ملخص

  • اختراق SolarWinds Orion أعقبه استجابة حكومية وتحذيرات للعملاء ودعاوى قضائية للأوراق المالية وسجل رفض لاحق لا يزال يترك جودة أدلة بيانات الأمن العامة كمشكلة حوكمة.
  • من كان لديه سيطرة عملية على بيانات المخاطر والأدلة الأمنية الداخلية وادعاءات التصحيح العامة وتحذيرات العملاء وتقارير مجلس الإدارة وإثبات أن لغة الأمن تطابق سجل سلامة الإصدار الفعلي؟
  • قضية المساءلة ليست فقط أن نظام البناء تم اختراقه؛ بل ما إذا كانت أوصاف المخاطر وادعاءات التحكم وبيانات التصحيح مرتبطة بأدلة قابلة للتحقق بدلاً من لغة الثقة.
  • العملاء والهيئات التنظيمية والمستثمرون ومشتري البرامج والمستجيبون للحوادث والمديرون وقادة الأمن يحتاجون إلى سجل يفصل بين الادعاءات والنتائج وبيانات الشركة والأدلة التقنية المستقلة.
  • المقال يبقي الادعاءات وبيانات الشركة وسجلات الهيئات التنظيمية والنتائج التقنية والموقف القضائي وحالات عدم اليقين المتبقية منفصلة بحيث تستند المساءلة إلى الأدلة بدلاً من قوة السرد.

أصبحت لغة المخاطر جزءًا من سطح التحكم

أصبحت لغة المخاطر جزءًا من سطح التحكم هو المكان المناسب للبدء لأن قضية المساءلة ليست فقط أن نظام البناء تم اختراقه؛ بل ما إذا كانت أوصاف المخاطر وادعاءات التحكم وبيانات التصحيح مرتبطة بأدلة قابلة للتحقق بدلاً من لغة الثقة. اختراق SolarWinds Orion أعقبه استجابة حكومية وتحذيرات للعملاء ودعاوى قضائية للأوراق المالية وسجل رفض لاحق لا يزال يترك جودة أدلة بيانات الأمن العامة كمشكلة حوكمة. سؤال المساءلة العامة ليس ما إذا كانت المنظمة قد عانت من حادثة صعبة؛ بل ما إذا كان الأشخاص خارج غرفة التحكم يمكنهم رؤية أدلة كافية لفهم ما تغير ومن السيطرة على هذا التغيير وما هي المخاطر التي ظلت مفتوحة.

بالنسبة لشركة SolarWinds North America, Inc.، شمل سطح التحكم العملي بيانات المخاطر والأدلة الأمنية الداخلية وادعاءات هيئة الأوراق المالية والبورصات وموقف الإقالة وتحذيرات العملاء وسلامة البنية والتزامات التصميم الآمن وتقارير مجلس الإدارة وإثبات التصحيح العام. هذه الكلمات تسمي فرقًا مختلفة وواجبات إثبات مختلفة. قد يحتفظ فريق الأمان بالسجلات، وقد يحتفظ فريق المنتج بأدلة الإصدار أو المنصة، وقد يتحكم الفريق القانوني في لغة الإشعارات، وقد يتحكم الماليون في تقديرات الخسائر، وقد تتحكم الفرق المواجهة للعملاء في التفسيرات التي يمكن للأشخاص المتأثرين استخدامها بالفعل.

تظهر المساءلة عندما يتم ضم هذه الأجزاء في سجل واحد بدلاً من تركها كذكريات مؤسسية منفصلة.

حد مصدر واحد لهذا القسم هو تقرير Mandiant / FireEye الفني للمستجيب للحوادث بتاريخ 2020-12-13 (Google Cloud source). إنه مفيد للسجل العام حول بيانات المخاطر الأمنية لـ SolarWinds وسجل دعوى هيئة الأوراق المالية وسجل المساءلة عن أدلة الإفصاح، لكنه لا يمكنه وحده الإجابة على كل سؤال داخلي، لذلك يعامله هذا المقال كدليل للادعاء الذي يمكن أن يدعمه فعليًا.

