نضج أمن سلسلة توريد البرمجيات ليس بُعدًا واحدًا، بل يمتد عبر مجالات قدرات متمايزة متعددة قد تتفاوت مستويات نضجها تفاوتًا كبيرًا داخل البرنامج نفسه. فالمؤسسة التي تملك برنامج SBOM ناضجًا وتطبيقًا قويًا لـSCA ومراقبة نشطة للثغرات قد تفتقر في الوقت نفسه إلى أي وعي بـSLSA، وإلى أي قدرة على تقييم أمن مسار البناء، وإلى أي دليل إجرائي للاستجابة لحوادث سلسلة التوريد. ويتطلب تقييم نضج أمن سلسلة التوريد تقييمًا خاصًا بكل مجال، يصنّف كل مجال قدرات بشكل مستقل بدلًا من إنتاج درجة إجمالية واحدة تساوي في المتوسط بين المجالات القوية والمجالات الغائبة.
تمتد مجالات نضج أمن سلسلة التوريد ذات الصلة ببرامج TPRM عبر ستة مجالات: إدارة التبعيات (فحص SCA، وجمع SBOM، ومراقبة الثغرات، والتعامل مع VEX)، وأمن البناء (الوعي بـSLSA، وتقييم مسار البناء، والتحقق من المنشأ)، وأمن المكونات البرمجية (التحقق من التوقيع، وأمن السجل، وعدم قابلية التغيير)، وأمن التوزيع (تقييم آلية التحديث، والتحقق من المنشأ)، والمراقبة والكشف (مراقبة سلسلة التوريد، وإدارة الوضع الأمني لـCI/CD)، والاستجابة للحوادث (دليل إجرائي لـIR في سلسلة التوريد، وتحديد الإصدارات المتأثرة، وإخطار العملاء). ويمكن تصنيف كل مجال بشكل مستقل من المستوى 0 (عدم الوعي/الغياب) حتى المستوى 4 (استباقي، مؤتمت، في تحسن مستمر).
مشكلة دقة التقييم الذاتي هي التحدي المحدد في نموذج النضج. فالتقييمات الذاتية لنضج أمن سلسلة التوريد تميل إلى التمركز حول المجالات التي جرى الاستثمار فيها، فتمنح SBOM وSCA تصنيفًا مرتفعًا لأنهما المجالان اللذان ركز عليهما البرنامج، دون الإقرار بالمجالات التي لم تُعالج. وقد كشف التقييم الخارجي الذي أجراه الاستشاري في المثال الافتتاحي أن التصنيف الذاتي للمؤسسة عند المستوى 3 عكس استثمارها في SBOM وSCA دون احتساب مجالات المستوى 1 والمستوى 0 التي لم تعالجها تلك الاستثمارات.
لماذا يهم هذا
يكتسب تقييم نضج أمن سلسلة التوريد أهميته في TPRM لأنه يقدم صورة خاصة بكل مجال توضح أين جرى الاستثمار في أمن سلسلة التوريد وأين تقع الفجوات، وهو ما يوجّه مباشرة تحديد أولويات تحسين البرنامج الداخلي والأسئلة التي ينبغي لفرق TPRM طرحها على الموردين بشأن المجالات المحددة التي يُرجح أن تكون فيها الفجوة.
- درجة نضج إجمالية واحدة تخفي التفاوت بين المجالات
- تصنيف المجالات عالية الاستثمار بدرجات مرتفعة دون الإقرار بالمجالات الغائبة
- غياب إطار نضج خاص بالمجالات لأمن سلسلة التوريد
- الخلط بين الاستثمار في SBOM/SCA والنضج الكامل لأمن سلسلة التوريد
- عدم استخدام تقييم النضج لتحديد أولويات الاستثمار في البرنامج
كيف تبدو الممارسة الجيدة
تصنّف التقييمات الناضجة لنضج أمن سلسلة التوريد ستة مجالات بشكل مستقل، هي إدارة التبعيات وأمن البناء وأمن المكونات البرمجية وأمن التوزيع والمراقبة والاستجابة للحوادث، وتعرض تصنيفات خاصة بكل مجال بدلًا من الدرجات الإجمالية، وتستخدم التصنيفات لتحديد أولويات الاستثمار في المجالات الأدنى نضجًا.
- تقييم نضج سلسلة التوريد عبر ستة مجالات
- تصنيفات مستقلة لكل مجال، لا درجة إجمالية
- إعطاء الأولوية في الاستثمار للمجال الأدنى نضجًا
- إعادة تقييم النضج سنويًا لتتبع التقدم
- التحقق المستقل: تقييم خارجي لمعايرة التصنيفات الذاتية
الأدوات
مرجع النضج: OpenSSF Scorecard لتقييم أمن التبعيات مفتوحة المصدر؛ ونموذج نضج C-SCRM من CISA لنضج برامج سلسلة التوريد
يوفر OpenSSF Scorecard تقييمًا آليًا لأمن سلسلة التوريد عبر أبعاد متعددة للمشاريع مفتوحة المصدر، بما في ذلك حماية الفروع، وتثبيت إصدارات التبعيات، ومراجعة الشيفرة، وأمن CI، وإدارة الثغرات. ويوفر نموذج نضج C-SCRM من CISA إطار نضج أمن سلسلة التوريد على مستوى المؤسسة. ويقدم كلاهما تقييمًا منظمًا خاصًا بكل مجال يكمّل التقييم الذاتي بمؤشرات خارجية.
