الشبكة أهمية في TPRM لأن سرقة بيانات الاعتماد متبوعة بإساءة استخدامها بحذر وبطء هي نمط الهجوم الذي تستخدمه الجهات الفاعلة المتخصصة في بيانات الاعتماد تحديدًا للتهرب من الاكتشاف القائم على البصمات.
اكتشاف الحالات الشاذة في الشبكة مهم لـTPRM لأن سرقة بيانات الاعتماد المتبوعة بإساءة استخدامها بحذر وببطء هي نمط الهجوم الذي يستخدمه تحديدًا المهاجمون المركزون على بيانات الاعتماد للتهرب من الاكتشاف القائم على التواقيع.
- اكتشاف الحالات الشاذة في الشبكة والانحراف عن خط الأساس: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: تغطية اكتشاف الحالات الشاذة إلى جانب التواقيع.
- تشفير الشبكة، ما المشفَّر وما غير المشفَّر
-
يكتسب تشفير الشبكة الداخلية أهمية في TPRM لأنه يحدد ما يستطيع المهاجم الذي أسس موطئ قدم داخليًا أن يراه.
يكتسب تشفير الشبكة الداخلية أهمية في TPRM لأنه يحدد ما يستطيع المهاجم الذي أقام موطئ قدم داخليًا أن يراه.
- اختبار اختراق الشبكات في سياق TPRM
-
يكتسب نطاق اختبار اختراق الشبكات أهمية في TPRM لأن نتائج تقارير اختبار الاختراق تصف ما اختُبر، لا ما هو موجود. فاختبار الاختراق الخارجي النظيف لتطبيق ما يؤكد أن التطبيق الخارجي المختبر آمن بدرجة معقولة.
يكتسب نطاق اختبار اختراق الشبكة أهمية في TPRM لأن نتائج تقارير اختبار الاختراق تصف ما اختُبر، لا ما هو موجود.
- اختبار اختراق الشبكات في سياق TPRM: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: متطلب شمول الشبكة الداخلية بالنطاق للموردين الحرجين؛ ومتطلبات النطاق في عقود الموردين الحرجين.
- محيط الشبكة مقابل محيط الهوية
-
يكتسب التمييز بين محيط الشبكة ومحيط الهوية أهمية في TPRM لأن إجابات الموردين عن استبيانات أمن الشبكات التي تؤكد قوة جدران الحماية وضوابط المحيط تصف نموذجًا أمنيًا لا يعالج متجه الهجوم الأساسي القائم على بيانات الاعتماد.
يكتسب التمييز بين محيط الشبكة ومحيط الهوية أهمية في TPRM لأن إجابات الموردين عن استبيانات أمن الشبكات التي تؤكد قوة جدران الحماية وضوابط المحيط تصف نموذجًا أمنيًا لا يعالج متجه الهجوم الأساسي القائم على بيانات الاعتماد.
- محيط الشبكة مقابل محيط الهوية: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: تأكيد فرض MFA دون أي مسار للتجاوز؛ وإدارة الأجهزة لأغراض التحكم في الوصول؛ واكتشاف الحالات الشاذة لرصد اختراق بيانات الاعتماد.
- مرونة الشبكة ونقاط الفشل الأحادية
-
مرونة الشبكة مهمة لـTPRM لأن توافر منصة المورد يمثل اعتمادًا تشغيليًا مباشرًا لعملاء المؤسسات.
مرونة الشبكة مهمة لـTPRM لأن توافر منصة المورد يمثل اعتمادًا تشغيليًا مباشرًا لعملاء المؤسسات.
- مرونة الشبكة ونقاط الفشل الأحادية: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: تقييم تكرار ISP والدوائر.
- بنية أمن الشبكات للبيئات القائمة على SaaS أولًا
-
تكتسب بنية أمن الشبكات القائمة على SaaS أولًا أهمية في TPRM لأن استخدام أطر تقييم أمن الشبكات التقليدية في البيئات القائمة على SaaS أولًا ينتج نتائج تقييم تصف عدم توافق في البنية لا ثغرات أمنية.
تكتسب بنية أمن الشبكات للبيئات التي تعتمد البرمجيات كخدمة أولًا أهمية في TPRM لأن استخدام أطر تقييم أمن الشبكات التقليدية لهذه البيئات ينتج نتائج تقييم تصف عدم توافق في البنية بدلًا من الثغرات الأمنية.
- بنية أمن الشبكات للبيئات التي تعتمد البرمجيات كخدمة أولًا: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: مراجعة إدارة الوضع الأمني لتطبيقات SaaS.
- أمن الشبكات عند حدود OT/IT
-
يكتسب أمن الحدود بين OT/IT أهمية في TPRM لأن الموردين الذين يصنعون الأجهزة أو يشغلون منشآت إنتاج أو يديرون أنظمة لوجستية لديهم شبكات OT يؤثر وضعها الأمني مباشرة في سلامة عملياتهم التشغيلية وتوافرها.
يكتسب أمن الحدود بين OT/IT أهمية في TPRM لأن الموردين الذين يصنعون الأجهزة أو يشغلون منشآت إنتاج أو يديرون أنظمة لوجستية لديهم شبكات OT يؤثر وضعها الأمني مباشرة في سلامة عملياتهم التشغيلية وتوافرها.
- أمن الشبكات للموردين سريعي النمو: فجوة التوسع
-
أمن فجوة التوسع مهم لـTPRM لأن الموردين سريعي النمو قد يصفون الضوابط الأمنية بمستوى جودتها الحالي بينما تعمل تلك الضوابط فعليًا دون مستوى الجودة المطلوب لحجمهم الحالي.
يكتسب أمن فجوة التوسع أهمية في TPRM لأن الموردين سريعي النمو قد يصفون ضوابطهم الأمنية بمستوى جودتها الحالي، في حين أن هذه الضوابط تعمل فعليًا دون مستوى الجودة الذي يتطلبه حجمهم الحالي.
- أمن الشبكات لدى الموردين سريعي النمو، فجوة التوسع: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: مراجعة مسار النمو والاستثمار في الأمن.
- أمن الشبكات في تقييمات الأطراف الثالثة
-
الفجوة بين الاستبيان والتقييم التقني مهمة لـTPRM لأنها تحدد قيمة الضمان الفعلية لتقييم أمن الشبكات. فبالنسبة للموردين الحيويين، قد يؤكد تقييم أمن الشبكات المعتمد على الاستبيانات وحدها وجود الضوابط بينما يغفل مشكلات جودة التنفيذ التي تُنشئ المخاطر الأمنية الفعلية.
تكتسب الفجوة بين الاستبيان والتقييم التقني أهمية في TPRM لأنها تحدد قيمة الضمان الفعلية لتقييم أمن الشبكة.
- أمن الشبكات في تقييمات الأطراف الثالثة: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: عينة من قواعد الجدار الناري الخارجي للمراجعة؛ نتائج أحدث فحص خارجي للثغرات؛ تأكيد خلو سطح الهجوم الخارجي من النتائج على Shodan.
- الاستجابة لحوادث أمن الشبكات: أول 60 دقيقة
-
تكتسب سرعة الاستجابة للحوادث الأمنية في الشبكة أهمية في TPRM لأن مدة بقاء المهاجم أثناء الحادث النشط، أي الفترة بين الاكتشاف والاحتواء، هي الوقت الذي يحقق فيه المهاجم أهدافه. والمورد الذي يستغرق ساعتين من المداولة حتى العزل يمنح المهاجمين ساعتين من الوصول النشط بعد الاكتشاف.
سرعة الاستجابة لحوادث أمن الشبكات مهمة لـTPRM لأن مدة البقاء أثناء الحادث النشط، أي الفترة بين الاكتشاف والاحتواء، هي الوقت الذي يحقق فيه المهاجم أهدافه.
- مقاييس أمن الشبكات المهمة فعلًا
-
تكتسب جودة مقاييس أمن الشبكات أهمية في TPRM لأن المقاييس التي تصف النشاط دون أن تصف المخاطر لا يمكنها دعم قرارات التقييم القائمة على المخاطر.
جودة مقاييس أمن الشبكات مهمة لـTPRM لأن المقاييس التي تصف النشاط دون أن تصف المخاطر لا يمكنها دعم قرارات التقييم القائمة على المخاطر.
- مقاييس أمن الشبكات المهمة فعلًا: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: تعريف المقاييس القائمة على المخاطر ومتابعتها؛ وقياس وقت اكتشاف التهديدات في الشبكة.
- مراقبة أمن الشبكة والتكامل مع SIEM
-
تغطية سجلات SIEM مهمة لـTPRM لأن وجود SIEM يؤكد أن منصة المراقبة موجودة، بينما تحدد تغطية السجلات ما تستطيع تلك المنصة اكتشافه فعليًا.
تغطية سجلات SIEM مهمة لـTPRM لأن وجود SIEM يؤكد أن منصة المراقبة موجودة، بينما تحدد تغطية السجلات ما تستطيع تلك المنصة اكتشافه فعليًا.
- مراقبة أمن الشبكات وتكاملها مع SIEM: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: تحديد مصادر السجلات الحرجة الغائبة؛ والمورد الذي يؤكد وجود SIEM ينبغي أن يُطلب منه قائمة مصادر السجلات. فوجود SIEM هو المنصة. واتساع مصادر السجلات هو تغطية الاكتشاف. ونسبة المصادر المتصلة إلى المصادر الممكنة تكشف ما يستطيع SIEM اكتشافه وما لا يستطيع.
- متطلبات أمن الشبكات في عقود الموردين
-
تكتسب متطلبات أمن الشبكات في العقود أهمية في TPRM لأنها تحدد ما إذا كان الوضع الأمني المؤكد في التقييم قابلًا للإنفاذ، أي ما إذا كان للمؤسسة سبيل تعاقدي للانتصاف عندما يُخفق المورد في الحفاظ على الضوابط الأمنية التي أكدها التقييم.
تكتسب متطلبات أمن الشبكات في العقود أهمية في TPRM لأنها تحدد هل الوضع الأمني المؤكد في التقييم قابل للإنفاذ، أي هل تملك المؤسسة سبيلًا تعاقديًا للانتصاف حين يخفق المورد في الحفاظ على الضوابط الأمنية التي أكدها التقييم.
- متطلبات أمن الشبكات في عقود الموردين: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: مراجعة مدى تحديد البنود الأمنية في العقود؛ والالتزامات الأمنية المحددة في العقود الحيوية.
- تقييم تجزئة الشبكة في TPRM
-
يُعد تقييم تجزئة الشبكة مهمًا لـ TPRM لأن القيمة الأمنية لتجزئة شبكة المورد تتحدد بأكثر قواعد الحدود لديه تساهلًا، لا بأكثرها تقييدًا.
تقييم تقسيم الشبكة مهم لـTPRM لأن القيمة الأمنية لتقسيم شبكة المورد تتحدد بأكثر قواعد الحدود تساهلًا لديه، لا بأكثرها تقييدًا.
- تقييم تقسيم الشبكة في TPRM: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: بنية خوادم القفز للوصول إلى بيئة الإنتاج؛ وأكثر قواعد الحدود الداخلية تساهلًا؛ واختبار فعالية التقسيم من مواقع داخلية.
- أمن بروتوكول وقت الشبكة وسلامة السجلات
-
يكتسب أمن NTP ودقة الطوابع الزمنية في السجلات أهمية في TPRM لأنهما يحددان موثوقية سجلات الأمن لدى المورد من الناحية الجنائية الرقمية أثناء التحقيق في الحوادث.
يكتسب أمن NTP ودقة الطوابع الزمنية في السجلات أهمية في TPRM لأنهما يحددان موثوقية سجلات الأمن لدى المورد من الناحية الجنائية الرقمية أثناء التحقيق في الحوادث.
- وثائق طوبولوجيا الشبكة والحوكمة الأمنية
-
تكتسب حداثة وثائق طوبولوجيا الشبكة أهمية في TPRM لأن تقييمات أمن الشبكات التي تُجرى بناءً على مخططات قديمة تقيّم بنية غير موجودة.
تكتسب حداثة وثائق طوبولوجيا الشبكة أهمية في TPRM لأن تقييمات أمن الشبكات التي تُجرى بناءً على مخططات قديمة تقيّم بنية غير موجودة.
- رؤية الشبكة وتحليل حركة المرور
-
تكتسب رؤية حركة البيانات بين الأنظمة الداخلية أهمية في TPRM لأنها تحدد مدى سرعة اكتشاف اختراق سلسلة الإمداد أو الاختراق الداخلي. فالمهاجم الذي اخترق أي نظام داخل شبكة المورد سيتحرك أفقيًا للوصول إلى أهداف أعلى قيمة، مثل مستودعات الشيفرة المصدرية وبنية البناء التحتية وقواعد بيانات الإنتاج.
تكتسب رؤية حركة البيانات بين الأنظمة الداخلية أهمية في TPRM لأنها تحدد مدى سرعة اكتشاف اختراق سلسلة الإمداد أو الاختراق الداخلي.
- رؤية الشبكة وتحليل حركة المرور: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: NDR أو تحليل مكافئ لحركة المرور الداخلية؛ وقطاعات الشبكة المشمولة بالمراقبة؛ والمورد الذي يؤكد مراقبة الشبكة ينبغي سؤاله عما إذا كانت تلك المراقبة تشمل حركة المرور الأفقية بين الأنظمة. فمراقبة المحيط تكتشف ما يدخل ويخرج. ومراقبة الحركة الأفقية تكتشف ما يتحرك في الداخل. والهجمات المعاصرة تتطلب الاثنين.
- NIST SP 800-161 للممارسين
-
NIST 800-161 مهم لـTPRM لأنه يوفر إطارًا محددًا معتمدًا حكوميًا لتقييم أمن سلسلة توريد البرمجيات، يمنح الممارسين مفردات منظمة لطرح أسئلة تتجاوز ادعاءات الامتثال الثنائية.
NIST 800-161 مهم لـTPRM لأنه يوفر إطارًا محددًا معتمدًا حكوميًا لتقييم أمن سلسلة توريد البرمجيات، يمنح الممارسين مفردات منظمة لطرح أسئلة تتجاوز ادعاءات الامتثال الثنائية.
- NIST SP 800-161 للممارسين: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: تقييم ذاتي لمستوى التطبيق وفق NIST 800-161؛ ووثائق ضابط سلسلة التوريد SR-3؛ وأدلة تطبيق تتبع المصدر وفق SR-4.
O
- الإفراط في نطاقات OAuth
-
OAuth إطار تفويض يمكّن التطبيقات من الحصول على وصول محدود إلى حسابات المستخدمين في خدمات أطراف ثالثة، بحيث يستطيع المستخدم تفويض تطبيق للتصرف نيابة عنه لأغراض محددة دون مشاركة بيانات اعتماده مع التطبيق.
الإفراط في نطاقات OAuth مهم لـTPRM لأن تفويضات OAuth الممنوحة لتطبيقات الموردين تستمر، لسنوات في الغالب، ويظل النطاق الذي توفره متاحًا لتطبيق المورد بصرف النظر عما إذا كانت الميزات التي قد تستخدم ذلك النطاق ستُبنى أو تُستخدم يومًا.
- تجاوز نطاقات OAuth للحد المطلوب: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: تبرير كل إذن على حدة، أي ربط كل نطاق بميزة محددة؛ وخيار النطاق بالحد الأدنى الضروري، أي هل تتوفر إعدادات بنطاق مقلّص؛ وتحديد الأذونات غير المستخدمة، أي الأذونات التي لا تستخدمها الميزات النشطة حاليًا.
- سجل الالتزامات
-
قائمة الالتزامات القانونية والتنظيمية والتعاقدية المنطبقة، كلٌّ منها بكلمات واضحة مع مالك والأدلة والموعد النهائي.
إنها أول مستند في أي برنامج، لأن النطاق والضوابط والاحتفاظ كلها تعتمد على معرفة ما ينطبق.
Taught in DTF-120 · See also: scope, evidence
- المصادر المفتوحة بوصفها مخاطر أطراف ثالثة
-
المصادر المفتوحة بوصفها مخاطر أطراف ثالثة مهمة لأن أخطر هجمات سلسلة التوريد في العقد الماضي استهدفت مكونات مفتوحة المصدر، إذ استغلت Log4Shell، والباب الخلفي في XZ Utils، وevent-stream، وهجمات مماثلة جميعها الثقة التي تمنحها البرمجيات المبنية على مكونات مفتوحة المصدر لتلك المكونات.
تكتسب المصادر المفتوحة بوصفها مخاطر أطراف ثالثة أهمية لأن أخطر هجمات سلسلة التوريد في العقد الماضي استهدفت مكونات مفتوحة المصدر، إذ استغلت Log4Shell والباب الخلفي في XZ Utils وevent-stream وهجمات مماثلة الثقة التي توليها البرمجيات المبنية على مكونات مفتوحة المصدر لتلك المكونات.
- البرمجيات مفتوحة المصدر بوصفها مخاطر طرف ثالث: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: قائمة مكونات البرمجيات الخاصة بالمنتج؛ وتأكيد أدوات SCA ومراقبة الثغرات؛ وSLA المعالجة لثغرات البرمجيات مفتوحة المصدر.
- مخاطر تراخيص البرمجيات مفتوحة المصدر
-
مخاطر تراخيص المصادر المفتوحة مهمة لـTPRM لأن البرمجيات التي تنشرها مؤسستك قد تفرض التزامات قانونية لم تحددها المؤسسة أو المورد، وهي التزامات قد تنشأ بعد النشر عند تقييم الآثار القانونية لتركيبة من التراخيص.
مخاطر تراخيص المصادر المفتوحة مهمة لـTPRM لأن البرمجيات التي تنشرها مؤسستك قد تفرض التزامات قانونية لم تحددها المؤسسة أو المورد، وهي التزامات قد تنشأ بعد النشر عند تقييم الآثار القانونية لتركيبة من التراخيص.
- مخاطر تراخيص البرمجيات مفتوحة المصدر: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: SBOM مع معلومات الترخيص لجميع المكونات؛ ونتائج فحص التراخيص التي تحدد مكونات الحقوق المتروكة؛ وتقييم الامتثال القانوني لمكونات AGPL ومكونات الحقوق المتروكة الصارمة.
- مخاطر سلسلة إمداد البرمجيات مفتوحة المصدر
-
مخاطر سلسلة توريد المصادر المفتوحة هي فئة المخاطر الأمنية الناشئة عن اعتماد التطبيق على مكونات برمجية تُطوَّر وتُصان وتُوزَّع خارج سيطرة المؤسسة، وعادةً ما يتولاها مجتمعات من المتطوعين أو مطورون أفراد أو مؤسسات تعمل بموجب تراخيص المصادر المفتوحة.
مخاطر سلسلة إمداد البرمجيات مفتوحة المصدر هي النقطة التي يلتقي فيها إطار مخاطر الأطراف الثالثة بإطار أمن سلسلة الإمداد عند أكثر تقاطعاتهما جوهرية.
- مخاطر سلسلة توريد المصادر المفتوحة: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: وثائق إجراء التقييم قبل الاعتماد، أي المعايير والموافقات والأدوات المستخدمة؛ وتأكيد القدرة على كشف الحزم الخبيثة، أي اسم الأداة وقدرتها على التحليل السلوكي بما يتجاوز قواعد بيانات CVE؛ وتأكيد تثبيت إصدارات الاعتماديات وملفات القفل مع أدلة من نظام إدارة الإصدارات.
- حسابات الموردين اليتيمة
-
حسابات الموردين اليتيمة هي حسابات مستخدمين وحسابات خدمة نشطة في أنظمة المؤسسة تعود إلى موظفي الموردين أو المتعاقدين أو كيانات الخدمة التي انتهت علاقتها التشغيلية بالمؤسسة.
تكتسب حسابات الموردين اليتيمة أهمية في TPRM لأنها تمثل سطح هجوم يستمر بعد انتهاء المبرر المتعلق بالمخاطر لوجوده.
- حسابات الموردين اليتيمة: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: جرد حسابات المورد في جميع الأنظمة؛ وتوثيق عملية إنهاء الخدمة الذي يغطي جميع أنواع الحسابات؛ والمورد الذي يؤكد إجراءات إنهاء الخدمة ينبغي أن يُطلب منه تقديم جرد حالي لجميع الحسابات التي يحتفظ بها في بيئة العميل، لا الوصول الأساسي الممنوح فقط، بل حسابات الخدمة والحسابات الخاصة بالتطبيقات في جميع الأنظمة. ويصبح هذا الجرد نطاق إنهاء الخدمة. ومن دونه، يكون نطاق إنهاء الخدمة هو كل ما في قائمة التحقق فحسب.
- مخاطر الإسناد الخارجي مقابل مسؤولية الإسناد الخارجي
-
تكتسب المساءلة عن الإسناد الخارجي أهمية لأنها تحدد المخاطر المتبقية على المؤسسة من إخفاق المورد.
المساءلة عن الإسناد الخارجي مهمة لأنها تحدد المخاطر المتبقية للمؤسسة من إخفاق المورد.
- إسناد المخاطر مقابل إسناد المسؤولية: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: تفاصيل تأمين المسؤولية المهنية وتأمين المسؤولية السيبرانية؛ ومبالغ التغطية والاستثناءات المتعلقة بالمسؤولية التنظيمية؛ وبرنامج الامتثال التنظيمي للأنشطة المُسندة إلى جهات خارجية.
- حسابات الخدمة ذات الصلاحيات المفرطة
-
حسابات الخدمة هويات غير بشرية، أي حسابات أُنشئت للتطبيقات ومهام الأتمتة والعمليات المجدولة وأدوات المراقبة ومسارات التكامل لا للمستخدمين من الأفراد. وهي تصادق على الأنظمة وتُمنح صلاحيات لأداء الوظائف التي أُنشئت لدعمها.
تكتسب حسابات الخدمة ذات الصلاحيات المفرطة أهمية في TPRM لأنها تمثل فئة الهوية الأكثر استغلالًا في هجمات سلسلة الإمداد.
- حسابات الخدمة ذات الصلاحيات المفرطة: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: جرد حسابات الخدمة، أي عددها وسجلها ووثائق ملكيتها؛ وتأكيد مراجعة الوصول لحسابات الخدمة، أي إدراجها في دورة المراجعة الرسمية مع تاريخ آخر مراجعة؛ ونهج إدارة بيانات الاعتماد، أي منصة لإدارة الأسرار أو سياسة لبيانات الاعتماد الثابتة.
P
- نموذج الثقة في سجلات الحزم
-
يكتسب نموذج الثقة في سجلات الحزم أهمية في TPRM لأن منتجات مورديك البرمجية مبنية على حزم لا تعتمد موثوقيتها على مشروعيتها في الماضي، بل على الأمن الحالي لحسابات القائمين على صيانتها.
يكتسب نموذج الثقة في سجلات الحزم أهمية في TPRM لأن منتجات مورديك البرمجية مبنية على حزم لا تعتمد موثوقيتها على مشروعيتها السابقة، بل على الأمن الحالي لحسابات القائمين على صيانتها.
- نموذج الثقة في سجلات الحزم: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: MFA لحسابات نشر الحزم؛ وتثبيت إصدارات الاعتماديات وفرض ملفات القفل؛ وعملية مراجعة تحديثات الإصدارات الفرعية.
- دمج اختبار الاختراق في CI/CD
-
يكتسب تكامل اختبار الاختراق أهمية في TPRM لأن اختبارات الاختراق السنوية للموردين الذين يصدرون تحديثات متكررة توفر خط أساس أمنيًا في لحظة زمنية معينة قد لا يمثل الوضع الأمني الحالي.
يكتسب تكامل اختبار الاختراق أهمية في TPRM لأن اختبارات الاختراق السنوية للموردين الذين يصدرون تحديثات متكررة توفر خط أساس أمنيًا في لحظة زمنية معينة قد لا يمثل الوضع الأمني الحالي.
- دمج اختبار الاختراق في CI/CD: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: تاريخ اختبار الاختراق وعدد الإصدارات منذ ذلك الحين؛ وبرنامج اختبار يُطلق مع كل إصدار أو اختبار مستمر؛ ووثائق نطاق اختبار الاختراق السنوي، أي شمول المسار والبنية التحتية.
- نطاق اختبار الاختراق
-
يصف تقرير اختبار الاختراق ما اختُبر، وكيف، وما اكتُشف، وما أُوصي به. وقسم النطاق هو الذي يحدد معنى بقية التقرير. فالتقرير النظيف على نطاق ضيق يعني أن المختبِر لم يجد شيئًا في الأماكن التي سُمح له بالبحث فيها، أما الأماكن التي لم يُسمح له بالبحث فيها فهي التي سيأتي منها الحادث التالي.
يطلب المشترون التقرير، وتسأل شركات التأمين عما إذا كان الاختبار يُجرى، ويُقرأ التقرير لعدد نتائجه لا لنطاقه. فيُقدَّم تقرير يتضمن نتيجتين منخفضتين عن الموقع التسويقي دليلًا على المنتج. وفي الجهة المتلقية، يُقبل تقرير المورد النظيف دون السؤال عما إذا كانت API التي تتكامل معها فعلًا ضمن النطاق.
- ضوابط نهاية الفترة مقابل ضوابط طوال الفترة
-
تختلف الضوابط في تواترها. فبعضها يعمل باستمرار، كالمصادقة. وبعضها يعمل دوريًا، كمراجعات الوصول الفصلية. وبعضها يعمل مرة واحدة في السنة، كتقييم المخاطر السنوي أو اختبار التعافي من الكوارث. ويختبر المدقق كلًا منها وفق تواتره، وتختلف توقعات الأدلة بينها اختلافًا تامًا.
للضابط السنوي فرصة واحدة فقط لتنفيذه وتوثيق أدلته خلال الفترة. فإذا فات، فلا معالجة ممكنة داخل تلك الفترة، وسيسجل التقرير استثناءً لا يمكن لأي قدر من التدارك أن يزيله.
- البيانات الشخصية وPII
-
PII، أي معلومات التعريف الشخصية، مصطلح أمريكي أضيق نطاقًا يشير إلى البيانات التي تحدد شخصًا بعينه: الاسم، أو رقم الضمان الاجتماعي، أو رقم الحساب. أما البيانات الشخصية بموجب GDPR فأوسع نطاقًا، إذ تشمل كل ما يتعلق بشخص يمكن تحديد هويته، سواء كان التحديد مباشرًا أو غير مباشر، مما يُدخل عناوين IP ومعرّفات الأجهزة ومعرّفات ملفات تعريف الارتباط وآثار الموقع والسجلات المستعارة الأسماء.
تحدد الفرق نطاق برنامج الخصوصية باستخدام التعريف الضيق، فتستنتج أن سجلاتها وتحليلاتها لا تحتوي على PII، ثم تكتشف لاحقًا أن نصف بيانات القياس عن بُعد لديها كانت بيانات شخصية منذ البداية وفق التعريف الأوسع. فالكلمة المختارة في البداية هي التي تحدد ما يغطيه البرنامج.
- مخاطر أمن المسارات المكتوبة بوصفها شيفرة
-
يكتسب أمن خطوط الإنتاج ككود أهمية في TPRM لأن خط CI/CD هو جسر الثقة بين الشيفرة المصدرية والبرمجيات في الإنتاج.
أمن المسارات المعرّفة كشيفرة مهم لـTPRM لأن مسار CI/CD هو جسر الثقة بين الشيفرة المصدرية وبرمجيات الإنتاج.
- مخاطر أمن المسارات المعرّفة كشيفرة: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: إعدادات CODEOWNERS لملفات إعداد خطوط الإنتاج البرمجية؛ وإجراء مراجعة التغييرات على إعدادات خطوط الإنتاج؛ وتحديد نطاق الوصول إلى بيانات الاعتماد لمهام خطوط الإنتاج.
- نقاط التركيز
-
تحت كل معيار قائمة بنقاط التركيز. وهي تُقرأ كأنها متطلبات، لكنها ليست كذلك. إنها إرشادات توضيحية من AICPA تصف كيف قد يبدو استيفاء المعيار في الممارسة، ويمكن للمؤسسة استيفاء المعيار دون معالجة كل نقطة تركيز، أو بمعالجة بعضها بطرق لا تذكرها القائمة أبدًا.
تقرأ الفرق نقاط التركيز على أنها قائمة تحقق إلزامية، فتبني ضابطًا لكل منها، ثم تحافظ على تلك الضوابط لسنوات، منتجةً أدلة لم يطلبها أحد. والمدققون لا يختبرون نقاط التركيز، بل يختبرون ما إذا كان المعيار مستوفى.
- السياسة مقابل الإنفاذ
-
السياسة مقابل الإنفاذ هي الفجوة بين متطلبات الأمان الموثقة، أي المعايير والإجراءات والإرشادات التي تحدد كيف ينبغي أن تعمل الضوابط الأمنية، والآليات التقنية والتشغيلية التي تطبق تلك المتطلبات فعليًا في الأنظمة العاملة.
يكتسب التمييز بين السياسة والإنفاذ أهمية في TPRM لأن تقييمات أمن الموردين التي تتحقق من وجود السياسات إنما تتحقق من المعيار الذي وثّقه المورد، لا من المعيار الذي تفرضه أنظمته فعليًا.
- السياسة مقابل الإنفاذ: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: تهيئة منصة الهوية التي تُظهر متطلبات كلمات المرور المطبقة فعليًا؛ وتهيئة كلمات مرور حسابات الخدمة موثقةً بشكل منفصل؛ وجرد تهيئة كلمات المرور في الأنظمة القديمة.
- السياسة والمعيار والإجراء
-
تحدد السياسة ما يجب فعله ولماذا، على مستوى نادرًا ما يتغير ويُعتمد على مستوى قيادي رفيع. ويحدد المعيار المتطلبات المحددة التي تطبّق السياسة: خوارزمية التشفير، ووتيرة المراجعة، وطول كلمة المرور. ويصف الإجراء كيف يؤدي شخص مسمّى مهمة ما، خطوة بخطوة. ثلاث وثائق، وثلاثة جماهير، وثلاث وتائر للتغيير.
تكتب المؤسسات عشرين سياسة من نموذج جاهز، تخلط كل منها بين العناصر الثلاثة، ثم لا تستطيع تغيير وتيرة المراجعة دون دورة اعتماد على مستوى مجلس الإدارة، فتبقى الوتيرة خاطئة. ويختبر المدققون السياسات مقابل الممارسة، والسياسة التي تتضمن متطلبًا محددًا لا تستوفيه المؤسسة ملاحظة كتبتها بنفسك. والموظفون الذين يُسألون عما تتطلبه منهم السياسة لا يستطيعون الإجابة، لأنها اثنتا عشرة صفحة من النوايا.
- اعتبارات المدقق السابق
-
عندما تغيّر المؤسسة مدقق الخدمة، تأخذ الشركة الجديدة في الاعتبار تقرير الفترة السابقة ورأيها عند التخطيط لمهمتها. وقد تطلب الاطلاع على وثائق المدقق السابق، وستقرأ باهتمام خاص الاستثناءات الواردة في التقرير السابق وردود الإدارة عليها.
تغيير شركات التدقيق أمر طبيعي ومعقول في الغالب، لأسباب تتعلق بالتكلفة أو القدرات أو العلاقة. ويسير الانتقال بشكل أفضل عندما تستطيع المؤسسة إثبات أن الاستثناءات السابقة عولجت وأن أسباب التغيير اعتيادية. ويسير بشكل أسوأ عندما يبدو الأمر هروبًا.
- الخصوصية بالتصميم وبشكل افتراضي
-
الخصوصية بالتصميم تعني مراعاة حماية البيانات طوال تطوير المنتج أو العملية، ودمجها في البنية بدلًا من إضافتها لاحقًا. والخصوصية الافتراضية تعني أنه قبل أن يغيّر المستخدم أي شيء، تُطبَّق الإعدادات الأكثر حماية: أدنى قدر من البيانات المجمعة، وأقصر مدة احتفاظ، وأضيق نطاق مشاركة. وكلاهما التزام بموجب المادة 25 من GDPR.
الخصوصية الافتراضية هي الأكثر قابلية للاختبار بين الاثنين، والأسهل في الإخفاق. فقد يُصمَّم المنتج بعناية ومع ذلك يُطلق والمشاركة مفعّلة، والاحتفاظ غير محدود، ومفتاح الخصوصية مضبوط على الإيقاف. والإعدادات الافتراضية هي ما يختبره معظم المستخدمين، لأن معظمهم لا يغيّرونها أبدًا.
- الخصوصية في مرحلة استكشاف المنتج
-
إشراك الخصوصية في مرحلة استكشاف المنتج يعني طرح أسئلة البيانات حين يكون المنتج لا يزال مسودة: ما الذي سيُجمع، ولماذا، وممن، ولأي مدة، وهل يمكن تحقيق النتيجة نفسها ببيانات أقل. في تلك المرحلة يكون التغيير مجرد محادثة. وعند الإطلاق يصبح التغيير نفسه إصدارًا جديدًا وترحيلًا وتأخيرًا.
مراجعة الخصوصية التي توضع في نهاية العملية لا تملك إلا الموافقة أو المنع. ومنع منتج مكتمل مكلف سياسيًا إلى حد أنه نادرًا ما يحدث، لذا فإن المراجعة المتأخرة توافق بشروط لا تُستوفى أبدًا. وتصبح الوظيفة مجرد ختم شكلي لأنها وُضعت في موضع لا يمكن أن تكون فيه إلا ختمًا.
- مقاييس الخصوصية
-
تقيس مقاييس الخصوصية المفيدة ما إذا كان البرنامج يعمل، لا مدى انشغاله. ومن أمثلتها زمن الاستجابة لطلبات الحقوق مقارنةً بالموعد القانوني، ونسبة أنشطة المعالجة التي لها أساس قانوني موثق، ومدى حداثة آخر تحديث لسجل أنشطة المعالجة، وعدد التصاميم التي تغيرت في مراجعة الخصوصية، ونسبة الموردين الذين لديهم DPA ممتثلة. وكل منها يجيب عن سؤال يتعلق بالفعالية.
