Summary

  • في التقرير GAO-26-107530، قال مسؤولون كبار في 17 من 24 وكالة اتحادية إن اختلاف توجيهات OMB وNIST صعّب جمع قوائم مكوّنات البرمجيات، المعروفة اختصاراً باسم SBOM، وحفظها. هذا وصف لعقبة مؤسسية في الشراء، وليس عدداً لحوادث اختراق.
  • تعاملت مذكرة OMB السابقة M-22-18 مع جمع القائمة كخيار ووثيقة امتثال ثابتة، بينما ركز NIST على بيانات المكوّنات لكل إصدار واستخدامها في إدارة الثغرات. ألغى OMB المذكرة السابقة في يناير 2026؛ وتسمح M-26-05 الحالية للوكالة بطلب قائمة حديثة بموجب العقد عند الحاجة، مع تحميل قيادتها مسؤولية الأمن.
  • أوصت GAO بأن تصدر وكالة الأمن السيبراني وأمن البنية التحتية (CISA) تعليمات تنفيذية لإنشاء القوائم واستلامها وتحليلها في الشراء والتطوير وإدارة المخاطر. الاختبار هو وصول بيانات النسخة العاملة إلى صاحب قرار أمني محدد.

ملف الشراء لا يشبه النظام العامل

تسرد قائمة SBOM أجزاء إصدار برمجي معين. يستطيع موظف الشراء تسجيلها ضمن الوثائق التي سلمها المنتج. لكن فريق الأمن يحتاج إلى مقارنة هذه الأجزاء مع الثغرات المكتشفة حديثاً، ومعرفة ما إذا كانت النسخة المصابة تعمل لدى الوكالة. في الحالة الأولى تنتهي المهمة عندما تقبل الإدارة الملف. وفي الثانية تبدأ مهمة ربط الملف بالإصدار الحالي، وتحديثه، وقراءته بأداة مناسبة، ثم تكليف شخص بالتصرف. الوثيقة نفسها لا تنقل المسؤولية تلقائياً بين هاتين المرحلتين.

تقرير GAO الصادر في 23 يونيو 2026 يضع أرقاماً لهذا التعثر. من أصل 24 وكالة شملتها مقابلات مع مسؤولي التقنية والمشتريات، قالت 17 وكالة إن توجيهات OMB وNIST المتعارضة سببت لها تحديات في جمع قوائم SBOM وحفظها. يذكر التقرير أيضاً 17 وكالة واجهت مشكلات في إدارة تكلفة الخدمات السحابية. الرقم متطابق، أما السؤالان فمختلفان؛ مشكلات التكلفة لا تصبح دليلاً إضافياً على أزمة قوائم المكوّنات.

يوضح النص الأصلي الكامل للتدقيق مواضع التباين. في توجيه OMB القديم كان جمع القائمة اختيارياً، مع إسناد إنشاء إجراءات الجمع إلى الوكالات. دعا NIST المنتجين إلى تتبع بيانات مكوّنات كل إصدار ومشاركتها في صيغ معيارية. ونظر OMB إلى القائمة كأثر ثابت للامتثال، في حين ربط NIST البيانات بفحص الثغرات وإدارة المخاطر. لهذا تبدو عبارة «قدّم القائمة» في العقد بسيطة، لكنها لا تحدد الإصدار المطلوب، وموعد التسليم، ومن يستطيع استخدام البيانات عند وقوع المشكلة.

قالت خمس وكالات لـGAO إن اختلاف النماذج والإجراءات بين المشترين الحكوميين يثقل على المنتج الذي يخدم أكثر من وكالة. وقالت خمس أخرى إن الحصول على القوائم من المنتجين صعب، وخصوصاً عندما تمر عملية الشراء عبر موزع لا تربطه بالوكالة علاقة مباشرة مع المنتج. قد تتداخل المجموعتان؛ لا يصح جمعهما في عشر وكالات مختلفة. في الحالتين يظهر موضع العطب: جهة تصنع البيانات، وأخرى تشتري المنتج، وثالثة تحتاج المعلومات سريعاً بعد ظهور ثغرة.