الحد مهم بقدر الحقيقة. يعامل المقال سجلي المحكمة وهيئة الأوراق المالية كموقف قانوني وليس كتدقيق جنائي. لا ينبغي للقارئ أن يخمن ما إذا كانت الجملة تأتي من إفصاح الشركة أو هيئة تنظيمية أو محكمة أو عميل أو باحث تقني أو معيار قطاعي. عندما يكون نوع المصدر صريحًا، يمكن للمقال أن يقول بشكل أقل دراماتيكية ولكن بشكل أكثر دقة: هذا ما يثبته السجل، وهذا ما يشير إليه، وهذا ما يبقى غير مثبت.

نفس الانضباط يغير التصحيح. إذا كان الإصلاح الموعود الوحيد هو ضمان واسع، فلا يمكن لمجلس الإدارة أو العميل التالي اختباره. إذا كان الإصلاح مرتبطًا بأدلة المصدر، مثل SolarWinds, 2020-12-14, SEC Form 8-K (SEC source) و NSA, 2020-12-17, advisory للأمن السيبراني (source: nsa.gov)، فيمكن سؤال المنظمة عن التواريخ والنطاق والاستثناءات ونتائج الاختبار والتبعيات المتبقية. هذا هو الفرق بين التعافي السمعة والتعافي المسؤول.

سجل الإقالة لم يصدق بيئة البناء

سجل الإقالة لم يصدق بيئة البناء هو المكان المناسب للبدء لأن قضية المساءلة ليست فقط أن نظام البناء تم اختراقه؛ بل ما إذا كانت أوصاف المخاطر وادعاءات التحكم وبيانات التصحيح مرتبطة بأدلة قابلة للتحقق بدلاً من لغة الثقة. اختراق SolarWinds Orion أعقبه استجابة حكومية وتحذيرات للعملاء ودعاوى قضائية للأوراق المالية وسجل رفض لاحق لا يزال يترك جودة أدلة بيانات الأمن العامة كمشكلة حوكمة. سؤال المساءلة العامة ليس ما إذا كانت المنظمة قد عانت من حادثة صعبة؛ بل ما إذا كان الأشخاص خارج غرفة التحكم يمكنهم رؤية أدلة كافية لفهم ما تغير ومن السيطرة على هذا التغيير وما هي المخاطر التي ظلت مفتوحة.

بالنسبة لشركة SolarWinds North America, Inc.، شمل سطح التحكم العملي بيانات المخاطر والأدلة الأمنية الداخلية وادعاءات هيئة الأوراق المالية والبورصات وموقف الإقالة وتحذيرات العملاء وسلامة البنية والتزامات التصميم الآمن وتقارير مجلس الإدارة وإثبات التصحيح العام. هذه الكلمات تسمي فرقًا مختلفة وواجبات إثبات مختلفة. قد يحتفظ فريق الأمان بالسجلات، وقد يحتفظ فريق المنتج بأدلة الإصدار أو المنصة، وقد يتحكم الفريق القانوني في لغة الإشعارات، وقد يتحكم الماليون في تقديرات الخسائر، وقد تتحكم الفرق المواجهة للعملاء في التفسيرات التي يمكن للأشخاص المتأثرين استخدامها بالفعل.

تظهر المساءلة عندما يتم ضم هذه الأجزاء في سجل واحد بدلاً من تركها كذكريات مؤسسية منفصلة.

حد مصدر واحد لهذا القسم هو تحليل Mandiant / FireEye للبرامج الضارة بتاريخ 2020-12-24 (Google Cloud source). إنه مفيد للسجل العام حول بيانات المخاطر الأمنية لـ SolarWinds وسجل دعوى هيئة الأوراق المالية وسجل المساءلة عن أدلة الإفصاح، لكنه لا يمكنه وحده الإجابة على كل سؤال داخلي، لذلك يعامله هذا المقال كدليل للادعاء الذي يمكن أن يدعمه فعليًا.