تسأل مجالس الإدارة عما إذا كان البرنامج ناجحًا، والإجابة المقدَّمة عادةً أرقام: الطلبات المستلمة، والتقييمات المنجزة، والدورات التدريبية المقدَّمة. ويرتفع الحجم مع ارتفاع الوعي ومع حجم الأعمال، مما يجعل العام الجيد يبدو سيئًا، ولا يخبر المجلس بشيء عن المخاطر.
- إشعارات الخصوصية
-
تحدد المادتان 13 و14 من GDPR ما يجب إبلاغه لأصحاب البيانات عند جمع بياناتهم: هوية المتحكم، والأغراض والأساس القانوني، والمستلمين، وأي عمليات نقل، ومدة الاحتفاظ، وحقوقهم، ومصدر البيانات إن لم تُجمع منهم. ويجب تقديم المعلومات بشكل موجز وشفاف ومفهوم وسهل الوصول، وبلغة واضحة وبسيطة.
كثيرًا ما تكون الإشعارات كاملة وغير قابلة للقراءة. فكل عنصر مطلوب موجود، لكنه مدفون في أربعة آلاف كلمة من الصياغة القانونية التي لن يقرأها أي صاحب بيانات. وهذا يُخفق في متطلب الشفافية رغم استيفائه متطلب الاكتمال، لأن المعلومات التي لا يمكن فهمها لم تُقدَّم فعلًا.
- أدوات عمليات الخصوصية
-
تتولى أدوات عمليات الخصوصية العمل المتكرر في البرنامج: استلام طلبات الحقوق وتتبعها مع مهلها، والحفاظ على سجل المعالجة، وتسجيل الموافقات وإدارة التفضيلات، ومسارات عمل DPIA، وتقييمات الموردين، وأدلة ذلك كله. وهي ما يحوّل مجموعة من الالتزامات إلى مجموعة من الإجراءات الروتينية.
عمل الخصوصية متكرر ومحكوم بمواعيد نهائية وكثيف الأدلة، وهذا بالضبط نوع العمل الذي يفشل عند الاعتماد فيه على الذاكرة والبريد الإلكتروني. فطلب الحقوق الذي يُتابَع في صندوق بريد مشترك يفوّت موعده النهائي، وسجل أنشطة المعالجة في جدول بيانات ينحرف عن الواقع، وسجل الموافقة في عمود منطقي بقيمة نعم أو لا لا يثبت شيئًا.
- إدارة الوصول المميز
-
الوصول المميز هو القدرة على تغيير الأنظمة أو البيانات أو وصول الآخرين: أدوار المسؤولين، وصلاحية الكتابة في قواعد البيانات، وحقوق النشر، وحسابات الطوارئ. وإدارته تعني معرفة من يملكه، ومنحه لغرض ولفترة محددة لا بشكل دائم، وفصله عن الحسابات التي يستخدمها الأشخاص يوميًا، وتسجيل ما فُعل به.
الوصول المميز الدائم هو الملاحظة التي تظهر في كل تقييم أول تقريبًا، وهو أول ما يبحث عنه مدقق SOX في الأنظمة التي تنتج الأرقام، وهو السبب في أن بيانات اعتماد مهندس وقع ضحية للتصيد تتحول إلى اختراق لا مجرد حادث. وهو أيضًا الملاحظة التي تستغرق أطول وقت لتفكيكها، لأن إزالته تغير طريقة عمل الناس.
- فجوات إدارة الوصول المميز (PAM)
-
إدارة الوصول المميز مجموعة من الأدوات والإجراءات المصممة للتحكم في استخدام بيانات الاعتماد المميزة ومراقبته وتدقيقه، وهي الحسابات ذات صلاحيات الوصول المرتفعة إلى الأنظمة والبيانات والبنية التحتية.
تكتسب ثغرات PAM أهمية في TPRM لأن مزودي الخدمات المُدارة وموردي البنية التحتية الذين يملكون وصولًا مميزًا إلى بيئات العملاء يمثلون بعضًا من أخطر نقاط مخاطر سلسلة الإمداد في مشهد المؤسسات.
- ثغرات إدارة الوصول المميز (PAM): الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: تأكيد تخزين بيانات اعتماد بيئة العميل في خزنة PAM مؤسسية؛ وتأكيد تسجيل الجلسات لوصول العملاء مع مدة الاحتفاظ؛ ووثائق نطاق تغطية PAM، أي الوصول الداخلي والخارجي.
- إدارة الوصول المميز (PAM) في سياق الموردين
-
إدارة الوصول المميز (PAM) لا تقتصر على تأمين بيانات اعتماد المسؤولين، بل تتعلق بالتحكم في الظروف التي يمكن أن تقع فيها الإجراءات عالية التأثير في أرجاء البيئة. وفي جوهرها، تحكم PAM الوصول إلى الأنظمة والبيانات والقدرات التي يمكن أن تغيّر حالة المؤسسة تغييرًا جوهريًا.
في بيئات الأطراف الثالثة، نادرًا ما يُحدَّد نطاق الوصول المميز بالدقة التي ينبغي أن يكون عليها.
- إدارة الوصول المميز إلى الشبكة
-
إدارة الوصول المميز إلى الشبكة مهمة لـTPRM لأن مسؤولي الشبكة يملكون صلاحية تعديل الضوابط الأمنية التي تحمي جميع الأنظمة الأخرى.
تكتسب إدارة الوصول المميز إلى الشبكة أهمية في TPRM لأن مسؤولي الشبكات يملكون صلاحية تعديل الضوابط الأمنية التي تحمي جميع الأنظمة الأخرى.
- إدارة الوصول المميز إلى الشبكة: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: تطبيق تسجيل الجلسات على البنية التحتية للوصول المميز؛ وينبغي سؤال المورد الذي يؤكد اعتماد بنية الخادم الوسيط المحصّن للوصول المميز عن تسجيل الجلسات وإعادة توجيه SSH. فوجود الخادم المحصّن هو نقطة الاختناق، أما تسجيل الجلسات ومنع تجاوز التسجيل فهما ضابطا الرصد اللذان يجعلان نقطة الاختناق مفيدة لأغراض الأمن.
- أمن بيئات تشغيل لغات البرمجة
-
أمن بيئة التشغيل مهم لـTPRM لأن المورد الذي يقدم شيفرة تطبيقات محدّثة التصحيحات تعمل على بيئة تشغيل EOL إنما يقدم برمجيات تحتوي بيئة تنفيذها الأساسية على ثغرات دائمة غير مصححة.
يكتسب أمن بيئة التشغيل أهمية في TPRM لأن المورد الذي يقدّم شيفرة تطبيقات محدّثة جيدًا تعمل على بيئة تشغيل بلغت EOL يقدّم برمجيات تحتوي بيئة تنفيذها الأساسية على ثغرات دائمة غير مُرقَّعة.
- أمن بيئات تشغيل لغات البرمجة: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: الجدول الزمني لترحيل بيئات التشغيل التي بلغت EOL أو اقتربت من EOL؛ وينبغي سؤال المورد الذي يؤكد حداثة اعتماديات التطبيقات عن حداثة بيئات التشغيل. فتحليل SCA للتطبيقات يغطي الاعتماديات، وتقييم بيئة التشغيل يغطي الطبقة التي تعمل عليها الاعتماديات، وكلاهما مطلوب لتقييم كامل لسلامة سلسلة التوريد.
- حقن الأوامر
-
حقن الأوامر هجوم على نظام مبني على نموذج لغوي، يحتوي فيه محتوى يقرؤه النموذج، مثل مستند أو صفحة ويب أو بريد إلكتروني أو رسالة مستخدم، على نص يعامله النموذج على أنه تعليمات لا بيانات. فينفذ النموذج عندئذٍ ما يقوله نص المهاجم: يسرب معلومات أُعطيت له، أو يتجاهل قواعده، أو يتخذ إجراءً عبر أداة يملك الوصول إليها.
إنها الثغرة الخاصة بهذه الفئة من الأنظمة، وليس لها تصحيح. فالنموذج لا يستطيع التمييز بموثوقية بين التعليمات والبيانات في القناة نفسها، لذا فإن أي نظام يتيح للنموذج قراءة محتوى غير موثوق ثم التصرف بناءً عليه يحمل هذا التعرض بحكم تصميمه. وتتصاعد المخاطر بحسب ما يستطيع النموذج فعله: فالنموذج الذي لا يستطيع إلا الإجابة يكون محرجًا عند حقنه؛ أما الذي يستطيع إرسال البريد الإلكتروني أو تغيير السجلات فيكون خطيرًا.
- حقن الأوامر عبر الموردين
-
حقن الأوامر أسلوب هجوم يستغل عجز النماذج اللغوية الكبيرة عن التمييز بشكل موثوق بين تعليمات المشغّل المشروعة، التي تُقدَّم عادةً عبر موجّه النظام، والتعليمات التي يتحكم فيها المهاجم والمضمّنة في مدخلات المستخدم أو في البيانات التي يعالجها LLM. فالنموذج LLM مصمم لاتباع التعليمات.
حقن الأوامر عبر الموردين مهم لـTPRM لأن كل منتج ذكاء اصطناعي ينشره مورد ويمكنه الوصول إلى بيانات المؤسسة يمثل سطح هجوم محتملًا لحقن الأوامر.
- حقن الأوامر عبر الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: منهجية اختبار حقن الأوامر ونتائجه؛ وتوثيق نطاق وصول الأدوات الوكيلة؛ والضوابط المعمارية، أي بوابة LLM وحواجز الحماية.
- إخفاء الهوية الجزئي والكامل
-
تستبدل الأسماء المستعارة الحقول المعرِّفة برمز أو مفتاح، بحيث لا يمكن نسبة البيانات إلى شخص دون معلومات إضافية محفوظة بشكل منفصل. وتظل البيانات بيانات شخصية بموجب GDPR لأن إعادة التعرف ممكنة. أما إخفاء الهوية فيجعل البيانات بحيث لا يمكن التعرف على الشخص بأي وسيلة يُرجَّح استخدامها بشكل معقول، وتقع البيانات مجهولة الهوية خارج نطاق GDPR بالكامل.
لا يكاد شيء مما يُسوَّق على أنه مجهول الهوية يستوفي الاختبار فعلًا. فإزالة الأسماء مع ترك تواريخ الميلاد والرموز البريدية والمسميات الوظيفية تنتج بيانات يمكن إعادة التعرف على أصحابها بجهد متواضع. والمعيار هو ما إذا كانت إعادة التعرف مرجحة بشكل معقول، مع مراعاة التكلفة والوقت والتقنية والبيانات الأخرى المتاحة.
- تحديد الغرض
-
يشترط مبدأ تحديد الغرض أن تُجمع البيانات الشخصية لأغراض محددة وصريحة ومشروعة، وألا تُعالَج لاحقًا بطريقة تتعارض مع تلك الأغراض. فالبيانات التي جُمعت لتقديم خدمة لا يجوز أن تنحرف لخدمة غرض مختلف دون تقييم للتوافق أو أساس قانوني جديد للاستخدام الجديد.
المثال الأبرز هو تحوّل بيانات الدعم إلى بيانات تدريب. فمحادثات العملاء التي جُمعت لحل المشكلات تُستخدم لاحقًا لتدريب نموذج أو تحسين منتج أو بناء مؤشر للمبيعات. لم يقرر أحد إعادة توظيف البيانات؛ كانت ببساطة متاحة ومفيدة. ومبدأ تحديد الغرض هو المبدأ الذي يقضي بأن الفائدة ليست أساسًا.
Q
- الآراء المتحفظة
-
يأتي رأي المدقق في أربعة أشكال. الرأي غير المتحفظ يعني أن الضوابط صُممت بشكل مناسب وعملت بفعالية. والرأي المتحفظ يعني أنها كذلك، باستثناء مسألة محددة يصفها المدقق. والرأي السلبي يعني أنها ليست كذلك. والامتناع عن إبداء الرأي يعني أن المدقق لم يتمكن من تكوين رأي على الإطلاق. ويرد الرأي في الصفحة الأولى بلغة مصممة لتبدو عادية.
الرأي هو أهم جملة منفردة في التقرير، وكثيرًا ما يُتجاوز لصالح جداول الاختبار. والرأي المتحفظ ليس تدقيقًا فاشلًا، لكنه المدقق يخبرك بأن أمرًا جوهريًا لم يصمد، والفقرة التي تشرح ذلك تستحق أن تُقرأ قبل أي شيء آخر.
- إرهاق الاستبيانات مقابل المخاطر الحقيقية
-
يُعد إرهاق الاستبيانات مهمًا لـ TPRM لأنه يمثل النهج السائد في تقييم مخاطر الأطراف الثالثة، ويقصر بصورة منهجية في الإجابة عن السؤال الذي تحتاج إدارة المخاطر إلى إجابته أكثر من غيره: ما المخاطر المحددة التي تنشأ عن هذه العلاقة المحددة مع المورد، وهل تخضع هذه المخاطر لضوابط كافية؟
يكتسب إرهاق الاستبيانات أهمية في TPRM لأنه يمثل النهج السائد في تقييم مخاطر الأطراف الثالثة، ويقصر بشكل منهجي في الإجابة عن السؤال الذي تحتاج إدارة المخاطر إلى إجابته أكثر من غيره: ما المخاطر المحددة الناشئة عن هذه العلاقة المحددة مع المورد، وهل هذه المخاطر مضبوطة بشكل كافٍ؟
- إرهاق الاستبيانات مقابل المخاطر الحقيقية: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: إجابات عن الأسئلة الخاصة بالعلاقة مع الأدلة الداعمة؛ والإقرار بملف المخاطر المحدد الذي تنشئه العلاقة؛ وأدلة على الضوابط التي تعالج المخاطر المحددة التي جرى تحديدها.
R
- تقييمات الجاهزية
-
تقييم الجاهزية هو جولة مراجعة للنطاق والضوابط والأدلة المقصودة قبل بدء فترة الملاحظة، ويجريه عادةً المدقق أو مستشار. ويحدد الثغرات بينما لا يزال إصلاحها رخيصًا وقبل أن تصبح استثناءات في تقرير سيقرؤه عملاؤك.
الاستثناء الذي يُكتشف في تقييم الجاهزية مهمة يجب إنجازها. أما الفجوة نفسها إذا اكتُشفت في التدقيق فهي نتيجة مسجلة بشكل دائم، في مستند سيقرؤه كل عميل محتمل خلال العام التالي. والفرق في الكلفة ليس قريبًا.
- سجلات أنشطة المعالجة
-
سجل أنشطة المعالجة، الذي تشترطه المادة 30 من GDPR، هو قائمة جرد بكل نشاط معالجة يجريه المتحكم أو المعالج: الأغراض، وفئات البيانات وفئات أصحاب البيانات، والمستلمون، وأي عمليات نقل دولية، ومدد الاحتفاظ، ووصف للتدابير الأمنية. إنه خريطة ما تفعله المؤسسة بالبيانات الشخصية.
إنه أول ما تطلبه السلطة الرقابية، لأنه يكشف في مستند واحد ما إذا كان هناك برنامج أصلًا. ولا أحد يحتفظ بسجل أنشطة المعالجة مصادفةً. ووجوده واكتماله وحداثته تقول عن حوكمة البيانات في المؤسسة أكثر مما تقوله أي سياسة.
- أهداف الاستعادة
-
هدف وقت التعافي هو المدة التي يجوز أن تتوقف فيها الخدمة قبل أن تصبح الخسارة غير مقبولة. وهدف نقطة التعافي هو مقدار البيانات، مقيسًا بالوقت، الذي يمكنك تحمل فقدانه: الفجوة بين آخر نسخة سليمة والعطل. وهما وعدان منفصلان. فـ RTO مدته أربع ساعات مع RPO مدته أربع وعشرون ساعة يعني أنك ستعود إلى العمل بحلول الظهيرة وقد فقدت بيانات الأمس.
يطلبهما العملاء في الملاحق الأمنية، وتطلبهما شركات التأمين في طلبات التأمين، وتشترطهما أطر الاستمرارية لكل خدمة. ويبرزان أيضًا يوم الحاجة إلى الاستعادة، حين تكتشف المؤسسة أن RPO المكتوب في السياسة افترض نسخًا احتياطيًا ليليًا تحوّل إلى أسبوعي أثناء مراجعة للتكاليف.
- النقاط العمياء التنظيمية
-
النقاط التنظيمية العمياء هي الأطر التنظيمية التي تنطبق على علاقة مع مورد، بحسب موقع البيانات، أو إقامة أصحاب البيانات، أو القطاع، أو النطاق الجغرافي للعمليات، ولا تُقيَّم لأن برنامج التقييم صُمم حول سياق تنظيمي مختلف.
تكتسب النقاط التنظيمية العمياء أهمية في TPRM لأن الأطر التنظيمية غير المقيَّمة تنشئ تعرضًا غير مُدار لمخاطر الامتثال.
- النقاط التنظيمية العمياء: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: النطاق الجغرافي للبنية التحتية، أي المناطق السحابية المحددة التي تُخزَّن فيها البيانات؛ وتأكيد إقامة أصحاب البيانات، أي المقيمون في أي ولايات قضائية يقعون ضمن النطاق؛ وتأكيد إبرام DPA للعلاقات التي تنطبق عليها GDPR.
- فجوات التفسير التنظيمي
-
ثغرات التفسير التنظيمي هي التباينات بين الأطراف المختلفة، من جهات تنظيمية ومؤسسات وموردين ومستشارين قانونيين، في تفسير المتطلبات المحددة للوائح المعمول بها.
تكتسب فجوات التفسير التنظيمي أهمية في TPRM لأن الالتزام التنظيمي للعميل يُستوفى بتطبيق المورد للمتطلب وفق التفسير الذي ستعتمده الجهة التنظيمية، لا وفق التفسير الذي يجده المورد الأيسر تشغيليًا أو الأقوى من الناحية القانونية.
- فجوات التفسير التنظيمي: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: طريقة حساب مدة الاحتفاظ المحددة، أي حدث البداية وحدث النهاية والاستثناءات؛ وتأكيد أن الحساب يطابق تفسير العميل؛ والأساس التنظيمي لتفسير المورد.
- المواءمة التنظيمية في TPRM
-
تكتسب المواءمة التنظيمية أهمية لأن فجوات الامتثال المكتشفة أثناء فحص تنظيمي أعلى تكلفة بكثير من الفجوات التي تُحدَّد وتُعالَج من خلال إدارة استباقية للبرنامج. ففجوة في تقييم مخاطر تركّز ICT وفق DORA حُدِّدت في تحليل للفجوات عام 2023 يمكن معالجتها قبل تاريخ التطبيق في 2025.
تكتسب المواءمة التنظيمية أهمية لأن فجوات الامتثال المكتشفة أثناء فحص تنظيمي أعلى تكلفة بكثير من الفجوات التي تُحدَّد وتُعالَج من خلال إدارة استباقية للبرنامج.
- الربط التنظيمي في TPRM: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: قائمة الأطر التنظيمية المنطبقة على TPRM؛ وتحليل الفجوات وفق DORA (حيثما ينطبق)؛ والمورد الذي يؤكد امتلاكه برنامج TPRM ناضجًا ينبغي سؤاله عن اللوائح التي صُمم البرنامج للوفاء بها وما إذا كانت تلك اللوائح حديثة. فنضج البرنامج وفق متطلبات 2020 ليس نضجًا وفق متطلبات 2024.
- الالتباس الناتج عن التداخل التنظيمي
-
يحدث التداخل التنظيمي عندما تنطبق أطر تنظيمية متعددة على المؤسسة نفسها أو البيانات نفسها أو الأنظمة نفسها، ويفرض كل منها متطلبات قد تكون متكاملة أو متكافئة أو متعارضة. ويُعد HIPAA وPCI-DSS أكثر حالات التداخل شيوعًا في معالجة بيانات الرعاية الصحية.
يكتسب الالتباس الناتج عن تداخل اللوائح أهمية في TPRM لأن الموردين العاملين في سياقات تنظيمية متداخلة قد تكون لديهم ثغرات امتثال في منطقة التقاطع، أي مجالات لا يستوفي فيها برنامجهم الخاص بـ HIPAA متطلبات PCI-DSS، ولا يعالج فيها برنامجهم الخاص بـ PCI-DSS خصوصيات HIPAA، فيبقى التداخل دون معالجة.
- الالتباس الناتج عن التداخل التنظيمي: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: رسم خريطة الأنظمة ذات التداخل التنظيمي، أي تحديد الأنظمة الخاضعة لأطر متعددة؛ وتحليل المتطلبات الأشد صرامة في مجالات التداخل الرئيسية؛ وتقييم امتثال موحد لأنظمة التداخل.
- سير عمل اعتماد الإصدارات
-
تكتسب سير عمل اعتماد الإصدارات أهمية في TPRM لأن النشر التلقائي في الإنتاج دون نقاط اعتماد بشرية يعني أن النتائج الأمنية غير المُعدّة بوصفها عوائق إلزامية ستُنشر في الإنتاج مع كل عملية دمج.
تُعد مسارات اعتماد الإصدارات مهمة لـ TPRM لأن عمليات النشر التلقائية إلى بيئة الإنتاج دون نقاط اعتماد بشرية تعني أن النتائج الأمنية غير المُهيأة بوصفها عوائق صارمة ستُنشر إلى الإنتاج مع كل عملية دمج.
- مسارات عمل اعتماد الإصدارات: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: إعدادات حماية بيئة الإنتاج مع المراجعين المطلوبين؛ وإجراء قبول نتائج التنبيهات الاستشارية للنشر في الإنتاج؛ واشتراط حالة النتائج الأمنية في مراجعة الإصدار.
- أمن الوصول عن بُعد لفرق العمل الهجينة
-
يكتسب أمن نقاط الوصول عن بُعد أهمية في TPRM لأن قوى العمل التي تعتمد BYOD تخلق وضعًا يجري فيه الوصول إلى شبكة الشركة من أجهزة لا يُشترط فيها أي حد أدنى من الأمان.
يكتسب أمن نقاط الوصول عن بُعد أهمية في TPRM لأن قوى العمل التي تعتمد BYOD تخلق وضعًا يجري فيه الوصول إلى شبكة الشركة من أجهزة لا يُشترط فيها أي حد أدنى من الأمان.
- أمن الوصول عن بُعد لفرق العمل الهجينة: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: تطبيق فحص وضع الجهاز للوصول عبر VPN؛ ومتطلبات الأجهزة المُدارة للأنظمة الحساسة؛ ومتطلبات MDM ووكلاء أمن نقاط النهاية.
- توزيع التقرير وNDA
-
تقرير SOC 2 من النوع II مستند مقيد الاستخدام، مخصص للشركة الخاضعة للتدقيق وعملائها ومدققيهم، وللأشخاص الذين لديهم فهم كافٍ للنظام لتفسيره. وهو غير مخصص للنشر العام. ويوجد تقرير SOC 3 لهذا الغرض.
يحتوي التقرير على تفاصيل عن ضوابطك ونظامك والاستثناءات المكتشفة، وهذا بالضبط ما يود المهاجم قراءته. ويحمل أيضًا اسم المدقق ورأيه، وهو ما لا يريد المدقق أن يفسره أشخاص يفتقرون إلى السياق اللازم لذلك.
- التقارير مقابل الرؤى
-
إعداد التقارير هو إبلاغ مقاييس البرنامج وأنشطته، أي الأعداد والمتوسطات ومعدلات الإنجاز وتحديثات الحالة التي تصف ما أنجزه البرنامج.
التقارير مقابل الرؤى مسألة مهمة لـTPRM لأن قيمة البرنامج من حيث الحوكمة تتحدد بجودة القرارات التي يمكّن منها، لا بحجم مخرجاته.
- التقارير مقابل الرؤى: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: تقييم صريح لكيفية تغير ملف مخاطر المورد خلال الاثني عشر شهرًا الماضية؛ والمخاطر المفتوحة الجوهرية في برنامج أمن المورد؛ والتحسينات التي أُجريت خلال الاثني عشر شهرًا الماضية.
- عمليات البناء القابلة لإعادة الإنتاج عمليًا
-
البناءات القابلة لإعادة الإنتاج مهمة لـTPRM لأنها الشرط التقني المسبق للتحقق المستقل من مصدر البرمجيات على مستوى الملف الثنائي.
البناءات القابلة لإعادة الإنتاج مهمة لـTPRM لأنها الشرط التقني المسبق للتحقق المستقل من مصدر البرمجيات على مستوى الملف الثنائي.
- البناء القابل لإعادة الإنتاج في الممارسة: الأدلة
-
عند سؤال المورد عن هذا الأمر، هذه هي الأدلة التي يجدر طلبها بدلًا من التطمينات: مرجع إيداع الشيفرة المصدرية للحزم الموزعة؛ والمشاركة في مشروع Reproducible Builds أو ما يعادله؛ وينبغي سؤال المورد الذي يؤكد أمن سلسلة التوريد عن قابلية إعادة الإنتاج. فقابلية إعادة الإنتاج هي الأساس التقني للتحقق المستقل، ومن دونها يجب قبول مصدر الملفات التنفيذية بناءً على الثقة في البنية التحتية للتوزيع وحدها.
- جداول الاحتفاظ
-
يحدد جدول الاحتفاظ مدة الاحتفاظ بكل فئة من البيانات الشخصية وسببها. وترتبط كل مدة بسبب قانوني أو تنظيمي أو تعاقدي أو تشغيلي محدد. فإذا انتهى السبب انتهى الاحتفاظ، وتُحذف البيانات أو يُخفى ما يدل على هوية أصحابها. والجدول هو التعبير التشغيلي عن مبدأ تقييد التخزين.
تُطبَّق مدة سبع سنوات على كل شيء لأنها تبدو قابلة للدفاع عنها. وهي كذلك بالنسبة للسجلات المالية في كثير من الولايات القضائية، ولا تكاد تكون كذلك لأي شيء آخر. فبيانات التسويق، وتذاكر الدعم، وسجلات التطبيقات، وسجلات المتقدمين للوظائف، لكل منها مدتها المبررة، وهي عادةً أقصر بكثير.
- الاسترجاع وتسرب البيانات
-
تجيب الأنظمة المعززة بالاسترجاع عن الأسئلة من خلال البحث في فهرس من المستندات وتمرير المستندات ذات الصلة إلى نموذج. ولذلك يستطيع النموذج إظهار أي شيء في الفهرس، وكثيرًا ما يحتوي الفهرس على مواد لم يكن للشخص السائل حق الاطلاع عليها قط. والنموذج لا يدري بذلك؛ فقد أُعطي المستند وطُلب منه تلخيصه.
إنها الطريقة الأكثر شيوعًا التي يتحول بها مساعد داخلي إلى خرق للبيانات. فالفهرس المفيد المبني على محرك أقراص مشترك ونظام تذاكر وموقع ويكي يتضمن مجلد الموارد البشرية الذي شاركه أحدهم على نطاق واسع جدًا، وجدول الرواتب، وملف سجلات العملاء الذي صدّره مهندس دعم قبل عامين. ويجيب المساعد عن سؤال بشأن أحدها بأدب ودقة لشخص ما كان ينبغي له أن يسأل.
- الحق في التدقيق
-
يمنحك بند الحق في التدقيق القدرة التعاقدية على فحص ضوابط المورد، إما مباشرةً أو عبر طرف ثالث أو من خلال تلقي تقارير الضمان المستقلة الخاصة به. ومعظم المؤسسات لا تمارس قط صيغة التدقيق الميداني. أما ما تستخدمه كل عام فهو البند الذي ينص على أن يقدم المورد تقرير الضمان الخاص به عند الطلب.
وهو أحد البنود التعاقدية الستة التي تحمل مخاطر الأطراف الثالثة، وهو البند الذي يتفاوض الناس عليه بأشد قوة بينما يخططون لعدم استخدامه أبدًا. وقيمته الحقيقية مزدوجة: فهو يمنحك تقرير الضمان دون جدال، ويغيّر سلوك المورد بمجرد وجوده. كما يحتاج إليه العملاء الخاضعون للتنظيم من أجل جهاتهم الرقابية، مما يجعله غير قابل للتفاوض في تلك الصفقات.
- مجموعات ضوابط بالحجم المناسب
-
ينبغي أن تغطي مجموعة الضوابط المعايير بأقل عدد من الضوابط تستطيع المؤسسة تشغيله فعلًا وتقديم أدلته في كل فترة. فكل ضابط في المجموعة التزام متكرر: يجب أن يعمل، وفق الجدول، وأن يترك سجلًا، طوال بقائه في المجموعة.
مجموعات الضوابط الكبيرة تبدو صارمة لكنها تفشل في الممارسة. فمجموعة من مئتي ضابط تُتبنّى بالكامل من إطار ما تتضمن عشرات لا يشغّلها أحد فعلًا، ويتحول كل منها إلى استثناء في أول تدقيق يأخذ عينة منه. لقد صنعت المؤسسة ملاحظاتها بنفسها.
- بنود حق التدقيق في الممارسة
-
يُعد حق التدقيق مهمًا لأنه الآلية التي تستطيع المؤسسة من خلالها الحصول على تحقق مباشر ومستقل من الضوابط الأمنية لدى المورد، وهو تحقق لا يمكن الحصول عليه عبر الاستبيانات ومراجعة المستندات. فالرد على استبيان المورد يصف ما يقول المورد إنها ضوابطه.
يكتسب الحق في التدقيق أهمية لأنه الآلية التي تستطيع المؤسسة من خلالها الحصول على تحقق مباشر ومستقل من الضوابط الأمنية للمورد لا يمكن الحصول عليه عبر الاستبيانات ومراجعة المستندات.
- بنود حق التدقيق في الممارسة: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي المُخرَجات التي تستحق طلبها بدلًا من التطمينات: تأكيد نطاق بند التدقيق وقيوده؛ وتفاصيل بند الاستبدال، أي ما يمكن استبداله ولأي غرض؛ ومدة الإشعار وعملية الترتيبات اللوجستية.
- حوكمة قبول المخاطر
-
حوكمة قبول المخاطر مهمة لأن المخاطر المقبولة هي مخاطر اختارت المؤسسة عن وعي أن تتحملها. وإذا اتُّخذ هذا الاختيار دون ضوابط تعويضية كافية أو مراقبة أو حدود زمنية، فإن المؤسسة تؤجل ببساطة تحقق المخاطر بدلًا من إدارتها.
حوكمة قبول المخاطر مهمة لأن المخاطر المقبولة هي مخاطر اختارت المؤسسة عن وعي أن تتحملها.
- حوكمة قبول المخاطر: الأدلة
-
عند سؤال المورد عن هذا الأمر، فهذه هي المستندات التي يجدر طلبها بدلًا من التطمينات: سياسة قبول المخاطر مع الحدود الزمنية ومستويات التفويض؛ وسجل المخاطر المقبولة النشطة مع تواريخ المراجعة؛ والضوابط التعويضية للمخاطر المقبولة الجوهرية.
- إساءة استخدام قبول المخاطر
-
قبول المخاطر آلية حوكمة للإقرار رسميًا بأن خطرًا محددًا أو ثغرة محددة في الضوابط لن تُعالج ضمن المهلة المعيارية للمعالجة، ولتوثيق المبرر التجاري لهذا القرار، ومستوى المخاطر المتبقية، ومالك العمل الذي يتحمل المسؤولية، والشروط التي يكون بموجبها القب
تُعد إساءة استخدام قبول المخاطر مهمة لـ TPRM لأنها تُنتج سجلات مخاطر تبدو شاملة، إذ تكون جميع المخاطر المحددة موثقة ومُدارة، بينما تحتوي عمليًا على عدد متزايد من حالات القبول القديمة التي تمثل مخاطر حقيقية غير مخففة تُحمل دون إشراف فعلي.
- إساءة استخدام قبول المخاطر: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: سجل المخاطر مصفّى على حالات القبول القديمة مع تواريخها وسجل مراجعاتها؛ تتبع التزامات المعالجة لحالات القبول التي تتضمن معالجة مخططة؛ إعدادات انتهاء صلاحية القبول في منصة GRC.
- عدم التوافق مع الرغبة في المخاطرة
-
عدم التوافق مع الرغبة في المخاطرة في إدارة الموردين هو الفجوة بين قدرة المؤسسة المحددة رسميًا على تحمّل المخاطر المتعلقة بالموردين، المعبَّر عنها بحدود التركّز والحدود الدنيا للأمن وعتبات حجم البيانات ومعايير عمق التكامل، وبين ملف المخاطر الفعلي لمحفظة الموردين القائمة.
يُعد عدم التوافق مع الرغبة في المخاطرة مهمًا لـ TPRM لأن أطر الرغبة في المخاطرة التزامات حوكمة، إذ حدد مجلس الإدارة مستوى التركّز في الموردين والمخاطر الأمنية الذي يقبل تحمّله.
- عدم التوافق مع الرغبة في المخاطرة: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: تفصيل مكونات معالجة البيانات، أي ما يُعالَج وأين؛ وتقييم الجدوى التقنية لتقليص نطاق المعالجة؛ والجدول الزمني للانتقال وتقديرات تكلفة تقليل التركّز.
- تقييم المخاطر بموجب CC3
-
يشترط CC3 أن تحدد المؤسسة أهدافها، وأن تحدد المخاطر التي تهدد تحقيقها، وأن تحلل تلك المخاطر بما فيها مخاطر الاحتيال، وأن تعيد تقييمها عند حدوث تغييرات كبيرة. وعمليًا، يتطلب ذلك تقييمًا موثقًا للمخاطر يُحافَظ عليه فعلًا بدلًا من إعداده مرة واحدة لأغراض التدقيق.