تبدلت المذكرة، وانتقلت الكلفة إلى قرار الوكالة

ألغت مذكرة OMB M-26-05 الصادرة في 23 يناير 2026 المذكرتين M-22-18 وM-23-16. تصلح الأولى لشرح تاريخ الخلاف، لكنها لم تعد القاعدة السارية. تحافظ السياسة الجديدة على اشتراط قوائم جرد كاملة للبرمجيات والأجهزة، وعلى إدارة المخاطر ومسؤولية رئيس الوكالة. وتتيح للوكالة إدراج شرط تعاقدي يطلب قائمة SBOM حديثة عند الحاجة. وبالنسبة إلى الخدمة السحابية، ينبغي أن يحدد الشرط بيئة الإنتاج التي تعمل فعلاً.

أصبح للوكالة مجال لاختيار الأدلة المناسبة لكل شراء، لكن عليها أيضاً أن تملك تبعات الاختيار. إن طلبت القائمة، وجب أن يبين العقد متى تُطلب، وعن أي إصدار، وكيف تصل عبر الوسطاء، ومن يتلقاها في الداخل. قالت GAO إن مذكرة يناير أوضحت المسؤوليات من دون أن تحل الصعوبات العملية. نسخة قديمة من قائمة محفوظة بعناية لا تساعد كثيراً عندما يسأل المحلل عن مكوّن في بيئة الإنتاج الحالية.

تعرض موارد NIST بشأن سلسلة توريد البرمجيات وظيفة بيانات المكوّنات في العمل الأمني. وتدعو رؤية CISA المشتركة المنشورة في سبتمبر 2025 إلى إنشاء القوائم واستهلاكها وتحليلها ضمن إدارة المخاطر والتطوير. رأت GAO أن هذه الرؤية لم تعط الوكالات تفاصيل كافية لوصل البيانات بأدواتها وإجراءاتها. تصف الرؤية الغاية؛ وتحتاج دائرة المشتريات وفريق التشغيل إلى تعليمات التسليم بينهما.

على CISA أن ترسم طريق القائمة داخل المؤسسة

أوصت GAO وزارة الأمن الداخلي بأن تكلف CISA بإصدار توجيه إضافي لعمليات إنشاء SBOM واستخدامها وتحليلها في الشراء والتطوير وإدارة المخاطر. وافقت الوزارة، وقدرت في ردها أن يكتمل العمل بحلول 30 سبتمبر 2026. الموعد المتوقع في خطاب ليس دليلاً على صدور توجيه نهائي. عند مراجعة المادة لهذه المقالة، كانت صفحة التوصية العامة لدى GAO لا تزال تحمل الحالة Open.

التوجيه المفيد سيحدد ما الذي يصفه المنتج: إصداراً معيناً أم بيئة سحابية تعمل الآن؟ وسيوضح كيف يمنح العقد الوكالة حق الحصول على بيانات محدثة بسرعة، حتى إن كان الشراء عبر وسيط. ثم يحدد صيغة يمكن لأدوات الأمن قراءتها، ومسؤولاً يطابق المكوّنات مع الثغرات ويسجل قراره. من دون هذه السلسلة يمكن للحكومة أن تكثر من جمع القوائم وأن تبقى عاجزة عن الإجابة حين تصبح قائمة واحدة ضرورية.

ما يغير الحكم هو تعليمات تنفيذية منشورة ومؤرخة من CISA تبين هذه الخطوات، وعقود أو إجراءات وكالة تثبت أن بيانات المكوّنات الحديثة انتقلت بالفعل إلى الاستخدام الأمني. حددت 17 وكالة مكان اصطدام التعليمات. الآن ينبغي أن يكون للمسار الخارج من ملف الشراء عنوان واضح.

Sources