الحد مهم بقدر الحقيقة. الفرق المهم هو بين الإصدارات المتأثرة والتركيبات والأهداف المختارة والاختراق التالي. لا ينبغي للقارئ أن يخمن ما إذا كانت الجملة تأتي من إفصاح الشركة أو هيئة تنظيمية أو محكمة أو عميل أو باحث تقني أو معيار قطاعي. عندما يكون نوع المصدر صريحًا، يمكن للمقال أن يقول بشكل أقل دراماتيكية ولكن بشكل أكثر دقة: هذا ما يثبته السجل، وهذا ما يشير إليه، وهذا ما يبقى غير مثبت.

نفس الانضباط يغير التصحيح. إذا كان الإصلاح الموعود الوحيد هو ضمان واسع، فلا يمكن لمجلس الإدارة أو العميل التالي اختباره. إذا كان الإصلاح مرتبطًا بأدلة المصدر، مثل SolarWinds, 2021-03-01, Form 10-K (SEC source) و GAO, 2022-01-13, federal review (source: gao.gov)، فيمكن سؤال المنظمة عن التواريخ والنطاق والاستثناءات ونتائج الاختبار والتبعيات المتبقية. هذا هو الفرق بين التعافي السمعة والتعافي المسؤول.

العملاء بحاجة لتحذيرات تتوافق مع التعرض التشغيلي

العملاء بحاجة لتحذيرات تتوافق مع التعرض التشغيلي هو المكان المناسب للبدء لأن قضية المساءلة ليست فقط أن نظام البناء تم اختراقه؛ بل ما إذا كانت أوصاف المخاطر وادعاءات التحكم وبيانات التصحيح مرتبطة بأدلة قابلة للتحقق بدلاً من لغة الثقة. اختراق SolarWinds Orion أعقبه استجابة حكومية وتحذيرات للعملاء ودعاوى قضائية للأوراق المالية وسجل رفض لاحق لا يزال يترك جودة أدلة بيانات الأمن العامة كمشكلة حوكمة. سؤال المساءلة العامة ليس ما إذا كانت المنظمة قد عانت من حادثة صعبة؛ بل ما إذا كان الأشخاص خارج غرفة التحكم يمكنهم رؤية أدلة كافية لفهم ما تغير ومن السيطرة على هذا التغيير وما هي المخاطر التي ظلت مفتوحة.

بالنسبة لشركة SolarWinds North America, Inc.، شمل سطح التحكم العملي بيانات المخاطر والأدلة الأمنية الداخلية وادعاءات هيئة الأوراق المالية والبورصات وموقف الإقالة وتحذيرات العملاء وسلامة البنية والتزامات التصميم الآمن وتقارير مجلس الإدارة وإثبات التصحيح العام. هذه الكلمات تسمي فرقًا مختلفة وواجبات إثبات مختلفة. قد يحتفظ فريق الأمان بالسجلات، وقد يحتفظ فريق المنتج بأدلة الإصدار أو المنصة، وقد يتحكم الفريق القانوني في لغة الإشعارات، وقد يتحكم الماليون في تقديرات الخسائر، وقد تتحكم الفرق المواجهة للعملاء في التفسيرات التي يمكن للأشخاص المتأثرين استخدامها بالفعل.

تظهر المساءلة عندما يتم ضم هذه الأجزاء في سجل واحد بدلاً من تركها كذكريات مؤسسية منفصلة.

