المادة 21(2)(د) من NIS2: متطلبات أمن سلسلة التوريد
تشترط المادة 21(2)(د) من NIS2 على الكيانات الأساسية والمهمة معالجة أمن سلسلة التوريد، بما في ذلك الجوانب الأمنية المتصلة بالعلاقات بين كل كيان ومورّديه المباشرين أو مقدّمي الخدمات له. وبالنسبة للمؤسسات التي تبني البرمجيات وتنشرها عبر مسارات CI/CD، تنطوي هذه المتطلبات على تبعات بعيدة المدى.
إن مسار CI/CD الحديث هو، بطبيعته، سلسلة توريد. فكل عملية بناء تُدمج مكتبات من أطراف ثالثة، وصوراً أساسية، وخدمات خارجية، وأدوات من مورّدين متعددين. ويمكن لمكوّن واحد مُخترَق في أي موضع من هذه السلسلة أن ينتشر عبر المسارات المؤتمتة إلى بيئات الإنتاج خلال دقائق. ولذلك يجب على المدققين تقييم ليس ضوابط المؤسسة الخاصة فحسب، بل أيضاً إطار الحوكمة المحيط بكل عنصر من الأطراف الثالثة يدخل مسار التسليم.
مخاطر الأطراف الثالثة في بيئات CI/CD
يُعدّ فهم فئات مخاطر الأطراف الثالثة في CI/CD أساسياً لتحديد نطاق التدقيق. وتمثّل المجالات التالية سطح المخاطر الأساسي:
الاعتماديات مفتوحة المصدر
تُدمج معظم التطبيقات الحديثة عشرات إلى مئات المكتبات مفتوحة المصدر. وتمثّل كل اعتمادية — واعتمادياتها المتعدّية — ثغرةً محتملةً أو ناقلاً محتملاً للهجوم. وتشمل المخاطر الثغرات المعروفة في الحزم القديمة، والحزم الخبيثة المنشورة بأسماء مشابهة (انتحال الأسماء المطبعية)، وحسابات المشرفين المُخترَقة.
منصة CI/CD وأدوات SaaS
كثيراً ما تعتمد المؤسسات على منصات SaaS من أطراف ثالثة للتحكم في المصدر، وتنفيذ البناء، وتخزين القطع البرمجية، وتنسيق النشر. وتتمتع هذه المنصات بوصول مميّز إلى الشيفرة المصدرية والأسرار وبيئات الإنتاج. ويمكن لاختراق أي من هؤلاء المقدّمين أن يعرّض مسار التسليم بأكمله للخطر.
منفّذو البناء المشتركون والمستضافون
تُدخل بيئات البناء المشتركة بين المشاريع أو المستضافة لدى أطراف ثالثة مخاطر التلوّث المتبادل، وتسرّب البيانات، وعدم كفاية العزل. فإذا اختُرق منفّذ بناء، فإن كل مسار يستخدمه يتأثر بشكل محتمل.
الصور الأساسية وسجلات الحاويات
تعتمد عمليات النشر القائمة على الحاويات على صور أساسية كثيراً ما تُستمد من سجلات عامة. وقد تحتوي هذه الصور على ثغرات، أو مكوّنات غير ضرورية توسّع سطح الهجوم، أو في حالات نادرة، على محتوى خبيث متعمَّد.
SCA وSBOM بوصفهما أداتين لحوكمة سلسلة التوريد
تدعم قدرتان رئيسيتان حوكمة سلسلة التوريد في بيئات CI/CD. وينبغي للمدققين فهم ما توفّره كل منهما والتحقق من أن المؤسسة تستخدمهما بفعالية.
تحليل تركيب البرمجيات (SCA)
يوفّر SCA رؤيةً للمكوّنات من الأطراف الثالثة الموجودة في تطبيق ما. ومن منظور الحوكمة، يوفّر SCA:
- جرد المكوّنات: قائمة شاملة بجميع المكتبات من الأطراف الثالثة وإصداراتها المستخدمة في كل عملية بناء
- تحديد الثغرات: مطابقة المكوّنات مع قواعد بيانات الثغرات المعروفة
- الامتثال للتراخيص: تحديد التزامات التراخيص التي قد تنشئ مخاطر قانونية أو تشغيلية
- إنفاذ السياسات: القدرة على حجب عمليات البناء التي تتضمن مكوّنات محظورة أو عالية المخاطر
ينبغي للمدققين التحقق من أن SCA مدمج في المسار بوصفه بوابة إلزامية — لا خطوة استشارية اختيارية — وأن انتهاكات السياسات تؤدي إلى حجب عمليات النشر مع عمليات استثناء موثّقة.