تحديات الحوكمة
يتمثل التحدي الحوكمي في تقييم نضج أمن سلسلة التوريد في مشكلة المجهول غير المعروف. فالمجالات الغائبة عن وعي البرنامج لا يمكن تقييمها ذاتيًا بدقة؛ فالمؤسسة التي لم تسمع قط بـSLSA لا تستطيع تصنيف نضجها في SLSA إلا عند المستوى 0. ويكمن الحل الحوكمي في استخدام أطر نضج خارجية، مثل الملحق E من NIST 800-161 وOpenSSF Scorecard وC-SCRM من CISA، بوصفها قائمة المجالات، بما يضمن تقييم جميع المجالات على الأقل حتى لو كانت حاليًا عند المستوى 0.
- استخدام قائمة مجالات خارجية، مثل NIST 800-161 وOpenSSF وCISA، للحصول على قائمة كاملة بالمجالات
- تصنيف جميع المجالات بما فيها الغائبة؛ فالمستوى 0 تصنيف صالح ومهم
- تقييم خارجي مستقل لمعايرة التصنيفات الذاتية
- تحديد أولويات الاستثمار وفق الفجوات الخاصة بكل مجال
- إعادة التقييم سنويًا باستخدام إطار مجالات ثابت
إذا كنت فريقًا صغيرًا
قيّم برنامج أمن سلسلة التوريد لديك عبر المجالات الأساسية الستة على مقياس من 0 إلى 4: إدارة التبعيات (SCA وSBOM وVEX)، وأمن البناء (SLSA وتقييم المسار)، وأمن المكونات البرمجية (التوقيع والسجل)، وأمن التوزيع (آلية التحديث)، والمراقبة (مراقبة سلسلة التوريد)، والاستجابة للحوادث (دليل إجرائي لـIR في سلسلة التوريد). قيّم بصدق؛ فالمستوى 0 للمجالات التي لم تعالجها معلومة أفضل من درجة إجمالية مضخمة. وتحدد أدنى الدرجات مجالات الاستثمار ذات الأولوية القصوى لديك.
- تقييم ستة مجالات لأمن سلسلة التوريد على مقياس من 0 إلى 4
- تصنيف المجالات الغائبة عند المستوى 0، لا «غير منطبق»
- إعطاء الأولوية في الاستثمار للمجالات الأدنى درجة
- التحقق من الدرجات الذاتية بتقييم خارجي
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«هل يمكنكم تقديم تقييم ذاتي لنضج أمن سلسلة التوريد خاص بكل مجال، يغطي إدارة التبعيات وأمن البناء وأمن المكونات البرمجية وأمن التوزيع والمراقبة والاستجابة للحوادث، مع تصنيفات مستقلة لكل مجال بدلًا من درجة إجمالية؟»
ما تتوقعه دليلًا
- تصنيفات نضج خاصة بكل مجال لستة مجالات لأمن سلسلة التوريد
- الإقرار بالمستوى 0 للمجالات الغائبة بدلًا من «غير منطبق»
- خارطة طريق الاستثمار للمجالات الأدنى نضجًا
- التحقق الخارجي من تصنيفات التقييم الذاتي
ينبغي مطالبة المورد الذي يؤكد نضج برنامج أمن سلسلة التوريد لديه بتصنيفات خاصة بكل مجال. فالنضج الإجمالي يصف المتوسط عبر المجالات. أما التصنيفات الخاصة بكل مجال فتكشف أين يكون البرنامج قويًا وأين تقع الفجوات التي يخفيها المتوسط.
كيف تُثبت ذلك
- سجلات تقييم النضج الخاصة بكل مجال
- تحديد مجالات المستوى 0 وخارطة طريق معالجتها
- تحديد أولويات الاستثمار بناءً على فجوات النضج
- إعادة تقييم النضج سنويًا
الخلاصة الرئيسية
SBOM: المستوى 3. SCA: المستوى 3. SLSA: المستوى 0، لا وعي. أمن مسار البناء: المستوى 1. مراقبة سلسلة التوريد: المستوى 0. التقييم الذاتي: المستوى 3 استنادًا إلى SBOM وSCA. التقييم الخارجي: المستوى 2 مع ممارسات من المستوى 3 في مجالين من ستة. أخفت الدرجة الإجمالية التفاوت. وكشف التقييم الخاص بكل مجال الصورة الكاملة: قوة حيث جرى الاستثمار، وغياب حيث لم يجرِ. والمستوى 0 لمراقبة سلسلة التوريد وSLSA نتيجة أكثر قابلية للتنفيذ من درجة إجمالية عند المستوى 3. وتحديد أولويات الاستثمار وفق المجالات الأدنى نضجًا يحقق نتائج أفضل في أمن سلسلة التوريد من الاستثمار في مجالات ناضجة أصلًا.