CC3 هو المعيار الذي يربط كل ما عداه. فالضوابط موجودة لأن المخاطر حُدِّدت، ومن دون سجل لهذا الاستدلال تبدو مجموعة الضوابط اعتباطية. وهو أيضًا الموضع الذي يبحث فيه المدققون عن دليل على أن المؤسسة تفكر في تعرضها للمخاطر بدلًا من مجرد تطبيق قائمة تحقق.
- فجوات التواصل بشأن المخاطر
-
التواصل بشأن المخاطر هو عملية ضمان وصول المخاطر المحددة إلى الأشخاص الذين يملكون الصلاحية أو الموارد أو المسؤولية التشغيلية للتصرف بشأنها، لا إلى الأشخاص المسؤولين تقنيًا عن تتبعها فحسب.
تكتسب فجوات التواصل بشأن المخاطر أهمية بالنسبة إلى TPRM لأن قيمة البرنامج للمؤسسة تتحدد بجودة القرارات التي يتيحها، والقرارات تتطلب تواصلًا يصل إلى صانعي القرار بصيغ تدعم اتخاذ إجراءات مستنيرة.
- فجوات التواصل بشأن المخاطر: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: مصفوفة الجماهير للتواصل بشأن المخاطر؛ وسجلات إخطار أصحاب الأعمال بالنتائج ذات الأولوية العالية؛ وتوثيق صيغ التواصل المختلفة بحسب الجمهور.
- إخفاقات ترتيب أولويات المخاطر
-
تحديد أولويات المخاطر هو عملية ترتيب المخاطر بحسب إلحاح استجابة الإدارة وشدتها بناءً على عواقبها الفعلية، أي الجمع بين الاحتمال والأثر الذي يحدد المخاطر التي ستُحدث أكبر ضرر إذا لم تُخفَّف.
تُعد إخفاقات تحديد أولويات المخاطر مهمة لـ TPRM لأنها تحدد أين تتركز موارد المعالجة واهتمام الإدارة، ومن ثمّ أين يتحقق خفض المخاطر فعلًا.
- إخفاقات تحديد أولويات المخاطر: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: منهجية أو معايير ترتيب المخاطر داخل المستوى الواحد؛ جداول زمنية للمعالجة تتفاوت بحسب العواقب؛ أخطر النتائج المفتوحة وحالة معالجتها.
- تحديات القياس الكمي للمخاطر
-
القياس الكمي للمخاطر هو ممارسة التعبير عن المخاطر من حيث الاحتمال والحجم، أي احتمال وقوع حدث سلبي محدد والأثر المالي أو التشغيلي إذا وقع.
تكتسب تحديات القياس الكمي للمخاطر أهمية بالنسبة إلى TPRM لأن قرارات الحوكمة والأعمال التي تعتمد على تقييمات مخاطر الموردين، مثل تخصيص الميزانية والتأمين ونقل المخاطر ورفع التقارير إلى مجلس الإدارة وترتيب أولويات المعالجة، تتطلب بشكل متزايد تعبيرات مالية عن المخاطر بدلًا من التصنيفات الترتيبية.
- تحديات القياس الكمي للمخاطر: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: حجم بيانات العملاء المعالجة وتصنيفها؛ تقديرات تكلفة الإخطار بالخروقات والاستجابة لها؛ حدود تغطية التأمين السيبراني والاستثناءات ذات الصلة.
- دقة سجل المخاطر
-
سجل المخاطر هو القائمة المرجعية المعتمدة للمخاطر المحددة التي تجري إدارتها حاليًا، أي مشهد المخاطر النشط الذي تستخدمه عمليات الحوكمة لترتيب أولويات المعالجة وتخصيص الموارد ورفع التقارير إلى القيادة.
تُعد دقة سجل المخاطر مهمة لـ TPRM لأن السجل هو الأداة الرئيسية لاتخاذ قرارات الحوكمة، مثل تحديد أولويات موارد المعالجة، ومراقبة العناصر عالية المخاطر، وإبلاغ القيادة بالمخاطر الحالية.
- دقة سجل المخاطر: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: أدلة على خطوات المعالجة المكتملة للنتائج طويلة الأمد؛ خطوات المعالجة المتبقية مع تواريخ الإنجاز المستهدفة؛ السبب الجذري للتأخير إذا كانت المعالجة متأخرة عن الجدول.
- ذاتية تقييم المخاطر
-
ذاتية تقييم المخاطر هي التباين في نتائج التقييم الناتج عن اختلاف تفسير المقيّمين للأدلة والضوابط التعويضية ومعايير التقييم ضمن منهجية محددة لتقييم المخاطر. وهي ليست خللًا في بنية المنهجية، فقد تكون البنية متسقة تمامًا ومحددة جيدًا.
تُعد ذاتية تقييم المخاطر مهمة لـ TPRM لأن درجات المخاطر تحرّك قرارات ذات عواقب، مثل الموافقة على المورد أو رفضه، وتدابير تخفيف المخاطر المطلوبة، وكثافة المراقبة، والمتطلبات التعاقدية.
- ذاتية تقييم المخاطر: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: أدلة تقنية على تطبيق الضابط التعويضي؛ وشرح محدد لكيفية تقليل الضابط التعويضي لمخاطر الضابط الغائب؛ وأي تحقق مستقل من فعالية الضابط التعويضي.
- الوصول القائم على الأدوار مقابل الاستخدام الفعلي
-
تكتسب مسألة الوصول القائم على الأدوار مقابل الاستخدام الفعلي أهمية بالنسبة إلى TPRM لأن الموردين الذين يستخدمون RBAC لإدارة وصول موظفيهم قد يكون لديهم مستخدمون يملكون وصولًا أوسع بكثير مما يتطلبه عملهم الفعلي، ويمثل هذا الوصول الزائد نطاق ضرر عند اختراق بيانات الاعتماد يتجاوز الحاجة الوظيفية.
تكتسب مسألة الوصول القائم على الأدوار مقابل الاستخدام الفعلي أهمية بالنسبة إلى TPRM لأن الموردين الذين يستخدمون RBAC لإدارة وصول موظفيهم قد يكون لديهم مستخدمون يملكون وصولًا أوسع بكثير مما يتطلبه عملهم الفعلي، ويمثل هذا الوصول الزائد نطاق ضرر عند اختراق بيانات الاعتماد يتجاوز الحاجة الوظيفية.
- الوصول القائم على الأدوار مقابل الاستخدام الفعلي: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: بيانات استخدام الصلاحيات، أي الصلاحيات المستخدمة مقابل غير المستخدمة للأدوار ذات الصلة؛ ودمج تحليلات الاستخدام في عملية مراجعة الوصول؛ وسجل إعادة معايرة الأدوار، أي متى حُدّثت الأدوار آخر مرة بناءً على أنماط الاستخدام.
- الحماية الذاتية للتطبيقات أثناء التشغيل في سياق CI/CD
-
يكتسب RASP أهمية بالنسبة إلى TPRM لأنه يمثل طبقة الأمن الواقعة بين ضوابط محيط الشبكة التي أكدها المورّد والسلوك الفعلي للتطبيق أثناء التشغيل.
يكتسب RASP أهمية بالنسبة إلى TPRM لأنه يمثل طبقة الأمن الواقعة بين ضوابط محيط الشبكة التي أكدها المورّد والسلوك الفعلي للتطبيق أثناء التشغيل.
- الحماية الذاتية للتطبيقات أثناء التشغيل في سياق CI/CD: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: تأكيد نشر RASP أو الحماية أثناء التشغيل؛ تغطية الحماية أثناء التشغيل وقدرتها على الكشف؛ تكامل CI/CD لنشر الحماية أثناء التشغيل.
S
- الوضع الأمني للبرمجيات كخدمة مقابل التقييم التقليدي للموردين
-
يكتسب الوضع الأمني للبرمجيات كخدمة أهمية لأن ناقل الهجوم الأكثر شيوعًا ضد منصات البرمجيات كخدمة ليس الاختراق على مستوى المنصة، بل الوصول القائم على بيانات الاعتماد عبر حسابات مستخدمين مخترقة، وحسابات خدمة ذات صلاحيات مفرطة، ورموز API دائمة الصلاحية.
يُعد الوضع الأمني لتطبيقات البرمجيات كخدمة مهمًا لأن ناقل الهجوم الأكثر شيوعًا ضد منصات البرمجيات كخدمة ليس اختراق المنصة نفسها، بل الوصول القائم على بيانات الاعتماد عبر حسابات مستخدمين مخترقة، وحسابات خدمة ذات صلاحيات مفرطة، ورموز API دائمة.
- الوضع الأمني لتطبيقات البرمجيات كخدمة مقابل التقييم التقليدي للموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: تأكيد الوصول عبر API لأغراض التكامل مع SSPM؛ قدرات إعداد التقارير عن المستخدمين والصلاحيات؛ دعم ميزة تدوير بيانات اعتماد API.
- البيع والمشاركة بموجب CPRA
-
يعرّف CPRA في ولاية كاليفورنيا البيع بأنه الإفصاح عن المعلومات الشخصية لطرف ثالث مقابل عوض نقدي أو أي عوض آخر ذي قيمة، ويعرّف المشاركة بأنها الإفصاح عنها لطرف ثالث لأغراض الإعلانات السلوكية عبر السياقات، سواء انتقل أي شيء ذي قيمة أم لا. وكلاهما يُفعّل حق المستهلك في الانسحاب والالتزام باحترام هذا الحق.
فاجأت وحدات البكسل الإعلانية معظم الشركات. فبكسل التتبع الذي يرسل بيانات التصفح إلى منصة إعلانية مقابل القياس أو بناء الجماهير يُعد بيعًا أو مشاركة بموجب هذا التعريف، حتى لو لم تكن هناك فاتورة. فالمقابل هو الخدمة المتلقاة، وينطبق الالتزام بإتاحة خيار إلغاء الاشتراك.
- العينات والمجتمعات الإحصائية
-
لا يختبر المدققون كل حالة من حالات تطبيق الضابط. بل يأخذون عينة، ويتبع حجم العينة تكرار الضابط وحجم المجتمع الإحصائي. فقد يُختبر ضابط يومي بعينة من 25 حالة على مدار السنة، وضابط ربع سنوي بحالتين، وضابط يُنفَّذ مرة واحدة بحالة واحدة. والنهج معياري والأحجام متعارف عليها.
يأتي مجتمع العينة أولًا، وإعداده عادةً من مسؤوليتك. يحتاج المدقق إلى قائمة كاملة ودقيقة بكل مرة جرى فيها تنفيذ الضابط، وكل تغيير، وكل موظف جديد، وكل مراجعة للصلاحيات، قبل أن يختار منها. فمجتمع العينة المستخرج من تقرير مُصفّى، أو من نظام لا يسجل كل الحالات، يمنح المدقق عينة من جزء فقط، ويكون الاستنتاج المستخلص منها غير مدعوم.
- SAST، ما الذي يكتشفه وما الذي لا يكتشفه
-
تُعد فجوات SAST مهمة لـ TPRM لأن تأكيد وجود SAST دون تقييم التغطية والمعالجة يوفر ضمانًا لوجود الأداة لا لفعاليتها.
تُعد فجوات SAST مهمة لـ TPRM لأن تأكيد وجود SAST دون تقييم التغطية والمعالجة يوفر ضمانًا لوجود الأداة لا لفعاليتها.
- SAST، ما الذي يكتشفه وما الذي لا يكتشفه: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: خريطة تغطية SAST مع الوحدات المستثناة ومبررات استثنائها؛ وSLA معالجة نتائج SAST حسب درجة الخطورة؛ والمورّد الذي يؤكد استخدام SAST ينبغي أن يُطالَب بالتغطية وبالأعمال المتراكمة للمعالجة. فوجود SAST هو الأداة، أما التغطية وسرعة المعالجة فهما مقياسا الفعالية.
- SAST مقابل الخفض الفعلي للمخاطر
-
يُعد SAST من أكثر ممارسات أمن التطبيقات ذكرًا في ردود الموردين على الاستبيانات، ومن أكثرها تقديمًا بصورة مضللة، لا عن خداع متعمد، بل لأن السؤال «هل تستخدمون SAST؟» يمكن أن يجيب عنه بدقة أي مورد تتضمن أدوات التطوير لديه ماسحًا، بغض النظر عما إذا كان
يُعد SAST من أكثر ممارسات أمن التطبيقات ذكرًا في ردود الموردين على الاستبيانات، ومن أكثرها تقديمًا بصورة مضللة، لا عن خداع متعمد، بل لأن السؤال «هل تستخدمون SAST؟» يمكن أن يجيب عنه بدقة أي مورد تتضمن أدوات التطوير لديه ماسحًا، بغض النظر عما إذا كان
- SAST مقابل الخفض الفعلي للمخاطر: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: أعداد النتائج الحرجة والعالية المفتوحة للتطبيق المحدد، مع بيانات اتجاه تُظهر مسار التغير؛ ومتوسط مدة معالجة النتائج الحرجة، رقمًا لا بيان سياسة؛ وتأكيد سياسة الحظر مع توثيق عملية الاستثناءات.
- النطاق وحدود النظام
-
تحدد حدود النظام الأنظمة والأشخاص والعمليات والبيانات التي تقع داخل نطاق التدقيق وتلك التي تقع خارجه. فكل ما بالداخل يُوصف ويُختبر. وكل ما بالخارج غير مختبر، ولا يقول التقرير عنه شيئًا. والشركة الخاضعة للتدقيق هي من ترسم الحدود.
الحدود الضيقة تنتج تدقيقًا أرخص وأسرع وتقريرًا يغطي أقل مما يفترضه القارئ، والحدود الواسعة تنتج العكس. ولا خطأ في أي منهما، لكن ينبغي اتخاذ القرار عن قصد، وينبغي أن تطابق الحدود ما يشتريه العملاء فعلًا.
- توسع النطاق بين دورات التدقيق
-
تتغير المنتجات أسرع من نطاق التدقيق. فبين تقرير وآخر، قد يطلق المورد خدمات جديدة، أو يفتتح مناطق جديدة، أو يستحوذ على شركة، أو يرحّل بنيته التحتية. والتقرير الذي بين يديك يصف النظام كما كان خلال فترة انتهت منذ مدة.
التقرير دقيق، وفي الوقت نفسه لا يغطي ما تشتريه الآن. فالعميل الذي اعتمد ميزة جديدة قبل ستة أشهر قد يعتمد على تقرير يسبق وصفُ النظام فيه وجودَ تلك الميزة.
- الأسرار & إدارة المفاتيح
-
إدارة الأسرار هي تخصص التحكم في كيفية إنشاء بيانات الاعتماد الحساسة، مثل مفاتيح API وكلمات المرور والشهادات ومفاتيح التشفير والرموز وسلاسل الاتصال، وتخزينها وتوزيعها واستخدامها وإيقافها. وتبدو مشكلة بسيطة من مشكلات النظافة التقنية، وهذا تحديدًا سبب الاستهانة بها باستمرار.
تعمل تكاملات الموردين بالكامل تقريبًا على الأسرار.
- الأسرار & إدارة المفاتيح: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: منصة مسماة لإدارة الأسرار مع ضوابط وصول موثقة وسجلات تدقيق؛ سياسة تدوير بحد أقصى محدد لعمر بيانات الاعتماد، ويُفضَّل ألا يتجاوز 90 يومًا؛ عملية للإلغاء الفوري عند مغادرة الموظفين الذين يملكون صلاحية الوصول.
- الأسرار في الشيفرة المصدرية
-
تُعد الأسرار في الشيفرة المصدرية مهمة لـ TPRM لأن مستودعات التطوير لدى مورديك قد تحتوي على بيانات اعتماد تتيح الوصول إلى أنظمة تعالج بياناتك، مثل بيانات اعتماد قواعد بيانات الإنتاج، ومفاتيح مزودي الخدمات السحابية، ورموز API للخدمات التي تتعامل مع بياناتك.
تكتسب الأسرار الموجودة في الشيفرة المصدرية أهمية بالنسبة إلى TPRM لأن مستودعات التطوير لدى مورديك قد تحتوي على بيانات اعتماد تتيح الوصول إلى أنظمة تعالج بياناتك، مثل بيانات اعتماد قواعد بيانات الإنتاج، ومفاتيح مزودي السحابة، ورموز API للخدمات التي تتعامل مع بياناتك.
- الأسرار في الشيفرة المصدرية: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: تطبيق خطاف لكشف الأسرار قبل الإيداع؛ تأكيد تدوير بيانات الاعتماد لأي حالات كشف سابقة؛ سياسة إدارة الأسرار وإنفاذها.
- إدارة الأسرار في CI/CD
-
تُعد سلامة ممارسات إدارة الأسرار مهمة لـ TPRM لأن بيانات اعتماد مسار CI/CD، مثل مفاتيح الوصول لدى مزودي الخدمات السحابية ورموز سجلات المخرجات وبيانات اعتماد النشر في الإنتاج، من أعلى بيانات الاعتماد قيمةً في بيئة المؤسسة.
تكتسب سلامة إدارة الأسرار أهمية بالنسبة إلى TPRM لأن بيانات اعتماد خطوط CI/CD، مثل مفاتيح الوصول لدى مزود السحابة ورموز سجلات المُخرَجات البرمجية وبيانات اعتماد النشر في بيئة الإنتاج، من أعلى بيانات الاعتماد قيمة في بيئة المؤسسة.
- إدارة الأسرار في CI/CD: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: جدول تدوير الأسرار وتواريخ آخر تدوير؛ وتوثيق نطاق الأسرار، أي الخطوات التي تصل إلى كل سر؛ والمورّد الذي يؤكد إدارة الأسرار ينبغي أن يُسأل عن التدوير والإخفاء ونظافة سجل git. فإدارة الأسرار هي آلية التخزين، أما التدوير والإخفاء ونظافة السجل فتحدد ما إذا كانت الأسرار المخزنة تظل سرية.
- إنفاذ معايير البرمجة الآمنة
-
معيار البرمجة الآمنة هو مجموعة محددة من القواعد والإرشادات والمتطلبات التي تحدد كيف ينبغي للمطورين كتابة الشيفرة البرمجية لتجنب إدخال ثغرات أمنية.
معايير الترميز الآمن هي الضابط الذي يعمل في المراحل الأولى ويحدد الجودة الأمنية للشيفرة قبل أن تتاح لأدوات الفحص المؤتمتة فرصة اكتشاف ما صُممت المعايير لمنعه.
- إنفاذ معايير البرمجة الآمنة: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: توثيق ربط قواعد SAST الذي يُظهر متطلبات المعيار التي تُنفَّذ تلقائيًا عبر الأدوات؛ وتأكيد منصة التدريب مع وصف المحتوى الخاص بكل لغة برمجة وذي الصلة بالمعيار؛ ومقاييس الامتثال، أي نسبة قاعدة الشيفرة التي تستوفي متطلبات المعيار عبر أدوات قابلة للقياس.
- SDLC الآمن في بيئات الموردين
-
أمن تطبيقات الموردين هو فئة المخاطر الأوثق صلة بما تعيشه مؤسستك فعليًا عندما تتعرض برمجيات المورّد للاختراق أو الاستغلال أو يتبين احتواؤها على ثغرات. فكل الأبعاد الأخرى لأمن الموردين، مثل تهيئة السحابة وإدارة الوصول والتشفير، تعمل على مستوى البنية التحتية.
أمن تطبيقات الموردين هو فئة المخاطر الأوثق صلةً بما تتعرض له مؤسستك فعليًا عندما تُخترق برمجيات المورد أو تُستغل أو يُكتشف أنها تحتوي على ثغرات.
- SDLC الآمنة في بيئات الموردين: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: ملخص تنفيذي لاختبار الاختراق يقتصر نطاقه على التطبيق المحدد، ومؤرخ خلال آخر 12 شهرًا، مع أعداد النتائج المفتوحة حسب درجة الخطورة؛ وتأكيد أداة SAST مع تواتر الفحص وتغطية قاعدة الشيفرة وتوثيق SLA المعالجة؛ وتوثيق عملية الإفصاح عن الثغرات مع جدول زمني ملتزم به للإخطار وSLA للمعالجة حسب درجة الخطورة.
- برنامج أبطال الأمن في DevSecOps
-
تُعد برامج سفراء الأمن مهمة لـ TPRM لأنها تمثل الآلية التنظيمية التي تنشر الأمن داخل سير عمل التطوير، حيث يمكنه بأكبر قدر من الفعالية منع الثغرات قبل إيداعها.
تكتسب برامج أبطال الأمن أهمية بالنسبة إلى TPRM لأنها تمثل الآلية التنظيمية التي توزّع الأمن داخل مسار عمل التطوير، حيث يمكنه أن يمنع الثغرات بأكبر قدر من الفعالية قبل اعتماد الشيفرة.
- برنامج أبطال الأمن في DevSecOps: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: عدد سفراء الأمن النشطين في كل فريق تطوير؛ تاريخ آخر تدريب أو اجتماع للسفراء؛ النتائج الأمنية المنسوبة إلى السفراء في الربع الماضي.
- تتبع الدين الأمني وسرعة المعالجة
-
يُعد تتبع الدين الأمني مهمًا لـ TPRM لأن النسبة بين النتائج المكتشفة والنتائج المعالجة هي أدق مؤشر متاح على ما إذا كان برنامج DevSecOps يحسّن الوضع الأمني فعلًا.
يُعد تتبع الدين الأمني مهمًا لـ TPRM لأن النسبة بين النتائج المكتشفة والنتائج المعالجة هي أدق مؤشر متاح على ما إذا كان برنامج DevSecOps يحسّن الوضع الأمني فعلًا.
- تتبع الدين الأمني وسرعة المعالجة: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: النتائج المتراكمة الحالية حسب درجة الخطورة؛ صافي التغير في النتائج المتراكمة خلال الربع الماضي، زيادةً أو نقصانًا؛ توزيع أعمار النتائج الحرجة والعالية.
- تجاوز بوابات الأمن في CI/CD
-
يُعد تجاوز بوابات الأمن مهمًا لـ TPRM لأنه يمثل الفرق بين بوابات الأمن بوصفها ضوابط وبوابات الأمن بوصفها أدوات مراقبة. فالبوابة التي يستطيع المسؤولون تجاوزها بقرار منفرد عند الطلب هي أداة مراقبة تُصدر تنبيهات حين يكون التنبيه مزعجًا.
يُعد تجاوز بوابات الأمن مهمًا لـ TPRM لأنه يمثل الفرق بين بوابات الأمن بوصفها ضوابط وبوابات الأمن بوصفها أدوات مراقبة.
- تجاوز البوابات الأمنية في CI/CD: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: سياسة حوكمة التجاوز، أي من يمكنه التجاوز وبأي موافقة؛ وتوافر سجل تدقيق أحداث التجاوز؛ وعملية مراجعة سجلات التجاوز وتواترها.
- انعزال العمليات الأمنية
-
عزلة عمليات الأمن هي الفواصل التنظيمية والتقنية بين فرق الأمن المتخصصة في مجالات بعينها، مثل أمن التطبيقات، وأمن السحابة، وأمن نقاط النهاية، وSOC، وأمن الشبكات، والتي تمنع الرؤية عبر المجالات، وربط النتائج عبر المجالات، وتحديد سلاسل الهجوم العابرة للمجالات.
تكتسب عزلة عمليات الأمن أهمية بالنسبة إلى TPRM لأن سلاسل الهجوم التي يستخدمها مهاجمو سلسلة التوريد المتمرسون للوصول إلى بيانات العملاء تمتد عادةً عبر عدة مجالات أمنية، فتستغل ثغرات التطبيقات للحصول على الوصول الأولي، وأخطاء تهيئة نقاط النهاية لتصعيد الصلاحيات، وأخطاء تهيئة السحابة للوصول إلى البيانات الحس
- عزلة عمليات الأمن: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: آلية الربط عبر المجالات، سواء كانت أداة أو عملية؛ ونطاق تمارين الفريق الأحمر، أي سلاسل الهجوم العابرة للمجالات التي جرى اختبارها؛ والقدرة على تقييم مسارات الهجوم متعددة المجالات.
- استبيانات الأمن على نطاق واسع
-
الإجابة عن استبيانات الأمن التي يرسلها المشترون تكلفة متكررة للبيع إلى المؤسسات الخاضعة للتنظيم، والتعامل الافتراضي معها سيئ على نحو محدد: يُجيب عن كل استبيان من الذاكرة من أجاب عن الاستبيان السابق، وبشكل مختلف قليلًا في كل مرة، ولا يسجل أحد ما قيل. وبعد ستة أشهر يصل استبيان مشابه ويبدأ العمل من الصفر.
ثلاثة استبيانات في ربع واحد تسأل عن التشفير أثناء التخزين تحصل على ثلاث إجابات مختلفة، ليست أيٌّ منها خاطئة، وكلٌّ منها يركز على جانب مختلف. ثم يُجاب عن رابع على عجل فيلتزم بضابط لا تطبّقه الشركة، وتصبح تلك الإجابة الآن إقرارًا تعاقديًا لا يعلم أحد في فريق الهندسة أنه قُدِّم.
- الاختبار الأمني في مفاتيح تفعيل الميزات
-
يكتسب أمن مفاتيح تفعيل الميزات أهمية بالنسبة إلى TPRM لأن مفاتيح تفعيل الميزات تمثل آلية نشر تتجاوز ضوابط خط CI/CD إذا لم تخضع عملية تفعيل المفتاح لحوكمة أمنية مكافئة.
يُعد أمن مفاتيح تفعيل الميزات مهمًا لـ TPRM لأن مفاتيح الميزات تمثل آلية نشر تتجاوز ضوابط مسار CI/CD إذا لم تكن لعملية تفعيل المفتاح حوكمة أمنية مكافئة.
- الاختبار الأمني لمفاتيح تفعيل الميزات: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: وثائق التحكم في الوصول إلى مفاتيح الميزات، أي من يستطيع تفعيلها في الإنتاج؛ مسار اعتماد تفعيل مفاتيح الميزات الجديدة؛ ربط المراجعة الأمنية بحالة مفاتيح الميزات.
- الفصل بين المهام
-
الفصل بين المهام هو المبدأ القائل بأنه لا يجوز لشخص واحد أن يُتم إجراءً حساسًا من بدايته إلى نهايته: فمن يطلب لا يوافق، ومن يطوّر لا ينشر في بيئة الإنتاج، ومن يمنح الوصول لا يراجعه، ومن يغيّر المستفيد لا يصرف الدفعة. وهو ضابط ضد الخطأ والاحتيال معًا، وهو الضابط الذي تجد المؤسسات الصغيرة أن تشغيله هو الأصعب.
يختبره المدققون مباشرةً، وتعتمد عليه الضوابط المالية، وغيابه هو ما يجعل شخصًا واحدًا مخترقًا أو مهملًا يتحول إلى حدث جوهري. ويظهر أيضًا في مراجعات الوصول، حيث يكون المراجع الذي يوافق على وصوله الخاص قد أخبر المدقق بشيء ما، وفي ضبط التغيير، حيث يكون المطور القادر على الدمج والنشر بمفرده قد أزال المراجعة من العملية.
- اختيار المنهجية المناسبة لتقييم أمن الشبكات
-
يُعد اختيار منهجية التقييم مهمًا لفعالية برنامج TPRM لأن عدم ملاءمة المنهجية، أي إجراء تقييم منخفض العمق لموردين عاليي الأهمية، يُنشئ فجوة طمأنينة زائفة: فقد قُيِّم المورد، ولم يجد التقييم أي مشكلات، لكن منهجية التقييم لم تكن كافية لاكتشاف المشكلات الموجودة.
يُعد اختيار منهجية التقييم مهمًا لفعالية برنامج TPRM لأن عدم ملاءمة المنهجية، أي إجراء تقييم منخفض العمق لموردين عاليي الأهمية، يُنشئ فجوة طمأنينة زائفة: فقد قُيِّم المورد، ولم يجد التقييم أي مشكلات، لكن منهجية التقييم لم تكن كافية لاكتشاف المشكلات الموجودة.
- اختيار المنهجية المناسبة لتقييم أمن الشبكات: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: متطلبات الأدلة التقنية للموردين الحرجين؛ ودمج الفحص الخارجي للموردين الحرجين؛ ومراجعة المنهجية ضمن حوكمة TPRM.
- فجوات اكتشاف البيانات الحساسة
-
اكتشاف البيانات الحساسة هو العملية المنهجية لفحص بيئة البيانات في المؤسسة لتحديد مواضع وجود البيانات الحساسة، مثل المعلومات الشخصية والبيانات المالية والمعلومات الصحية وبيانات الاعتماد وغيرها من فئات البيانات الخاضعة للتنظيم أو عالية القيمة، عبر أنظمة التخزين والمستندات ومنصات التعاون والأنظمة التشغ
تُعد فجوات اكتشاف البيانات الحساسة مهمة لـ TPRM لأنها تمثل فئة التعرض للبيانات التي لا تراها التقييمات الأمنية المعتادة للموردين.
- فجوات اكتشاف البيانات الحساسة: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: توثيق نطاق برنامج الاكتشاف، أي جميع الأنظمة المشمولة مع تأكيد محدد لتغطية منصات الدعم والتعاون؛ وملخص نتائج أحدث فحص اكتشاف لأنظمة الدعم؛ وتوثيق عملية المعالجة للبيانات الحساسة المكتشفة خارج النطاق.
- أمن الحوسبة بدون خوادم في CI/CD
-
يُعد أمن الحوسبة بدون خوادم مهمًا لـ TPRM لأن أدوار تنفيذ Lambda ذات الصلاحيات المفرطة نتيجة شائعة في بيئات الحوسبة بدون خوادم التي لم تطبّق مبدأ الحد الأدنى من الصلاحيات على إعدادات IAM الخاصة بالدوال.
يُعد أمن الحوسبة بدون خوادم مهمًا لـ TPRM لأن أدوار تنفيذ Lambda ذات الصلاحيات المفرطة نتيجة شائعة في بيئات الحوسبة بدون خوادم التي لم تطبّق مبدأ الحد الأدنى من الصلاحيات على إعدادات IAM الخاصة بالدوال.
- أمن الحوسبة بدون خوادم في CI/CD: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: سجلات مراجعة الحد الأدنى من الصلاحيات لأدوار التنفيذ؛ واستخدام IAM Access Analyzer أو ما يعادله؛ وفحص البنية التحتية كرمز لأمن أدوار التنفيذ.
- مدقق الخدمة والمؤسسة المقدِّمة للخدمة
-
منظمة الخدمة هي الشركة الخاضعة للتدقيق. ومدقق الخدمة هو شركة CPA التي تنفذ المهمة. والجهة المستخدمة هي العميل الذي يعتمد على التقرير، ومدقق الجهة المستخدمة هو مدقق ذلك العميل، الذي قد يعتمد بدوره على التقرير. والتقرير مكتوب لهذين الأخيرين.
معرفة الدور الذي تشغله تغيّر طريقة قراءتك للوثيقة. فضوابط الجهة المستخدمة التكميلية مكتوبة للجهة المستخدمة ومدققها، ولهذا تُقرأ كأنها تعليمات. ووصف النظام تكتبه المؤسسة المقدِّمة للخدمة عن نفسها. أما الرأي فهو رأي مدقق الخدمة، وهو موجّه إلى إدارة المؤسسة المقدِّمة للخدمة.
- مخاطر اختطاف الجلسات
-
اختطاف الجلسة هو أسلوب هجوم يقوم على سرقة بيانات اعتماد الجلسة بعد المصادقة، وعادةً ما تكون ملف تعريف ارتباط للجلسة أو رمز وصول أو رمز تحديث، واستخدامها للوصول إلى الأنظمة بصفة المستخدم المصادَق عليه دون تكرار عملية المصادقة.
يُعد خطر اختطاف الجلسات مهمًا لـ TPRM لأن الموردين الذين يحتفظون برموز جلسات صالحة للوصول إلى بيئات العملاء يوفرون ناقل هجوم إضافيًا يتجاوز سرقة بيانات الاعتماد.
- مخاطر اختطاف الجلسات: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: توثيق مدة صلاحية رموز الوصول ورموز التحديث؛ وتأكيد تطبيق التقييم المستمر للوصول؛ والقدرة على إلغاء الجلسات وزمن الاستجابة لذلك.
- الذكاء الاصطناعي الخفي
-
الذكاء الاصطناعي الخفي هو استخدام أدوات وميزات الذكاء الاصطناعي التي لم يوافق عليها أحد ولم يسجلها أحد: المساعدات الاستهلاكية المستخدمة عبر حسابات شخصية، والنماذج التي تُستدعى من شيفرة الإنتاج دون مراجعة، والمساعدات المفعّلة داخل منتجات تشتريها المؤسسة بالفعل. والفئة الأخيرة هي الأكبر والأقل ظهورًا، لأن الميزة الجديدة لدى المورّد لا تبدو كأنها اعتماد للذكاء الاصطناعي.
الحظر لا يجدي. فمنع فئة كاملة دون تقديم بديل معتمد ينقل النشاط إلى حسابات شخصية لا ترى فيها شيئًا. ولا يكشفه المسح أيضًا، لأن الناس يصفون الأدوات التي اختاروها عن قصد، لا الميزة التي ظهرت في منصة الدعم في الربع الماضي وصارت الآن تلخّص كل تذكرة.
- استخدام الموردين للسحابة الخفية
-
استخدام الموردين للسحابة الخفية هو إنشاء موارد سحابية أو تعديلها أو تشغيلها داخل بيئة العميل، أو باستخدام هوية العميل السحابية وحساب فوترته، دون علم العميل الصريح وموافقته على تلك الأنشطة المحددة.
يُعد استخدام الموردين للسحابة الخفية من أوضح الأمثلة على أن مخاطر الأطراف الثالثة في البيئات السحابية لا يمكن تقييمها على مستوى مؤسسة المورّد وحدها.
