ترامپ امنیت زنجیره تأمین نرمافزار دفاعی را اجباری کرد
دستور جدید ترامپ امنیت زنجیره تأمین نرمافزار دفاعی آمریکا را هدف گرفته است؛ پیمانکاران باید وابستگیها، تأمینکنندگان و ریسکهای سایبری را شناسایی کنند.
دونالد ترامپ، رئیسجمهور آمریکا، با امضای یک دستور اجرایی جدید، وزارت جنگ این کشور را موظف کرده است چارچوبهایی برای امنیت زنجیره تأمین نرمافزار و حفاظت از زنجیرههای تأمین حیاتی دفاعی ایجاد کند.
این دستور که بخشهایی از آن بر تأمین داخلی مواد و تجهیزات حیاتی تمرکز دارد، الزامات گستردهای برای افزایش دیدپذیری نسبت به تأمینکنندگان، پیمانکاران فرعی، نرمافزارها و فناوریهای مورد استفاده در سامانههای امنیت ملی آمریکا تعیین میکند.
بر اساس این دستور، دولت آمریکا تلاش میکند ریسکهایی مانند وابستگی به تأمینکنندگان خارجی، آسیبپذیریهای ناشناخته نرمافزاری، وابستگیهای زنجیرهای و تهدیدهای سایبری علیه زیرساختهای دفاعی را کاهش دهد.
این اقدام نشاندهنده افزایش اهمیت امنیت زنجیره تأمین نرمافزار در حوزه زیرساختهای حیاتی است؛ حوزهای که در سالهای اخیر به یکی از اهداف اصلی حملات سایبری پیچیده تبدیل شده است.
الزام پیمانکاران دفاعی به نقشهبرداری زنجیره تأمین
بر اساس دستور اجرایی جدید، وزیر جنگ آمریکا باید ظرف ۱۸۰ روز سیاستهایی را برای الزام پیمانکاران دفاعی به تهیه نقشه کامل از زنجیرههای تأمین مرتبط با قراردادهای امنیت ملی تدوین کند.
پس از تکمیل این سیاستها، مقررات اجرایی باید حداکثر طی ۹۰ روز آماده شوند.
این الزامات تنها شامل پیمانکاران اصلی نخواهد بود و میتواند پیمانکاران فرعی و تأمینکنندگان چندلایه را نیز در بر بگیرد.
هدف اصلی این فرآیند، ایجاد دید کامل نسبت به مسیر تولید، توسعه و ارائه فناوریهایی است که در سامانههای دفاعی آمریکا استفاده میشوند.
نرمافزار و SBOM در مرکز امنیت زنجیره تأمین قرار میگیرند
یکی از مهمترین بخشهای این دستور، الزام احتمالی پیمانکاران به ارائه یک صورتحساب مواد زنجیرهای (Indented Bill of Materials) است.
این ساختار فراتر از یک SBOM (Software Bill of Materials) معمولی خواهد بود.
SBOM معمولاً فهرستی از اجزای نرمافزاری، کتابخانهها و وابستگیهای مورد استفاده در یک نرمافزار ارائه میکند؛ اما الزامات جدید میتواند ارتباط میان موارد زیر را نیز مشخص کند:
- اجزای نرمافزاری
- میانافزارها (Firmware)
- سختافزارها
- تولیدکنندگان
- تأمینکنندگان
- کشورهای مبدأ
- منابع مواد اولیه
به این ترتیب، دولت آمریکا به دنبال ایجاد تصویری جامع از منشأ فناوریهایی است که در زنجیره دفاعی استفاده میشوند.
تعریف گسترده از زنجیره تأمین حیاتی
در این دستور، زنجیره تأمین حیاتی شامل تمام سطوح تأمینکنندگان و پیمانکارانی تعریف شده است که کالا، مواد، سامانه، نرمافزار یا خدمات ضروری برای:
- اجرای قراردادهای دفاعی
- تضمین مأموریت
- امنیت
- تابآوری عملیاتی
را فراهم میکنند.