قائمة مكوّنات البرمجيات (SBOM)
SBOM هي جرد رسمي قابل للقراءة آلياً لجميع المكوّنات في قطعة برمجية. ولأغراض حوكمة سلسلة التوريد، توفّر قوائم SBOM:
- الشفافية: سجل كامل لما تتضمنه كل قطعة برمجية منشورة
- دعم الاستجابة للحوادث: القدرة على التحديد السريع لما إذا كانت ثغرة مُفصح عنها حديثاً تؤثر في أي برمجية منشورة
- الأدلة التنظيمية: إثبات قابل للعرض على الوعي بسلسلة التوريد وإدارتها
- مساءلة المورّدين: أساس لتحميل المورّدين المسؤولية عن المكوّنات التي يوفّرونها
ينبغي للمدققين التأكد من أن قوائم SBOM تُولَّد لكل إصدار إنتاجي، وتُخزَّن بفترات احتفاظ مناسبة، وأن المؤسسة قادرة على الاستعلام منها لتحديد الأنظمة المتأثرة عند الإفصاح عن ثغرات جديدة.
إطار تقييم مورّدي أدوات CI/CD
يجب على المؤسسات تقييم الوضع الأمني لمورّدي أدوات CI/CD لديها بالصرامة ذاتها المطبّقة على أي مقدّم خدمة حيوي. ويحدّد الإطار التالي مجالات التقييم الرئيسية:
الشهادات والإقرارات الأمنية
- هل يحمل المورّد شهادات ذات صلة (ISO 27001، SOC 2 من النوع الثاني)؟
- هل تقارير التدقيق حديثة ومتاحة للمراجعة؟
- هل يخضع المورّد لاختبار اختراق منتظم من مقيّمين مستقلين؟
معالجة البيانات والعزل
- كيف يعزل المورّد بيانات العملاء وبيئات البناء؟
- أين تُخزَّن البيانات، وهل يمتثل ذلك لمتطلبات إقامة البيانات المنطبقة؟
- ما التشفير المطبّق على البيانات في حالة السكون وأثناء النقل؟
الوصول والمصادقة
- هل يدعم المورّد المصادقة متعددة العوامل (MFA) للوصول الإداري ويُنفِذها؟
- ما الوصول الذي يمتلكه موظفو المورّد إلى بيئات العملاء وبياناتهم؟
- هل تُسجَّل أحداث الوصول المميّز وتُتاح للعميل؟
الإخطار بالحوادث
- ما التزامات المورّد بالإخطار بالحوادث وجداوله الزمنية؟
- هل تتوافق اتفاقيات مستوى الخدمة التعاقدية (SLAs) مع الجداول الزمنية للإبلاغ المنصوص عليها في المادة 23 من NIS2؟
- هل أثبت المورّد الإخطار بالحوادث في الممارسة العملية؟
شفافية سلسلة التوريد
- هل يُفصح المورّد عن اعتمادياته الخاصة من الأطراف الثالثة ومعالِجيه الفرعيين؟
- ما الضوابط التي يطبّقها المورّد على سلسلة توريده الخاصة؟
- هل يستطيع المورّد تقديم قوائم SBOM لمنتجاته؟
مطابقة مخاطر سلسلة التوريد والضوابط والأدلة
| مخاطر سلسلة التوريد | الضابط | الأدلة للمدققين |
|---|---|---|
| اعتمادية مفتوحة المصدر مصابة بثغرة | فحص SCA إلزامي وقت البناء مع حجب قائم على السياسة للثغرات الحرجة/العالية | تقارير فحص SCA لكل عملية بناء؛ توثيق سياسة الحجب؛ سجلات الاستثناء/الإعفاء مع التبريرات وتواريخ الانتهاء |
| حقن حزمة خبيثة (انتحال الأسماء المطبعية، خلط الاعتماديات) | سجل حزم معتمد مع ضوابط لمساحات الأسماء؛ تثبيت الاعتماديات والتحقق من السلامة | إعدادات السجل المعتمد؛ قوائم الحزم المسموح بها؛ سجلات التحقق من السلامة (التحقق من المجموع الاختباري/التوقيع) |
| صورة أساسية مُخترَقة | كتالوج صور أساسية معتمد؛ فحص الصور قبل الاستخدام؛ توقيع الصور والتحقق منها | قائمة الصور المعتمدة مع تواريخ المراجعة؛ تقارير فحص الصور؛ سجلات التحقق من التوقيع |