- استخدام الموردين للسحابة الخفية: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: وصف واضح لأنواع الموارد التي يحتاج المورّد إلى صلاحية إنشائها، مع المبرر التشغيلي؛ وأدلة على الضوابط الداخلية التي تمنع مهندسي المورّد من إنشاء موارد غير مصرح بها في بيئات العملاء؛ وعملية محددة لإزالة الموارد التي أنشأها المورّد عند انتهاء الارتباط.
- قيود تغطية SIEM
-
حدود تغطية SIEM هي الفجوات بين الأنظمة والبيئات التي تراقبها منصة SIEM والبصمة التقنية الكاملة التي تولّد أحداثًا ذات صلة بالأمن. فمنصة SIEM تراقب ما تتلقى منه بيانات القياس عن بُعد، أي الأنظمة والخدمات والبيئات التي جرت تهيئتها لإرسال السجلات والأحداث إلى SIEM.
تُعد قيود تغطية SIEM مهمة لـ TPRM لأن مهاجمي سلسلة التوريد يستهدفون تحديدًا المسارات الأقل مراقبة إلى بيئات الموردين: الخدمات المُدارة، وأنظمة وصول المتعاقدين، ومسارات التطوير التي يُرجَّح أن تكون في تغطية مراقبتها فجوات.
- حدود تغطية SIEM: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: تأكيد تغطية الخدمة المُدارة أو الإفصاح عن الفجوات؛ والمورّد الذي يملك نظام SIEM ناضجًا ينبغي أن يُطالَب بقائمة جرد التكاملات. فنشر SIEM يصف القدرة، أما قائمة الجرد فتصف ما تغطيه هذه القدرة.
- SIG وSIG Lite
-
استبيان جمع المعلومات الموحد مجموعة أسئلة منظمة وكبيرة يتولى برنامج Shared Assessments صيانتها، وتغطي الأمن والخصوصية والمرونة والمجالات ذات الصلة. ونسخة SIG Lite هي النسخة الأساسية الأقصر. وتكمن قيمتهما في أن المورد ربما يكون قد أكمل إحداهما مسبقًا، مما يحوّل تقييمك إلى مراجعة لإجابات قائمة بدلًا من استجواب جديد.
عندما يقرر برنامجك الأداة التي يستخدمها لكل مستوى، تكون المجموعات المعيارية هي المرشح البديهي للمستوى الأعلى، وكثيرًا ما يحتفظ الموردون الذين يبيعون لمشترين خاضعين للتنظيم بنسخة مكتملة ومحدَّثة من SIG لهذا السبب تحديدًا. وقبول إحداها يوفر على الطرفين أسابيع، بشرط أن تقرأها لا أن تحفظها في الأرشيف.
- Sigstore وثورة سجلات الشفافية
-
تكتسب أداة Sigstore أهمية بالنسبة إلى TPRM لأنها توفر معيارًا مجانيًا ومتاحًا لتوقيع سلسلة توريد البرمجيات وشفافيتها، يزيل العائق التقني أمام اعتماده لدى الموردين الأصغر حجمًا.
تكتسب أداة sigstore أهمية بالنسبة إلى TPRM لأنها توفر معيارًا مجانيًا ومتاحًا لتوقيع سلسلة توريد البرمجيات وشفافيتها، يزيل العائق التقني أمام اعتماده لدى الموردين الأصغر حجمًا.
- Sigstore وثورة سجلات الشفافية: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: تأكيد اعتماد sigstore cosign أو خارطة الطريق لاعتماده؛ والتحقق من قيود سجل rekor للإصدارات الحديثة؛ ونهج التوقيع الحالي وإدارة المفاتيح إذا لم يكن Sigstore مستخدمًا.
- SLA مقابل الإنفاذ
-
تحدد اتفاقيات مستوى الخدمة معايير الأداء التي يجب على المورد استيفاؤها، مثل نسب وقت التشغيل وأزمنة الاستجابة ونوافذ المعالجة والجداول الزمنية للحل.
تُعد مسألة SLA مقابل الإنفاذ مهمة لـ TPRM لأن اتفاقيات مستوى الخدمة أداة تعاقدية رئيسية لإدارة المخاطر، فهي تضع معايير أداء يُفترض أن تضمن تقديم الموردين خدمات موثوقة وعالية الجودة.
- SLA مقابل الإنفاذ: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: تحليل السبب الجذري لكل إخلال بـ SLA؛ إجراءات معالجة محددة مع جداول زمنية؛ الاستثمارات المخططة في البنية التحتية أو التغييرات التشغيلية.
- SOC 1 وSOC 2 وSOC 3
-
يغطي تقرير SOC 1 الضوابط ذات الصلة بالتقارير المالية للعميل، وهو ما يريده المدقق المالي للعميل من مزود خدمات الرواتب أو الفوترة. ويغطي تقرير SOC 2 الضوابط وفق معايير خدمات الثقة، للعملاء المعنيين بالأمن والعمليات. أما تقرير SOC 3 فهو ملخص عام متاح للاستخدام العام لتقرير SOC 2 بعد حذف تفاصيل الاختبار.
قد يحتفظ مورّد واحد باثنين من هذه التقارير لأسباب مختلفة، وإرسال التقرير الخطأ إليك يهدر دورة مراجعة. فتقرير SOC 1 لدى مزود خدمات الرواتب لا يقول شيئًا عن وضعه الأمني، وتقرير SOC 2 لديه لا يقول شيئًا عن دقة معالجته المالية.
- SOC 2 بلس
-
تقرير SOC 2 بلس، الذي يُكتب أحيانًا SOC 2+، هو مهمة SOC 2 موسّعة لتقديم تقرير وفق معايير إضافية إلى جانب معايير خدمات الثقة، وعادةً ما تكون ISO 27001 أو HIPAA أو مصفوفة ضوابط السحابة الصادرة عن CSA أو NIST CSF. ويطابق المدقق ضوابط المؤسسة مع كل إطار ويقدم تقريرًا عنها جميعًا في وثيقة واحدة.
بالنسبة إلى المورّد الذي يخدم عملاء يطلبون أُطرًا مختلفة، فهو فعال حقًا: دورة أدلة واحدة، وتدقيق واحد، ومخرجات ضمان متعددة. وبالنسبة إلى العميل، فهو يعني أن تقرير SOC 2 الذي يتلقاه قد يجيب بالفعل عن أسئلته المتعلقة بـ ISO أو HIPAA دون إجراء منفصل.
- SOC 2 من النوع I والنوع II
-
يفحص تقرير النوع I ما إذا كانت الضوابط مصممة بشكل مناسب وقائمة في تاريخ واحد. أما تقرير النوع II فيفحص ما إذا كانت تلك الضوابط قد عملت فعلًا كما هو موصوف على مدى فترة، تتراوح عادةً بين ثلاثة واثني عشر شهرًا. ويصدر كلاهما وفق المعيار نفسه ويتشابهان على الغلاف، ومن هنا يبدأ الالتباس.
يثبت تقرير النوع I أن الضابط كان موجودًا في يوم واحد. أما تقرير النوع II فيثبت أنه ظل يعمل لأشهر، رغم تغيّر الموظفين والإصدارات والضغط المعتاد لتخطي خطوة ما. وتعلّمت فرق المشتريات أن تطلب الثاني لأن الأول لا يكاد يقول شيئًا عما إذا كان المورد يتصرف باتساق.
- قيود أتمتة SOC
-
قيود أتمتة SOC هي أنماط الإخفاق وفجوات التغطية ومواطن الضعف الناتجة عن الانحراف التي تمنع أدوات عمليات الأمن المؤتمتة، مثل منصات SOAR وأنظمة الفرز الآلي ومسارات عمل التنسيق، من أداء الوظائف التي نُشرت لأدائها بشكل موثوق.
تُعد قيود أتمتة SOC مهمة لـ TPRM لأن نشر SOAR يعطي مظهر تحسّن تغطية الكشف وقدرة المحللين دون أن يضمن أن الأتمتة تؤدي بشكل صحيح الوظائف التي حلّت محلها.
- قيود أتمتة SOC: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: تاريخ آخر مراجعة لمواءمة البيئة؛ وإجراء دمج SOAR في إدارة التغيير؛ والمورّد الذي يؤكد نشر SOAR ينبغي أن يُسأل عن مراقبة سلامة أدلة التشغيل. فالنشر يصف ما جرى تثبيته، أما مراقبة السلامة فتصف ما إذا كان ما جرى تثبيته لا يزال يعمل بشكل صحيح. والانحراف البيئي يجعل هذا التمييز حاسمًا.
- الموافقة الضمنية المخففة
-
الموافقة الضمنية المبسطة استثناء بموجب قواعد الخصوصية الإلكترونية يسمح بالتسويق عبر البريد الإلكتروني أو SMS دون موافقة مسبقة، متى حُصل على بيانات المتلقي في سياق بيع أو تفاوض على بيع، وكان التسويق لمنتجات أو خدمات مماثلة، وأُتيحت فرصة الانسحاب عند الجمع وفي كل رسالة لاحقة.
إنه الأساس الأكثر ادعاءً للتسويق للعملاء الحاليين، وكثيرًا ما يُمدَّد إلى ما يتجاوز شروطه. فالاستثناء يشترط وجود بيع أو تفاوض على بيع. ويشترط أن تكون المنتجات مماثلة. ويشترط أن يكون خيار الانسحاب قد عُرض لحظة جمع البيانات، لا أن يُضاف لاحقًا.
- قائمة مكونات البرمجيات: ما بعد الإلزام
-
تُعد جودة SBOM مهمة لـ TPRM لأن SBOM القديمة أو الناقصة أو التي تفتقر إلى معلومات عن حالة الثغرات تعطي مظهر الشفافية في سلسلة التوريد دون جوهرها.
تُعد جودة SBOM مهمة لـ TPRM لأن SBOM القديمة أو الناقصة أو التي تفتقر إلى معلومات عن حالة الثغرات تعطي مظهر الشفافية في سلسلة التوريد دون جوهرها.
- قائمة مكونات البرمجيات: ما بعد الإلزام: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: SBOM خاصة بالإصدار بصيغة قياسية (CycloneDX أو SPDX)؛ وتوثيق VEX للمكونات ذات الثغرات الحرجة المعروفة؛ وعملية إنشاء SBOM ووتيرة تحديثها.
- أتمتة قائمة مكونات البرمجيات
-
تُعد أتمتة SBOM مهمة لـ TPRM لأن القيمة المعلوماتية لبرنامج SBOM تتناسب مع السرعة التي تؤدي بها ثغرات CVE الجديدة في الجرد إلى تنبيه المؤسسة واتخاذها إجراءً. والبرنامج الذي يراجع قوائم مكونات البرمجيات سنويًا عند إعادة التقييم يوفر الوعي بـ CVE متأخرًا اثني عشر شهرًا.
تُعد أتمتة SBOM مهمة لـ TPRM لأن القيمة المعلوماتية لبرنامج SBOM تتناسب مع السرعة التي تؤدي بها ثغرات CVE الجديدة في الجرد إلى تنبيه المؤسسة واتخاذها إجراءً.
- أتمتة قائمة مكونات البرمجيات: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: SBOM بصيغة CycloneDX JSON للإصدار المنشور حاليًا؛ وعملية الإخطار بثغرات CVE في المكونات؛ ووتيرة تحديث SBOM، أي عدد مرات تحديثها.
- فجوات تحليل مكونات البرمجيات
-
تُعد فجوات SCA مهمة لـ TPRM لأن تقرير «صفر ثغرات حرجة» الصادر عن أداة SCA لا يغطي إلا ما هُيئت الأداة لفحصه.
تُعد فجوات SCA مهمة لـ TPRM لأن تقرير «صفر ثغرات حرجة» الصادر عن أداة SCA لا يغطي إلا ما هُيئت الأداة لفحصه.
- فجوات تحليل مكونات البرمجيات: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: توثيق نطاق SCA، أي المستودعات والمنظومات المشمولة؛ وتواتر الفحص وتكامله مع مسار عمل التطوير؛ والمورّد الذي يؤكد تطبيق أداة SCA ينبغي أن يُطالَب بتوثيق النطاق. فوجود الأداة يؤكد القدرة، أما توثيق النطاق فيكشف ما تغطيه القدرة وما تغفله.
- تحليل مكونات البرمجيات في CI/CD
-
تُعد تغطية SCA في CI/CD مهمة لـ TPRM لأن التعرض لثغرات البرمجيات يتحدد بالمكوّن الأسوأ تغطيةً، لا بالأفضل تغطيةً.
تُعد تغطية SCA في CI/CD مهمة لـ TPRM لأن التعرض لثغرات البرمجيات يتحدد بالمكوّن الأسوأ تغطيةً، لا بالأفضل تغطيةً.
- تحليل مكونات البرمجيات في CI/CD: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: خريطة تغطية SCA تشمل جميع مستودعات الإنتاج؛ معدل دمج طلبات PR التي ينشئها روبوت تحديث التبعيات للنتائج الحرجة؛ إعدادات الإنفاذ في CI/CD الخاصة بـ SCA.
- التحقق من مصدر البرمجيات
-
يُعد التحقق من مصدر البرمجيات مهمًا لـ TPRM لأن اختراق البنية التحتية للتوزيع ناقل هجوم موثق، وهو الآلية التي استُخدمت في هجوم NotPetya (عبر البنية التحتية لتحديثات M.E.Doc)، وفي هجوم Live Update على ASUS، وفي حوادث مماثلة في سلسلة التوريد.
يُعد التحقق من مصدر البرمجيات مهمًا لـ TPRM لأن اختراق البنية التحتية للتوزيع ناقل هجوم موثق، وهو الآلية التي استُخدمت في هجوم NotPetya (عبر البنية التحتية لتحديثات M.E.Doc)، وفي هجوم Live Update على ASUS، وفي حوادث مماثلة في سلسلة التوريد.
- التحقق من مصدر البرمجيات: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: شهادة إثبات المصدر وفق SLSA لإصدارات محددة؛ وعملية التحقق من قيود سجل الشفافية؛ والمورّد الذي يؤكد أن إصداراته موقّعة ينبغي أن يُسأل عن التحقق من شهادات إثبات المصدر. فالتوقيع يؤكد أن المفتاح وقّع المُخرَج البرمجي، أما شهادة إثبات المصدر فتؤكد أن نظام البناء أنتج ما وقّعه المفتاح. واختراق بنية التوزيع يتجاوز التوقيع إذا كان المهاجم يملك أيضًا صلاحية التوقيع. وشهادة إثبات المصدر المسجلة في سجل شفافية غير قابل للتعديل قبل الاختراق هي الدليل الذي لا يستطيع الاختراق محوه.
- سلسلة توريد البرمجيات لمنتجات البرمجيات كخدمة
-
يكتسب أمن سلسلة توريد البرمجيات كخدمة أهمية بالنسبة إلى TPRM لأن المؤسسات التي استثمرت أكثر من غيرها في ضوابط سلسلة توريد البرمجيات المثبتة، مثل قوائم مكونات البرمجيات وSCA وإثبات المصدر، تعتمد في الوقت نفسه على خدمات برمجيات كخدمة يتولى المورّد بالكامل إدارة أمن سلسلة توريدها.
يُعد أمن سلسلة التوريد في البرمجيات كخدمة مهمًا لـ TPRM لأن المؤسسات التي استثمرت أكثر من غيرها في ضوابط سلسلة توريد البرمجيات المثبتة، مثل قوائم مكونات البرمجيات وSCA والتحقق من المصدر، تعتمد في الوقت نفسه على خدمات برمجيات كخدمة يتولى المورد وحده إدارة أمن سلسلة توريدها.
- سلسلة توريد البرمجيات لمنتجات البرمجيات كخدمة: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: SBOM لمنصة البرمجيات كخدمة أو جرد مكافئ للتبعيات؛ برنامج مراقبة ثغرات التبعيات مفتوحة المصدر؛ عملية كشف اختراق مسار البناء والإخطار به.
- أمن سلسلة توريد البرمجيات
-
يدور أمن سلسلة توريد البرمجيات حول سؤال جوهري واحد: هل يمكنك أن تثق لا في البرمجيات التي يسلّمها المورّد فحسب، بل في العملية الكاملة التي أنتجتها؟ تركز معظم الضوابط الأمنية على ما تفعله البرمجيات بعد تشغيلها، من فحص للثغرات، ومراقبة للحالات الشاذة، وتحكم في الوصول.
تتعامل التقييمات التقليدية للأطراف الثالثة مع المورد بوصفه وحدة المخاطر: ضوابطه وشهاداته وسياساته.
- أمن سلسلة توريد البرمجيات: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: SBOM قابلة للقراءة آليًا بصيغة CycloneDX أو SPDX، محدَّثة حتى آخر إصدار؛ وثائق ممارسات توقيع المخرجات وإدارة المفاتيح؛ أدلة على أن بيانات اعتماد مسار البناء قصيرة الأجل ومحددة النطاق، لا ثابتة وواسعة.
- أمن آلية تحديث البرمجيات
-
يكتسب أمن آليات التحديث أهمية بالنسبة إلى TPRM لأن موردي البرمجيات الذين يسلّمون منتجات مزودة بآليات تحديث تلقائي إنما يسلّمون قناة دائمة لنشر الشيفرة البرمجية داخل بيئة المؤسسة.
يُعد أمن آلية التحديث مهمًا لـ TPRM لأن موردي البرمجيات الذين يقدمون منتجات بآليات تحديث تلقائي إنما يوفرون قناة دائمة لنشر الشيفرة داخل بيئة المؤسسة.
- أمن آلية تحديث البرمجيات: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: وصف البنية الأمنية لآلية التحديث؛ وسياسة إدارة الشهادات والمفاتيح وتدويرها؛ وعملية الإخطار باختراق بنية التحديث.
- المحيط المعرَّف بالبرمجيات لوصول الموردين
-
يكتسب SDP لوصول الموردين أهمية بالنسبة إلى TPRM لأن الثقة على مستوى الشبكة التي تُمنح لمورّد ما لا تتقلص تلقائيًا عند تغير ملكية ذلك المورّد أو وضعه الأمني أو موظفيه.
يكتسب SDP لوصول الموردين أهمية بالنسبة إلى TPRM لأن الثقة على مستوى الشبكة التي تُمنح لمورّد ما لا تتقلص تلقائيًا عند تغير ملكية ذلك المورّد أو وضعه الأمني أو موظفيه.
- المحيط المعرَّف بالبرمجيات لوصول الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: سجل تغييرات الملكية منذ إنشاء الوصول؛ بند تعاقدي يُلزم بالإخطار بتغيير الملكية؛ إعادة تقييم الوصول عند أي تغيير في الملكية.
- SSAE 18 وAT-C 205
-
معيار SSAE 18 هو معيار التصديق الصادر عن AICPA الذي تُنفَّذ بموجبه ارتباطات SOC في الولايات المتحدة. ويغطي القسم 205 من AT-C ضمنه ارتباطات الفحص، وهو ما يمثله تقرير SOC 2. ويحكم المعيار كيفية تخطيط الارتباط وتنفيذه وإعداد تقريره، ومن يجوز له تنفيذه.
وهذا يفسر لماذا لا يجوز إصدار تقرير SOC 2 إلا من شركة CPA مرخصة، مهما بلغت كفاءة شركة الاستشارات الأمنية، ولماذا يحمل التقرير اسم الشركة وترخيصها والتزامات استقلاليتها. ويفسر أيضًا لماذا لا يستطيع المدقق إصلاح ما يجده، لأن المعيار يشترط استقلاليته عن الضوابط التي يفحصها.
- البنود التعاقدية القياسية
-
البنود التعاقدية القياسية هي الشروط التعاقدية المعتمدة من المفوضية الأوروبية لنقل البيانات الشخصية إلى دولة ثالثة. ونسخة 2021 نمطية: تغطي الوحدة الأولى النقل من متحكم إلى متحكم، والثانية من متحكم إلى معالج، والثالثة من معالج إلى معالج، والرابعة من معالج إلى متحكم. ويختار الطرفان الوحدة المطابقة لعلاقتهما الفعلية.
يجب أن تطابق الوحدة الطريقة التي تتدفق بها البيانات فعلًا. فالمتحكم الذي يصدّر البيانات إلى معالج ويوقّع الوحدة الأولى لديه عقد لا يصف عملية النقل، ولا تكون للنقل آلية صحيحة. وكثيرًا ما يعرض الموردون وحدتهم الافتراضية دون مراعاة لدور العميل.
- مخاطر البيانات المهيكلة مقابل غير المهيكلة
-
يكتسب بُعد مخاطر البيانات غير المهيكلة أهمية بالنسبة إلى TPRM لأن تقييمات الموردين التي تركز على أمن البيانات المهيكلة، مثل تشفير قواعد البيانات وضوابط الوصول وسجلات التدقيق، تغفل بشكل منهجي الجزء الأكبر من سطح البيانات حيث يُرجَّح وجود معلومات العملاء الحساسة ويقل احتمال خضوعها للحوكمة.
يُعد بُعد مخاطر البيانات غير المنظمة مهمًا لـ TPRM لأن تقييمات الموردين التي تركز على أمن البيانات المنظمة، مثل تشفير قواعد البيانات وضوابط الوصول وسجلات التدقيق، تُغفل بصورة منهجية الجزء الأكبر من سطح البيانات الذي يُرجَّح أن توجد فيه معلومات العملاء الحساسة ويُستبعد أن تخضع فيه للحوكمة.
- مخاطر البيانات المهيكلة مقابل غير المهيكلة: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: قائمة جرد شاملة للبيانات تشمل المستودعات غير المهيكلة إلى جانب قواعد البيانات الرئيسية؛ وتأكيد تغطية أداة اكتشاف البيانات، أي إدراج المستودعات غير المهيكلة ضمن نطاق الاكتشاف والتصنيف؛ وأدلة حوكمة منصات التعاون، أي ضوابط الوصول وسياسات DLP وتفعيل سجلات التدقيق.
- المعالجون الفرعيون
-
المعالج من الباطن طرف ثالث يستعين به المعالج لإجراء المعالجة نيابةً عن المتحكم. وتُلزم المادة 28 المعالج بالحصول على إذن مسبق من المتحكم، إما محدد لكل معالج من الباطن أو عام مع الإخطار بالتغييرات وإتاحة فرصة الاعتراض، وبنقل الالتزامات نفسها إليه بموجب عقد.
قائمة المعالجين الفرعيين لدى المورّد هي المكان الذي تظهر فيه البصمة الفعلية لبياناتك، وهي عادةً أطول مما هو متوقع. فقد يشمل منتج البرمجيات كخدمة مزود استضافة، وأداة دعم، وخدمة بريد إلكتروني، ومنصة تحليلات، ومعالج مدفوعات، وخدمة مراقبة، يتعامل كل منها مع جزء من بياناتك.
- رؤية المعالجين الفرعيين
-
تكتسب رؤية المعالجين الفرعيين أهمية لأن التزامات المؤسسة في حماية البيانات، وتعرضها لمخاطر سلسلة التوريد، تمتد إلى جميع المعالجين الفرعيين لدى المورّد، سواء أُفصح عنهم أم لا.
تُعد الرؤية على المعالجين من الباطن مهمة لأن التزامات المؤسسة في حماية البيانات، وتعرضها لمخاطر سلسلة التوريد، يمتدان إلى جميع المعالجين من الباطن لدى المورد، سواء أُفصح عنهم أم لا.
- الرؤية على المعالجين من الباطن: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: الالتزام بالإخطار المسبق بالمعالجين الفرعيين الجدد؛ وأدلة تطبيق الاختبار الوظيفي للمعالجين الفرعيين؛ والمورّد الذي يقدّم قائمة المعالجين الفرعيين الملحقة بـ DPA ينبغي أن يُطالَب بالمجموعة التقنية لبيئة الإنتاج إلى جانبها. فقائمة DPA هي المعالجون الفرعيون المُفصح عنهم، أما مجموعة الإنتاج فتكشف بيئة المعالجة الفعلية، والفجوة بينهما هي مخاطر رؤية المعالجين الفرعيين.
- الأحداث اللاحقة
-
قد يلزم الإفصاح في التقرير عن الأحداث التي تقع بعد انتهاء فترة الملاحظة وقبل إصدار التقرير إذا كانت تؤثر في عدالة عرض وصف النظام أو في فهم القارئ للضوابط. والمرشحات المعتادة هي وقوع خرق، أو انقطاع كبير، أو تغيير في الملكية، أو إخفاق جوهري في أحد الضوابط خلال تلك الفترة.
الفترة تحدد نطاق الاختبار لا نطاق الالتزام بالإفصاح. فالاختراق الذي يقع في الأسابيع الفاصلة بين نهاية الفترة وإصدار التقرير هو هذه الحالة تحديدًا، والتقرير الذي لا يذكر عنه شيئًا ليس محايدًا. فعلى الإدارة التزام بإبلاغ المدقق، وعلى المدقق التزام بأخذه في الاعتبار.
- المؤسسات المقدِّمة للخدمات الفرعية
-
مؤسسة الخدمات الفرعية هي مورّد تعتمد خدمتك على ضوابطه لاستيفاء معيار ما: مزود الاستضافة السحابية لديك، ومعالج المدفوعات لديك، ومزود خدمة الاكتشاف المُدار الذي يراقب سجلاتك. والاختبار هو الاعتماد لا حجم الإنفاق: فالمورّد يدخل ضمن هذا التصنيف إذا تعذّر استيفاء معيار ما دون أن تعمل ضوابطه.
لا يمكنك اختبار ضوابط شركة أخرى، ولا يستطيع ذلك مدققك أيضًا، لذا لا بد أن يقول التقرير شيئًا عنها، والطريقة التي يفعل بها ذلك تشكّل الوثيقة كلها. ومنظمات الخدمة الفرعية المذكورة في التقرير تُبيّن للقارئ أين ينتهي ضمان الشركة الخاضعة للتدقيق ويبدأ ضمان جهة أخرى.
- تركّز مزودي الخدمات الفرعية في التقارير
-
تقرير SOC 2 الخاص بمورّدك يستثني مزود الاستضافة لديه. وتقرير مزود الاستضافة يستثني منشأة استضافة مشتركة. وتقرير المنشأة يشير إلى مزود للطاقة والاتصال. وتستمر السلسلة إلى ما دون النقطة التي يتوقف عندها القارئ عادةً، ويضعف الضمان مع كل طبقة.
مخاطر التركّز تكمن في أسفل المنظومة. فقد يستثني عشرون من مورديك جميعًا مزود الخدمات السحابية الضخم نفسه، في المنطقة نفسها، ويبدو كل تقرير سليمًا بمفرده. ولا تظهر هذه التبعية إلا عند تتبع السلسلة وقراءة التقارير معًا.
- حدود الثقة في الذكاء الاصطناعي ضمن سلسلة التوريد
-
تحدد حدود الثقة في الذكاء الاصطناعي نطاق ما ينبغي لنظام الذكاء الاصطناعي أن يفعله أو يكشفه أو يتيحه وما لا ينبغي له، بحسب هوية السائل وسياق السؤال.
تكتسب حدود الثقة في الذكاء الاصطناعي أهمية بالنسبة إلى TPRM لأن منتجات الذكاء الاصطناعي لدى الموردين التي تجمع المعلومات التشغيلية الحساسة في قواعد معرفية قابلة للاستعلام تُنشئ قدرات استطلاع تمتد إلى أي مستخدم يستطيع المصادقة، بما في ذلك المستخدمون ذوو بيانات الاعتماد المخترقة، وهجمات الهندسة الاجتماعية، والتهديدات الداخلية ممن يملكون بيانات اعتماد تتج
- حدود الثقة في الذكاء الاصطناعي ضمن سلسلة التوريد: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: تقييم المحتوى الحساس في قاعدة المعرفة؛ وضوابط وصول واعية بالسياق تتجاوز المصادقة؛ والمورّد الذي يؤكد ضوابط المصادقة للذكاء الاصطناعي ينبغي أن يُسأل عن نطاق حدود الثقة. فالمصادقة تؤكد الهوية، أما نطاق حدود الثقة فيحدد ما إذا كان طلب الهوية المصادَق عليها يقع ضمن نطاق الوصول الملائم للمعلومات الحساسة.
- اكتشاف هجمات سلسلة التوريد
-
يُعد كشف هجمات سلسلة التوريد مهمًا لـ TPRM لأن المورد الذي تكون مراقبته الأمنية لبيئة الإنتاج ممتازة بينما لا يُنتج مسار البناء لديه أي إشارات لـ SOC لديه فجوة في الكشف تخص تحديدًا ناقل الهجوم الذي تستخدمه هجمات سلسلة التوريد.
يُعد كشف هجمات سلسلة التوريد مهمًا لـ TPRM لأن المورد الذي تكون مراقبته الأمنية لبيئة الإنتاج ممتازة بينما لا يُنتج مسار البناء لديه أي إشارات لـ SOC لديه فجوة في الكشف تخص تحديدًا ناقل الهجوم الذي تستخدمه هجمات سلسلة التوريد.
- كشف هجمات سلسلة التوريد: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: نطاق مراقبة مسار البناء واستيعاب السجلات؛ قواعد كشف خاصة بسلسلة التوريد في SIEM؛ الإطار الزمني المتوقع لكشف اختراق مسار البناء.
- هجمات سلسلة التوريد
-
هجوم سلسلة التوريد يخترق مورّدًا موثوقًا أو مكونًا برمجيًا أو آلية تحديث من أجل الوصول إلى عملاء ذلك المورّد دفعة واحدة. فبدلًا من مهاجمة ألف مؤسسة، يخترق المهاجم الشيء الواحد الذي تشترك فيه هذه المؤسسات الألف: خط بناء، أو مكتبة واسعة الاستخدام، أو أداة وصول عن بُعد لدى مزود خدمات مُدارة، أو مفتاح توقيع لدى مورّد.
إنها السبب في أن مخاطر الأطراف الثالثة لم تعد مجرد إجراء شكلي في المشتريات. فالهجمات التي وصلت إلى أكبر عدد من المؤسسات في السنوات الأخيرة جاءت عبر تحديثات برمجيات موثوقة وعبر مزودي خدمات يملكون وصولًا مشروعًا، لا عبر محيط الضحايا أنفسهم. كانت ضوابطك تعمل، والثقة التي وضعتها في المورّد كانت هي الثغرة.
- الاستجابة لحوادث سلسلة التوريد
-
تُعد الاستجابة لحوادث سلسلة التوريد مهمة لـ TPRM لأن المورد الذي يمتلك برنامج IR ناضجًا لحوادث الإنتاج لكنه يفتقر إلى دليل إجراءات خاص بسلسلة التوريد سيكون أقل فعالية بكثير في الاستجابة لاختراق سلسلة التوريد، والمؤسسة التي اختُرق موردها ستتلقى إخطارًا أبطأ، ومعلومات أقل اكتما
تكتسب الاستجابة لحوادث سلسلة التوريد أهمية بالنسبة إلى TPRM لأن المورّد الذي يملك برنامج IR ناضجًا لحوادث الإنتاج دون دليل تشغيل لسلسلة التوريد سيكون أقل فعالية بكثير في الاستجابة لاختراق سلسلة التوريد، والمؤسسة التي تعرّض موردها للاختراق ستتلقى إخطارًا أبطأ ومعلومات أقل اكت
- الاستجابة لحوادث سلسلة التوريد: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: وجود دليل تشغيل لحوادث سلسلة التوريد؛ وقائمة جرد عمليات النشر لدى العملاء وعملية إخطارهم؛ وسجلات تمارين المحاكاة المكتبية لسلسلة التوريد.
- مخاطر سلسلة التوريد في عمليات الاندماج والاستحواذ
-
تُعد مخاطر سلسلة التوريد في الاندماج & الاستحواذ مهمة لأن الدين التقني في التبعيات البرمجية، المتراكم على مدى سنوات من تقديم سرعة تطوير الميزات على الأمن، لا يظهر في العناية الواجبة التقنية المعتادة لكنه ينتقل مباشرة إلى المؤسسة المستحوذة.
تُعد مخاطر سلسلة التوريد في الاندماج & الاستحواذ مهمة لأن الدين التقني في التبعيات البرمجية، المتراكم على مدى سنوات من تقديم سرعة تطوير الميزات على الأمن، لا يظهر في العناية الواجبة التقنية المعتادة لكنه ينتقل مباشرة إلى المؤسسة المستحوذة.
- مخاطر سلسلة التوريد في عمليات الاندماج والاستحواذ: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: SBOM حالية مستخرجة من قاعدة الشيفرة الإنتاجية؛ تحديد التبعيات التي بلغت EOL مع تقييم لمعالجتها؛ جرد الثغرات الحرجة مع حالة ترقيعها.
- القياس الكمي لمخاطر سلسلة التوريد
-
يُعد القياس الكمي لمخاطر سلسلة التوريد مهمًا لأنه يحوّل توثيق المخاطر إلى إدارة للمخاطر. فجمهور CISO ومجلس الإدارة يحتاج إلى تقديرات للتعرض المالي لاتخاذ قرارات الاستثمار، وتحديد أولويات المبادرات الأمنية المتنافسة، وإبلاغ الوضع الأمني لأصحاب المصلحة الذين يتخذون قرارات تخصيص الموارد.
يكتسب القياس الكمي لمخاطر سلسلة التوريد أهمية لأنه يحوّل توثيق المخاطر إلى إدارة للمخاطر.
- القياس الكمي لمخاطر سلسلة التوريد: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: منهجية القياس الكمي لمخاطر سلسلة التوريد؛ تقديرات التعرض المالي لسيناريوهات سلسلة التوريد الحرجة؛ تحديد أولويات الاستثمار بناءً على المخاطر المقاسة كميًا.
- أمن سلسلة التوريد في مسارات CI/CD
-
يكتسب أمن سلسلة التوريد في خطوط CI/CD أهمية بالنسبة إلى TPRM لأن المورّد الذي يؤكد فحص تبعيات التطبيقات دون أن يؤكد أمن مكونات خط الإنتاج يكون قد عالج سطح هجوم واحدًا في سلسلة التوريد وترك سطحًا آخر دون معالجة.