این تعریف گسترده میتواند شرکتهای فناوری مختلف را نیز تحت تأثیر قرار دهد؛ از جمله:
- توسعهدهندگان نرمافزار
- ارائهدهندگان خدمات ابری
- شرکتهای مدیریت خدمات فناوری (MSP)
- ارائهدهندگان زیرساخت دیجیتال
حتی اگر این شرکتها چندین مرحله از پیمانکار اصلی فاصله داشته باشند.
بررسی امنیتی تأمینکنندگان؛ فراتر از ارزیابی سنتی
دستور جدید، پیمانکاران را ملزم میکند فرآیندهای مکتوبی برای بررسی و ارزیابی تأمینکنندگان و پیمانکاران فرعی ایجاد کنند.
این ارزیابیها باید حداقل موارد زیر را بررسی کنند:
- ثبات مالی تأمینکننده
- مالکیت یا نفوذ خارجی
- ریسکهای تولید و تأمین
- وابستگی به یک منبع محدود
- تمرکز بیش از حد تأمینکنندگان
برای تیمهای امنیت سایبری، این تغییر میتواند دامنه مدیریت ریسک شخص ثالث (Third-Party Risk Management) را گسترش دهد.
بررسیها ممکن است شامل موارد زیر شود:
- مالکیت واقعی شرکتها (Beneficial Ownership)
- سرمایهگذاری خارجی
- محل توسعه نرمافزار
- سطح دسترسیهای مدیریتی
- محل ذخیرهسازی دادهها
- تغییرات ساختاری شرکتها
گزارشدهی ریسکهای امنیت زنجیره تأمین
پس از پایان فرآیند ارزیابی، پیمانکاران باید ریسکهای شناساییشده را کاهش داده و اقدامات اصلاحی را تا زمان رفع کامل پیگیری کنند.
بر اساس این دستور:
- ریسکهای مهم باید ظرف ۱۵ روز پس از تکمیل بررسیها به وزارت جنگ گزارش شوند.
- پیمانکاران ۴۵ روز فرصت دارند برنامه اصلاحی محرمانه ارائه کنند.
- پس از اجرای اقدامات، گزارش نهایی باید ثبت شود.
با این حال، دستور اجرایی مشخص نکرده است که چه نوع مشکلاتی دقیقاً در دسته «ریسک مهم» قرار میگیرند.
همچنین این مهلت ۱۵ روزه نباید با قانون عمومی گزارشدهی حادثه سایبری اشتباه گرفته شود؛ زیرا مربوط به ریسکهای کشفشده در فرآیند بررسی تأمینکنندگان است، نه تمام رخدادهای امنیتی.
سختگیری آمریکا در برابر تأمینکنندگان خارجی پرریسک
این دستور علاوه بر الزامات امنیتی، قوانین مربوط به استفاده از منابع تأمین خارجی را نیز محدودتر میکند.
از اول ژانویه ۲۰۲۷، صدور مجوز برای استفاده از برخی مواد و تجهیزات از منابع ممنوعه دشوارتر خواهد شد.
در صورت نیاز به استفاده از یک منبع غیرمنطبق، پیمانکار باید برنامه کاهش ریسک ارائه کند که شامل موارد زیر باشد:
- معرفی منبع مشکلدار
- تلاشهای انجامشده برای یافتن جایگزین
- زمانبندی حذف منبع از زنجیره تأمین
شرکتهایی که عمداً برنامه اصلاحی را اجرا نکنند یا اطلاعات نادرست ارائه دهند، ممکن است با جریمههای قراردادی و اقدامات قانونی مواجه شوند.
نقشههای زنجیره تأمین خود به یک هدف سایبری تبدیل میشوند
اگرچه هدف اصلی این دستور افزایش امنیت است، اما ایجاد پایگاههای داده گسترده درباره زنجیره تأمین دفاعی میتواند یک چالش امنیتی جدید ایجاد کند.