| اختراق مقدّم منصة CI/CD | تقييم مخاطر المورّد؛ متطلبات أمنية تعاقدية؛ التخطيط للطوارئ تحسّباً لإخفاق المقدّم | تقارير تقييم المورّد (حديثة خلال 12 شهراً)؛ عقود تتضمن بنوداً أمنية؛ خطط استمرارية أعمال تغطي فقدان منصة CI/CD |
| تلوّث متبادل عبر منفّذ مشترك | بيئات بناء مخصّصة أو عابرة؛ سياسات عزل المنفّذين؛ تنظيف البيئة بعد البناء | توثيق معمارية بيئة البناء؛ إقرارات إعدادات العزل؛ سجلات التحقق من التنظيف |
| إضافة أو تكامل CI/CD مُخترَق | عملية اعتماد للإضافات/التكاملات؛ مراجعة دورية للإضافات المثبّتة؛ صلاحيات بأقل امتياز للتكاملات | سجل الإضافات المعتمد؛ سجلات مراجعة الإضافات؛ مصفوفات الصلاحيات للتكاملات |
| غياب القابلية لتتبّع المكوّنات | توليد SBOM لكل إصدار إنتاجي؛ القدرة على تخزين SBOM والاستعلام منها | قوائم SBOM للإصدارات الأخيرة؛ دليل على القدرة على الاستعلام من SBOM (مثل الاستجابة لاستعلام ثغرة اختباري)؛ الامتثال لسياسة الاحتفاظ |
| الارتهان بالمورّد بما يعوق هجرة الأمن | تقييم استراتيجية تعدّد المورّدين؛ تقييم قابلية نقل البيانات؛ التخطيط للخروج | تحليل الاعتماد على المورّد؛ توثيق القدرة على تصدير البيانات؛ خطة الخروج |
مؤشرات الخطر التي ينبغي للمدققين ترقّبها
خلال تقييم أمن سلسلة التوريد لبيئات CI/CD، ينبغي أن تثير النتائج التالية القلق الفوري:
- عدم وجود سياسة لحوكمة الاعتماديات: لا تملك المؤسسة سياسة موثّقة تحكم استخدام المكوّنات من الأطراف الثالثة في عمليات البناء. وهذا يشير إلى ثغرة جوهرية في الوعي بسلسلة التوريد.
- فحص SCA استشاري فقط: تُجرى فحوص الثغرات لكنها لا تحجب عمليات النشر. ويمكن للمطوّرين النشر (ويفعلون ذلك) رغم وجود ثغرات حرجة معروفة. ابحث عن دليل على استمرار عمليات البناء رغم النتائج عالية الخطورة.
- عدم توليد SBOM: لا تستطيع المؤسسة إنتاج جرد للمكوّنات لبرمجياتها المنشورة. وهذا يجعل من المستحيل تقييم التعرّض للثغرات المُفصح عنها حديثاً.
- تقييمات مورّدين متقادمة: جرى تقييم مورّدي أدوات CI/CD مرة واحدة (ربما أثناء الشراء) لكن لم يُعَد تقييمهم. ابحث عن تواريخ تقييم أقدم من 12 شهراً.
- وصول غير مقيّد إلى السجلات العامة: تسحب عمليات البناء الاعتماديات مباشرةً من السجلات العامة دون سجل معتمد وسيط أو تحقق من السلامة. وهذا تعرّض مباشر لهجمات خلط الاعتماديات وانتحال الأسماء المطبعية.
- عدم وجود حوكمة للصور الأساسية: تستخدم الفرق صوراً أساسية عشوائية من مصادر عامة دون فحص أو اعتماد أو تثبيت للإصدار. وكل صورة غير مُدقَّقة نقطة دخول محتملة للاختراق.
- منفّذون مشتركون بلا دليل على العزل: تستخدم المؤسسة بنية بناء تحتية مشتركة لكنها لا تستطيع إثبات أن عمليات البناء معزولة بعضها عن بعض.
- غياب المتطلبات الأمنية التعاقدية: لا تتضمن الاتفاقيات مع مقدّمي أدوات CI/CD أي بنود أمنية، ولا التزامات بالإخطار بالحوادث، ولا حقوق تدقيق.
- عدم وجود عملية لإدارة الاستثناءات: عند تجاوز ضوابط سلسلة التوريد (مثل قبول اعتمادية مصابة بثغرة)، لا توجد عملية استثناء رسمية بتبرير موثّق وقبول للمخاطر وتاريخ انتهاء.
- إضافات وتكاملات دون مراجعة: تحتوي منصات CI/CD على عدد من الإضافات من أطراف ثالثة مثبّتة دون دليل على مراجعة أمنية أو عملية اعتماد.