يكتسب أمن سلسلة التوريد في خطوط CI/CD أهمية بالنسبة إلى TPRM لأن المورّد الذي يؤكد فحص تبعيات التطبيقات دون أن يؤكد أمن مكونات خط الإنتاج يكون قد عالج سطح هجوم واحدًا في سلسلة التوريد وترك سطحًا آخر دون معالجة.
- أمن سلسلة التوريد في مسارات CI/CD: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: قائمة جرد مكونات خط الإنتاج البرمجي مع حالة التثبيت بقيم SHA؛ وتطبيق مراقبة القائمين على صيانة إجراءات خط الإنتاج؛ وعملية التحقق من تثبيت أدوات البناء.
- أمن سلسلة التوريد في القطاعات الخاضعة للتنظيم
-
يكتسب أمن سلسلة التوريد في القطاعات الخاضعة للتنظيم أهمية بالنسبة إلى TPRM لأن المؤسسات في القطاعات المنظمة تواجه متطلبات تنظيمية محددة وموثقة يجب على مورديها الامتثال لها أيضًا، وقد لا تتناولها تقييمات أمن سلسلة التوريد العامة بالصيغة المطلوبة.
يكتسب أمن سلسلة التوريد في القطاعات الخاضعة للتنظيم أهمية بالنسبة إلى TPRM لأن المؤسسات في القطاعات المنظمة تواجه متطلبات تنظيمية محددة وموثقة يجب على مورديها الامتثال لها أيضًا، وقد لا تتناولها تقييمات أمن سلسلة التوريد العامة بالصيغة المطلوبة.
- أمن سلسلة التوريد في القطاعات الخاضعة للتنظيم: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: SBOM وVEX بالصيغة التنظيمية لموردي الأجهزة الطبية؛ والامتثال لأحكام سلسلة توريد ICT في DORA للخدمات المالية؛ وأمثلة على التقديمات التنظيمية المرفقة بتوثيق سلسلة التوريد.
- تقييم نضج أمن سلسلة التوريد
-
يكتسب تقييم نضج أمن سلسلة التوريد أهمية بالنسبة إلى TPRM لأنه يوفر صورة خاصة بكل مجال عن المواضع التي استُثمر فيها في أمن سلسلة التوريد والمواضع التي توجد فيها فجوات، وهو ما يوجّه مباشرةً ترتيب أولويات تحسين البرنامج الداخلي والأسئلة التي ينبغي لفرق TPRM أن تطرحها على الموردين بشأن المج
يكتسب تقييم نضج أمن سلسلة التوريد أهمية بالنسبة إلى TPRM لأنه يوفر صورة خاصة بكل مجال عن المواضع التي استُثمر فيها في أمن سلسلة التوريد والمواضع التي توجد فيها فجوات، وهو ما يوجّه مباشرةً ترتيب أولويات تحسين البرنامج الداخلي والأسئلة التي ينبغي لفرق TPRM أن تطرحها على الموردين بشأن المج
- تقييم نضج أمن سلسلة التوريد: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: تقييمات النضج الخاصة بكل مجال من مجالات أمن سلسلة التوريد الستة؛ والإقرار بالمستوى صفر للمجالات الغائبة بدلًا من عبارة «لا ينطبق»؛ وخارطة طريق الاستثمار في المجالات الأدنى نضجًا.
T
- تمارين المحاكاة المكتبية
-
تمرين المحاكاة المكتبية يأخذ الأشخاص الذين سيستجيبون لحادث ما عبر سيناريو واقعي، داخل قاعة، دون المساس بأي نظام، لاكتشاف المواضع التي تنهار فيها الخطة. تسعون دقيقة، والمستجيبون الفعليون، ودون تحضير، مع الاحتفاظ بسجل للقرارات طوال الوقت. والناتج ليس درجة، بل التغييرات في دليل التشغيل التي كشفها التمرين.
خطط الحوادث يكتبها أشخاص يتخيلون حادثًا، وهي تتصرف بشكل مختلف تحت ضغط حادث حقيقي. وتمرين المحاكاة المكتبي هو السبيل الوحيد لاكتشاف هذا الفرق قبل أن يكلّف شيئًا. ويُطرح الأمر أيضًا لأن الأطر وشركات التأمين تسأل عما إذا كانت الخطة قد اختُبرت، والخطة التي اختُبرت مرة واحدة قبل عشرين شهرًا، قبل انضمام القائد الحالي، ليست مختبرة بأي معنى ذي أهمية.
- فترات الاختبار والفجوات بين التقارير
-
يغطي تقرير النوع II فترة محددة. ويغطي التقرير التالي الفترة التالية. لكن التقارير تصدر بعد أسابيع أو أشهر من انتهاء فترتها، والفترات لا تتصل ببعضها دائمًا. فالمورد الذي يصدر تقريرًا سنويًا قد يترك العميل كل عام أمام عدة أشهر لا يغطيها أي تقرير.
العميل الذي يسجل تاريخ التقرير بدلًا من الفترة التي يغطيها لا يعرف متى انقضى الضمان الذي لديه. وخطابات التجسير موجودة لمعالجة هذا تحديدًا، ومعرفة الفجوة هي ما يخبرك متى تطلب أحدها.
- طريقة الاستبعاد
-
بموجب طريقة الاستثناء، تُستبعد ضوابط منظمة الخدمة الفرعية من التدقيق. ويصف التقرير ما تعتمد الشركة الخاضعة للتدقيق على ذلك المزود للقيام به، ويذكر أن تلك الضوابط لم تُختبر، ويدرجها بوصفها ضوابط تكميلية لمنظمة الخدمة الفرعية. وهي الطريقة التي يستخدمها كل تقرير SOC 2 تقريبًا، لأن البديل يتطلب مشاركة المزود.
ولهذا قد يتضمن تقرير SOC 2 الخاص بالمورد ضوابط منسوبة إلى AWS أو Azure لم يختبرها أحد في المهمة. فالشركة الخاضعة للتدقيق تعتمد عليها وتصرّح بهذا الاعتماد، ولا يغطي رأي المدقق إلا ما تشغّله الشركة نفسها.
- المعايير المشتركة، من CC1 إلى CC9
-
تُنظَّم فئة الأمن في تسع مجموعات تُسمى المعايير المشتركة. يغطي CC1 بيئة الرقابة، وCC2 التواصل، وCC3 تقييم المخاطر، وCC4 المراقبة، وCC5 أنشطة الرقابة، وCC6 الوصول المنطقي والمادي، وCC7 عمليات النظام والاستجابة للحوادث، وCC8 إدارة التغيير، وCC9 تخفيف المخاطر بما في ذلك إدارة الموردين. ويتناول كل تقرير SOC 2 المجموعات التسع جميعها.
المجموعات ليست متساوية في الجهد أو في المخاطر. فـ CC6 وحده يغطي التزويد بالصلاحيات، والمصادقة، والتفويض، والإزالة، والوصول المادي، والتخلص من البيانات، ويمس كل نظام، وينتج استثناءات أكثر من أي مجموعة أخرى. أما CC1 وCC2 فيتعلقان في معظمهما بالحوكمة والتوثيق. ومعرفة الفرق بينها تغيّر طريقة قراءتك للتقرير وطريقة تخطيطك للتدقيق.
- المتحكم
-
المتحكم هو كل من يحدد أغراض معالجة البيانات الشخصية ووسائلها: لماذا تُعالَج، وكيف تُعالَج بصورة عامة. والصفة تتبع القرار لا العقد. فالشركة التي تقرر البيانات التي تجمعها وما تفعله بها هي المتحكم في تلك المعالجة، بصرف النظر عن التسمية التي يطلقها عليها أي اتفاق.
يتحمل المتحكم الالتزامات الأساسية: الأساس القانوني، والشفافية، وحقوق صاحب البيانات، والإخطار بخرق البيانات، والمساءلة. والمورّد الذي يبدأ باستخدام بيانات عملائك لتحسين منتجه الخاص يكون قد اتخذ قرارًا بشأن الغرض، وأصبح متحكمًا في ذلك الاستخدام، بصرف النظر عما تنص عليه DPA من أنه معالج.
- فئات خدمات الثقة الخمس
-
الأمن والتوافر وسلامة المعالجة والسرية والخصوصية هي الفئات الخمس التي يمكن أن يغطيها تقرير SOC 2. والأمن وحده إلزامي. أما الفئات الأربع الأخرى فاختيارية تحددها الشركة الخاضعة للتدقيق، ومعظم التقارير تتضمن الأمن وحده أو الأمن مع التوافر.
عندما يقول أحدهم إن لديه تقرير SOC 2، فهو يقصد في الغالب الأمن. فإذا كان ما تحتاج إلى ضمان بشأنه هو مدة التشغيل أو التعامل مع البيانات أو المعلومات الشخصية، فقد لا يتناوله التقرير إطلاقًا، وتنص صفحة الغلاف على ذلك في سطر واحد لا يتحقق منه معظم القراء.
- مستقبل DevSecOps
-
يكتسب مستقبل DevSecOps أهمية بالنسبة إلى TPRM لأن الموردين الذين ستعتمد المؤسسات على برمجياتهم بعد خمس سنوات يبنون تلك البرمجيات اليوم، ببرامج DevSecOps الحالية إضافةً إلى أي استثمار مستقبلي يوجهونه نحو المسارات الخمسة المذكورة أعلاه.
يكتسب مستقبل DevSecOps أهمية بالنسبة إلى TPRM لأن الموردين الذين ستعتمد المؤسسات على برمجياتهم بعد خمس سنوات يبنون تلك البرمجيات اليوم، ببرامج DevSecOps الحالية إضافةً إلى أي استثمار مستقبلي يوجهونه نحو المسارات الخمسة المذكورة أعلاه.
- مستقبل DevSecOps: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: خارطة طريق برنامج DevSecOps لأفق مدته ثلاث سنوات؛ ونهج أمن الشيفرة المولدة بالذكاء الاصطناعي وجدوله الزمني؛ وهدف اعتماد SLSA وجدوله الزمني.
- مستقبل أمن الشبكات: خمسة اتجاهات تعيد تشكيل المحيط
-
المحيط التقليدي: يتلاشى. الهوية: المحيط الجديد.
يُعد مستقبل أمن الشبكات مهمًا لـ TPRM لأن الموردين الذين يستعدون لمشهد أمن الشبكات المستقبلي، عبر تبني SASE وتطوير الكشف المدعوم بالذكاء الاصطناعي والتخطيط للانتقال إلى ما بعد الحوسبة الكمية، هم موردون سيكون وضعهم الأمني أنسب لمشهد التهديدات في 2028 من الموردين الذين يحافظون على البن
- مستقبل أمن سلسلة توريد البرمجيات
-
يُعد مستقبل أمن سلسلة التوريد مهمًا لـ TPRM لأن استثمارات البرنامج التي تُجرى اليوم ينبغي أن تراعي القدرات التي ستكون مطلوبة خلال ثلاث إلى خمس سنوات، لا الوضع الحالي فحسب.
يُعد مستقبل أمن سلسلة التوريد مهمًا لـ TPRM لأن استثمارات البرنامج التي تُجرى اليوم ينبغي أن تراعي القدرات التي ستكون مطلوبة خلال ثلاث إلى خمس سنوات، لا الوضع الحالي فحسب.
- مستقبل أمن سلسلة توريد البرمجيات: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: سياسة حوكمة توليد الشيفرة بالذكاء الاصطناعي؛ ومتطلبات عمق مراجعة الشيفرة المولدة بالذكاء الاصطناعي؛ والوعي بالانتقال إلى التشفير ما بعد الكمّي والتخطيط له.
- مستقبل TPRM: من الضمان إلى الاستخبارات
-
يُعد التحول من الضمان إلى الاستخبارات مهمًا لأنه يعالج القيد الجوهري للتقييم في نقطة زمنية واحدة: عجزه عن التنبؤ بما سيحدث لاحقًا.
يُعد التحول من الضمان إلى الاستخبارات مهمًا لأنه يعالج القيد الجوهري للتقييم في نقطة زمنية واحدة: عجزه عن التنبؤ بما سيحدث لاحقًا.
- مستقبل TPRM: من الضمان إلى الاستخبارات: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: القدرة على التقييم التنبؤي للمخاطر أو خارطة الطريق لها؛ وتحليل الأنماط التاريخية من بيانات البرنامج؛ ودمج المؤشرات الخارجية للتنبؤ بالاتجاهات.
- طريقة الشمول
-
الطريقة الشاملة هي البديل لطريقة الاستبعاد. إذ تُوصف الضوابط ذات الصلة لدى مؤسسة الخدمات الفرعية وتُختبر داخل تقرير الشركة الخاضعة للتدقيق نفسه، فلا يُطلب من القارئ افتراض أي شيء بشأن الطبقة التي تحتها. ويغطي الرأي المجموعة كاملة فعلًا.
إنها تنتج ضمانًا أقوى من طريقة الاستبعاد، ويسأل المشترون أحيانًا لماذا لم يستخدمها المورّد. والإجابة عملية: إذ يجب أن توافق مؤسسة الخدمات الفرعية على إدراجها، وعلى وصفها في وصف النظام، وعلى توقيع إقرار الإدارة الخاص بها للارتباط.
- تقييم المصلحة المشروعة
-
تقييم المصلحة المشروعة، LIA، هو الاستدلال الموثق الذي يدعم الاستناد إلى المصالح المشروعة بوصفها أساسًا قانونيًا. وله ثلاثة أجزاء. اختبار الغرض: ما المصلحة، وهل هي مشروعة. واختبار الضرورة: هل المعالجة ضرورية لتلك المصلحة، أم يمكن تحقيقها بطريقة أخرى. واختبار الموازنة: هل ترجح المصلحة على حقوق الفرد وتوقعاته المعقولة.
تستند معظم المعالجة في سياق B2B، ومعظم منع الاحتيال، ومعظم المراقبة الأمنية، وكثير من التحليلات إلى المصالح المشروعة. وتطلب الجهات التنظيمية الاطلاع على التقييم لا على الادعاء. والمتحكم الذي يحتج بالمصالح المشروعة لكنه لا يستطيع تقديم الاستدلال لم يُجرِ التقييم في نظر الجهة التنظيمية.
- إقرار الإدارة
-
يسبق رأيَ المدقق إقرارُ الإدارة: بيان موقّع من الشركة الخاضعة للتدقيق بأن وصف النظام دقيق وأن الضوابط صُممت بشكل مناسب، وأنها، في تقرير النوع II، عملت بفعالية. ورأي المدقق هو رأي في ذلك الإقرار.
كل ما في التقرير يقوم على أن الإدارة وصفت نظامها بصدق. فإذا قلّل الوصف من النطاق، أو أغفل مكوّنًا، أو أساء تصوير حد من الحدود، فإن كل نتيجة اختبار سليمة هي اختبار لشيء أصغر مما افترضه القارئ، ورأي المدقق، وإن كان دقيقًا، يتعلق بذلك الشيء الأصغر.
- إطار NIST لإدارة مخاطر الذكاء الاصطناعي
-
إطار إدارة مخاطر الذكاء الاصطناعي الصادر عن NIST هيكل طوعي لإدارة مخاطر أنظمة الذكاء الاصطناعي عبر أربع وظائف. وظيفة الحوكمة ترسي المساءلة والثقافة. ووظيفة التخطيط تحدد السياق والأشخاص المتأثرين والمخاطر. ووظيفة القياس تقيّم تلك المخاطر، بما في ذلك الأداء عبر الفئات التي يؤثر فيها النظام. ووظيفة الإدارة تتصرف بناءً على ما قيس، من خلال الإشراف والمراقبة. وهو يخبرك كيف تعمل، بينما تخبرك اللائحة التنظيمية بما يجب عليك فعله.
إنه المرجع الذي تقتبس منه معظم عمليات التقييم، سواء أشارت إليه أم لا، وهو الإطار الذي سيتعرف عليه المشتري أو الجهة التنظيمية عندما تصف كيفية تقييمك لمخاطر الذكاء الاصطناعي. ويقترن بشكل طبيعي بقانون الذكاء الاصطناعي الأوروبي: فالقانون يصنّف ويُلزم، وRMF يمنحك المنهجية للوفاء بالالتزامات.
- فترة المراقبة
-
فترة الملاحظة هي المدة التي اختبر خلالها تدقيق النوع II تشغيل الضوابط. وتُذكر في الرأي، وتمتد عادةً ثلاثة أو ستة أو اثني عشر شهرًا. وتُنتج فترة الأشهر الثلاثة وفترة الاثني عشر شهرًا كلتاهما تقريرًا صحيحًا.
فترة الأشهر الثلاثة تغطي مراجعة وصول ربع سنوية واحدة على الأكثر، وربما لا تغطي أيًّا منها. أما فترة الاثني عشر شهرًا فتغطي أربع مراجعات، إضافة إلى نهاية سنة، وموسم عطلات، وإعادة هيكلة واحدة على الأقل، وعدة إصدارات. والفترة الأطول تقدم دلالة أقوى بكثير على صمود الضوابط تحت الضغط المعتاد.
- المعالج
-
يعالج المعالج البيانات الشخصية نيابةً عن المتحكم، ولا يتصرف إلا وفق تعليمات المتحكم الموثقة. ولا يقرر سبب معالجة البيانات. والتزاماته أضيق من التزامات المتحكم لكنها حقيقية: الأمن، والسرية، وإدارة المعالجين الفرعيين، والمساعدة في طلبات ممارسة الحقوق، والحذف أو الإعادة عند الانتهاء.
في اللحظة التي يقرر فيها المعالج غرضًا خاصًا به، يتوقف عن كونه معالجًا لذلك النشاط ويتحمل التزامات المتحكم مباشرةً. والمثال الأكثر شيوعًا هو التحليلات: فمزود البرمجيات كخدمة الذي يمرر بيانات العملاء عبر نماذجه الخاصة لتحسين المنتج يكون قد اتخذ قرارًا بشأن الغرض لم يوجّه به العميل.
- الحق في المحو
-
يتيح الحق في المحو، الذي يُسمى غالبًا الحق في النسيان، للشخص أن يطلب حذف بياناته الشخصية في ظروف محددة: إذا لم تعد البيانات ضرورية، أو سُحبت الموافقة، أو اعترض ولم يوجد مسوّغ راجح، أو كانت المعالجة غير مشروعة، أو كان التزام قانوني يقتضي الحذف. وهو من أكثر الحقوق طلبًا ومن أقلها تطبيقًا على الوجه الصحيح.
إنه ليس مطلقًا. فهو يسقط حين تكون المعالجة ضرورية للامتثال لالتزام قانوني، أو لإثبات مطالبات قانونية أو الدفاع عنها، أو لحرية التعبير، أو للصحة العامة، أو للأرشفة للمصلحة العامة. والمتحكم الذي يحذف كل شيء عند الطلب ربما يكون قد أتلف سجلات يلزمه القانون بالاحتفاظ بها.
- دروس SolarWinds التي لم تُستوعب بعد
-
تُعد دروس SolarWinds التي لم تُستوعب مهمة لـ TPRM لأنها تمثل فجوة منهجية بين القدرات الحالية لهجمات سلسلة التوريد وأسئلة التقييم التي تطرحها معظم برامج TPRM.
تكتسب دروس SolarWinds التي لم تُستوعب أهمية بالنسبة إلى TPRM لأنها تمثل فجوة منهجية بين قدرات هجمات سلسلة التوريد الحالية وأسئلة التقييم التي تطرحها معظم برامج TPRM.
- دروس SolarWinds التي لم تُستوعب بعد: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: ضوابط عزل مسار البناء ومراقبته؛ حماية مفاتيح التوقيع، عبر HSM أو ما يعادلها؛ أمن آلية التحديث وحوكمتها المؤسسية.
- وصف النظام
-
وصف النظام هو الرواية التي تقدمها الشركة الخاضعة للتدقيق عن النظام الداخل في النطاق: ما تقوم به الخدمة، والبنية التحتية والبرمجيات المعنية، والأشخاص والعمليات، والبيانات التي تتعامل معها، والحدود المحيطة بذلك كله. ويفحص المدقق ما إذا كان معروضًا بصورة عادلة. والشركة هي من تكتبه.
الوصف هو ما يحدد ما خضع للتدقيق. فالوصف الذي يرسم الحدود بشكل ضيق، حول نواة محكمة الضوابط وبعيدًا عن الخدمات الأحدث والأقل انتظامًا، يُنتج تدقيقًا أسهل وتقريرًا يغطي أقل مما يفترضه القارئ. ولا شيء في ذلك غير سليم، لكن القارئ الذي لا يقارن الوصف بالخدمة التي يستخدمها فعلًا لا يعرف ما الذي يغطيه الرأي.
- إجراءات الأطراف الثالثة ومسارات العمل القابلة لإعادة الاستخدام
-
يُعد أمن مسارات العمل المشتركة والإجراءات القابلة لإعادة الاستخدام مهمًا لـ TPRM لأن مسار عمل مشتركًا واحدًا مخترقًا قد يكون نقطة الدخول عبر سلسلة التوريد إلى كل خدمة في محفظة المورد.
يكتسب أمن مسارات العمل المشتركة والإجراءات القابلة لإعادة الاستخدام أهمية بالنسبة إلى TPRM لأن مسار عمل مشتركًا واحدًا مخترقًا قد يكون نقطة دخول سلسلة التوريد لكل خدمة في محفظة المورّد.
- إجراءات الأطراف الثالثة ومسارات العمل القابلة لإعادة الاستخدام: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: ضوابط الوصول إلى مستودع مسارات العمل المشتركة؛ متطلبات مراجعة التغييرات على مسارات العمل المشتركة؛ تثبيت SHA ضمن مسارات العمل المشتركة.
- تكاملات الذكاء الاصطناعي مع الأطراف الثالثة
-
مخاطر تكامل الذكاء الاصطناعي لدى الأطراف الثالثة هي المخاطر الأمنية ومخاطر الامتثال والحوكمة والمخاطر التشغيلية التي تنشأ عندما تدمج منصات البرمجيات كخدمة المؤسسية قدرات الذكاء الاصطناعي، أي الميزات المدعومة بنماذج تعلم الآلة أو النماذج اللغوية الكبيرة أو الأتمتة المعتمدة على الذكاء الاصطناعي، داخل منتجاتها.
تُعد تكاملات الذكاء الاصطناعي مع الأطراف الثالثة مهمة لـ TPRM لأن الذكاء الاصطناعي الأبعد أثرًا في منظومة المؤسسة كثيرًا ما يكون مدمجًا في منصات البرمجيات كخدمة المعتادة بدلًا من نشره كمنتجات ذكاء اصطناعي مستقلة.
- تكاملات الذكاء الاصطناعي مع الأطراف الثالثة: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: جرد ميزات الذكاء الاصطناعي مع نطاق وصولها إلى البيانات؛ وثائق بيانات التدريب لميزات الذكاء الاصطناعي ذات العواقب؛ تقييم الإنصاف لميزات الذكاء الاصطناعي التي تؤثر في الأفراد.
- الاعتماد على تقارير التدقيق الصادرة عن أطراف ثالثة
-
تقدم تقارير التدقيق الصادرة عن أطراف ثالثة، مثل SOC 2 وISO 27001 وشهادات PCI-DSS وتقارير اختبار الاختراق من شركات ذات سمعة، أدلة ضمان قيّمة. فهي تمثل الحكم المهني لمتخصصين مستقلين فحصوا ضوابط المورد وفق معايير محددة.
يُعد الاعتماد على تقارير التدقيق الصادرة عن أطراف ثالثة مهمًا لـ TPRM لأن تقارير التدقيق هي أكثر الأدلة قبولًا وأثقلها وزنًا في تقييمات الموردين، وقيمتها تعتمد على عوامل خاصة بكل تقرير وكل علاقة مع العميل، لا على سمعة الشركة أو خلو رأي التقرير من التحفظات.
- الاعتماد على تدقيق الأطراف الثالثة: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: تأكيد النطاق للأنظمة ذات الصلة بالعميل؛ وصف المنهجية لفئات الضوابط ذات الصلة بالعميل؛ تقييم تكميلي لأي استثناءات من النطاق تؤثر في بيانات العميل.
- الإخطار بحوادث الأطراف الثالثة
-
عندما يتعرض المورّد للاختراق، فقد تبدأ التزاماتك بإخطار الجهات التنظيمية والعملاء من لحظة علمك بالأمر، وقد تكون هذه اللحظة هي لحظة قراءتك للأخبار لا لحظة تأكيد المورّد لأي شيء. فالمهلة التعاقدية للمورّد لإبلاغك والمهلة التنظيمية لإبلاغك الآخرين مهلتان مختلفتان، والثانية لا تنتظر الأولى.
تعلم شركة باختراق أحد مورديها من صفحة على الإنترنت، وتقضي عطلة نهاية الأسبوع في تحديد ما إذا كان يُعد خرقًا وما إذا كانت مهلتها قد بدأت، ثم تفوّت موعدًا نهائيًا في عقد مع أحد العملاء بيوم واحد. كانت للأسئلة الثلاثة إجابات ثابتة كان يمكن كتابتها قبل أشهر، وقُضيت عطلة نهاية الأسبوع في القانون بدلًا من التحليل الجنائي الرقمي.
- إدارة مخاطر الأطراف الثالثة
-
إدارة مخاطر الأطراف الثالثة هي تخصص معرفة المؤسسات الخارجية التي تتعامل مع بياناتك أو أنظمتك أو عملائك، وتقييمها بما يتناسب مع ذلك التعرض، والتعاقد على ما يهم، ورصد الأحداث التي تغيّر مخاطرها، واستعادة بياناتك عند انتهاء العلاقة. خمس مراحل. ومعظم البرامج مبنية حول المرحلة الثانية وتهمل المراحل الأربع الأخرى.
كل إطار تُقيَّم وفقه يسأل عنه، وكل مشترٍ مؤسسي يسأل عنه، وعدد متزايد من الجهات التنظيمية يطلب الاطلاع على السجل. ويُطرح الأمر أيضًا لأن الاختراق الذي يصل إليك في أغلب الأحيان ليس اختراقك أنت. إنه اختراق أحد مورديك، والاستبيان الذي أكمله عند الإلحاق لم يذكر شيئًا عن المعالج من الباطن الذي اختُرق فعلًا.
- مخاطر SDK الخاصة بالأطراف الثالثة
-
تُعد مخاطر SDK مهمة لـ TPRM لأن حزم تطوير البرمجيات في تطبيقات الويب والأجهزة المحمولة المؤسسية تُنشئ مخاطر في جمع البيانات ونقلها قد لا تكون المؤسسة مدركة لها تمامًا، وتتغير بمرور الوقت مع تحديث مزودي SDK لمنتجاتهم.
تُعد مخاطر SDK مهمة لـ TPRM لأن حزم تطوير البرمجيات في تطبيقات الويب والأجهزة المحمولة المؤسسية تُنشئ مخاطر في جمع البيانات ونقلها قد لا تكون المؤسسة مدركة لها تمامًا، وتتغير بمرور الوقت مع تحديث مزودي SDK لمنتجاتهم.
- مخاطر SDK من الأطراف الثالثة: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: جرد SDK مع توثيق سلوكها في جمع البيانات؛ عملية مراجعة تحديثات SDK للتغييرات المتعلقة بالخصوصية؛ نتائج تحليل حركة الشبكة لحزم تطوير البرمجيات عالية المخاطر.
- مخاطر الأطراف الثالثة مقابل مخاطر الأطراف الرابعة
-
مخاطر الأطراف الرابعة هي المخاطر الأمنية التي ينشئها موردو مورديك، أي المعالجون من الباطن ومزودو الخدمات الفرعية والمشاركون في سلسلة التوريد الذين تستعين بهم أطرافك الثالثة لتقديم خدماتها إليك.
تُعد مخاطر الأطراف الرابعة مهمة لأن اختراقات البيانات لا تحترم الحدود التنظيمية لسلسلة التبعيات.
- مخاطر الأطراف الثالثة مقابل مخاطر الأطراف الرابعة: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: قائمة جرد كاملة بالمعالجين الفرعيين مع وظائفهم وفئات البيانات؛ والشهادات الأمنية للمعالجين الفرعيين، مثل SOC 2 أو ما يعادلها؛ وتوثيق الجدول الزمني لسلسلة الإخطار بخرق البيانات.
- النقاط العمياء في اكتشاف التهديدات
-
النقاط العمياء في كشف التهديدات هي الفجوات في قدرة برنامج المراقبة الأمنية على كشف نشاط الهجوم، أي أساليب الهجوم وسلوكيات المهاجمين وأنماط النشاط الضار التي لا يصنّفها منطق الكشف الحالي في برنامج المراقبة بوصفها شاذة أو ضارة.
تُعد النقاط العمياء في كشف التهديدات مهمة لـ TPRM لأن تقييم قدرة المورد على الكشف يؤكد عادةً وجود برنامج الكشف وإعداداته بدلًا من اختبار فعاليته في مواجهة أساليب الهجوم الحالية الواقعية.
- النقاط العمياء في كشف التهديدات: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: منهجية تمارين الفريق الأحمر أو الفريق البنفسجي، وما إذا كانت قد شملت تقنيات الاستفادة من أدوات النظام المشروعة (LotL)؛ ومعدل اكتشاف تقنيات LotL في آخر تمرين؛ وخريطة تغطية ATT&CK أو نسبة التغطية.
- البحث الاستباقي عن التهديدات عبر الموردين
-
تعقّب التهديدات هو البحث الاستباقي القائم على الفرضيات عن نشاط المهاجمين في بيئة ما، أي البحث عن مؤشرات اختراق لم ترصدها أدوات الكشف المؤتمتة، استنادًا إلى معلومات التهديدات عن أساليب مهاجمين محددة، أو سلوكيات معروفة للمهاجمين، أو أنماط شذوذ تتسق مع نشاط ضار.
يُعد تعقّب التهديدات عبر بيئات الموردين مهمًا لـ TPRM لأن مهاجمي سلسلة التوريد المتطورين يستهدفون تحديدًا البيئات الأرجح أن تكون خارج نطاق عمليات التعقّب المعتادة: مسار CI/CD، وبيئة التطوير، ونظام وصول المتعاقدين، والخدمات المُدارة.
- تعقّب التهديدات عبر الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: وثائق نطاق أحدث عملية تعقّب للتهديدات؛ تأكيد إدراج CI/CD أو مبررات استبعاده؛ والمورد الذي يؤكد إجراء تعقّب استباقي للتهديدات ينبغي أن يُسأل عما إذا كان نطاق التعقّب قد شمل البيئات المحددة التي صنّفتها المعلومات المحفِّزة بأنها عالية المخاطر. فنشاط التعقّب دليل على تشغيل البرنامج. ومواءمة النطاق دليل على فعاليته.
- فجوات دمج معلومات التهديدات
-
فجوات دمج معلومات التهديدات هي حالات التأخير وقيود التغطية وإخفاقات سير العمل التي تمنع تحويل معلومات التهديدات إلى كشف فعلي خلال الإطار الزمني الذي يتطلبه مشهد التهديدات.
تكتسب فجوات دمج استخبارات التهديدات أهمية بالنسبة إلى TPRM لأن اشتراك المورّد في استخبارات التهديدات واستثماره في منصاتها لا يتحولان إلى تحسين في الاكتشاف إلا إذا وصلت الاستخبارات إلى SIEM في الوقت المناسب لاكتشاف التهديد الذي تصفه.
- فجوات دمج استخبارات التهديدات: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: وتيرة دمج IOC حسب الفئة؛ ومقياس زمن الدمج، أي الوقت من النشر حتى تفعيل الاكتشاف؛ والمورّد الذي يؤكد تكامل TI-SIEM ينبغي أن يُطرح عليه سؤال سيناريو الساعة 11 صباحًا. فوجود التكامل يصف الاتصال، أما الإجابة عن سؤال السيناريو فتصف متى يحقق الاتصال قيمة.
- معلومات التهديدات الخاصة بهجمات سلسلة التوريد
-
يُعد تفعيل معلومات التهديدات مهمًا لـ TPRM لأن معلومات التهديدات المتعلقة بسلسلة التوريد توفر مؤشر المخاطر الاستشرافي الذي لا تستطيع التقييمات التاريخية توفيره، فهي تصف ما يفعله المهاجمون الآن، والقطاعات التي يستهدفونها، ونواقل الهجوم التي يستخدمونها.
يكتسب تفعيل استخبارات التهديدات أهمية بالنسبة إلى TPRM لأن استخبارات تهديدات سلسلة التوريد توفر مؤشر المخاطر الاستشرافي الذي لا تستطيع التقييمات التاريخية توفيره، فهي تصف ما يفعله المهاجمون الآن، والقطاعات التي يستهدفونها، ونواقل الهجوم التي يستخدمونها.
- استخبارات التهديدات لهجمات سلسلة التوريد: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: علم المورد بنشرة التهديد الموصوفة؛ تقييم التعرض لنواقل الهجوم الموصوفة؛ إجراءات المعالجة أو التخفيف المتخذة استجابةً لها.
- نمذجة التهديدات في SDLC
-
تكتسب نمذجة التهديدات أهمية بالنسبة إلى TPRM لأنها النشاط الأمني الوحيد القادر على اكتشاف ثغرات مستوى التصميم بشكل موثوق قبل التنفيذ.
تكتسب نمذجة التهديدات أهمية بالنسبة إلى TPRM لأنها النشاط الأمني الوحيد القادر على اكتشاف ثغرات مستوى التصميم بشكل موثوق قبل التنفيذ.
- نمذجة التهديدات في SDLC: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: مثال حديث على نمذجة التهديدات مع الميزة التي استدعتها؛ تتبع إجراءات التخفيف من نموذج التهديد إلى التنفيذ؛ منهجية نمذجة التهديدات والأدوات المستخدمة.
