الثغرات الأمنية في سلاسل التوريد
تشير نتائج دراسة تحليلية حديثة صادرة عن مركز الأبحاث في كاسبرسكي إلى أن الثغرات المرتبطة بسلاسل التوريد وخدمات الأطراف الثالثة تشكل عائقاً رئيسياً أمام تحقيق المناعة السيبرانية في بيئة رقمية مترابطة، وتؤكد البيانات أن 65% من المؤسسات الكبرى ترى أن هذه الثغرات تمثل العائق الأكبر أمام تعزيز الحماية والمرونة السيبرانية.
وتوضح النتائج أن 31% من الشركات عالمياً و22% من الشركات في مصر تأثرت بهجمات سلاسل التوريد خلال العام الماضي، وتتجاوز هذه النسب معدلات العديد من أنواع التهديدات الأخرى. وتستهدف هذه الهجمات عادة المؤسسات التي تعتمد شبكات رقمية مترابطة ومعقدة، وكانت الشركات الكبرى الأكثر عرضة لها بنسبة 36% مقارنة بالشركات الصغيرة والمتوسطة.
وتشير البيانات إلى أن الشركات الكبرى تدير عدداً أكبر من موردي التكنولوجيا، إذ يبلغ متوسط عدد موردي البرمجيات والأجهزة لديها نحو 100 مورد، وهو ما يزيد من مساحة الهجوم المحتملة ويعرضها لمخاطر سيبرانية أعلى. كما تعتمد المؤسسات على عدد كبير من المتعاقدين الذين يحصلون على صلاحيات للوصول إلى أنظمتها، فمتوسط عدد المتعاقدين نحو 50 متعاقداً في الشركات الصغيرة ويرتفع إلى نحو 130 متعاقداً في الشركات الكبيرة.
ويؤدي هذا الترابط الرقمي الواسع إلى زيادة مخاطر ما يعرف بهجمات العلاقات الموثوقة، حيث يستغل المهاجمون الروابط التقنية والعلاقات الشرعية بين المؤسسات للوصول إلى الأنظمة المستهدفة. وخلال العام الماضي تأثرت 25% من الشركات عالمياً بهذا النوع من الهجمات، وتصدرت تركيا بنسبة 35%، وسنغافورة 33%، والمكسيك 31% قائمة الدول الأكثر تعرضاً للهجمات التي تستغل العلاقات الموثوقة، بينما بلغت مصر 23% مقارنة بمتوسط 22% في منطقة الشرق الأوسط.
التعليقات والتوصيات العملية
وأوضح سيرجي سولداتوف، رئيس مركز العمليات الأمنية في كاسبرسكي، أن المؤسسات تعمل اليوم ضمن منظومة رقمية مترابطة يجعل فيها كل اتصال أو مورِّد أو تكامل تقني جزءاً من منظومة الأمن السيبراني للمؤسسة. وأضاف أن زيادة الترابط ترفع احتمالات التعرض للهجمات، ما يجعل من الضروري تبني نهج أمني شامل لا يقتصر على حماية الأنظمة الفردية فحسب، بل يمتد ليشمل منظومة العلاقات الرقمية بالكامل لضمان استمرارية الأعمال ومرونتها.
ولتقليل المخاطر المرتبطة بسلاسل التوريد وضمان استمرارية الأعمال، يجب تطبيق إجراءات وقائية شاملة واعتماد نهج استراتيجي في إدارة العلاقات مع الموردين والمتعاقدين. ويشمل ذلك إجراء تقييم أمني شامل للموردين قبل التعاقد، ومراجعة سياسات الأمن السيبراني لديهم وسجل الحوادث الأمنية ومدى امتثالهم لمعايير أمن المعلومات في القطاع.
كما ينبغي إدراج متطلبات أمنية واضحة ضمن العقود لضمان إجراء تدقيقات أمنية دورية والالتزام بسياسات الأمان المعتمدة وآليات الإبلاغ عن الحوادث، إلى جانب تطبيق تدابير تقنية وقائية مثل مبدأ أقل امتياز للوصول إلى الأنظمة ومراقبة أنشطة الجهات الخارجية وتعزيز قدرات الكشف والاستجابة للحوادث السيبرانية.
