أمن المنتجات عبر دورة حياة المنتج

يحمي أمن تقنية المعلومات المؤسسي البنية التحتية الخاصة بالمؤسسة، ويُدار عادةً عبر نظام ISMS وفق ISO/IEC 27001. أما أمن المنتجات فيحمي المنتج في الميدان – في بيئة العميل، وغالبًا مع وصول مادي للمهاجمين، وعلى مدى فترات تشغيل تتجاوز بكثير دورات دعم تقنية المعلومات المعتادة. ولا تؤثر الثغرة الأمنية هنا على نظام واحد، بل على القاعدة المثبتة بأكملها، وقد تترتب عليها عواقب على السلامة (Safety) أو عمليات استدعاء أو فقدان الموافقة على النوع. ومن الناحية التنظيمية تنتقل المسؤولية بذلك من تشغيل تقنية المعلومات إلى تطوير المنتجات – مع أنظمة إدارة خاصة (CSMS)، وعمليات تطوير (Secure Development Lifecycle)، وهياكل استجابة (PSIRT).

يحدد ISO/SAE 21434:2021 هندسة الأمن السيبراني للمركبات الطرقية عبر دورة الحياة بأكملها – من مرحلة المفهوم حتى الإخراج من الخدمة. وجوهره هو Threat Analysis and Risk Assessment (TARA) وفق الفصل 15: من تحديد الأصول مرورًا بسيناريوهات التهديد وتحليل الأضرار ومسارات الهجوم وصولًا إلى قرار معالجة المخاطر. ويصبح الموضوع ملزمًا عبر لوائح UNECE: إذ تشترط UN R155 نظام إدارة الأمن السيبراني (CSMS) حاصلًا على شهادة كشرط للموافقة على النوع، وتشترط UN R156 نظام إدارة تحديثات البرمجيات (SUMS). وفي الاتحاد الأوروبي تسري كلتاهما عبر General Safety Regulation (EU) 2019/2144 – منذ يوليو 2022 على أنواع المركبات الجديدة، ومنذ يوليو 2024 على جميع المركبات الجديدة؛ ويُعدّ ISO/SAE 21434 أحدث ما توصلت إليه التقنية المعترف به لتنفيذ متطلبات CSMS.

بالنسبة لمكونات أنظمة الأتمتة الصناعية، تفصل سلسلة IEC 62443 بين متطلبات العمليات ومتطلبات المنتج. يصف IEC ⁦62443-4-1⁩:2018 دورة حياة تطوير منتج آمنة في ثماني ممارسات – من إدارة الأمن وتحديد المتطلبات مرورًا بالتصميم الآمن والتنفيذ وصولًا إلى التحقق وإدارة العيوب والتصحيحات وإرشادات الأمن للمستخدمين –، تمتد صراحةً حتى نهاية عمر المنتج وتُقيَّم عبر أربعة مستويات نضج. ويحدد IEC ⁦62443-4-2⁩:2019 المتطلبات الفنية للمكونات ذاتها: متطلبات المكونات (Component Requirements) لأربعة أنواع من المكونات (الأجهزة المدمجة، والأجهزة المضيفة، ومكونات الشبكة، والتطبيقات البرمجية)، مشتقة من سبعة متطلبات أساسية (Foundational Requirements) ومتدرجة في مستويات الأمن من SL 1 إلى SL 4. وبالنسبة للشركات المصنِّعة يتحول كلا الجزأين بشكل متزايد إلى معيار للمشتريات، لأن المشغّلين يطلبون أدلة الإثبات ومستويات الأمن بشكل محدد.

تُفعّل اللائحة المفوضة (EU) 2022/30 متطلبات الأمن السيبراني الواردة في المادة 3 الفقرة 3 البنود d–f من توجيه أجهزة الراديو (RED)؛ ومنذ 1 أغسطس 2025 أصبحت شرطًا ملزمًا لطرح أجهزة الراديو المتصلة بالإنترنت في السوق. وتُستخدم EN ⁦18031-1⁩ و-2 و-3 (إصدار 2024) كمعايير منسّقة لحماية الشبكة وحماية البيانات الشخصية والحماية من الاحتيال؛ وقد أدرجتها المفوضية الأوروبية في يناير 2025 في الجريدة الرسمية – ولكن مع قيود. فإذا سمح منتج مثلًا بالاستغناء عن كلمة المرور (الأقسام 6.2.5.1/6.2.5.2) أو غابت في EN ⁦18031-2⁩ رقابة أبوية مضمونة (الأقسام 6.1.3–6.1.6)، فلا تنطبق قرينة المطابقة، ويجب إشراك جهة مُخطَرة. لذلك ينبغي للشركات المصنِّعة فحص هذه القيود مبكرًا في إجراء تقييم المطابقة.

يعالج فريق Product Security Incident Response Team (PSIRT) الثغرات الأمنية في منتجات المؤسسة – بخلاف فريق CSIRT الذي يعالج الحوادث في البنية التحتية الخاصة بها. ويُنظّم PSIRT Services Framework v1.1 من FIRST (2020) المهام في ستة مجالات خدمة – Stakeholder Ecosystem Management وVulnerability Discovery وTriage وRemediation وDisclosure وTraining and Education – ويصف نماذج تنظيمية موزعة ومركزية وهجينة. وفي موعد أقصاه مع قانون المرونة السيبرانية الأوروبي (CRA) (اللائحة (EU) 2024/2847) تصبح هذه القدرة إلزامية: اعتبارًا من 11 سبتمبر 2026 يتعين على الشركات المصنِّعة الإبلاغ عن الثغرات الأمنية المستغلة فعليًا وفق المادة 14 على مراحل خلال 24 ساعة و72 ساعة و14 يومًا إلى فريق CSIRT المعيّن منسقًا وإلى ENISA؛ وبالنسبة للحوادث الجسيمة يسري التدرج نفسه مع مهلة شهر واحد للتقرير النهائي. ودون عمليات PSIRT راسخة يصعب الالتزام بهذه المهل.

لا ينتهي أمن المنتج بطرحه في السوق: إذ يجب تخطيط إدارة الثغرات الأمنية والتحديثات الأمنية والمراقبة وتمويلها طوال فترة الاستخدام بأكملها. ويشترط قانون المرونة السيبرانية الأوروبي (CRA) فترة دعم تعكس مدة الاستخدام المتوقعة للمنتج وتبلغ في الغالب خمس سنوات على الأقل (المادة 13 الفقرة 8)؛ ويجب توفير التحديثات الأمنية مجانًا، وإيضاح فترة الدعم بشفافية قبل الشراء. وتأخذ المعايير القطاعية نهاية العمر في الحسبان أيضًا: إذ يُدرجها IEC ⁦62443-4-1⁩ صراحةً في دورة حياة التطوير، وتشترط UN R156 تحديثات برمجية مُدارة طوال عمر المركبة. وتشمل نهاية العمر المنظّمة الإعلان المبكر عن انتهاء الدعم، وآخر النشرات الأمنية (Security Advisories)، ومسارات الترحيل للعملاء الحاليين.