أمن سلسلة التوريد الرقمية: مخاطر لم تكتبها بنفسك

اجرد أولا

ابن قائمة مكونات لكل نظام: المكتبات المباشرة وغير المباشرة بإصداراتها، والخدمات الخارجية التي يناديها، والسكربتات المحملة في صفحاتك. وأغلب الفرق تفاجأ بحجم القائمة، وبوجود مكتبات لم يعد أحد يعرف لماذا أضيفت.

ثبت وحدث بانتظام

1. ثبت الإصدارات بملف قفل — البناء يجب أن ينتج النتيجة نفسها في كل مرة.
2. لا تستعمل تحديثا تلقائيا للإصدار الأحدث في الإنتاج.
3. حدث بانتظام صغير — القفزات الكبيرة تكسر النظام فتؤجل إلى الأبد.
4. اربط فحص الاعتماديات بخط البناء ليكشف الثغرات عند كل تغيير.

قلل ما تعتمد عليه

كل مكتبة تضاف تجلب اعتمادياتها هي أيضا. ومكتبة كاملة لأجل دالة واحدة صفقة سيئة أمنيا. واسأل قبل كل إضافة: هل نحتاج هذا فعلا؟ من يصونه؟ متى كان آخر تحديث؟ كم اعتمادية يجلب معه؟

السكربتات الخارجية في صفحاتك

كل سكربت تحمله من نطاق خارجي يعمل بصلاحيات صفحتك ويرى ما يراه المستخدم — بما فيه حقول الدفع. واستضف ما تستطيع محليا، واستعمل التحقق من سلامة الملف لما تحمله خارجيا، وفعل سياسة أمان المحتوى لتقييد مصادر التحميل.

تقييم المزودين

• ما البيانات التي سيصلها المزود، وما الحد الأدنى الذي يكفيه؟
• أين تخزن البيانات ومن يصل إليها من طرفه؟
• هل لديه شهادات أمنية معتمدة وتقارير تدقيق حديثة؟
• ما التزامه بإبلاغك عند حادثة، وفي أي مدة؟
• كيف تسترجع بياناتك وتنهي الخدمة إن قررت الخروج؟

أسئلة شائعة

كيف نتعامل مع ثغرة في مكتبة نستعملها؟

حدد أولا إن كان الجزء المصاب مستعملا في نظامك فعلا — فكثير من التنبيهات لا تنطبق. ثم حدث إن أمكن، أو طبق ضابطا تعويضيا مؤقتا، ووثق القرار بتاريخ مراجعة.

هل المكتبات مفتوحة المصدر أخطر؟

ليست أخطر بطبيعتها، وكونها مفتوحة يتيح الفحص والاكتشاف المبكر. والفارق الحقيقي هو نشاط الصيانة وحجم المجتمع وسرعة إصدار التصحيحات، وهذه تفحص قبل التبني.

ما أخطر ما يهمل؟

السكربتات الخارجية في صفحات الدفع والتسجيل، والمكتبات في تطبيقات الجوال التي تجمع بيانات دون علم الفريق. وكلاهما يكشف بجرد فعلي لا بالاعتماد على الوثائق.