برامج الإفصاح الأمني لدى المورّدين، التي تُسمى عادة برامج الإفصاح عن الثغرات (VDP) أو برامج مكافآت اكتشاف الثغرات، هي الآليات التي يُبلغ من خلالها الباحثون الأمنيون الخارجيون والعملاء مورّدي البرمجيات بالثغرات المكتشفة. ويوفر برنامج الإفصاح الناضج والجيد الإدارة إنذارًا مبكرًا بالثغرات قبل الإفصاح العلني، وعملية معالجة منظمة تنتج تصحيحات ضمن الجدول الزمني للإفصاح المنسق، وتواصلًا مع العملاء المتأثرين يمكّنهم من تطبيق حلول مؤقتة أو التخطيط لنشر التصحيح قبل أن تصبح الثغرة معروفة للعامة. أما برنامج الإفصاح الشكلي الذي يُقر بالبلاغات لكنه لا يعالجها ضمن الجدول الزمني للإفصاح المنسق فيقدم للباحثين والعملاء، والمهاجمين في نهاية المطاف، ثغرة حرجة منشورة دون تصحيح.
الجدول الزمني للإفصاح المنسق هو العرف المهني الذي يحكم العلاقة بين الباحثين الأمنيين والمورّدين. والعرف السائد، الذي أرساه Google Project Zero واعتُمد على نطاق واسع، هو 90 يومًا من الإخطار الخاص حتى الإفصاح العلني، ويجوز للباحث بعدها النشر بصرف النظر عن توفر التصحيح. ويمنح بعض الباحثين تمديدات للثغرات المعقدة. فالمورّد الذي يتلقى بلاغًا عن ثغرة حرجة لديه نحو 90 يومًا لتطوير تصحيح وإصداره قبل نشر الثغرة لمجتمع الأمن، بما في ذلك الجهات المهددة التي تراقب الإفصاحات عن الثغرات. والمورّد الذي لا يستطيع معالجة الثغرات الحرجة خلال 90 يومًا هو مورّد سيسلّم عملاءه بانتظام ثغرات حرجة غير مصححة لحظة الإفصاح العلني.
فجوة إخطار العملاء هي الإخفاق التشغيلي في السيناريو الافتتاحي. فحتى المورّدون الذين يصححون ضمن الجدول الزمني للإفصاح المنسق كثيرًا ما يُخفقون في إخطار العملاء من المؤسسات قبل الإفصاح العلني، فلا يتيحون للعملاء أي فرصة لتطبيق حلول مؤقتة أو الاستعداد لنشر تصحيح طارئ قبل أن تصبح الثغرة معروفة للعامة. والإخطار المسبق للعملاء، أي تنبيه العملاء المتأثرين بالثغرة والتصحيح المتاح قبل الإفصاح العلني، هو الممارسة التي تمنح فرق الأمن في المؤسسات وقت الاستعداد الذي لا يتيحه الإفصاح العلني المتزامن.
لماذا يهم هذا
تكتسب برامج الإفصاح الأمني لدى المورّدين أهمية في TPRM لأنها تحدد مدى سرعة اكتشاف الثغرات في برمجيات المورّد ومعالجتها وإبلاغ العملاء بها. فالمورّد الذي يملك برنامج إفصاح ناضجًا وجيد التنفيذ يوفر أمنًا لسلسلة التوريد أفضل من مورّد لديه برنامج شكلي يُخفق في التنفيذ، بصرف النظر عن ادعاءات كل منهما التسويقية بشأن نضج برنامجه الأمني.
- قبول وجود برنامج الإفصاح دون تقييم جودته
- عدم تقييم الالتزام بالجدول الزمني للتصحيح، أي هل يصحح المورّد خلال 90 يومًا
- عدم إدراج الإخطار المسبق للعملاء في تقييم المورّدين
- عدم تتبع الالتزام بالجدول الزمني للإفصاح المنسق
- عدم تقييم نطاق برنامج مكافآت اكتشاف الثغرات، أي فئات الثغرات المشمولة
كيف تبدو الممارسة الجيدة
تسأل تقييمات برامج الإفصاح الناضجة لدى المورّدين عن الالتزام بالجدول الزمني للتصحيح، أي نسبة الثغرات الحرجة المصححة ضمن نافذة الإفصاح المنسق، وعن ممارسات الإخطار المسبق للعملاء، أي هل يتلقى العملاء إشعارًا مسبقًا قبل الإفصاح العلني؟
- بيانات الالتزام بالجدول الزمني للتصحيح، أي نسبة ثغرات CVE الحرجة المصححة خلال 90 يومًا
- الإخطار المسبق للعملاء، أي هل يتلقى العملاء من المؤسسات إشعارًا قبل الإفصاح
- نطاق البرنامج، أي فئات الثغرات المشمولة
- مقاييس مشاركة الباحثين، بوصفها مؤشرًا على سلامة البرنامج
- تحليل الجدول الزمني التاريخي للإفصاح، أي أداء المورّد تاريخيًا
الأدوات
تقييم برامج الإفصاح، Disclose.io لمعايير البرامج، وHackerOne وBugcrowd لمؤشرات جودة البرامج
توفر سمعة برامج الإفصاح لدى المورّدين في مجتمع الباحثين الأمنيين، أي مدى سرعة استجابة المورّدين، وما إذا كانوا يصححون ضمن الجداول الزمنية، وما إذا كانوا يتواصلون على النحو المناسب، مؤشرات على جودة البرامج لا توفرها السياسات المنشورة. ويوفر الاطلاع على آراء مجتمع الباحثين في منصات مكافآت اكتشاف الثغرات الكبرى تقييمًا تكميليًا للجودة إلى جانب الوثائق الرسمية للبرنامج.