قائمة تحقق المدقق لسلسلة التوريد وفق NIS2
تصف الأقسام أعلاه ما يبحث عنه المدققون ولماذا. وتحوّل قائمة التحقق أدناه تلك التوقّعات إلى مراجعة منظّمة من عشرة أجزاء تعكس كيفية الفحص الفعلي لمتطلبات سلسلة التوريد في NIS2 من قِبل المدققين والسلطات الإشرافية—مع التأكيد على الحوكمة والإنفاذ التقني والأدلة بدلاً من بيانات السياسة رفيعة المستوى. استخدمها لتقييم الجاهزية قبل التدقيق، أو لتوجيه إعداد الأدلة بمجرد بدء الإشراف.
1. النطاق وتحديد المورّدين
محور تركيز المدقق
هل جميع المورّدين ذوي الصلة محدَّدون ومشمولون بالنطاق؟
قائمة التحقق
- ⬜ يوجد جرد للمورّدين ويُحافَظ عليه
- ⬜ يتضمن الجرد:
- مورّدي البرمجيات
- منصات CI/CD
- مقدّمي الخدمات السحابية والبنية التحتية
- خدمات تقنية المعلومات والاتصالات المُسنَدة خارجياً
- ⬜ يُربَط المورّدون بالخدمات أو الأنظمة المدعومة
- ⬜ نطاق سلسلة التوريد موثّق رسمياً
مؤشرات الخطر المعتادة
- استبعاد مقدّمي CI/CD من نطاق المورّدين
- قوائم مورّدين ناقصة أو متقادمة
2. حيوية المورّد وتصنيف المخاطر
محور تركيز المدقق
هل تُقيَّم مخاطر سلسلة التوريد بشكل متناسب؟
قائمة التحقق
- ⬜ يُصنَّف المورّدون بحسب درجة الحيوية
- ⬜ تشمل معايير التصنيف:
- الأثر على الخدمات الأساسية
- مستوى الوصول المميّز
- حساسية البيانات
- قابلية الاستبدال
- ⬜ تقييمات المخاطر موثّقة وقابلة للتكرار
- ⬜ المورّدون الحيويون محدَّدون بوضوح
مؤشرات الخطر المعتادة
- لا تمييز بين المورّدين الحيويين وغير الحيويين
- إجراء تقييمات المخاطر بشكل غير رسمي
3. حوكمة المورّدين وملكيتهم
محور تركيز المدقق
مَن المسؤول عن مخاطر المورّدين؟
قائمة التحقق
- ⬜ لكل مورّد مالك داخلي مُسنَد بوضوح
- ⬜ أدوار حوكمة المورّدين مُعرَّفة
- ⬜ تُجرى مراجعات دورية للمورّدين
- ⬜ تُصعَّد المخاطر المتصلة بالمورّدين على النحو الملائم
مؤشرات الخطر المعتادة
- ملكية المورّد غير واضحة أو ضمنية
- لا دليل على إشراف مستمر على المورّدين
4. ضوابط الشراء والضوابط التعاقدية
محور تركيز المدقق
هل متطلبات الأمن السيبراني قابلة للإنفاذ؟
قائمة التحقق
- ⬜ متطلبات الأمن السيبراني مدمجة في عملية الشراء
- ⬜ تتضمن العقود:
- الالتزامات الأمنية
- متطلبات الإخطار بالحوادث
- بنود التعاون
- ⬜ تُطبَّق البنود الأمنية باتساق على المورّدين الحيويين
- ⬜ استثناءات العقود موثّقة ومبرَّرة
مؤشرات الخطر المعتادة
- تطبيق المتطلبات الأمنية بشكل غير متسق
- لا قابلية للتتبّع بين العقود وتقييمات المخاطر
5. ضوابط سلسلة توريد CI/CD
محور تركيز المدقق
كيف تُنفَّذ مخاطر سلسلة التوريد تقنياً؟
قائمة التحقق
- ⬜ مسارات CI/CD إلزامية لتغييرات الإنتاج
- ⬜ الوصول إلى منصات CI/CD مقيَّد (RBAC، MFA)
- ⬜ تعديلات المسار خاضعة للرقابة ومُسجَّلة
- ⬜ الفصل بين المهام مُنفَّذ عبر الموافقات
- ⬜ تكاملات الأطراف الثالثة في CI/CD خاضعة للحوكمة
مؤشرات الخطر المعتادة
- عمليات نشر يدوية أو خارج المسار
- حسابات خدمة CI/CD ذات امتيازات مفرطة