- تواتر إعادة التقييم حسب المستوى
-
يكتسب تواتر إعادة التقييم حسب المستوى أهمية لأن قدرة TPRM محدودة. فكل دورة تقييم تُستهلك على مورّد منخفض المخاطر لم يتغير تغيرًا جوهريًا هي دورة لا تتاح لمورّد عالي المخاطر تطور ملف مخاطره منذ آخر تقييم له.
يُعد تفاوت وتيرة إعادة التقييم بحسب المستوى مهمًا لأن قدرة TPRM محدودة.
- تواتر إعادة التقييم حسب المستوى: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: الإفصاح عن التغييرات الجوهرية منذ آخر تقييم؛ التزام بالإخطار الاستباقي بالتغييرات بين التقييمات؛ تقرير الثقة أو سجل التغييرات الأمنية للفترة.
- فحص TLS وحركة البيانات المشفرة
-
يُعد أمن فحص TLS مهمًا لـ TPRM لأن الموردين الذين ينشرون فحص TLS دون حماية مناسبة للمفتاح الخاص ودون ترقيع الأجهزة قد أوجدوا خطرًا تشفيريًا يقلب الغرض الأمني من فحص TLS.
يُعد أمن فحص TLS مهمًا لـ TPRM لأن الموردين الذين ينشرون فحص TLS دون حماية مناسبة للمفتاح الخاص ودون ترقيع الأجهزة قد أوجدوا خطرًا تشفيريًا يقلب الغرض الأمني من فحص TLS.
- فحص TLS وحركة البيانات المشفرة: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: تطبيق HSM لحماية المفتاح الخاص لـ CA؛ جدول ترقيع أجهزة الفحص وتاريخ آخر ترقيع؛ تقييد نطاق الثقة في فحص TLS.
- مخاطر استمرار صلاحية الرموز المميزة
-
مخاطر استمرار صلاحية الرموز المميزة هي التعرض الأمني الناتج عن رموز الوصول في OAuth ورموز API وغيرها من بيانات اعتماد الحامل التي تظل صالحة بعد انتهاء العمر التشغيلي للتطبيق أو التكامل أو حالة الاستخدام التي طلبتها.
تُعد مخاطر استمرار الرموز المميزة مهمة لـ TPRM لأن المنصات التي تحتفظ برموز OAuth لتكاملات الموردين تراكم بيانات اعتماد تدوم أطول من التكاملات التي تدعمها.
- مخاطر استمرار صلاحية الرموز المميزة: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: جرد رموز OAuth مع تواريخ آخر استخدام والتطبيقات المرتبطة بها؛ وثائق عملية إلغاء الرموز بما في ذلك إيقاف التطبيق كمحفز للإلغاء؛ سياسة انتهاء صلاحية الرموز، أي الحد الأقصى لمدة صلاحية الرموز الصادرة.
- الخلط بين الترميز والإخفاء
-
الترميز وإخفاء البيانات كلاهما أسلوبان لاستبدال قيم البيانات الحساسة ببدائل غير حساسة في الأنظمة التي لا تحتاج فيها الوظيفة الأساسية إلى القيمة الأصلية.
كثيرًا ما يُستشهد بتأكيد الترميز والإخفاء دليلًا على حماية البيانات الحساسة في تقييمات الموردين في قطاعات المدفوعات والرعاية الصحية والخدمات المالية.
- الخلط بين الترميز والإخفاء: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: قائمة الوصول إلى إلغاء الترميز مع سجل مراجعاتها، أي من يملك الوصول وتاريخ آخر مراجعة والمبرر الموثق؛ تأكيد سجل تدقيق إلغاء الترميز، أي وجود التسجيل وتحديد عملية المراجعة؛ سياسة اتساق الإخفاء، أي توثيق السياقات التي تتلقى قيمًا مخفية مقابل غير مخفية.
- TPRM بوصفها مُمكِّنًا للأعمال
-
يكتسب تأطير البرنامج بوصفه مُمكِّنًا للأعمال أهمية لأنه يحدد استدامة برنامج TPRM. فالبرامج التي تولّد احتكاكًا في الأعمال دون قيمة مقابلة تواجه ضغطًا متزايدًا لتجاوزها، أو تقليص مواردها، أو استبدالها ببدائل امتثال أقل عبئًا.
يُعد تأطير البرنامج بوصفه عاملًا ممكّنًا للأعمال مهمًا لأنه يحدد استدامة برنامج TPRM.
- TPRM بوصفها مُمكِّنًا للأعمال: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: تقرير SOC 2 والشهادات ذات الصلة جاهزة للتقديم؛ جهة اتصال أمنية مخصصة لتيسير التقييم؛ والمورد الذي يريد إلحاقه بسرعة ينبغي أن يُطلب منه ملف التأهيل المسبق. فالموردون الذين استثمروا في تسهيل تقييمهم يساعدون المؤسسة على تنفيذ عملية TPRM أسرع وأعلى جودة. وهذا الاستثمار في حد ذاته مؤشر إيجابي.
- تقارير TPRM لمجلس الإدارة والإدارة التنفيذية
-
تُعد التقارير المقدمة إلى مجلس الإدارة مهمة لأنها الآلية التي تُمارَس من خلالها حوكمة مخاطر العلاقات مع الأطراف الثالثة على مستوى المجلس. والمجلس الذي لا يتلقى المعلومات اللازمة لطرح أسئلة مستنيرة عن مخاطر الأطراف الثالثة مجلسٌ لا يستطيع توفير إشراف فعال على المخاطر.
يكتسب رفع التقارير إلى مجلس الإدارة أهمية لأنه الآلية التي تُمارَس من خلالها حوكمة المجلس لمخاطر العلاقات مع الأطراف الثالثة.
- رفع تقارير TPRM إلى مجلس الإدارة والإدارة التنفيذية: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: تقارير لجنة المخاطر في مجلس الإدارة بشأن TPRM؛ وتحديد المخاطر الجوهرية على مستوى مجلس الإدارة؛ والمورّد الذي يؤكد نضج حوكمة TPRM ينبغي أن يُسأل عما إذا كانت تلك الحوكمة تصل إلى مستوى مجلس الإدارة. فنضج البرنامج التشغيلي لا يعني الإشراف على المخاطر على مستوى المجلس.
- TPRM في عمليات الاندماج والاستحواذ
-
يكتسب TPRM في عمليات M&A أهمية لأن خطر وراثة علاقات موردين غير مُفصح عنها، وحوادث أمنية نشطة، وعقود موردين مقيدة، خطر حقيقي وقابل للقياس الكمي ويمكن منعه من خلال العناية الواجبة قبل إتمام الصفقة.
يكتسب TPRM في عمليات M&A أهمية لأن خطر وراثة علاقات موردين غير مُفصح عنها، وحوادث أمنية نشطة، وعقود موردين مقيدة، خطر حقيقي وقابل للقياس الكمي ويمكن منعه من خلال العناية الواجبة قبل إتمام الصفقة.
- TPRM في عمليات الاندماج والاستحواذ: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: قائمة كاملة بالموردين مع توصيف وصولهم إلى البيانات؛ ونتائج TPRM المفتوحة بأي درجة خطورة؛ والجهة المستهدفة بالاستحواذ ينبغي أن تُطالَب بمحفظة مورديها ونتائجها المفتوحة وسجل حوادثها ضمن العناية الواجبة لعملية M&A. فهذه المعلومات تحدد مخاطر الأطراف الثالثة التي تستحوذ عليها المؤسسة، وهي مخاطر ينبغي تسعيرها وإدارتها، لا اكتشافها بعد ثمانية عشر شهرًا من إتمام الصفقة.
- فجوات الملكية والمساءلة في TPRM
-
تكتسب فجوات الملكية والمساءلة أهمية لأن المخاطر المحددة التي تظل دون إدارة ليست أقل خطورة من المخاطر غير المحددة، بل هي أخطر، لأن المؤسسة وثّقت علمها بالمخاطر ولا يمكنها ادعاء الجهل بها في مراجعة ما بعد الحادث أو في فحص تنظيمي.
تُعد فجوات الملكية والمساءلة مهمة لأن المخاطر المحددة التي تظل دون إدارة ليست أقل خطورة من المخاطر غير المحددة، بل أشد خطورة، لأن المؤسسة لديها علم موثق بالمخاطر ولا تستطيع الادعاء بالجهل في مراجعة ما بعد الحادث أو في فحص تنظيمي.
- فجوات الملكية والمساءلة في TPRM: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: عملية رسمية للاستجابة لمعالجة النتائج؛ وجهة اتصال للتصعيد بشأن النتائج الحرجة غير المعالجة؛ والالتزام بجدول زمني لمعالجة النتائج الحرجة.
- أتمتة برامج TPRM وحدودها
-
تكتسب حدود الأتمتة أهمية لأن مكاسب الكفاءة الناتجة عن أتمتة TPRM حقيقية وقيّمة، لكن يجب تحقيقها دون المساس بالجودة التحليلية التي تجعل استخبارات المخاطر التي يقدمها البرنامج مفيدة.
تُعد حدود الأتمتة مهمة لأن مكاسب الكفاءة الناتجة عن أتمتة TPRM حقيقية وقيّمة، لكن يجب تحقيقها دون المساس بالجودة التحليلية التي تجعل معلومات المخاطر التي يُنتجها البرنامج مفيدة.
- أتمتة برنامج TPRM وحدودها: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: خطوة مراجعة بشرية في مسار التقييم الآلي؛ وعملية للتحقق المتقاطع من الأدلة إلى جانب تقييم الاستبيانات؛ ومقاييس الجودة إلى جانب مقاييس الكفاءة.
- نماذج نضج برنامج TPRM
-
يُعد تقييم نضج TPRM مهمًا لأنه يوفر التحليل المنظم اللازم لتحديد أولويات الاستثمار في البرنامج.
يُعد تقييم نضج TPRM مهمًا لأنه يوفر التحليل المنظم اللازم لتحديد أولويات الاستثمار في البرنامج.
- نماذج نضج برنامج TPRM: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: مواءمة كل مجال مع الأطر التنظيمية؛ خارطة طريق لتحسين البرنامج تستند إلى فجوات النضج؛ تحقق مستقل من تقييم النضج.
- مقاييس برنامج TPRM & مؤشرات الأداء الرئيسية
-
تُعد مقاييس البرنامج مهمة لأنها تحدد ما إذا كان الاستثمار في TPRM مبررًا وأين ينبغي توجيهه. فالبرنامج الذي لا يُقاس إلا بمقاييس إنجاز العمليات لا يستطيع إثبات قيمته للقيادة ولا تحديد المواضع التي يكون فيها لتحسين البرنامج أكبر أثر في خفض المخاطر.
تُعد مقاييس البرنامج مهمة لأنها تحدد ما إذا كان الاستثمار في TPRM مبررًا وأين ينبغي توجيهه.
- مقاييس برنامج TPRM & مؤشرات الأداء الرئيسية: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: معدل النتائج حسب مستوى المورّد؛ ومعدل المعالجة ومتوسط مدتها؛ والمورّد الذي يؤكد امتلاكه برنامج TPRM ناضجًا ينبغي أن يُطالَب بمقاييس نتائج المخاطر لديه. فاكتمال العمليات يخبرك بأنه يدير البرنامج، أما مقاييس نتائج المخاطر فتخبرك بما حققه.
- إخفاقات تصميم استبيانات TPRM
-
يُعد تصميم الاستبيانات مهمًا لأن جودة معلومات المخاطر التي توجّه قرارات TPRM محدودة بجودة المعلومات التي يُنتجها الاستبيان. فالاستبيان المصمم جيدًا الذي يطرح الأسئلة الأربعين الصحيحة يُنتج معلومات أفضل عن المخاطر في وقت أقل من استبيان رديء التصميم من 187 سؤالًا.
يُعد تصميم الاستبيانات مهمًا لأن جودة معلومات المخاطر التي توجّه قرارات TPRM محدودة بجودة المعلومات التي يُنتجها الاستبيان.
- إخفاقات تصميم استبيانات TPRM: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: إعدادات تقنية محددة بدلًا من إقرارات عامة بالسياسات؛ مستندات تثبت تطبيق الضوابط المدَّعاة؛ وثائق البنية للمجالات الأمنية الحرجة.
- تسميم بيانات التدريب
-
تسميم بيانات التدريب هو تلويث مجموعة بيانات تدريب نموذج تعلم الآلة بطرق تجعل النموذج يتعلم أنماطًا خاطئة أو متحيزة أو متلاعبًا بها عمدًا، مما ينتج نموذجًا يتصرف بشكل خاطئ بطرق متوقعة تخدم المهاجم أو تعكس الأخطاء البنيوية في مدونة التدريب.
يُعد تسميم بيانات التدريب مهمًا لـ TPRM لأن منتجات الذكاء الاصطناعي التي تحقق أداءً جيدًا وفق مقاييس الاختبار التي يقدمها المورد قد تظل تحتوي على نقاط عمياء منهجية ناتجة عن بيانات تدريب ملوثة.
- تسميم بيانات التدريب: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: وثائق التكوين الزمني لمدونة التدريب؛ منهجية تقييم جودة التصنيفات ونتائجها؛ نتائج اختبار النقاط العمياء أمام الهجمات العدائية.
- تقييمات أثر النقل
-
يقيّم تقييم أثر النقل ما إذا كانت قوانين بلد الوجهة وممارساته، ولا سيما ما يتعلق بوصول الحكومة إلى البيانات، تقوّض الحماية التي يُفترض أن توفرها البنود التعاقدية القياسية. فإن كانت كذلك، وجب اعتماد تدابير تكميلية، وإلا فلا يجوز المضي في النقل. وينبع هذا الشرط من حكم Schrems II الصادر عام 2020.
إنها الخطوة الأكثر تعرضًا للتخطي، لأنها تتطلب تكوين رأي في نظام المراقبة في دولة أخرى، وهو ما يبدو عملًا لمحامٍ لا لفريق خصوصية. لكن البنود تشترطها، والجهات التنظيمية تطلبها، والنقل إلى الولايات المتحدة بموجب البنود التعاقدية القياسية دون TIA موثق هو نقل يمكن للجهة التنظيمية أن تُبطل آليته.
- مخاطر التبعيات المتعدية
-
تكتسب مخاطر التبعيات غير المباشرة أهمية بالنسبة إلى TPRM لأن موردي البرمجيات الذين تنشر منتجاتهم لديهم أشجار تبعيات غير مباشرة قد تحتوي على مكونات معرضة للثغرات لا يراقبونها بشكل فعلي.
تكتسب مخاطر التبعيات غير المباشرة أهمية بالنسبة إلى TPRM لأن موردي البرمجيات الذين تنشر منتجاتهم لديهم أشجار تبعيات غير مباشرة قد تحتوي على مكونات معرضة للثغرات لا يراقبونها بشكل فعلي.
- مخاطر التبعيات المتعدية: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: تأكيد فحص SCA الكامل للتبعيات غير المباشرة؛ والجدول الزمني للاستجابة لثغرة Log4Shell بوصفها دراسة حالة لثغرة في تبعية غير مباشرة؛ والمورّد الذي يؤكد إدارة الثغرات عبر SCA ينبغي أن يُسأل عن عمق تغطية التبعيات غير المباشرة. فـ SCA للتبعيات المباشرة نقطة بداية، أما الفحص الكامل للتبعيات غير المباشرة فهو الصورة الكاملة. وتمثل Log4Shell حالة الاختبار المرجعية لمعرفة ما إذا كان هذا التمييز قد طُبّق عمليًا.
- مراكز الثقة
-
مركز الثقة صفحة عامة تعرض الوضع الأمني ووضع الخصوصية لدى المؤسسة: الشهادات الحاصلة عليها، والتقارير المتاحة بموجب NDA، وقائمة المعالجين الفرعيين، والسياسات، والإجابات عن الأسئلة التي يطرحها المشترون في أغلب الأحيان. بعضها يتيح المستندات عند الطلب فقط، وبعضها ينشرها علنًا.
إنه يحوّل العمل المتكرر على الاستبيانات واحدًا تلو الآخر إلى خدمة ذاتية، ويُظهر النضج للمشتري قبل أن تبدأ أي محادثة. فالعميل المحتمل الذي يرى أن تقرير SOC 2 موجود، وأن المعالجين الفرعيين مدرجون، وأن الأسئلة مُجاب عنها، هو عميل يصل إلى المراجعة الأمنية مطمئنًا مسبقًا.
- معايير خدمات الثقة
-
معايير خدمات الثقة ليست قائمة ضوابط. إنها معايير، أي عبارات تحدد ما يجب أن يكون صحيحًا، وتصمم كل مؤسسة ضوابطها الخاصة لاستيفائها. يحدد AICPA النتيجة المطلوبة؛ وتقرر الشركة الخاضعة للتدقيق ما تفعله لتحقيق تلك النتيجة؛ ويختبر المدقق ما قررته الشركة.
ولهذا يمكن لشركتين في السوق نفسها أن تحملا تقريري SOC 2 يبدوان مختلفين تمامًا عند قراءتهما، بأعداد ضوابط مختلفة وصياغة مختلفة وأدلة مختلفة، ويكون كلاهما صحيحًا. ولهذا أيضًا لا يمكن الإجابة عن استبيان مبني على ضوابط شركة ما من تقرير شركة أخرى.
- انتحال أسماء الحزم في سجلات الحزم
-
يُعد انتحال أسماء الحزم مهمًا لـ TPRM لأن منتجات مورديك البرمجية مبنية على أشجار تبعيات قد تتضمن حزمًا منتحلة الأسماء دون علم المورد، لأن الحزمة المنتحلة كانت تبعية متعدية، ولأنه لم يكن لها CVE، ولأن عمليات الفحص بـ SCA لديهم لا تكشف الحزم الضارة بطبيعتها.
يكتسب انتحال أسماء الحزم أهمية بالنسبة إلى TPRM لأن منتجات البرمجيات لدى مورديك مبنية على أشجار تبعيات قد تتضمن حزمًا منتحلة الأسماء دون علم المورّد، لأن الحزمة المنتحلة كانت تبعية غير مباشرة، ولأنها لم يكن لها CVE، ولأن فحوص SCA لديهم لا تكتشف الحزم الخبيثة بحكم تعريفها.
- انتحال أسماء الحزم في سجلات الحزم: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: كشف الحزم الضارة بما يتجاوز الفحص القائم على CVE؛ تثبيت إصدارات التبعيات وفرض ملفات القفل؛ والمورد الذي يؤكد إجراء فحص الثغرات بـ SCA ينبغي أن يُسأل عن كشف الحزم الضارة. فـ SCA يفحص الثغرات المعروفة. والحزم المنتحلة الأسماء ليست ثغرات معروفة، بل شيفرة ضارة ليس لها CVE. أدوات مختلفة، ونموذج تهديد مختلف.
V
- تضخم صلاحيات وصول الموردين بمرور الوقت
-
يكتسب تضخم صلاحيات وصول الموردين أهمية لأنه يُحدث تباعدًا منهجيًا بين ملف المخاطر الذي قيّمه برنامج TPRM وملف المخاطر الذي تمثله علاقة المورّد فعليًا.
يكتسب تضخم صلاحيات وصول الموردين أهمية لأنه يُحدث تباعدًا منهجيًا بين ملف المخاطر الذي قيّمه برنامج TPRM وملف المخاطر الذي تمثله علاقة المورّد فعليًا.
- التوسع التدريجي في صلاحيات وصول الموردين بمرور الوقت: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: جرد حالي لنطاق الوصول إلى البيانات؛ تغييرات الوصول منذ آخر تقييم؛ تأكيد عدم وجود أي وصول غير مُفصح عنه إلى البيانات.
- وصول الموردين عبر كيانات الخدمة
-
كيان الخدمة هوية غير بشرية تُنشأ في منصة هوية سحابية، وأشيعها Azure Active Directory، وإن كان المفهوم موجودًا لدى جميع مزودي الخدمات السحابية الكبار بأسماء مختلفة، وتمثل تطبيقًا أو خدمة أو عملية مؤتمتة لا شخصًا.
كيانات الخدمة هي العمود الفقري التشغيلي لتكاملات الموردين في بيئات Azure وMicrosoft 365، وبشكل متزايد في AWS وGCP أيضًا، في صورة بنى مكافئة مثل أدوار IAM للتطبيقات وحسابات الخدمة في GCP.
- وصول الموردين عبر كيانات الخدمة: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: قائمة محددة بكيانات الخدمة المستخدمة في بيئتك مع وصف نطاقات صلاحياتها؛ سياسة لتدوير بيانات الاعتماد بحد أقصى محدد لمدة الصلاحية، ويُفضَّل ألا يتجاوز 90 يومًا لأسرار العملاء التطبيقية؛ أدلة على تخزين بيانات الاعتماد بشكل آمن لدى المورد، أي في خزنة أسرار، لا في ملف إعدادات أو متغير بيئة.
- تكاثر الحسابات الإدارية لدى الموردين
-
تكاثر الحسابات الإدارية هو تراكم الحسابات الإدارية ذات الصلاحيات المميزة بمرور الوقت نتيجة الجمع بين قرارات منح مشروعة وإدارة غير كافية لدورة حياة الحسابات.
يُعد تكاثر الحسابات الإدارية في منصات الموردين مهمًا لـ TPRM لأن كل حساب إداري زائد هو بيانات اعتماد عالية الصلاحيات يمكن لجهة تهديد استخدامها للسيطرة الكاملة على المنصة.
- تكاثر الحسابات الإدارية لدى الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: عدد الحسابات الإدارية وتكوينها، أي الموظفون الحاليون والمتعاقدون والأطراف الخارجية؛ سجل مراجعة مبررات الحسابات الحالية، أي متى رُوجعت آخر مرة للتأكد من الحاجة الفعلية إليها؛ تأكيد الوصول الإداري بأسلوب JIT أو وثائق حوكمة الحسابات الدائمة.
- شفافية استخدام الموردين للذكاء الاصطناعي
-
شفافية استخدام المورّد للذكاء الاصطناعي هي إطار الإفصاح والمساءلة الذي يشمل جميع طرق استخدام المورّد للذكاء الاصطناعي التي تؤثر على العميل المؤسسي، بما في ذلك ميزات المنتج المدعومة بالذكاء الاصطناعي التي تُسوَّق للعميل، وأنظمة الذكاء الاصطناعي الداخلية التي تستخدم بيانات العميل لأغراض تشغيلية خاصة بالمورّد مثل تقييم العملاء،
تُعد شفافية استخدام الموردين للذكاء الاصطناعي مهمة لـ TPRM لأن بيانات المؤسسة، أي أنماط استخدامها وسجل دعمها وسلوكها التشغيلي، قد تستخدمها أنظمة الذكاء الاصطناعي لدى المورد بطرق تؤثر في الخدمة التي تتلقاها المؤسسة، والأسعار المعروضة عليها، والقرارات الاستراتيجية التي يتخذها المورد بشأن العلاقة.
- شفافية استخدام الموردين للذكاء الاصطناعي: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: الإفصاح عن أنظمة الذكاء الاصطناعي الداخلية التي تستخدم بيانات المؤسسة؛ وتغطية اتفاقية معالجة البيانات لاستخدامات الذكاء الاصطناعي الداخلية؛ والإفصاح عن تصنيف العملاء وتوجيههم.
- فجوات رؤية تنبيهات الموردين
-
فجوات الرؤية على تنبيهات الموردين هي افتقار العميل إلى الوصول إلى بيانات المراقبة والتنبيهات وأحداث الكشف التي تُنتجها البنية التحتية للعمليات الأمنية لدى المورد بالنسبة للأنظمة والبيانات ذات الصلة بالعلاقة مع العميل.
تكتسب فجوات رؤية تنبيهات الموردين أهمية بالنسبة إلى TPRM لأن تقييم قدرات SOC لدى المورّد يخبرك بما يستطيع المورّد اكتشافه.
- فجوات الرؤية على تنبيهات الموردين: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: إجراء تصعيد التنبيهات للأنظمة ذات الصلة بالعميل؛ والاستعداد لإعادة توجيه فئات محددة من التنبيهات إلى SOC لدى العميل؛ وعملية تتيح للعميل تزويد SOC لدى المورّد بسياق الاكتشاف.
- مخاطر وصول الموردين إلى التحليلات
-
تنشأ مخاطر الوصول إلى التحليلات عندما يكون الوصول إلى البيانات الممنوح لفرق التحليلات، أي الأفراد المسؤولين عن بناء لوحات المعلومات والتقارير والنماذج التحليلية، أوسع بكثير مما تتطلبه أي مهمة تحليلية محددة، ويُبقى عليه دون ضوابط الوصول والتسجيل ووتيرة المراجعة المطبقة على الأشكال الأخرى من
يُعد خطر الوصول إلى التحليلات مهمًا لـ TPRM لأن سيناريو التهديد الداخلي الأرجح أن يُفضي إلى خرق كبير لبيانات العملاء لدى مورد برمجيات كخدمة متعدد المستأجرين ليس هجومًا خارجيًا متطورًا، بل مستخدم تحليلات مصرح له يملك وصول قراءة غير مقيد إلى مجموعة بيانات العملاء كاملة ويختار استخدام هذا الوصول خارج
- مخاطر وصول الموردين إلى التحليلات: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: وثائق نطاق الوصول إلى التحليلات، أي عدد المحللين واتساع الوصول وتقييد نطاق العملاء؛ تأكيد التسجيل على مستوى الاستعلام لجلسات التحليلات؛ سجل مراجعات الوصول إلى التحليلات، أي إدراجها في المراجعات الدورية مع تاريخ آخر مراجعة.
- إنفاذ حقوق التدقيق على الموردين
-
حقوق التدقيق على الموردين أحكام تعاقدية تسمح للعميل بإجراء تقييمات أمنية لبيئة المورد وضوابطه وممارساته، أو بتكليف جهة بإجرائها.
يُعد إنفاذ حقوق التدقيق على الموردين مهمًا لـ TPRM لأن التحقق المستقل هو آلية الحوكمة التي تميز إدارة المخاطر عن مجرد توثيقها.
- إنفاذ حقوق التدقيق على الموردين: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: أدلة تقنية على الضوابط المحددة بدلًا من الإجابات على الاستبيانات؛ والتعاون على النحو المحدد في بند الحق في التدقيق؛ وحماية سرية النتائج على النحو المتفق عليه.
- مخاطر بيانات النسخ الاحتياطية لدى الموردين
-
تحتوي بيانات النسخ الاحتياطية على المعلومات نفسها الموجودة في بيانات الإنتاج في اللحظة التي أُنشئت فيها النسخة الاحتياطية. ولها الحساسية نفسها، والتصنيف التنظيمي نفسه، والآثار نفسها المترتبة على الإخطار بخرق البيانات في حال تعرضها.
يُعد خطر بيانات النسخ الاحتياطي لدى الموردين مهمًا لـ TPRM لأن أنظمة النسخ الاحتياطي تمثل أكبر نقطة تراكم تاريخي للبيانات في بيئة المورد، فهي تحتفظ بنسخ من بيانات العملاء تعود إلى سنوات، بحوكمة تعكس حالة المؤسسة وقت إنشاء كل نسخة احتياطية لا معايير الأمن الحالية.
- مخاطر بيانات النسخ الاحتياطي لدى الموردين: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: سجل مراجعات الوصول إلى النسخ الاحتياطية، أي متى رُوجعت آخر مرة ومن يملك الوصول حاليًا؛ ودورة حياة مفاتيح تشفير النسخ الاحتياطية، أي جدول التدوير وسياسة إعادة تشفير النسخ الاحتياطية القديمة؛ وسجل الفحوص الأمنية لمخازن النسخ الاحتياطية، أي أحدث فحص وأي نتائج.
- تعرض تخزين النسخ الاحتياطية لدى الموردين
-
تعرض مخازن النسخ الاحتياطية لدى الموردين هو الخطر الذي ينشأ عندما يحتفظ المورّد بنسخ احتياطية من بيانات العملاء في ظل ضوابط أمنية أضعف، وأقل مراقبة، وأقل صرامة في الحوكمة من بيئة الإنتاج الرئيسية التي جرى تقييمها خلال العناية الواجبة تجاه المورّد.
مخازن النسخ الاحتياطية هي المكان الذي تذهب إليه البيانات لتُنسى، لا عن قصد، بل نتيجة بنيوية لطريقة تصميم أنظمة النسخ الاحتياطي وترتيب أولوياتها.
- تعرض مخازن النسخ الاحتياطية لدى الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: وثائق موقع تخزين النسخ الاحتياطية ومعيار تشفيرها وضوابط الوصول إليها بما يطابق معايير الإنتاج أو يتجاوزها؛ تأكيد أن نطاق SOC 2 يتناول صراحةً البنية التحتية للنسخ الاحتياطي، أو آلية ضمان بديلة لبيئات النسخ الاحتياطي؛ عملية محددة لمحو النسخ الاحتياطية تُفعَّل عند إنهاء العقد مع جدول زمني ملزم ومعيار للأدلة.
- التأخر في اكتشاف الاختراقات لدى الموردين
-
تأخر كشف الاختراقات لدى الموردين هو الفجوة بين بدء حادث أمني في بيئة المورد، وكشف المورد له، وإخطار عملاء المورد. وهذه ثلاثة أحداث زمنية متمايزة، يُنشئ كلٌّ منها فئة مختلفة من المخاطر على العملاء.
يكتسب التأخر في اكتشاف الاختراقات لدى الموردين أهمية بالنسبة إلى TPRM لأن التزامات العميل التنظيمية، والجدول الزمني لاستجابته للحوادث، وخياراته لتخفيف المخاطر تتأثر جميعها مباشرةً بسرعة إخطار المورّد له بعد اكتشاف الاختراق.
- تأخر كشف الاختراقات لدى الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: الجدول الزمني من الكشف إلى الإخطار في الحوادث السابقة؛ إجراء إخطار يميز بين الإخطار الأولي والإخطار المؤكد؛ التزام بالإخطار الأولي خلال عدد محدد من الساعات من الكشف.
- حسابات وصول الطوارئ لدى الموردين
-
حسابات وصول الطوارئ هي بيانات اعتماد طارئة عالية الصلاحيات مصممة للحالات التي تكون فيها مسارات الوصول العادية غير متاحة وتحتاج فيها الأنظمة الحرجة إلى تدخل فوري، مثل حالات الإقفال الكارثي، والحوادث النشطة التي تتطلب وصولًا إداريًا أسرع مما تتيحه مسارات العمل العادية، وسيناريوهات التعافي من الكوارث التي تكون فيها المسارات المعي
تُعد حسابات وصول الطوارئ مهمة لـ TPRM لأن الموردين الذين يديرون بيئات العملاء لديهم آليات وصول طارئ إلى تلك البيئات، وقد تعاني تلك الآليات من مشكلة الانحراف نفسها نحو الإعدادات الافتراضية.
- حسابات وصول الطوارئ لدى الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: سجل استخدام حسابات الطوارئ مع حالة إعلان الطوارئ لكل استخدام؛ تأكيد الإنفاذ التقني للتفويض المزدوج؛ سياسة العواقب المترتبة على الاستخدام غير المصرح به لحسابات الطوارئ.
- استمرارية الأعمال & قدرة الموردين على الصمود
-
تُعد استمرارية أعمال الموردين ومرونتهم مهمة لأن الاضطرابات التشغيلية لدى الموردين الحرجين تؤثر مباشرة في عمليات المؤسسة نفسها، وقدرة المؤسسة على الحفاظ على استمرارية الخدمة لعملائها أثناء تعطل الموردين تعتمد على امتلاكها معلومات دقيقة عن قدرة المورد الواقعية على التعا
تُعد استمرارية أعمال الموردين ومرونتهم مهمة لأن الاضطرابات التشغيلية لدى الموردين الحرجين تؤثر مباشرة في عمليات المؤسسة نفسها، وقدرة المؤسسة على الحفاظ على استمرارية الخدمة لعملائها أثناء تعطل الموردين تعتمد على امتلاكها معلومات دقيقة عن قدرة المورد الواقعية على التعا
- استمرارية الأعمال & المرونة لدى الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: أحدث نتائج اختبار BCP مع RTO المحقق فعليًا؛ وثائق البنية الجغرافية للبنية التحتية الأساسية والاحتياطية؛ تأكيد استقلالية البنية التحتية من حيث الطاقة والشبكة.
- ممارسات مراجعة الشيفرة لدى الموردين
-
مراجعة الشيفرة هي ممارسة يفحص فيها مطور واحد أو أكثر تغييرًا في الشيفرة قبل دمجه في قاعدة الشيفرة الرئيسية، للتحقق من أنه صحيح ومقروء وقابل للصيانة ومتوافق مع معايير المشروع.
تقع مراجعة الشيفرة عند آخر نقطة تحقق بشرية قبل إطلاق الشيفرة، أي النقطة في عملية التطوير التي يستطيع فيها مراجع واعٍ بالأمن اكتشاف الثغرات التي فاتت الأدوات الآلية، وعيوب منطق الأعمال التي لا تستطيع الماسحات اكتشافها، وقرارات التصميم التي لا تظهر آثارها الأمنية إلا لمن يفهم كلًا من
- ممارسات مراجعة الشيفرة لدى الموردين: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: توثيق قائمة تحقق المراجعة الأمنية الذي يغطي المصادقة والتفويض ومعالجة المدخلات والبيانات الحساسة لأنواع التغييرات ذات الصلة؛ ووصف برنامج أبطال الأمن، أي كيف يُختار المراجعون ويُدرَّبون ويُحافَظ عليهم؛ وتأكيد تدريب المطورين على الأمن مع اسم المنصة ووصف التغطية وتواتر التقديم.
- مؤشرات اختراق الموردين
-
مؤشرات اختراق الموردين هي الأدلة التقنية، مثل أحداث المصادقة واتصالات الشبكة وتغييرات نظام الملفات وتعديلات السجل وعمليات تنفيذ العمليات، التي تُثبت وجود مهاجم في بيئة المورد. ومؤشرات الاختراق تؤكد أن الوصول قد حدث.