تحديات الحوكمة
يتمثل تحدي الحوكمة في تقييم برامج الإفصاح في توفر البيانات الفعلية. فالالتزام التاريخي بالجدول الزمني للتصحيح، أي أداء المورّد الفعلي في الثغرات المُفصح عنها، يتطلب تحليل إفصاحات CVE السابقة مقارنة بتواريخ إصدار التصحيحات، وهو أمر ممكن لكنه كثيف الجهد. والحل من منظور الحوكمة هو تركيز التحليل التاريخي على أخطر ثغرات المورّد واستكماله بمؤشرات جودة البرنامج من مجتمع الباحثين.
- اسأل عن الالتزام بالجدول الزمني للتصحيح، أي نسبة ثغرات CVE الحرجة المصححة خلال 90 يومًا
- اسأل عن ممارسة الإخطار المسبق للعملاء
- راجع الجدول الزمني التاريخي للإفصاح عن الثغرات الحرجة البارزة
- أدرج نضج برنامج الإفصاح في تقييم أمن برمجيات المورّد
- اشترط في عقد المورّد الالتزام بالإخطار المسبق في حالات الإفصاح عن الثغرات الحرجة
إذا كنت فريقًا صغيرًا
لأهم ثلاثة مورّدي برمجيات حرجين لديك، ابحث عن آخر ثلاث ثغرات حرجة أُفصح عنها علنًا لدى كل منهم. دوّن متى أُبلغ عن كل منها (إن كان ذلك علنيًا)، ومتى صدر التصحيح، ومتى أُفصح عن الثغرة علنًا. احسب الجدول الزمني للتصحيح لكل منها. فإذا كان المورّد يصحح باستمرار ضمن نافذة الإفصاح المنسق البالغة 90 يومًا، فإن برنامج الإفصاح لديه يعمل. وإذا كان يتجاوز النافذة بانتظام، فسيتجاوز الباحثون البرنامج بشكل متزايد وينشرون ثغرات غير مصححة، وهو السيناريو الذي يعرّض مؤسستك للخطر دون إشعار مسبق.
- ابحث عن آخر ثلاث ثغرات CVE حرجة لدى أهم مورّدي البرمجيات، وحلل الجداول الزمنية للتصحيح
- اسأل عن الإخطار المسبق للعملاء في حالات الإفصاح عن الثغرات الحرجة
- اشترط الالتزام بالإخطار المسبق في عقود المورّدين
- أدرج الالتزام ببرنامج الإفصاح في إعادة تقييم المورّد
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«ما نسبة بلاغات الثغرات الحرجة المقدمة إلى برنامج الإفصاح لديكم التي تُصحح ضمن الجدول الزمني للإفصاح المنسق، وهل تقدمون إخطارًا مسبقًا للعملاء من المؤسسات قبل الإفصاح العلني عن ثغرة حرجة؟»
ما تتوقعه دليلًا
- بيانات الالتزام بالجدول الزمني للتصحيح في حالات الإفصاح عن الثغرات الحرجة
- عملية الإخطار المسبق للعملاء وجدولها الزمني
- نطاق برنامج الإفصاح ومعلومات الاتصال
- طريقة التعامل مع أحدث إفصاح عن ثغرة حرجة بوصفها دراسة حالة
المورّد الذي يؤكد وجود برنامج للإفصاح الأمني يجب أن يُسأل عن الالتزام بالجدول الزمني للتصحيح وعن الإخطار المسبق للعملاء. فوجود البرنامج نقطة البداية. أما الالتزام بالجدول الزمني للتصحيح والإخطار المسبق فيحددان ما إذا كان البرنامج يحقق قيمة أمن سلسلة التوريد التي يُفترض أن يوفرها.
كيف تُثبت ذلك
- سجلات تقييم جودة برامج الإفصاح
- تحليل الجدول الزمني التاريخي للتصحيح
- اشتراط الإخطار المسبق في عقد المورّد
- تقييم برنامج الإفصاح في مراجعة المورّد
الخلاصة الرئيسية
برنامج الإفصاح: منشور ومؤكد. قُدّم البلاغ. وأُقر باستلامه. بعد 7 أشهر: نُشرت الثغرة علنًا دون تصحيح. العملاء من المؤسسات: لم يتلقوا أي إشعار مسبق. كان البرنامج موجودًا. لكن العملية داخله أخفقت في الالتزام بالجدول الزمني للإفصاح المنسق. ينشر الباحثون عند انقضاء الجدول الزمني، إذ لا بديل أمامهم. وتُنشر الثغرة للمؤسسات في الوقت نفسه الذي تُنشر فيه لمجتمع الأمن بأكمله بما فيه الجهات المهددة. وتخبرك بيانات الالتزام بالجدول الزمني للتصحيح ما إذا كان برنامج المورّد يحقق نتائج أم أنه موجود فحسب. ويمنح الالتزام بالإخطار المسبق العملاء من المؤسسات نافذة الاستعداد التي يلغيها الإفصاح العلني المتزامن.