6. ضوابط الاعتماديات وسلامة البرمجيات
محور تركيز المدقق
كيف تثق بما تنشره؟
قائمة التحقق
- ⬜ توجد جرودات للاعتماديات للتطبيقات الحيوية
- ⬜ يُجرى فحص الاعتماديات (SCA)
- ⬜ تؤدي الثغرات الحرجة إلى المعالجة أو اتخاذ قرار
- ⬜ قوائم SBOM متاحة للأنظمة الحيوية (حيثما ينطبق)
- ⬜ تُضمَن سلامة القطع البرمجية ومنشؤها
مؤشرات الخطر المعتادة
- لا رؤية للاعتماديات
- عدم القدرة على تتبّع القطع البرمجية المنشورة
7. إدارة وصول الأطراف الثالثة
محور تركيز المدقق
هل للمورّدين وصول خاضع للرقابة؟
قائمة التحقق
- ⬜ حسابات الأطراف الثالثة وحسابات الخدمة مُدرَجة في الجرد
- ⬜ يتّبع الوصول مبادئ أقل امتياز
- ⬜ الوصول المميّز مُعتمَد ومُسجَّل
- ⬜ تُجرى مراجعات دورية للوصول
- ⬜ توجد إجراءات لإلغاء الوصول
مؤشرات الخطر المعتادة
- حسابات مورّدين طويلة الأمد دون مراجعة
- بيانات اعتماد مشتركة أو غير موثّقة
8. المراقبة والكشف
محور تركيز المدقق
هل يمكنك الكشف عن الأحداث المتصلة بسلسلة التوريد؟
قائمة التحقق
- ⬜ تُراقَب أنشطة مسار CI/CD
- ⬜ تُراقَب تنبيهات ثغرات الاعتماديات
- ⬜ يمكن كشف الحالات الشاذة المتصلة بالمورّدين
- ⬜ للتنبيهات مسارات تصعيد مُعرَّفة
مؤشرات الخطر المعتادة
- توجد سجلات لكنها لا تُراجَع
- لا تنبيهات لمشكلات CI/CD أو الاعتماديات
9. الاستجابة للحوادث والتنسيق مع المورّدين
محور تركيز المدقق
هل أنت مستعد لحوادث المورّدين؟
قائمة التحقق
- ⬜ تتضمن خطط الاستجابة للحوادث سيناريوهات المورّدين
- ⬜ مسارات التصعيد والإخطار الخاصة بالمورّدين مُعرَّفة
- ⬜ القدرة على إلغاء وصول المورّدين بسرعة
- ⬜ إجراء عمليات محاكاة أو اختبارات للحوادث
- ⬜ توثيق مراجعات ما بعد الحادث
مؤشرات الخطر المعتادة
- معالجة حوادث المورّدين بشكل مرتجل
- لا عملية تنسيق موثّقة
10. الاحتفاظ بالأدلة والقابلية للتدقيق
محور تركيز المدقق
هل يمكن تقديم الأدلة عند الطلب؟
قائمة التحقق
- ⬜ فترات الاحتفاظ بالأدلة مُعرَّفة
- ⬜ يُحتفَظ بسجلات CI/CD والسجلات الأمنية
- ⬜ توثيق المورّدين مؤرشَف
- ⬜ يمكن استرجاع الأدلة التاريخية
مؤشرات الخطر المعتادة
- فترات احتفاظ قصيرة
- أدلة مبعثرة عبر الأنظمة
أسئلة التقييم النهائية للمدقق
قبل إغلاق التدقيق، عادةً ما يسأل المشرفون أنفسهم:
- هل مخاطر سلسلة التوريد مفهومة بوضوح؟
- هل الضوابط مُنفَّذة تقنياً، لا موثّقة فحسب؟
- هل الأدلة موثوقة وكاملة وقابلة للاسترجاع؟
- هل تُعامَل CI/CD كجزء من البيئة المنظّمة؟
إذا أمكن الإجابة عن هذه الأسئلة بثقة، فإن الجاهزية لسلسلة التوريد وفق NIS2 تُعدّ عادةً مُرضية.
موارد ذات صلة
لفحص شامل لمتطلبات أمن سلسلة التوريد في NIS2 وتبعاتها على CI/CD وإدارة المورّدين، انظر تحليل معمّق لأمن سلسلة التوريد في NIS2: ما يعنيه حقاً لـ CI/CD والمورّدين.
ذات صلة للمدققين
- المسرد — تعريفات بلغة واضحة للمصطلحات التقنية
- شرح المادة 28 من DORA
- مقارنة NIS2 مقابل DORA
- ضوابط أمن CI/CD الأساسية
جديد في تدقيق CI/CD؟ ابدأ بـ دليل المدقق لدينا.