اطلاعاتی که ارتباط میان موارد زیر را مشخص میکند:
- سامانههای دفاعی
- وابستگیهای نرمافزاری
- تأمینکنندگان
- محلهای تولید
- نقاط ضعف عملیاتی
میتواند برای مهاجمان ارزشمند باشد.
در صورت افشای این دادهها، مهاجمان میتوانند:
- نقاط شکست واحد را شناسایی کنند.
- تأمینکنندگان حیاتی را هدف قرار دهند.
- وابستگیهای نرمافزاری آسیبپذیر را کشف کنند.
- مسیرهای احتمالی جاسوسی یا خرابکاری را پیدا کنند.
به همین دلیل، پیمانکاران دفاعی احتمالاً نیاز خواهند داشت از کنترل دسترسی پیشرفته، رمزنگاری، ثبت رویدادها، جلوگیری از نشت داده و تفکیک اطلاعات استفاده کنند.
استفاده از هوش مصنوعی برای تحلیل ریسک زنجیره تأمین
دستور اجرایی جدید همچنین وزارت جنگ آمریکا را موظف میکند از فناوریهایی مانند هوش مصنوعی برای تحلیل اطلاعات خرید، شناسایی گلوگاهها و کشف نقاط شکست احتمالی استفاده کند.
هوش مصنوعی میتواند به تحلیل شبکههای پیچیدهای از تأمینکنندگان، قطعات و وابستگیها کمک کند؛ اما استفاده از آن پرسشهایی درباره موارد زیر ایجاد میکند:
- دقت ارزیابیهای خودکار ریسک
- حفاظت از اطلاعات محرمانه شرکتها
- امنیت پایگاههای داده دولتی
امنیت زنجیره تأمین نرمافزار به اولویت راهبردی تبدیل میشود
اگرچه این دستور مستقیماً استانداردهایی مانند رمزنگاری، توسعه امن نرمافزار یا فرآیند افشای آسیبپذیری را اجباری نمیکند، اما میتواند نقش تیمهای امنیت سایبری و مدیریت ریسک تأمینکنندگان را در صنایع دفاعی تغییر دهد.
پیمانکاران احتمالاً باید مدیریت SBOM، تضمین امنیت سختافزار، بررسی منشأ نرمافزار، غربالگری مالکیت خارجی و مدیریت ریسک سایبری را در یک برنامه جامع امنیت زنجیره تأمین نرمافزار ادغام کنند.
در نهایت، موفقیت این سیاست به نحوه اجرای مقررات آینده و دامنه قراردادهایی بستگی دارد که دولت آمریکا آنها را مرتبط با امنیت ملی تعریف خواهد کرد.
منابع
- SecurityWeek – Trump Orders Defense Contractors to Map Software, Suppliers Across Critical Supply Chains
گزارش اصلی مورد استفاده برای جزئیات مربوط به الزام پیمانکاران دفاعی به نقشهبرداری زنجیره تأمین، وابستگیهای نرمافزاری، SBOM، ریسک تأمینکنندگان و الزامات گزارشدهی. - The White House – Securing America’s Defense Supply Chains and Ensuring Domestic Acquisition of Critical Materials
متن رسمی دستور اجرایی کاخ سفید درباره تقویت زنجیره تأمین دفاعی آمریکا، محدودیت تأمینکنندگان خارجی و الزامات جدید برای پیمانکاران. - The White House – Fact Sheet: President Donald J. Trump Secures America’s Defense Supply Chains and Ensures Domestic Acquisition of Critical Materials
خلاصه رسمی دولت آمریکا درباره اهداف دستور اجرایی، شامل نقشهبرداری زنجیره تأمین و افزایش تابآوری صنعتی دفاعی.
این گزارش بر اساس اطلاعات منتشرشده توسط منابع فوق تهیه و با تحلیل و بازنویسی اختصاصی ۲۴ نیوز منتشر شده است.