تكتسب مؤشرات اختراق الموردين أهمية بالنسبة إلى TPRM لأن تقييم العميل لمخاطر الاختراق، وقراره بشأن الإخطار التنظيمي، يعتمدان على فهم ليس فقط أن المورّد تعرّض للاختراق، بل ما الذي حققه الاختراق بالنسبة إلى البيانات التي يشاركها العميل مع ذلك المورّد.
- مؤشرات اختراق الموردين: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: تأكيد وجود سجلات API وسجلات الاستعلامات على مستوى البيانات؛ والقدرة التحقيقية على تأكيد عواقب الوصول إلى البيانات؛ والمورّد الذي يؤكد قدرته على اكتشاف الاختراق ينبغي أن يُسأل عما إذا كانت سجلاته تتيح تأكيد العواقب، لا مجرد اكتشاف المؤشرات. فالمؤشر يخبر المحققين بأن الوصول قد حدث، أما سجل العواقب فيخبرهم بما استُخدم فيه ذلك الوصول.
- مخاطر التركّز في الموردين
-
تكتسب مخاطر التركّز لدى الموردين أهمية لأنها خاصية على مستوى المحفظة تعجز تقييمات الموردين الفردية بنيويًا عن تحديدها، إذ يتطلب قياسها تجميع البيانات عبر محفظة الموردين.
تُعد مخاطر التركّز في الموردين مهمة لأنها خاصية على مستوى المحفظة لا تستطيع تقييمات الموردين الفردية بحكم بنيتها اكتشافها، إذ يتطلب قياسها تجميع البيانات عبر محفظة الموردين.
- مخاطر التركّز لدى الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: تقييم المورد لمخاطر التركّز لديه؛ خطة استمرارية الأعمال في حال تعطل أكبر مزوديه؛ جاهزية المزودين البديلين للوظائف الحرجة.
- تنسيق الاحتواء مع الموردين
-
تنسيق الاحتواء مع الموردين هو تحدي المواءمة بين قرارات الاحتواء التي يتخذها فريق IR لدى المورد، الذي يتعين عليه موازنة الأثر التشغيلي لإجراءات الاحتواء على جميع عملائه، وبين إلحاح الاحتواء لدى عميل محدد تتعرض بياناته للخطر فعليًا.
يُعد تنسيق الاحتواء مع الموردين مهمًا لـ TPRM لأن فقدان العميل لبياناته أثناء اختراق نشط لدى المورد دالةٌ مباشرة لطول المدة التي يحتفظ فيها المهاجم بالوصول، وطول هذه المدة يعتمد جزئيًا على سرعة تنفيذ المورد للاحتواء.
- التنسيق مع المورّد لاحتواء الحوادث: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: صلاحية اتخاذ قرار الاحتواء وعمليته؛ والحد الأقصى للمدة الزمنية للاحتواء من تاريخ طلب العميل؛ ومحفزات الاحتواء المعتمدة مسبقًا إن وُجدت.
- انحراف ضوابط الموردين
-
انحراف الضوابط هو التدهور التدريجي لبرنامج أمن المورد بين أحداث التقييم الرسمية، أي التآكل المتدرج للوضع الأمني بسبب تبدّل الموظفين وخفض الميزانيات وتراجع الحوكمة وإيقاف الأدوات، وهي عوامل قد لا يبلغ كلٌّ منها منفردًا عتبة «التغيير الجوهري في البرنامج» لكنها مجتمعةً تمث
يُعد انحراف الضوابط مهمًا لـ TPRM لأن جودة برنامج الأمن التي بررت تصنيف مخاطر المورد قد لا تعود تصف وضعه الحالي بدقة بعد عامين من بدء العلاقة.
- انحراف الضوابط لدى الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: مقارنة عدد أفراد فريق الأمن بما كان عليه في آخر تقييم؛ وتيرة اجتماعات الحوكمة خلال الأشهر الستة الماضية؛ والمورد الذي يؤكد عدم وجود تغييرات جوهرية في البرنامج ينبغي أن تُطرح عليه الأسئلة الأربعة الخاصة بالانحراف. فقد تكون كل إجابة على حدة دون عتبة التغيير الجوهري. لكن الصورة المجتمعة قد تصف انحرافًا كبيرًا.
- مراجعات وصول الموردين إلى البيانات
-
مراجعات الوصول، أي العملية الدورية للتحقق من أن جميع الحسابات التي لديها وصول إلى أنظمة وبيانات حساسة ينبغي أن تحتفظ بهذا الوصول، هي ضابط أساسي لحوكمة الهوية، تشترطه PCI-DSS وSOC 2 وISO 27001 ومعظم الأطر التنظيمية التي تتناول أمن المعلومات.
تُعد جودة مراجعة الوصول مهمة لـ TPRM لأنها الضابط الذي يحدد ما إذا كان الوصول الممنوح لموظفي المورد يظل متناسبًا مع أدوارهم الحالية بمرور الوقت.
- مراجعات وصول الموردين إلى البيانات: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: معدل سحب الصلاحيات في أحدث دورة لمراجعة الوصول؛ وصيغة بيانات مراجعة الوصول التي تُظهر سياق الحسابات المقدَّم إلى المراجعين؛ وتأكيد إلغاء التزويد الآلي ووصف التكامل مع نظام الموارد البشرية.
- مخاطر تجميع البيانات لدى الموردين
-
مخاطر تجميع البيانات هي المخاطر الناشئة عن الجمع بين مجموعات بيانات عادية كلٌّ على حدة لكنها حساسة مجتمعةً.
تكتسب مخاطر تجميع البيانات أهمية بالنسبة إلى TPRM لأنها تمثل فئة من المخاطر غير مرئية على مستوى تقييم العميل الفردي، ولا تظهر إلا على مستوى محفظة عملاء المورّد.
- مخاطر تجميع البيانات لدى الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: الإفصاح عن تركّز قاعدة العملاء في القطاعات، أي عدد المنافسين في القطاع الذين يتشاركون بيانات مماثلة؛ تأكيد تقييد استخدام البيانات عبر العملاء في DPA؛ وصف البنية التقنية لعزل البيانات.
- مخاطر إثراء البيانات لدى الموردين
-
إثراء البيانات هو ممارسة تعزيز مجموعة بيانات أساسية بسمات بيانات إضافية مصدرها مزودون خارجيون، بإضافة نقاط بيانات ديموغرافية وسلوكية وخاصة بالشركات ونفسية إلى سجلات العملاء لإنشاء ملفات تعريفية أغنى.
يُعد إثراء الموردين للبيانات مهمًا لـ TPRM لأنه يمثل فئة من معالجة البيانات تجري في نظام المورد دون قرار صريح من العميل بجمع البيانات المُثراة أو معالجتها.
- مخاطر إثراء الموردين للبيانات: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: الإفصاح عن ميزات الإثراء، أي ما يُضاف ومن أي مصادر وفي أي فئات؛ جرد بيانات طلبات وصول أصحاب البيانات بما في ذلك الفئات المُثراة؛ أحكام الإثراء في DPA، أي الأساس القانوني والاحتفاظ والتزامات الحذف للبيانات المُثراة.
- فجوات اتفاقيات معالجة البيانات مع الموردين
-
تكتسب فجوات اتفاقيات التعامل مع البيانات أهمية لأنها تحدد ما إذا كانت التزامات المؤسسة بصفتها متحكمًا بموجب GDPR، وتحديدًا ضمان ألا يعالج المعالجون البيانات الشخصية إلا وفق تعليمات موثقة ولأغراض محددة، يجري الوفاء بها.
تُعد فجوات اتفاقيات معالجة البيانات مهمة لأنها تحدد ما إذا كانت المؤسسة تفي بالتزاماتها بوصفها متحكمًا بموجب GDPR، وتحديدًا ضمان ألا يعالج المعالجون البيانات الشخصية إلا بناءً على تعليمات موثقة ولأغراض محددة.
- فجوات اتفاقيات معالجة البيانات مع الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: تأكيد واضح بأن استخدام البيانات لتدريب الذكاء الاصطناعي محظور أو غير معمول به؛ التزام بالإخطار المسبق بتغييرات السياسة؛ تأكيد الاستخدام المقيد، أي لغرض الخدمة المتعاقد عليها فقط.
- تعرض بحيرات بيانات الموردين
-
بحيرة البيانات مستودع مركزي مصمم لتخزين كميات كبيرة من البيانات الخام غير المعالجة الواردة من مصادر متعددة، مثل قواعد بيانات التطبيقات وتدفقات الأحداث وسجلات API والتغذيات الخارجية، بصيغتها الأصلية، مما يتيح استعلامات تحليلية مرنة دون قيود المخطط التي تفرضها قاعدة البيانات العلائقية التقليدية.
يُعد تعرض بحيرات بيانات الموردين مهمًا لـ TPRM لأنه يمثل تركّزًا للبيانات الحساسة عند نقطة في بنية المورد مصممة خصيصًا لتكون متاحة على نطاق واسع.
- تعرض بحيرات البيانات لدى الموردين: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: تأكيد وجود بحيرة البيانات مع وصف لضوابط الوصول إليها؛ وأدلة مراجعة الصلاحيات، أي متى رُوجعت صلاحيات الوصول إلى بحيرة البيانات آخر مرة ومن يملك الوصول حاليًا؛ وتأكيد استخدام البيانات لتدريب نماذج ML وإجراءات الموافقة على ذلك.
- ممارسات الاحتفاظ بالبيانات لدى الموردين
-
يُعد احتفاظ الموردين بالبيانات مهمًا لـ TPRM لأن البيانات التي يحتفظ بها المورد بعد المدة التي يحتاجها تمثل مخاطر متبقية خالصة، أي مخاطر لا تقابلها أي فائدة تشغيلية. فالبيانات التي لم يعد المورد يحتاجها لأي غرض من أغراض المعالجة لا تقدم أي قيمة.
يُعد احتفاظ الموردين بالبيانات مهمًا لـ TPRM لأن البيانات التي يحتفظ بها المورد بعد المدة التي يحتاجها تمثل مخاطر متبقية خالصة، أي مخاطر لا تقابلها أي فائدة تشغيلية.
- ممارسات الاحتفاظ بالبيانات لدى الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: وثائق نطاق الحذف، أي جميع الأنظمة المشمولة بعملية الحذف، مع تأكيد صريح بشمول النسخ الاحتياطية وبيئات التطوير والمعالجين من الباطن؛ سياسة الاحتفاظ بالنسخ الاحتياطية، أي الحد الأقصى لمدد الاحتفاظ وما إذا كانت طلبات الحذف تؤدي إلى محو النسخ الاحتياطية؛ أدلة تقنية على التحقق من الحذف، أي سجل لنطاق الحذف يمكن التحقق منه تقنيًا يتجاوز تأكيد مدير الحساب.
- مخاطر تحويل البيانات لدى الموردين
-
تحويل البيانات هو العملية التي تُعدَّل بها بيانات الإدخال أو تُثرى أو تُشتق أو تُحسب لتصبح بيانات إخراج ذات خصائص مختلفة: التطبيع الذي يوحّد الصيغ، والاشتقاق الذي يحسب سمات جديدة من سمات قائمة، والإثراء الذي يربط بيانات خارجية بسجلات الإدخال، والتجميع الذي يُنتج
يكتسب تحويل البيانات لدى الموردين أهمية بالنسبة إلى TPRM لأن التحويل يُنشئ بيانات جديدة، أي بيانات لم تكن موجودة قبل أن يعالج المورّد المدخلات، بخصائص قد تختلف اختلافًا جوهريًا عن بيانات المدخلات من حيث الوضع التنظيمي والحساسية والتزامات الحقوق.
- مخاطر تحويل البيانات لدى الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: جرد السمات المشتقة، أي ما يُنشأ من بيانات الإدخال الخاصة بالعملاء؛ أحكام الاشتقاق في DPA، أي الأساس القانوني ومدة الاحتفاظ بالسمات المشتقة؛ تأكيد أن نطاق DSAR يشمل السمات المشتقة.
- أمن بيئة التطوير لدى المورد
-
يكتسب أمن بيئات المطورين أهمية بالنسبة إلى TPRM لأن سلسلة توريد البرمجيات تبدأ من محطات عمل المطورين.
يكتسب أمن بيئات المطورين أهمية بالنسبة إلى TPRM لأن سلسلة توريد البرمجيات تبدأ من محطات عمل المطورين.
- أمن بيئة التطوير لدى المورد: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: تأكيد MDM وأمن الأجهزة الطرفية لمحطات عمل المطورين؛ الإدارة المركزية لبيانات اعتماد التطوير؛ سياسة إضافات IDE ومراقبتها.
- مخاطر تكامل الموردين مع الدليل
-
يربط تكامل الدليل بين نظامين للهوية عبر علاقة مزامنة، إذ تنتقل كائنات أحد الدليلين وسماته وأحداث دورة حياته إلى الآخر، وفي التكاملات ثنائية الاتجاه تتدفق التغييرات في الاتجاهين.
يُعد تكامل الدليل مهمًا لـ TPRM لأنه من أعلى علاقات الهوية ثقةً التي يمكن لمؤسسة أن تقيمها مع مورد، إذ تنتقل تغييرات دليل الشريك مباشرة إلى البنية التحتية للهوية لدى العميل.
- مخاطر تكامل الدليل لدى الموردين: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: توثيق نطاق مزامنة الدليل، أي أنواع الكائنات والسمات المشمولة؛ وتأكيد مراقبة المزامنة الواردة مع التنبيه بالحالات الشاذة؛ والوضع الأمني للحسابات الإدارية لدى الشركاء التي تملك صلاحية مزامنة الدليل.
- مسارات التصعيد لدى الموردين
-
مسارات التصعيد لدى الموردين هي الإجراءات وآليات الاتصال الموثقة التي يستخدمها العملاء للوصول إلى قيادة الأمن والاستجابة للحوادث لدى المورّد أثناء حادث أمني.
تُعد مسارات التصعيد لدى الموردين مهمة لـ TPRM لأن قدرة العميل على الحصول على المعلومات التقنية وتنسيق إجراءات الاستجابة والتأثير في قرارات الاحتواء أثناء اختراق لدى المورد تعتمد كليًا على فعالية مسار التصعيد إلى القيادة الأمنية لدى المورد.
- مسارات التصعيد لدى الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: جهة اتصال مباشرة في فريق الأمن، أي شخص مسمى مع رقم هاتف محمول خارج ساعات العمل؛ زمن الاستجابة المتوقع للتصعيد العاجل؛ بروتوكول الحوادث النشطة لتصعيد العملاء.
- الصحة المالية للموردين بوصفها مؤشرًا لـ TPRM
-
تكتسب مراقبة الوضع المالي أهمية لأنها تسد الفجوة بين دقة التقييم في لحظة زمنية معينة وواقع مخاطر المورّد الحالي.
تُعد مراقبة الصحة المالية مهمة لأنها تسد الفجوة بين دقة التقييم في نقطة زمنية واحدة وواقع مخاطر المورد الحالي.
- الصحة المالية للموردين بوصفها مؤشرًا لـ TPRM: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: تأكيد استقرار عدد أفراد فريق الأمن؛ مواكبة جدول التقييمات والشهادات؛ عدم وجود استثمارات أمنية مؤجلة ذات أهمية جوهرية.
- أدوار IAM الخاصة بالموردين في سحابتك
-
دور IAM في البيئة السحابية مجموعة مسماة من الصلاحيات تحدد الإجراءات التي يمكن اتخاذها على موارد معينة، والأهم من ذلك أنه يمكن أن تتولاه كيانات ليست مستخدمين من البشر.
تُعد أدوار IAM الخاصة بالموردين من أكثر صور مخاطر الأطراف الثالثة واقعيةً ومباشرةً في البيئة السحابية.
- أدوار IAM الخاصة بالموردين في سحابتك: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: قائمة بأدوار IAM أو كيانات الخدمة المحددة التي يستخدمها المورّد في بيئتك، مع وصف الصلاحيات؛ وأدلة على حوكمة بيانات الاعتماد لدى المورّد، أي كيف تُدار بيانات اعتماد موظفي المورّد وتُلغى؛ وعملية إيقاف محددة تتضمن خطوات صريحة للتخلي عن الوصول السحابي أو تأكيد إلغائه.
- أدلة التدقيق على هوية الموردين
-
أدلة التدقيق الخاصة بحوكمة الهوية هي التوثيق الذي يُثبت لفاحص خارجي أن ضوابط حوكمة الهوية عملت على النحو الموصوف، لا تصديقات بوجودها، بل سجلات تشغيلها.
تكتسب أدلة تدقيق هويات الموردين أهمية بالنسبة إلى TPRM لأن العملاء الذين يعتمدون على تصديقات الموردين بشأن حوكمة الهوية لأغراض امتثالهم التنظيمي قد يجدون أن تلك التصديقات لا يمكن دعمها عندما تطلب الجهة التنظيمية الأدلة الأساسية.
- أدلة تدقيق هويات الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: سجل قرارات مراجعة الوصول، أي القرارات الفردية مع اسم المراجع والطابع الزمني؛ وثيقة تعريف الأدوار، أي نطاق الصلاحيات لكل دور؛ إعدادات MFA مع توثيق الاستثناءات.
- سيناريوهات اختراق هوية المورّد
-
اختراق هوية المورّد هو فئة الهجمات التي يسيطر فيها جهة تهديد على بيانات اعتماد أحد موظفي المورّد، أو يخترق بنية إدارة الهوية لدى المورّد، ثم يستخدم بيانات الاعتماد تلك للوصول إلى بيئات العملاء عبر مسارات الوصول المشروعة للمورّد.
يكتسب اختراق هوية المورّد أهمية بالنسبة إلى TPRM لأنه يمثل تهديد الوصول الذي تكون الضوابط الأمنية لدى العميل أقل استعدادًا لاكتشافه.
- سيناريوهات اختراق هوية المورّد: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: وصف التحليلات السلوكية لوصول موظفي الدعم إلى بيئات العملاء؛ وتأكيد نشر MFA المقاوم للتصيد للموظفين الذين يصلون إلى بيئات العملاء؛ وتأكيد تسجيل الجلسات عند الوصول إلى بيئات العملاء.
- إدارة دورة حياة هوية الموردين
-
إدارة دورة حياة الهوية هي مجموعة العمليات التي تحكم إنشاء حسابات المستخدمين وصيانتها وتعطيلها طوال عمرها التشغيلي، بما يضمن إنشاء الحسابات عند الحاجة إلى الوصول، وصيانتها بشكل متناسب مع تغير الاحتياجات، وتعطيلها عندما لا تعود هناك حاجة إلى الوصول.
تُعد دورة حياة هوية الموردين مهمة لـ TPRM لأن حسابات المنصات التابعة لموظفين سابقين لدى المورد تمثل خطرًا محددًا وموثقًا جيدًا لاختراق بيانات الاعتماد.
- إدارة دورة حياة هوية الموردين: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: توثيق عملية الإخطار بمغادرة الموظفين، أي إدراج إنهاء الوصول إلى المنصة في قائمة تحقق إنهاء خدمة الموظف؛ والتحقق من استمرار توظيف أصحاب جميع حسابات المنصة النشطة؛ وتاريخ آخر مطابقة لقائمة المستخدمين ونتائجها.
- مراقبة هوية الموردين
-
تشمل مراقبة الهوية عند حدود المورّد مجالين متمايزين لكنهما متكاملان. فالمراقبة لدى العميل ترصد ما تفعله هويات المورّد داخل بيئة العميل، من أحداث الوصول، واستعلامات البيانات، وتغييرات التهيئة، ومدة الجلسات، وأنماط الوصول التي تنحرف عن خط الأساس.
تكتسب مراقبة هويات الموردين أهمية بالنسبة إلى TPRM لأن قدرة اكتشاف اختراق هوية المورّد يجب أن تمتد عبر الحدود بين المورّد والعميل، فمراقبة العميل وحدها لا تستطيع اكتشاف سلسلة الهجوم السابقة للجلسة، ومراقبة المورّد وحدها قد لا تتصرف بناءً على المؤشرات قبل الوصول إلى بيئات العملاء.
- مراقبة هويات الموردين: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: قدرة مراقبة الهويات لدى المورّد، أي التنبيه بمحاولات المصادقة الفاشلة وعتبات الأولوية؛ والتزام الإخطار بأمن الهوية وجدوله الزمني؛ فالمورّد الذي ترصد مراقبته ثلاثًا وستين محاولة مصادقة فاشلة ضد أحد الموظفين لكنها لا تُصدر تنبيهًا ذا أولوية ولا تُخطر العميل، لديه مراقبة تلتقط المؤشر دون أن تتصرف بناءً عليه. والنصفان كلاهما مهم: المؤشر والاستجابة. فاسأل عن كليهما.
- تقييم مخاطر هوية الموردين
-
تقييم مخاطر الهوية هو ممارسة حساب مستوى مخاطر مركّب لكيانات الهوية الفردية، مثل حسابات المستخدمين وحسابات الخدمة وبيانات اعتماد API، بناءً على إشارات متعددة تؤثر في احتمال اختراقها وأثره.
يكتسب تقييم مخاطر هويات الموردين أهمية بالنسبة إلى TPRM لأن موظفي المورّد الذين يصلون إلى بيئات العملاء يمثلون سطح مخاطر مركّزًا قد يؤدي فيه اختراق فرد واحد إلى تأثير يطال عدة عملاء.
- تقييم مخاطر هويات الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: وصف تقييم مخاطر الهوية، أي الإشارات المستخدمة ومنهجية التقييم؛ ضوابط معززة للأفراد الذين يتجاوزون عتبات المخاطر؛ والمورد الذي يجيب بأن «جميع الموظفين يمرون ببرنامجنا الأمني المعتاد» قد وصف الحوكمة على مستوى البرنامج. اسأله تحديدًا عما إذا كان أي فرد في فريقه قد صُنّف عالي المخاطر بناءً على الجمع بين نطاق وصوله ومؤشرات وضعه الأمني الفردي. فالبرنامج المعتاد يضع الحد الأدنى. وتقييم المخاطر يحدد من يتجاوزه.
- إخفاقات الموردين في الإخطار بالحوادث
-
يكتسب الإخطار بالحوادث أهمية لأن قدرة المؤسسة على الاستجابة لاختراق لدى المورّد تعتمد مباشرةً على توقيت إبلاغها ومدى اكتماله. فالإخطار المتأخر أو غير المكتمل يعني تأخر الاستجابة، وتأخر الامتثال التنظيمي، وتأخر إخطار الأفراد، وإطالة التعرض لعواقب الاختراق.
يُعد الإخطار بالحوادث مهمًا لأن قدرة المؤسسة على الاستجابة لاختراق لدى المورد تعتمد مباشرة على توقيت إبلاغها ومدى اكتماله.
- إخفاقات الموردين في الإخطار بالحوادث: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: تأكيد كتابي لتفسير محفّز الإخطار وجدوله الزمني؛ جهة اتصال مباشرة في فريق الأمن للإخطار بالخروقات؛ نموذج لمحتوى الإخطار أو التزام بحد أدنى من المحتوى.
- اكتمال قائمة جرد الموردين
-
اكتمال جرد الموردين هو مدى نجاح برنامج TPRM في المؤسسة في تحديد جميع العلاقات النشطة مع الأطراف الثالثة وحصرها، لا الموردين الذين أُضيفوا عمدًا إلى برنامج إدارة المخاطر فحسب، بل المجموعة الكاملة من الموردين الذين لديهم وصول إلى بيانات المؤسسة أو أنظمتها أو عمليا
اكتمال جرد الموردين هو المتطلب الأساسي لـ TPRM، فالبرنامج الذي لا يعرف ما يجهله لا يستطيع إدارة المخاطر التي لم يحددها.
- اكتمال قائمة جرد الموردين: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: تطبيق محفزات الاستقبال عبر جميع مسارات المشتريات؛ ونسبة اكتمال قائمة الجرد المرفوعة إلى القيادة؛ والمورّد الذي يؤكد امتلاكه برنامج TPRM ناضجًا ينبغي أن يُسأل كيف يعرف أن قائمة جرده مكتملة. فنضج العمليات يتعلق بالموردين الذين يعرفهم البرنامج، أما اكتمال قائمة الجرد فيتعلق بما إذا كان البرنامج يعرف جميع الموردين الذين ينبغي أن يعرفهم.
- نضج خطة IR لدى الموردين
-
نضج خطة IR هو مدى تعبير خطة الاستجابة للحوادث عن قدرة تشغيلية حقيقية ومختبرة، لا مجرد وجود وثائق تصف الإجراءات المقصودة.
يكتسب نضج خطة IR لدى المورّد أهمية بالنسبة إلى TPRM لأن ما يؤول إليه العميل في حال اختراق المورّد يعتمد على جودة تنفيذ المورّد لخطة IR، وجودة التنفيذ تعتمد على نضج لا يستطيع التوثيق وحده إثباته.
- نضج خطة IR لدى الموردين: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: تاريخ أحدث تمرين وسيناريوه؛ وتوافر أدلة تشغيل خاصة بكل سيناريو، مثل برامج الفدية وتسريب البيانات؛ ومقاييس أداء IR المستخلصة من التمارين، مثل MTTD وMTTC.
- تواتر اختبار IR لدى الموردين
-
لا يقتصر تواتر اختبار IR لدى المورّد على عدد مرات إجراء التمارين، بل يشمل مدى اتساع تغطيتها لسيناريوهات الهجوم والبيئات التقنية والمشاركين من المؤسسة الذين سيشملهم حادث حقيقي. وتواتر الاختبار مؤشر ضروري لكنه غير كافٍ على فعالية برنامج IR.
يكتسب تواتر اختبار IR لدى الموردين أهمية بالنسبة إلى TPRM لأن قدرة IR الأكثر أهمية، أي الاستجابة المنسقة التي تعمل فيها الشؤون القانونية والاتصالات والعمليات والأمن معًا تحت ضغط الحادث، لا تُبنى إلا عبر تمارين تتدرب على هذا التنسيق تحديدًا.
- تواتر اختبار IR لدى الموردين: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: سجل التمارين، أي التواريخ والسيناريوهات والمشاركون؛ والمورّد الذي يؤكد إجراء اختبارات IR منتظمة ينبغي أن يُطالَب بسجل التمارين. فالسجل يكشف ما لا يكشفه التأكيد: دقة التواتر، وتنوع السيناريوهات، وتغطية المشاركين، ونطاق الفريق الأحمر. وسجل التمارين هو الدليل، أما التأكيد فهو الوصف.
- إدارة الموردين بموجب CC9
-
يشترط CC9 أن تحدد المؤسسة المخاطر الناشئة عن تعطل الأعمال ومن الموردين وشركاء الأعمال وأن تخففها. وعمليًا، يتطلب الشق المتعلق بالموردين أن تعرف من هم مورّدوك، وأن تقيّم المخاطر التي يحملونها، وأن تراقبهم طوال العلاقة، وأن تدير إنهاء التعامل معهم.
هذا هو المعيار الذي يجعل برنامجك لمخاطر الأطراف الثالثة قابلًا للتدقيق. ولهذا أيضًا فإن المورّد الذي يطلب منك تقرير SOC 2 سيسألك في المحادثة نفسها كيف تقيّم مورديك. فالسؤالان هما المعيار نفسه منظورًا إليه من كل جانب.
- تغطية مراقبة الموردين
-
تغطية مراقبة الموردين، من منظور العميل، هي مدى رؤية العميل للأحداث الأمنية في بيئة المورّد ذات الصلة بمخاطر العميل، وتحديدًا الأحداث التي قد تشير إلى هجوم جارٍ على سلسلة التوريد، أو التي قد تنبئ بتهديدات ستظهر في
تكتسب تغطية مراقبة الموردين أهمية بالنسبة إلى TPRM لأنها تحدد مدى تبكير العميل في اكتشاف هجوم ينشأ في بيئة المورّد ضمن دورة حياة هجمات سلسلة التوريد.
- تغطية مراقبة الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: إجراء التنبيه عند اختراق بيانات اعتماد المطورين؛ التزام بإحالة أحداث سلسلة التوريد؛ ومورد البرمجيات الذي يُنشر منتجه في بيئة العميل ينبغي أن يُسأل عما إذا كان مسار البناء لديه خاضعًا للمراقبة وما إذا كانت حالات اختراق بيانات الاعتماد في تلك البيئة ستُحال إلى العميل. فمراقبة المورد تغطي المورد. واتفاق الإحالة يغطي العميل.
- إنهاء العلاقة مع المورّد
-
إنهاء العلاقة مع المورّد هو ما يحدث عند انتهاء العلاقة: يُسحب الوصول، وتُعاد البيانات أو تُتلف مع تقديم الدليل، وتُعطَّل التكاملات ومفاتيح API، ويُغلق العقد، ويُؤشَّر على القيد في السجل بتاريخ. وهي مرحلة دورة الحياة الأكثر تعرضًا للإغفال، لأن العلاقات تنتهي عادةً بهدوء ولا يتولى أحد المسؤولية عن تلك اللحظة.
نهاية العلاقة هي الموضع الذي تُترك فيه البيانات. فالمورد السابق ما زال يحتفظ بنسخة، وما زال لديه حساب خدمة في دليلك، وما زال لديه خطاف ويب يشير إلى أنظمتك، ولا يلاحظ أحد ذلك حتى يأخذ تدقيق عينة من الموردين المنتهية علاقتهم أو يكشف اختراق لدى ذلك المورد بيانات ظننت أنها أُتلفت قبل عامين.
- مخاطر إنهاء العلاقة مع الموردين
-
تُعد مخاطر إنهاء التعامل مع الموردين مهمة لأن صلاحيات الوصول اليتيمة والبيانات المحتفظ بها تمثل تعرضًا مستمرًا لا يحقق أي قيمة تجارية. فمفتاح API الذي بقي قائمًا بعد إغلاق العقد هو بيانات اعتماد يمكن أن يستخدمها أي مهاجم يحصل عليها، إما عبر أنظمة المورد السابق أو عبر أجهزة الموظف السابق.
تُعد مخاطر إنهاء التعامل مع الموردين مهمة لأن صلاحيات الوصول اليتيمة والبيانات المحتفظ بها تمثل تعرضًا مستمرًا لا يحقق أي قيمة تجارية.
- مخاطر إنهاء العلاقة مع الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: عملية إعادة البيانات وحذفها وجدولها الزمني؛ القدرة على الحذف المعتمد مع أدلة تدقيق؛ جرد البيانات عند انتهاء التعاقد.
- بوابات الأمن عند إلحاق الموردين
-
تكتسب بوابات الأمن عند استقبال الموردين أهمية لأن المخاطر التي يمثلها المورّد لا تنتظر اكتمال التقييم، فهي قائمة منذ لحظة منح الوصول. والمورّد غير المُقيَّم الذي يملك وصولًا إلى بيانات بيئة الإنتاج يمثل المخاطر نفسها التي يمثلها مورّد مُقيَّم ثبت ضعف ضوابطه.
تكتسب بوابات الأمن عند استقبال الموردين أهمية لأن المخاطر التي يمثلها المورّد لا تنتظر اكتمال التقييم، فهي قائمة منذ لحظة منح الوصول.
- بوابات الأمن عند إلحاق الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: مسار عمل الإلحاق مع نقطة إجازة من TPRM؛ نسبة الالتزام بالبوابة بوصفها مقياسًا للبرنامج؛ والمورد الذي يؤكد نضج برنامج TPRM لديه ينبغي أن يُسأل عما إذا كانت تقييماته لمورديه تكتمل قبل منح الوصول. فقيمة البوابة تكمن كليًا في توقيتها. والتقييم بعد منح الوصول ليس بوابة، بل مراجعة بأثر رجعي.
- التأخير في إلحاق الموردين وإنهاء التعامل معهم
-
التأخير في منح الموردين الوصول وإنهائه هو الفجوات الزمنية بين الوقت الذي ينبغي فيه إنشاء الوصول أو إزالته والوقت الذي يحدث فيه ذلك فعلًا.
تكتسب مخاطر توقيت منح الصلاحيات وسحبها أهمية بالنسبة إلى TPRM لأنها تمثل أنماط الإخفاق العملية لعمليات حوكمة الوصول السليمة في تصميمها والمختلة في تنفيذها.
- التأخير في إلحاق الموردين وإنهاء التعامل معهم: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: SLA الإخطار بالمغادرة، أي الحد الأقصى للوقت من مغادرة الموظف إلى إخطار العميل؛ تأكيد توقيت إنهاء الوصول، أي الإزالة المرتبطة بالحدث مقابل الإزالة المجدولة؛ بيانات زمن إتمام الإلحاق، أي المتوسط والحد الأقصى من الترشيح حتى منح الوصول.
- مخاطر مساهمة الموردين في المصادر المفتوحة
-
تُعد مخاطر المساهمات في المصادر المفتوحة مهمة لـ TPRM لأن المكتبات مفتوحة المصدر التي تُبنى عليها برمجيات الموردين يصونها مساهمون من البشر قد تتغير دوافعهم، ولأن نموذج الثقة الذي يجعل تطوير المصادر المفتوحة فعالًا هو نفسه نموذج الثقة الذي يستهدفه مهاجمو سلسلة التوريد تحديدًا.
تُعد مخاطر المساهمات في المصادر المفتوحة مهمة لـ TPRM لأن المكتبات مفتوحة المصدر التي تُبنى عليها برمجيات الموردين يصونها مساهمون من البشر قد تتغير دوافعهم، ولأن نموذج الثقة الذي يجعل تطوير المصادر المفتوحة فعالًا هو نفسه نموذج الثقة الذي يستهدفه مهاجمو سلسلة التوريد تحديدًا.
