في عالمنا الرقمي المترابط ، تعتمد الشركات على شبكة واسعة من البائعين والموردين والشركاء للعمل بكفاءة. ومع ذلك، فإن هذا الاعتماد يتضمن مخاطر كبيرة على أمن سلاسل التوريد. بدءاً من المخاطر الداخلية للطرف الأول وليس انتهاءاً بالبائعين من الطرف الرابع، ولذلك، فإن فهم هذه التهديدات والتخفيف من حدتها أمر بالغ الأهمية لحماية البيانات الحساسة والحفاظ على استمرارية الأعمال. أصبحت مخاطر الأمن السيبراني لسلسلة التوريد أحد أهم المخاوف التي تواجهها الشركات في مختلف القطاعات. مع تزايد الاعتماد على البائعين الخارجيين ومقدمي البرامج والخدمات السحابية، لم تعد التهديدات السيبرانية محصورة داخل مؤسسة واحدة – بل أصبحت تنتشر عبر سلسلة التوريد بأكملها.
أمن سلاسل التوريد -مخاطر الأطراف الأربعة
مخاطر الطرف الأول: البيت الداخلي
الطرف الأول هو شركتك وأصولها الرقمية. والذي يشمل الأنظمة المحلية وقواعد البيانات والشبكات و سياسات الأمن السيبراني الداخلية وممارسات الموظفين. ومن أهم المخاطر انتهاكات البيانات بسبب ضعف الضوابط الداخلية، إضافة إلى التهديدات الداخلية (المتعمدة أو العرضية). وبالتالي، للحد من هذه المخاطر أو التخفيف منها -على الأقل- فالمطلوب هو التدقيق الأمني المنتظم، بالتوازي مع تدريب الموظفين على الأمن السيبراني.
مخاطر الطرف الثاني: العملاء
لتعزيز أمن سلاسل التوريد، يجب فهم مخاطر الطرف الثاني من العملاء أو المشتركين الذين يتفاعلون مع أنظمتك. ولذلك فإن أهم المخاطر تكمن في أجهزة العملاء المخترقة (نقص برامج مكافحة الفيروسات والبرامج القديمة). كما تأتي في المرتبة الثانية سرقة بيانات الاعتماد التي تؤدي إلى وصول غير مصرح به. ولتخفيف المخاطر تتبع المؤسسات استراتيجيات متعددة ومنها: المصادقة متعددة العوامل (MFA)، و تطبيق التشفير على المواقع التي يستخدمها العملاء للوصول للخدمات.
الطرف الثالث: البائعون الخارجيون
الطرف الثالث في مفهوم أمن سلاسل التوريد ، هو أي كيان خارجي يقدم الخدمات، مثل مقدمو الخدمات السحابية (CSPs) بأنواعها(SaaS، PaaS، IaaS) و بائعو الخدمات ( تكنولوجيا المعلومات) ومزودو الأنظمة (مزودو البرمجيات والأجهزة). ويمثل اختراق البيانات عبر ثغرات البائعين أحد المخاطر في هذا المجال. وكذلك مخاطر الفشل في الامتثال للوائح (على سبيل المثال، اللائحة العامة لحماية البيانات). وبالتالي، لتخفيف المخاطر، يجب إجراء تقييمات الأمن السيبراني للبائعين بالإضافة لإدراج الالتزامات الأمنية للبائعين في العقود معهم.
مخاطر الطرف الرابع: المتعاقدون في الباطن
الأطراف الرابعة هم المتعاقدون من الباطن الذين يستخدمهم البائعون الخارجيون لديك. قد ينتج عن ذلك عدم وضوح الرؤية في الممارسات الأمنية للطرف الرابع و زيادة مساحة الهجوم بسبب سلاسل التوريد الممتدة -من البائع المرتبط معك إلى بائعين بالباطن-. ولذلك من المهم فرض شروط تعاقدية يتم من خلالها إبلاغك من البائعين -الطرف الثالث- قبل التعاقد من الباطن ليتم إجراء العناية الواجبة من قبلك على الطرف الرابع.
أعرف سلسلة التوريد الخاصة بك
تشير مخاطر الأمن السيبراني لسلسلة التوريد إلى إمكانية تسلل الهجمات السيبرانية إلى المؤسسة من خلال الموردين الخارجيين أو المتعاقدين أو مزودي الخدمات. تنشأ هذه المخاطر عندما يستغل المهاجمون نقاط الضعف في أنظمة الطرف الثالث -أو أي طرف ممتد- للوصول غير المصرح به إلى البيانات أو الشبكات أو البرامج الحساسة. وبالتالي، كما تستخدم المؤسسات المالية بروتوكولات اعرف عميلك (KYC)، يجب على الشركات اعتماد اعرف سلسلة التوريد الخاصة بك (KYSC) لتقييم مخاطر البائعين. وتتضمن هذه العملية تحديد بائعي سلسلة التوريد (SCVI)، تحديد جميع البائعين في سلسلة التوريد الخاصة بك وتصنيفهم حسب النوع: خدمات سحابية أو خدمة أو نظام أو بائع تكنولوجيا. حيث تتضمن العناية الواجبة بالبائعين (VDD) تقييم الجدارة بالثقة ووضع الأمن السيبراني عبر ثلاثة مستويات هي:
- العناية الواجبة للخدمة السحابية: التحقق من ضوابط حماية البيانات.
- العناية الواجبة بالنظام/التقنية: التأكد من خلو التحديثات من البرامج الضارة.
- العناية الواجبة لمزود الخدمة: اشتراط التحقق من الخلفية والتدريب الأمني.
ويضاف إلى ما سبق، المراقبة المستمرة عبر إجراء تقييمات سنوية للموردين و تتبع التغييرات في نشاط البائعين (على سبيل المثال، مراجعة التقارير الإعلامية السلبية).
أمن سلاسل التوريد – تقييم البائعين
لتقييم مخاطر البائعين يجب بداية جرد الأصول الرقمية لتحديد البيانات التي يمكن للبائعين الوصول إليها ومن ثم تحديد خطورة البائعين (مخاطر عالية، متوسطة، منخفضة). وبامتلاك هذه الرؤية، يمكننا الانتقال للخطوة التالية وهي التأكد من امتثال البائعين للوائح والقوانين الناظمة لكل صناعة، مثل (HIPAA)، إضافة إلى اللائحة العامة لحماية البيانات (GDPR). وللوصول لرؤى أدق حول البائعين (ومزودي الخدمات عموماً) يجب إجراء استبيانات وعمليات التدقيق تتطلب الإطلاع على تقارير اختبار الاختراق، فحص الثغرات الأمنية و مراجعة خطط الاستجابة للحوادث. ولحماية المؤسسة يجب فرض ضمانات تعاقدية تحوكم الاستعانة بمصادر خارجية من طرف رابع مع التأكيد على الإبلاغ الفوري من قبل المتعاقدين في حال خرق البيانات.
الخلاصة
لم تعد إدارة المخاطر السيبرانية في سلسلة التوريد أمراً ختيارياً- بل أصبحت ضرورة. فمن خلال فهم مخاطر الطرف الأول والثاني والثالث والرابع، وتطبيق ضوابط أمن المعلومات والرقابة على سلسلة التوريد، وتقييمات صارمة للموردين، يمكن للشركات أن تقلل بشكل كبير من التعرض للتهديدات السيبرانية. علماً أن تجاهل مخاطر الأمن السيبراني في سلسلة التوريد قد ينتج عنه خروقات للبيانات وعقوبات تنظيمية والإضرار العلامة التجارية على المدى الطويل.