اتاق تحلیل ۲۴ نیوز | دیدگاه تحلیلی بهراد یوسفی
امنیت زنجیره تأمین دیگر یک موضوع محدود به مدیریت تأمینکنندگان یا کنترل قراردادهای تجاری نیست؛ بلکه به یکی از ستونهای اصلی امنیت ملی دیجیتال تبدیل شده است. دستور اخیر دولت آمریکا نشان میدهد که در فضای جدید تهدیدات سایبری، سازمانها دیگر نمیتوانند تنها امنیت محصولات نهایی را بررسی کنند و باید مسیر کامل شکلگیری یک فناوری را از کد منبع تا زیرساخت تولید و تأمینکنندگان آن مشاهده کنند.
یکی از مهمترین پیامهای این رویکرد، حرکت از مدل سنتی «امنیت محصول» به سمت امنیت زنجیره تأمین نرمافزار است. در گذشته بسیاری از سازمانها تصور میکردند اگر سامانه داخلی آنها بهدرستی پیکربندی شده باشد، سطح امنیت قابل قبولی دارند؛ اما حملات سالهای اخیر نشان دادهاند که یک کتابخانه نرمافزاری آسیبپذیر، یک شرکت پیمانکار شخص ثالث یا حتی یک ابزار توسعه میتواند به مسیر ورود مهاجمان تبدیل شود.
الزام به استفاده از SBOM و ردیابی وابستگیهای نرمافزاری، گامی مهم برای افزایش شفافیت است، اما شفافیت بهتنهایی امنیت ایجاد نمیکند. سازمانها باید این اطلاعات را وارد فرآیندهای عملیاتی مانند مدیریت آسیبپذیری، Threat Modeling، ارزیابی ریسک تأمینکنندگان و معماری Zero Trust کنند.
از نگاه امنیت سازمانی، چالش اصلی در آینده حجم عظیم دادههایی خواهد بود که از زنجیرههای تأمین جمعآوری میشود. ایجاد نقشههای دقیق از نرمافزارها، سختافزارها و تأمینکنندگان میتواند برای دفاع بسیار ارزشمند باشد، اما همین اطلاعات در صورت حفاظت ناکافی میتواند به یک هدف راهبردی برای مهاجمان تبدیل شود. بنابراین اصولی مانند Defense in Depth، کنترل دسترسی حداقلی، رمزنگاری و تفکیک اطلاعات حساس اهمیت بیشتری پیدا خواهند کرد.
ورود هوش مصنوعی به تحلیل زنجیرههای تأمین نیز یک تغییر مهم محسوب میشود. AI میتواند الگوهای پیچیده وابستگی و ریسک را سریعتر شناسایی کند، اما سازمانها باید مراقب باشند تصمیمهای امنیتی کاملاً به مدلهای خودکار واگذار نشود. کیفیت داده، شفافیت الگوریتمها و قابلیت اعتبارسنجی خروجیها همچنان چالشهای جدی باقی خواهند ماند.
برای مدیران امنیت، CISOs و تیمهای SOC، پیام این تحول روشن است: امنیت سایبری آینده فقط حفاظت از شبکه یا سیستمعامل نیست؛ بلکه مدیریت اعتماد در تمام اکوسیستم فناوری است. سازمانهایی که نتوانند منشأ، وابستگی و مسیر توسعه فناوریهای مورد استفاده خود را درک کنند، در برابر حملات زنجیره تأمین آسیبپذیرتر خواهند بود.
در سالهای آینده، امنیت زنجیره تأمین نرمافزار به یکی از معیارهای اصلی بلوغ امنیتی سازمانها تبدیل خواهد شد؛ زیرا در اقتصاد دیجیتال، امنیت یک محصول تنها به کد نوشتهشده توسط توسعهدهنده محدود نیست، بلکه به تمام زنجیرهای وابسته است که آن محصول را شکل داده است.