- مخاطر مساهمات الموردين في المصادر المفتوحة: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: الوعي بالهجمات من نوع XZ Utils في نموذج أمن سلسلة التوريد؛ والمورّد الذي يؤكد إدارة التبعيات مفتوحة المصدر ينبغي أن يُسأل عن مراقبة مخاطر المساهمين. فإدارة إصدارات التبعيات تغطي الحزمة المستخدمة، أما مراقبة المساهمين فتغطي من يُوثق به لتعديل تلك الحزمة.
- مخاطر اعتماد الموردين للمصادقة بدون كلمات مرور
-
تستبدل المصادقة بدون كلمات مرور السر المشترك (كلمة المرور) ببيانات اعتماد تشفيرية، مثل مفتاح المرور أو مفتاح الأمان المادي أو الشهادة، تثبت الهوية عبر مفتاح خاص لا يغادر جهاز المصادقة أبدًا.
تكتسب مخاطر اعتماد المصادقة بدون كلمات مرور أهمية بالنسبة إلى TPRM لأن الإعلان عن اعتماد المصادقة بدون كلمات مرور يُستخدم بشكل متزايد دليلًا على أمان مصادقة متقدم في تقييمات الموردين، ونادرًا ما يُفصح عن الفجوة بين الإعلان عن النشر واكتمال الترحيل.
- مخاطر تبني الموردين للمصادقة بدون كلمات مرور: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: نسبة تغطية المصادقة بدون كلمات مرور، أي إجمالي أحداث المصادقة مقابل ما جرى ترحيله منها؛ حالة ترحيل مسارات البنية التحتية، مثل VPN وSSH وقواعد البيانات؛ خارطة طريق لترحيل المسارات المتبقية مع جدول زمني.
- واقع وتيرة الترقيع لدى الموردين
-
يكتسب واقع وتيرة التصحيحات أهمية لأن البرمجيات التي تنشرها مؤسستك تواصل تراكم مخاطر الثغرات بين تقييمك الأولي ومراجعتك المخطط لها التالية للمورّد. والمورّد الذي يطبق التصحيحات ببطء أو بشكل غير مكتمل هو مورّد تصبح برمجياته أكثر عرضة للثغرات تدريجيًا بمرور الوقت.
يكتسب واقع وتيرة التصحيحات أهمية لأن البرمجيات التي تنشرها مؤسستك تواصل تراكم مخاطر الثغرات بين تقييمك الأولي ومراجعتك المخطط لها التالية للمورّد.
- واقع وتيرة التصحيحات لدى الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: بيانات تاريخية عن الجداول الزمنية للترقيع، أي نشر CVE مقابل إصدار التصحيح؛ قائمة بثغرات CVE الحرجة غير المرقّعة مع الجدول الزمني لمعالجتها؛ متوسط وتيرة الترقيع حسب درجة الخطورة.
- اتفاقيات مستوى الخدمة للترقيع لدى الموردين مقابل الواقع
-
سرعة التصحيح هي المقياس التشغيلي الذي يحدد طول مدة تعرض بيانات مؤسستك عبر الثغرات المعروفة في تطبيقات الموردين. وهي ليست مؤشر مخاطر نظريًا، بل حساب بالتقويم.
سرعة الترقيع هي المقياس التشغيلي الذي يحدد طول المدة التي تظل فيها بيانات مؤسستك معرضة عبر ثغرات معروفة في تطبيقات الموردين.
- اتفاقيات مستوى الخدمة للترقيع لدى الموردين مقابل الواقع: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: بيانات فعلية عن زمن الترقيع لآخر أربع إلى ست ثغرات CVE حرجة أثرت في تطبيق المورد، أي أرقام محددة لا بيانات سياسات؛ وثائق عملية إخطار العملاء بثغرات CVE الحرجة، أي الجدول الزمني والقناة والالتزام بتقديم إرشادات مؤقتة؛ وثائق عملية الاستثناءات مع بيانات تكرارها، أي عدد مرات منح استثناءات من SLA ومدى الشفافية مع العملاء عند منحها.
- تقييمات خصوصية الموردين
-
يسأل تقييم خصوصية المورّد عن البيانات الشخصية التي سيعالجها المورّد، ولأي غرض، وعلى أي أساس قانوني، وإلى أين ستنتقل، وكم من الوقت ستُحفظ، ومن غيره سيتعامل معها، وما الذي سيحدث لها عند انتهاء العلاقة. وهي مجموعة أسئلة تختلف عن أسئلة التقييم الأمني، وقد يجتاز المورّد أحدهما بامتياز بينما يخفق في الآخر.
تغطي استبيانات الأمن الضوابط وتتجاهل الغرض تمامًا. فالمورد الآمن تمامًا الذي يستخدم بيانات العملاء لتدريب نماذجه الخاصة، ويحتفظ بها إلى أجل غير مسمى، وينقلها إلى ثلاث دول دون آلية نقل، سيجتاز المراجعة الأمنية دون أي ملاحظة واحدة.
- تواتر إعادة تقييم الموردين
-
تواتر إعادة تقييم الموردين هو الوتيرة التي تخضع بها علاقة المورّد لتقييم أمني رسمي، أي الفحص المعمق الدوري الذي يؤكد الوضع الأمني للمورّد، ويحدد التغييرات في الضوابط، ويحدّث تصنيف المخاطر للعلاقة.
يكتسب تواتر إعادة تقييم الموردين أهمية بالنسبة إلى TPRM لأن تواتر التقييم الرسمي ينبغي أن يعكس ملف المخاطر الحالي للعلاقة، وهو ملف يتغير مع تطور المورّد والعلاقة.
- تواتر إعادة تقييم الموردين: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: حجم معالجة البيانات الحالي مقارنةً بتاريخ آخر تقييم؛ والحوادث الأمنية التي أثرت على عملاء آخرين منذ آخر تقييم؛ والتغييرات الجوهرية في البنية التحتية، مثل المناطق السحابية الجديدة وتكاملات الأنظمة الجديدة.
- تسرب البيانات عبر تقارير الموردين
-
تقارير الموردين، أي تقديم التقارير التحليلية ولوحات المعلومات وصادرات البيانات وملخصات ذكاء الأعمال إلى العملاء أو أصحاب المصلحة الداخليين، نشاطٌ لنقل البيانات كثيرًا ما لا يخضع للحوكمة بالصرامة نفسها التي تخضع لها أشكال الوصول الأخرى إلى البيانات. فالتقارير تحتوي على بيانات.
يُعد تسرب البيانات عبر تقارير الموردين مهمًا لـ TPRM لأن التقارير من أعلى تدفقات البيانات المستمرة حجمًا في معظم العلاقات مع الموردين، إذ تُنقل بيانات العملاء أسبوعيًا أو شهريًا إلى مستلمين خارجيين، ونادرًا جدًا ما تُقيَّم بالصرامة المطبقة على عمليات نقل البيانات الأخرى المماثلة حجمًا وحساسية.
- تسرّب البيانات عبر تقارير الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: تأكيد محتوى التقارير، أي هل هي بيانات مجمّعة فقط أم يمكن الوصول إلى السجلات الأساسية؛ سجل مراجعة قوائم التوزيع مع تأكيد تفويض المستلمين الحاليين؛ وصف آلية التسليم، مشفرة أم نصًا صريحًا.
- اختبار قدرة الموردين على الصمود وتمارين المحاكاة المكتبية
-
يكتسب اختبار قدرة الموردين على الصمود أهمية لأن قدرة المؤسسة الفعلية على الصمود أمام تعطل المورّد تتحدد بما إذا كانت خطط الطوارئ لديها قابلة للتنفيذ، لا بمجرد وجودها. فخطة BCP الموثقة جيدًا التي لا يمكن تنفيذها في سيناريو التعطل الذي تصفه توفر طمأنينة زائفة.
يُعد اختبار مرونة الموردين مهمًا لأن المرونة الفعلية للمؤسسة في مواجهة تعطل الموردين تتحدد بمدى قابلية خطط الطوارئ للتنفيذ، لا بمجرد وجودها.
- اختبار مرونة الموردين وتمارين المحاكاة المكتبية: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: سجلات أحدث تمارين المحاكاة المكتبية لسيناريوهات تعطل الموردين؛ وقت الاستعادة المختبَر مقارنةً بـ RTO المصمَّم؛ تحديثات BCP الناتجة عن نتائج التمارين.
- التحقق من استجابة المورد
-
التحقق من استجابة المورّد هو عملية العميل للتحقق بشكل مستقل من أن استجابة المورّد للحادث قد حققت معالجة كاملة ودائمة، لا مجرد القضاء على التهديدات المحددة، بل الثقة بعدم بقاء أي وجود متبقٍّ للمهاجم في بيئة المورّد.
يُعد التحقق من استجابة المورد مهمًا لـ TPRM لأن استئناف العميل مشاركة البيانات مع المورد بعد تقرير المعالجة يُعيد تعريض بياناته لأي وجود متبقٍ للمهاجم لم تقضِ عليه المعالجة.
- التحقق من استجابة المورّد: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: الالتزام بمشاركة IOC، أي تزويد العميل بمؤشرات الاختراق الناتجة عن التحقيق؛ ومقاييس المراقبة المعززة خلال فترة المراقبة؛ والاستعداد لتكليف جهة مستقلة بالتحقق في حالات الاختراق الكبيرة.
- تجميع مخاطر الموردين
-
تجميع مخاطر الموردين هو تحليل حالات التعرض للمخاطر على مستوى المحفظة التي تنشأ من اجتماع علاقات موردين قُيّمت كلٌّ منها على حدة، وتحديدًا المخاطر المترابطة الناشئة عن الاعتماد المشترك على البنية التحتية، والوصول المشترك إلى البيانات، والمسارات التشغيلية المشتركة التي تجعل عدة موردين منخفضي المخاطر كلٌّ على حدة يشك
يُعد تجميع مخاطر الموردين مهمًا لـ TPRM لأن مجالس الإدارة والجهات التنظيمية تتوقع بشكل متزايد أن تفهم المؤسسات تعرضها الإجمالي للمخاطر من العلاقات مع الموردين، لا توزيع درجات المخاطر الفردية فحسب، بل مخاطر التركّز التي تُنشئها التبعيات المشتركة.
- تجميع مخاطر الموردين: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: الإفصاح عن مزود البنية التحتية السحابية الرئيسي؛ وخطة استمرارية الأعمال لأحداث توافر مزود البنية التحتية؛ والبنية التحتية البديلة أو قدرة التحول عند التعطل.
- مواءمة شهية المخاطر لدى الموردين
-
تُعد مواءمة الرغبة في المخاطرة مهمة لأن قبول المخاطر بما يخالف الرغبة المعلنة للمؤسسة في المخاطرة يُنشئ فجوة بين الوضع الذي يعتقد مجلس الإدارة والقيادة العليا أن المؤسسة قبلته وبين الوضع الذي أوجدته القرارات التشغيلية فعليًا.
تُعد مواءمة الرغبة في المخاطرة مهمة لأن قبول المخاطر بما يخالف الرغبة المعلنة للمؤسسة في المخاطرة يُنشئ فجوة بين الوضع الذي يعتقد مجلس الإدارة والقيادة العليا أن المؤسسة قبلته وبين الوضع الذي أوجدته القرارات التشغيلية فعليًا.
- مواءمة شهية المخاطر لدى الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: تأكيد تطبيق الحد الأدنى من الضوابط؛ جدول زمني لأي حدود دنيا غير مطبقة؛ عدم القبول بالتكلفة ذريعةً لعدم استيفاء المتطلبات الأمنية الأساسية.
- دقة سجل مخاطر الموردين
-
تكتسب دقة سجل المخاطر أهمية لأن قرارات القيادة بشأن المخاطر، مثل توجيه موارد المعالجة، والموردين الذين يُصعَّدون إلى مجلس الإدارة، والعلاقات التي تجب مراجعتها، تُتخذ بناءً على بيانات السجل. والسجل غير الدقيق ينتج ترتيبًا غير دقيق لأولويات المخاطر.
تُعد دقة سجل المخاطر مهمة لأن قرارات القيادة بشأن المخاطر، مثل توجيه موارد المعالجة، والموردين الذين يُصعَّد أمرهم إلى مجلس الإدارة، والعلاقات التي تجب مراجعتها، تُتخذ بناءً على بيانات السجل.
- دقة سجل مخاطر الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: وثائق عملية تحديث السجل ومحفزاته؛ والمورد الذي يؤكد وجود سجل شامل للمخاطر ينبغي أن يُسأل عن كيفية إبقائه محدَّثًا. فقيمة السجل في دقته. وعملية التحديث هي الآلية التي تحافظ على الدقة بين المراجعات الرسمية.
- برامج الإفصاح الأمني لدى الموردين
-
تُعد برامج الإفصاح الأمني لدى الموردين مهمة لـ TPRM لأنها تحدد مدى سرعة اكتشاف الثغرات في برمجيات الموردين ومعالجتها وإبلاغ العملاء بها.
تُعد برامج الإفصاح الأمني لدى الموردين مهمة لـ TPRM لأنها تحدد مدى سرعة اكتشاف الثغرات في برمجيات الموردين ومعالجتها وإبلاغ العملاء بها.
- برامج الإفصاح الأمني لدى الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: بيانات الالتزام بالجداول الزمنية للترقيع في حالات الإفصاح الحرجة؛ عملية الإخطار المسبق للعملاء وجدولها الزمني؛ نطاق برنامج الإفصاح ومعلومات الاتصال.
- إرهاق استبيانات أمن الموردين
-
يكتسب الإرهاق من الاستبيانات أهمية لأنه يقوّض جودة المعلومات التي يُفترض أن تولّدها الاستبيانات. فالموردون الذين يملؤون أعدادًا كبيرة من استبيانات العملاء يجيبون بطرق تقلل وقت الإنجاز لا بطرق تقدم رؤية أمنية حقيقية.
يكتسب الإرهاق من الاستبيانات أهمية لأنه يقوّض جودة المعلومات التي يُفترض أن تولّدها الاستبيانات.
- إرهاق استبيانات أمن الموردين: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: إطار استبيان موحد مكتمل (SIG، CAIQ) إن وُجد؛ وتقرير SOC 2 لمجالات الضوابط ذات الصلة؛ والملف الأمني للمورّد على منصة موحدة إن كان يحتفظ به.
- فجوات نطاق الاختبار الأمني لدى الموردين
-
فجوات نطاق الاختبار الأمني هي أجزاء سطح الهجوم في التطبيق التي تُستبعد من الاختبار الأمني، إما بقرارات متعمدة لتقييد النطاق، أو بسبب عدم تحديث النطاق مع تطور التطبيق، أو عبر الاستبعاد الضمني لمكونات لم يُنظر في إدراجها قط.
فجوات نطاق الاختبار الأمني هي أكثر مشكلات الصلاحية جوهريةً في تقييم أمن تطبيقات الموردين، وهي أكثر جوهريةً من منهجية الاختبار أو مهارة المختبِر أو معالجة النتائج.
- فجوات نطاق الاختبارات الأمنية لدى الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: وثائق نطاق اختبار الاختراق، أي تعريف النطاق الفعلي لا الملخص التنفيذي؛ تأكيد صريح بأن مكونات التكامل مع العملاء مشمولة في النطاق المختبَر؛ جرد كامل لسطح API مع مطابقة تغطية النطاق، أي الواجهات البرمجية التي اختُبرت والتي لم تُختبر.
- تكامل SOC مع المورّد
-
تكامل SOC مع الموردين هو التنسيق التشغيلي بين فريقي العمليات الأمنية لدى المورد والعميل، وتحديدًا آليات التواصل الفوري أثناء الحوادث المشتركة، وتصعيد حالات الكشف ذات الصلة ببيئة الطرف الآخر، والربط بين الأحداث في البيئتين لتحديد الهجمات
يكتسب تكامل SOC مع المورّد أهمية بالنسبة إلى TPRM لأن مهاجمي سلسلة التوريد المتمرسين يفهمون الفجوات التحقيقية بين فرق عمليات الأمن المستقلة ويستغلونها.
- تكامل SOC مع الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: المورد الذي يمتلك SOC ناضجًا ينبغي أن يُسأل عما يستدعي اتصالًا مباشرًا بـ SOC لدى العميل بدلًا من إكمال تحقيق داخلي أولًا. فنضج SOC هو القدرة. ومحفّز التصعيد والاتصال المباشر هما التكامل.
- مخاطر التكامل مع SSO لدى الموردين
-
تسجيل الدخول الموحد آلية لاتحاد المصادقة، تتيح للمستخدمين المصادقة على أنظمة متعددة باستخدام مجموعة واحدة من بيانات الاعتماد يديرها مزود هوية مركزي.
تكتسب مخاطر تكامل SSO لدى الموردين أهمية بالنسبة إلى TPRM لأن SSO يُقدَّم بشكل متزايد بوصفه ضابطًا أمنيًا في تقييمات الموردين، إذ يُتخذ تأكيد التكامل مع SSO دليلًا على أن الوصول يخضع لحوكمة مركزية.
- مخاطر تكامل SSO لدى الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: وثائق نطاق المصادقة، أي المجموعات أو المعايير التي تقيّد المصادقة؛ مطابقة سمات SAML لتحديد الأدوار، أي السمات المستخدمة ومنطق إسناد الأدوار؛ مستوى الوصول الافتراضي للمستخدمين المصادَق عليهم الذين لا يملكون سمات أدوار، مما يؤكد السلوك البديل.
- محدودية بيانات القياس عن بُعد لدى الموردين
-
محدودية بيانات القياس عن بُعد هي الفجوات في حجم البيانات ذات الصلة بالأمن وتفاصيلها وتغطيتها التي تتاح للبنية التحتية للمراقبة لدى المورّد، وهي فجوات تقيّد ما يستطيع SIEM اكتشافه بصرف النظر عن مدى نضج قواعد الاكتشاف وعمليات SOC.
تكتسب محدودية بيانات القياس عن بُعد لدى الموردين أهمية بالنسبة إلى TPRM لأنها تُحدث فجوات في رؤية مسارات الهجوم لا يراها SOC لدى المورّد ولا يكشفها تقييم TPRM لدى العميل.
- قيود بيانات القياس عن بُعد لدى الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: مستوى التسجيل حسب النظام المصدر للأنظمة ذات الصلة بمسار الهجوم؛ حالة التكامل مع SIEM لكل مصدر؛ والمورد الذي يؤكد تغطية شاملة لـ SIEM ينبغي أن يُطلب منه جرد بيانات القياس عن بُعد للأنظمة المحددة الواقعة على مسار الهجوم إلى بيانات العملاء. فتغطية SIEM تصف ما هو متصل. وجودة بيانات القياس عن بُعد تصف ما يوفره ذلك الاتصال.
- رؤية التهديدات لدى الموردين
-
رؤية العميل لتهديدات المورّد هي قدرته على رؤية النشاط ذي الصلة بالأمن في بيئة المورّد الذي يتصل مباشرةً بأمن بيانات العميل وتكامله، وتحديدًا النشاط الذي يكشف، عند جمعه مع بيانات المراقبة لدى العميل نفسه، هجومًا عابرًا للحدود لا تستطيع مراقبة أي من الطرفين
تُعد رؤية التهديدات لدى الموردين مهمة لـ TPRM لأن أكثر هجمات سلسلة التوريد تطورًا تستهدف عمدًا نقاط الالتقاء بين بيئات المراقبة، مستخدمةً التكامل بين المورد والعميل مسارًا للهجوم وأسلوبًا للتهرب من الكشف في آن واحد.
- رؤية التهديدات لدى الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: استعداد المورد لمشاركة بيانات مراقبة التكامل؛ مقاييس نشاط API المتاحة للمشاركة؛ بروتوكول مشاركة تنبيهات الشذوذ في التكامل.
- تصنيف الموردين في مستويات
-
يرتّب التصنيف في مستويات الموردين بحسب الضرر الذي قد يُحدثونه، بحيث يتبع جهد التقييم حجم التعرض بدلًا من توزيعه بالتساوي على قائمة لا يستطيع معظم عناصرها إلحاق الأذى بك. مستويان أو ثلاثة، تُحدَّد باختبارات موضوعية: هل يحتفظ المورد ببيانات شخصية أو سرية، وهل لديه وصول إلى بيئتك، وهل يقع في المسار الحرج لشيء يعتمد عليه العملاء.
البرنامج الذي يقيّم أربعمئة مورّد بالعمق نفسه لا يقيّم أيًا منهم جيدًا. والتصنيف في مستويات هو الآلية التي تتيح لك أن تقضي أربع ساعات على أداة الدعم التي تحتفظ بمرفقات تذاكر مليئة بالبيانات الشخصية، وعشر دقائق على مورّد النباتات، دون أن يضطر أحد إلى الجدال حول ذلك في كل مرة.
- عدم دقة تصنيف الموردين في مستويات
-
تصنيف الموردين في مستويات هو عملية تصنيف علاقات الموردين حسب مستوى المخاطر لتطبيق عمق تقييم وكثافة مراقبة ومتطلبات حوكمة متناسبة.
تكتسب أخطاء تصنيف الموردين في مستويات أهمية بالنسبة إلى TPRM لأن هيكل إدارة المخاطر في البرنامج بأكمله يعتمد على دقة المستويات.
- عدم دقة تصنيف الموردين في مستويات: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: وصف كامل لجميع الخدمات والتكاملات التي يقدمها كيان المورّد والشركات التابعة ذات الصلة؛ والإفصاح عن أي عمليات استحواذ أثرت على العلاقة؛ وتأكيد المطابقة مع قائمة جرد تكاملات تقنية المعلومات.
- مفاتيح التشفير التي يديرها المورد
-
إدارة مفاتيح التشفير هي تخصص التحكم في من يستطيع توليد مفاتيح التشفير التي تحمي البيانات والوصول إليها واستخدامها وتدويرها وإلغاءها. والتشفير دون إدارة المفاتيح أشبه بإقفال خزنة وترك الرقم السري مكتوبًا فوقها: الآلية سليمة لكن الضابط غائب.
في سياق مخاطر الأطراف الثالثة، تحدد حوكمة مفاتيح التشفير ما إذا كان التشفير ضابطًا ذا معنى أم مجرد خانة امتثال تُعلَّم.
- مفاتيح التشفير التي يديرها المورّد: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: وصف واضح لنموذج إدارة المفاتيح، لا عبارة «نستخدم التشفير» بل النموذج المحدد ومن يتحكم في المفاتيح؛ عملية محددة لإلغاء المفاتيح مرتبطة بإنهاء العقد ضمن إطار زمني محدد؛ إتاحة سجل تدقيق استخدام المفاتيح، أي دليل على أن عمليات فك التشفير مسجلة وقابلة للمراجعة.
- VEX، تبادل قابلية استغلال الثغرات
-
يكتسب VEX أهمية بالنسبة إلى TPRM لأنه بدونه تضطر المؤسسات إما إلى فرز قوائم الثغرات الطويلة يدويًا، وهي عملية مكلفة وبطيئة، وإما إلى تطبيق قبول شامل للمخاطر على الثغرات غير المصنفة التي قد تكون قابلة للاستغلال وقد لا تكون.
يكتسب VEX أهمية بالنسبة إلى TPRM لأنه بدونه تضطر المؤسسات إما إلى فرز قوائم الثغرات الطويلة يدويًا، وهي عملية مكلفة وبطيئة، وإما إلى تطبيق قبول شامل للمخاطر على الثغرات غير المصنفة التي قد تكون قابلة للاستغلال وقد لا تكون.
- VEX، تبادل قابلية استغلال الثغرات: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: مستند VEX بصيغة OpenVEX أو CycloneDX VEX؛ مبررات تصنيفات «غير متأثر»؛ قائمة التصنيفات المتأثرة مع الجدول الزمني للمعالجة.
- VPN مقابل الوصول إلى الشبكة بالثقة الصفرية
-
تُعد مسألة VPN مقابل ZTNA مهمة لـ TPRM لأن تأكيد الوصول عبر VPN يوفر ضمانًا للنقل المشفر والمصادقة دون معالجة نطاق الوصول إلى الشبكة الذي توفره VPN.
تُعد مسألة VPN مقابل ZTNA مهمة لـ TPRM لأن تأكيد الوصول عبر VPN يوفر ضمانًا للنقل المشفر والمصادقة دون معالجة نطاق الوصول إلى الشبكة الذي توفره VPN.
- VPN مقابل الوصول إلى الشبكة بمبدأ الثقة الصفرية: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: نطاق الوصول عبر VPN، أي نطاقات الشبكة مقابل المتطلبات الفعلية؛ وعدد المستخدمين في مجموعات VPN مقابل متطلبات الوصول المشروعة؛ واعتماد ZTNA لوصول الموردين أو خارطة الطريق لاعتماده.
- اتفاقيات مستوى الخدمة لإدارة الثغرات
-
تحدد SLA المعالجة مهلة لكل فئة أولوية: الأنظمة المكشوفة على الإنترنت مع استغلال معروف، سبعة أيام؛ وكل ما عدا ذلك مما يتوفر له إصلاح، ثلاثون يومًا؛ أما الأنظمة التي تنتظر إخراجها من الخدمة فتُتابَع بشكل منفصل مع تاريخ محدد. وتُعرَّف الفئات بحسب التعرض وقابلية الاستغلال وقيمة الأصل، مع اعتبار درجة الخطورة التي يحددها الماسح مُدخلًا لا إجابة.
اتفاقية SLA التي لا يُلتزم بها كل شهر تعلّم الجميع تجاهل اتفاقيات مستوى الخدمة. فشركة كان ماسحها ينتج تسعين ثغرة حرجة شهريًا مقابل مهلة سبعة أيام أخفقت في الالتزام بها باستمرار، مما جعل المقياس بلا معنى. وأدت إعادة ترتيب الأولويات بحسب التعرض للإنترنت والاستغلال المعروف إلى إبقاء نحو اثني عشر بندًا شهريًا ضمن نطاق الأيام السبعة، وهو أمر قابل للتحقيق، فأصبحت SLA حقيقية.
W
- خرافات الاعتماد على جدار حماية تطبيقات الويب
-
وجود WAF من أكثر ضوابط أمن التطبيقات ذكرًا في إجابات الموردين على الاستبيانات، فهو مرئي، وقابل للقياس (عمليات الحظر يوميًا، والهجمات التي جرى التصدي لها)، ويوفر مقاييس مثيرة للإعجاب توحي بانخراط أمني نشط.
وجود WAF من أكثر ضوابط أمن التطبيقات ذكرًا في إجابات الموردين على الاستبيانات، فهو مرئي، وقابل للقياس (عمليات الحظر يوميًا، والهجمات التي جرى التصدي لها)، ويوفر مقاييس مثيرة للإعجاب توحي بانخراط أمني نشط.
- خرافات الاعتماد على جدار حماية تطبيقات الويب: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: تأكيد تتبع الضوابط التعويضية، أي تتبع الثغرات المغطاة بـ WAF بشكل منفصل عن الثغرات المرقّعة مع جداول زمنية محددة للمراجعة؛ تأكيد تشغيل WAF في وضع الحظر مع نطاق تغطيته لسطح التطبيق؛ عملية إدارة الإيجابيات الكاذبة، أي التأكد من عدم تعطيل القواعد بصورة منهجية لتقليل الاحتكاك التشغيلي.
- ما يعنيه DevSecOps فعلًا مقابل ما يقول الموردون إنه يعنيه
-
DevSecOps: مؤكَّد. الفحوص الأمنية: قيد التشغيل.
تُعد فجوة DevSecOps مهمة لـ TPRM لأن تأكيد أن المورد يشغّل أدوات DevSecOps دون تقييم ما إذا كانت تلك الأدوات تفرض أي شيء يوفر ضمانًا أمنيًا لمسرحية أمنية لا لممارسة أمنية.
- ما يعنيه DevSecOps فعلًا مقابل ما يقول الموردون إنه يعنيه: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: سياسة الإنفاذ عند إخفاق الفحوص الأمنية، أي ما الذي يمنع النشر؛ وخريطة تغطية الفحص الأمني، أي أُطر العمل والمنظومات وطبقات الصور؛ ومسار عمل معالجة النتائج مع تحديد المسؤولية وSLA.
- ما هو SLSA ولماذا ينبغي أن يهتم به مورّدوك
-
متوافق مع SLSA: مؤكَّد. مستوى SLSA: 1.
يكتسب SLSA أهمية بالنسبة إلى TPRM لأن هجمات سلسلة توريد البرمجيات، وتحديدًا اختراق خطوط البناء وتوزيع المُخرَجات البرمجية، من أكثر نواقل الهجوم المستغلة حاليًا تأثيرًا وأصعبها اكتشافًا.
- ما هو SLSA ولماذا ينبغي أن يهتم به مورّدوك: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: مستوى SLSA المحدد، لا امتثال بنعم أو لا؛ إقرار بمصدر أحد الإصدارات الحديثة؛ طريقة التحقق من الإقرار.
- أمن الشبكات اللاسلكية ومخاطر الموردين
-
يُعد أمن الشبكات اللاسلكية مهمًا لـ TPRM لأنه يحدد المحيط المادي للشبكة، أي مدى القرب الذي يحتاجه المهاجم للوصول إلى أي جزء منها.
يكتسب أمن الشبكات اللاسلكية أهمية بالنسبة إلى TPRM لأنه يحدد المحيط المادي للشبكة، أي مدى القرب الذي يحتاجه المهاجم للوصول إلى أي جزء من الشبكة.
- أمن الشبكات اللاسلكية ومخاطر الموردين: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: طريقة المصادقة في الشبكة اللاسلكية المؤسسية، أي 802.1X أو كلمة مرور مشتركة؛ جدول تدوير بيانات اعتماد الضيوف وتاريخ آخر تدوير؛ تطبيق بوابة الضيوف إن وُجدت.
Z
- بنية الثقة الصفرية: ما تعنيه فعلًا
-
تكتسب بنية الثقة الصفرية أهمية بالنسبة إلى TPRM لأن الموردين الذين يؤكدون تطبيق الثقة الصفرية دون بُعد تجزئة الشبكة يملكون شبكة مسطحة تزيد إلى أقصى حد إمكانية التنقل الجانبي لأي مهاجم يخترق أي مستخدم أو نظام داخلي.
تُعد بنية الثقة الصفرية مهمة لـ TPRM لأن الموردين الذين يؤكدون تطبيق الثقة الصفرية دون بُعد تجزئة الشبكة لديهم شبكة مسطحة تزيد إلى أقصى حد إمكانية التحرك الجانبي لأي مهاجم يخترق أي مستخدم أو نظام داخلي.
- بنية الثقة الصفرية: ما تعنيه فعلًا: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: وصف تجزئة الشبكة، أي المناطق المعزولة عن غيرها؛ وتطبيق ZTNA أو ما يعادله من ضوابط الوصول إلى الشبكة؛ والتحقق من وضع الجهاز وقت الوصول.
- الثقة الصفرية لسلاسل توريد البرمجيات
-
يُعد تطبيق الثقة الصفرية على سلاسل توريد البرمجيات مهمًا لـ TPRM لأن التحسينات الأمنية التي توفرها الثقة الصفرية في سياقات الشبكات تنطبق بالقدر نفسه على سلسلة توريد البرمجيات، والمؤسسات التي استثمرت في بنية شبكات الثقة الصفرية بينما أبقت سلاسل توريد برمجياتها قائمة على الثقة الضمنية أوجدت حالة من عدم التماثل حي
يُعد تطبيق الثقة الصفرية على سلاسل توريد البرمجيات مهمًا لـ TPRM لأن التحسينات الأمنية التي توفرها الثقة الصفرية في سياقات الشبكات تنطبق بالقدر نفسه على سلسلة توريد البرمجيات، والمؤسسات التي استثمرت في بنية شبكات الثقة الصفرية بينما أبقت سلاسل توريد برمجياتها قائمة على الثقة الضمنية أوجدت حالة من عدم التماثل حي
- الثقة الصفرية لسلاسل توريد البرمجيات: الأدلة
-
عندما تسأل موردًا عن هذا، فهذه هي الأدلة التي تستحق أن تطلبها بدلًا من التطمينات: التحقق من هوية الناشر بما يتجاوز وجوده في السجل؛ تقليل بيانات الاعتماد على مستوى كل خطوة في وكلاء البناء؛ وصف بنية الثقة الصفرية لسلسلة التوريد.
- نموذج نضج الثقة الصفرية لتقييم TPRM
-
يكتسب تقييم نضج الثقة الصفرية أهمية بالنسبة إلى TPRM لأن القيمة الأمنية لبرنامج الثقة الصفرية لدى المورّد تتحدد بعمق تطبيقه الفعلي عبر الأبعاد الخمسة جميعها، لا بالتسمية التي يطلقها عليه.
يكتسب تقييم نضج الثقة الصفرية أهمية بالنسبة إلى TPRM لأن القيمة الأمنية لبرنامج الثقة الصفرية لدى المورّد تتحدد بعمق تطبيقه الفعلي عبر الأبعاد الخمسة جميعها، لا بالتسمية التي يطلقها عليه.
- نموذج نضج الثقة الصفرية لتقييم TPRM: الأدلة
-
عندما تسأل المورّد عن هذا الأمر، فهذه هي المستندات التي تستحق أن تطلبها بدلًا من التطمينات: أدلة على كل مرحلة نضج مُدّعاة؛ والمرحلة الحالية مقابل المرحلة المستهدفة لكل ركيزة؛ والمورّد الذي يؤكد تطبيق الثقة الصفرية ينبغي أن يُطالَب بتقييمات النضج على مستوى الركائز. فتأكيد الثقة الصفرية يصف التسمية، أما النضج على مستوى الركائز مع الأدلة فيصف عمق التطبيق. وكلاهما مطلوب لمقارنة برامج الثقة الصفرية لدى الموردين.
تتولى الجمعية صيانته. المصطلح هنا ملخص؛ والدورة المذكورة بجانبه هي حيث تُدرَّس الممارسة.