أمن سلسلة التوريد سلسلة التوريد

تشمل إدارة مخاطر الأطراف الثالثة (TPRM) تحديد المخاطر الناشئة عن العلاقات مع المورّدين ومقدمي الخدمات وتقييمها وإدارتها بشكل مستمر. ويتضمن ذلك جردًا لجميع الأطراف الثالثة، وتصنيفها حسب درجة الأهمية، وتقييم ممارساتها الأمنية، إضافة إلى ضوابط تعاقدية وتنظيمية عبر دورة الحياة بأكملها – من الشراء حتى الخروج. والهدف هو الشفافية حول أي المورّدين يدعمون وظائف حرجة، ومدى متانة مستواهم الأمني فعليًا.

تخضع سلسلة التوريد اليوم لتنظيم صريح. إذ يشترط NIS2 (التوجيه (EU) 2022/2555) في المادة 21(2)(d) اتخاذ إجراءات لأمن سلسلة التوريد فيما يخص العلاقات مع المورّدين ومقدمي الخدمات المباشرين؛ وتشترط المادة 21(3) مراعاة الثغرات الأمنية لكل مورّد مباشر وجودة ممارساته في مجال الأمن السيبراني (بما في ذلك تقييمات المخاطر المنسّقة وفق المادة 22). وبالنسبة للقطاع المالي، ينظّم DORA (اللائحة (EU) 2022/2554، السارية منذ 17 يناير 2025) مخاطر الأطراف الثالثة لتقنية المعلومات والاتصالات في الفصل V – ومن ذلك الاستراتيجية وسجل المعلومات (المادة 28)، ومخاطر التركّز (المادة 29)، والأحكام التعاقدية الدنيا (المادة 30). ويوسّع قانون المرونة السيبرانية الأوروبي (CRA) الالتزامات لتشمل المنتجات ذات العناصر الرقمية ومكوناتها. وعمليًا تُفعّل ضوابط ISO/IEC 27001 من A.5.19 إلى A.5.23 هذه المتطلبات فيما يخص العلاقات مع المورّدين واستخدام الخدمات السحابية.

لتقييم مقدمي الخدمات السحابية أنشأت Cloud Security Alliance إجراءً راسخًا. فـ Cloud Controls Matrix (CCM) إطار ضوابط للحوسبة السحابية يضم 197 هدفًا للضوابط ضمن 17 مجالًا. ويترجم Consensus Assessment Initiative Questionnaire (CAIQ) المرتبط به هذه الضوابط إلى أسئلة بنعم/لا (v4.0: 261 سؤالًا)، يوثّق بها المزوّد ضوابطه الأمنية القائمة؛ واعتبارًا من الإصدار 4.1 دُمج CCM وCAIQ معًا. وعبر سجل STAR (Security, Trust, Assurance and Risk) يصبح CAIQ المُعبّأ متاحًا للاطلاع العام: المستوى 1 من STAR تقييم ذاتي مجاني (يُحدَّث سنويًا)، والمستوى 2 تدقيق مدفوع من طرف ثالث – بوصفه STAR Attestation (SOC 2) أو STAR Certification (ISO/IEC 27001). وبذلك يمكن الحكم على ما إذا كانت الخدمة آمنة بما يكفي لغرض الاستخدام الخاص بكم.

تتطلب خدمات الذكاء الاصطناعي منطق تقييم خاصًا بها. إن CSA AI Controls Matrix (AICM) v1.1 إطار ضوابط مستقل عن الشركات المصنِّعة لأنظمة الذكاء الاصطناعي السحابية، يضم 247 هدفًا للضوابط ضمن 18 مجالًا أمنيًا؛ وهو مبني على CCM ومتزامن مع CCM v4.1. ويتناول مجال مخصص «Model Security» عبر 13 ضابطًا خاصًا بالذكاء الاصطناعي موضوعات مثل تسميم النماذج (Model Poisoning) وحقن الأوامر (Prompt Injection) والوصول غير المصرّح به إلى النماذج وحماية أوزان النماذج (Model Weights). وتميّز الضوابط بين خمسة أدوار (منها Model Provider وApplication Provider وAI Customer) وتوفر ربطًا مع ISO 42001 وISO/IEC 27001 وNIST AI RMF أو NIST AI ⁦600-1⁩ وBSI AIC4 وEU AI Act. ويعمل AI-CAIQ المرافق (v1.1: 320 سؤالًا) – على غرار CAIQ في المجال السحابي – ككتالوج أسئلة للتقييمات الذاتية وتقييمات الأطراف الثالثة.

الاستبيان لقطة لحظية – أما الأمن فحالة تمتد عبر الزمن. ويبدأ التقييم المتين بتصنيف درجة أهمية المورّد، يليه تحليل إجابات CAIQ أو AICM إلى جانب الشهادات وتقارير التدقيق المتاحة. ولأن الإفصاحات الذاتية في المستوى 1 من STAR تُحدَّث سنويًا، يمكن تتبع وضع الامتثال لدى المورّد بشكل مستمر؛ وبالنسبة للوظائف الحرجة تُكمل متطلبات DORA مثل تحليل التركّز (المادة 29) واستراتيجيات الخروج (المادة 28(8)) الصورة. وهكذا تتحول الاستبيانات المتقطعة إلى عملية مستمرة ذات محفّزات محددة لإعادة التقييم.

تدعم VamiSec إنشاء برنامج TPRM والتقييم الملموس للمورّدين الأفراد. ننظّم تقييمات المورّدين ومقدمي الخدمات وفق كتالوجات راسخة (CAIQ/CCM للخدمات السحابية، وAICM للذكاء الاصطناعي)، ونؤتمت الاستبيانات الأمنية المتكررة، ونربط النتائج بالمتطلبات التنظيمية لـ NIS2 وDORA وISO/IEC 27001. وعند الطلب نرافقكم في التحضير لعمليات تدقيق STAR أو ISO 27001، ونُنشئ مراقبة مستمرة للأطراف الثالثة الحرجة – بشكل محايد تجاه الشركات المصنِّعة وموثّق بصورة قابلة للتتبع.