طُلب منا سياسة لإدارة الثغرات في تدقيق الموردين، من أين نبدأ في إعداد الوثيقة؟

المدققون المؤسسيون يفحصون مئات وثائق الموردين، ويفهمون من الفقرة الأولى أن النص منسوخ من الإنترنت. لا تكتب في السياسة شيئًا لا تستطيع تنفيذه. مثلًا لو كتبت "يُجرى اختبار اختراق من طرف ثالث كل شهر" سيطلبون الفاتورة والتقرير، ولن تستطيع تخصيص ميزانية اختبار اختراق شهري مقابل رقم أعمال 45.000 EUR. اكتب ما تفعله فعلًا.

لا تحشر نفسك في الزاوية عند تحديد المدد. الفرق الصغيرة التي تكتب "يُطبّق الترقيع خلال 24 ساعة" للثغرات الحرجة تخاطر بالعقد عند أول أزمة. اكتب 7 أيام للمستوى الحرج، و30 يومًا للمستوى العالي، و90 يومًا للمتوسط. افصل بين ترقيع الطوارئ ونوافذ الصيانة الروتينية.

أشر في الوثيقة مباشرة إلى نظام تقييم CVSS. ضع حدودًا تقنية واضحة مثل "الثغرات التي يكون تقييم CVSS v3 فيها 9.0 أو أعلى تُعتبر حرجة". كذلك قسّم مصادر الثغرات إلى قسمين: الاعتماديات الخارجية (حزم المصادر المفتوحة) وترقيعات البنية التحتية/نظام تشغيل الخوادم. آلية تتبعهما مختلفة.

تنزيل قالب وإرساله يمنح ارتياحًا مؤقتًا، لكن إن كان العميل شركة فرنسية مؤسسية فسيطلب دليلًا تقنيًا فور اعتماد الملف. إن لم يكن لديك أداة فحص حقيقية وسجل إصدارات وتذاكر إغلاق، فإنتاج ورق فقط قد يتحول لاحقًا إلى خطر تعويضات.

احنا استخدمنا قالب في تدقيق مشابه بس ضفنا جواه صيغ مخرجات الماسحات المجانية اللي نستخدمها. على كل حال المدقق طلب تقرير آخر فحص مباشرة، وريناه وما صار أي مشكل. الوثيقة لحالها ما تكفي، خلّي ملف المخرجات جاهز.

المشترون الكبار في فرنسا يدققون على مورديهم بعقود ملزمة بموجب تشريعات أمن سلسلة التوريد. وثيقة السياسة الموقعة تُعتبر قانونيًا ملحقًا بالعقد التجاري. لذلك من الجوهري أن تكون مدد الترقيع المتعهد بها في المحتوى متوافقة مع القدرة التقنية لشركتك.

لا تضخّمها في ذهنك، لا أحد ينتظر من بيت برمجيات من 9 أشخاص معيار صناعة دفاعية من 50 صفحة. وثيقة عملية واضحة من 3-4 صفحات، معقولة، مسؤولها وبريدها الإلكتروني معروفان، تُرضي معظم المدققين أكثر من اللازم.

بعد إعداد هذه الوثيقة، هل من الإلزامي تصديقها من شركة تدقيق مستقلة أو كاتب عدل، أم يُعتبر ختم الشركة وتوقيع المؤسس كافيين؟

أكثر نقطة يتم إغفالها في موضوع إدارة الثغرات هي: معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

مثبت بالتجربة.

ظهرت ثلاث وجهات نظر مختلفة، وكلها تكمل بعضها. يعني بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

هذا كل شيء، أرجو المعذرة إذا أطالت.

ملخص سريع للجدد: إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا.

دعني أتركها كملاحظة، قد تكون مفيدة.

نعم، الوضع في موضوع إدارة الثغرات هو بالضبط هكذا. الأمان ليس مطلقاً؛ بل يعني جعل الهجوم غير مجدٍ من حيث الجهد.

تشتت النقاش، دعني ألخصه. عند اتخاذ القرار، اكتب أسوأ سيناريو أيضًا، وليس الأفضل فقط.

ملخص سريع للجدد: عندما نتخذ قرارات دون قياس، نعود لنفس النقطة دائماً.

هذا كل شيء، أرجو المعذرة إذا أطالت.

ليس لدي خبرة في إدارة الثغرات، لذا أسأل. الإجراء المتخذ دون جرد المخزون يترك باباً لا تراه مفتوحاً.

ملخص سريع للجدد: عندما تحاول تغيير كل شيء دفعة واحدة، لا يستقر أي شيء.

كل من يستعجل في إدارة الثغرات يتعثر في نفس النقطة. اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

أنا في نفس الوضع، لذلك أسأل. لا تترددوا في السؤال، فالسائل يدفع ثمناً أقل دائماً.

محاولة فعل هذا بمفردك هي أغلى الطرق. دعني أتركها كملاحظة، قد تكون مفيدة.

أكتب هذا حتى لا تكرروا نفس الخطأ. الخطأ المرتكب من جانب إدارة الثغرات قابل للإصلاح عادةً، لكنه مكلف.

مثبت بالتجربة.