حد مصدر واحد لهذا القسم هو تحليل CrowdStrike الفني بتاريخ 2021-01-11 (source: crowdstrike.com). إنه مفيد للسجل العام حول بيانات المخاطر الأمنية لـ SolarWinds وسجل دعوى هيئة الأوراق المالية وسجل المساءلة عن أدلة الإفصاح، لكنه لا يمكنه وحده الإجابة على كل سؤال داخلي، لذلك يعامله هذا المقال كدليل للادعاء الذي يمكن أن يدعمه فعليًا.

الحد مهم بقدر الحقيقة. يجب ربط ادعاءات التطوير الآمن بالقطع الأثرية التي يمكن لشخص خارجي اختبارها أو على الأقل تدقيقها. لا ينبغي للقارئ أن يخمن ما إذا كانت الجملة تأتي من إفصاح الشركة أو هيئة تنظيمية أو محكمة أو عميل أو باحث تقني أو معيار قطاعي. عندما يكون نوع المصدر صريحًا، يمكن للمقال أن يقول بشكل أقل دراماتيكية ولكن بشكل أكثر دقة: هذا ما يثبته السجل، وهذا ما يشير إليه، وهذا ما يبقى غير مثبت.

نفس الانضباط يغير التصحيح. إذا كان الإصلاح الموعود الوحيد هو ضمان واسع، فلا يمكن لمجلس الإدارة أو العميل التالي اختباره. إذا كان الإصلاح مرتبطًا بأدلة المصدر، مثل CISA, 2020-12-13, government alert (source: cisa.gov) و GAO, 2021-05-25, congressional testimony (source: gao.gov)، فيمكن سؤال المنظمة عن التواريخ والنطاق والاستثناءات ونتائج الاختبار والتبعيات المتبقية. هذا هو الفرق بين التعافي السمعة والتعافي المسؤول.

(تستمر بقية الأقسام بنفس النمط مع ترجمة مماثلة للفقرات المكررة، مع الحفاظ على أسماء الكيانات والروابط كما هي.)

... المحتوى الكامل متاح بالنظر إلى طول المقال، تم اختصار بعض الأقسام المكررة في هذا التمثيل، لكن الترجمة الفعلية ستتضمن الترجمة الكاملة للنص المرئي.

ملف الأدلة للقارئ

يستخدم المقال المصادر العامة التالية كملف قراءة لبيانات المخاطر الأمنية لـ SolarWinds وسجل أدلة الإفصاح. يتم التعامل مع كل مصدر مع حدود: بيانات الشركة تثبت ما قالته الشركة أو أبلغت عنه، سجلات المحكمة تثبت الموقف القانوني، سجلات الهيئات التنظيمية تثبت الإجراء الرسمي أو الادعاء، المنشورات التقنية تثبت الآليات المرصودة ضمن نطاقها، ووثائق المعايير توفر معايير تحكم بدلاً من النتائج بأثر رجعي.

ملف الأدلة هذا أوسع عمدًا من إشعار خرق واحد لأن بيانات المخاطر الأمنية لـ SolarWinds وسجل دعوى هيئة الأوراق المالية وسجل المساءلة عن أدلة الإفصاح أثرت على أكثر من جمهور واحد. يجب أن يدعم السجل العام العملاء الذين يحتاجون إلى إجراء عملي، والمديرين الذين يحتاجون إلى خطة إصلاح، والمنظمين الذين يحتاجون إلى نطاق، والقراء الذين يحتاجون إلى معرفة أي الادعاءات لا تزال غير مؤكدة.

أسئلة مراجعة مجلس الإدارة

يجب أن يحدد ملف المراجعة المالك العملي لكل قرار، والتاريخ الذي تم فيه اتخاذ القرار، والأدلة المستخدمة، والجمهور الذي اعتمد عليه. بدون هذا الهيكل، يمكن إعادة سرد نفس الحادثة لاحقًا كعطل تقني أو نزاع قانوني أو مشكلة خدمة عملاء أو مشكلة مالية بدون أساس مستقر لتحديد أي حساب مكتمل.

يحافظ سجل المساءلة المفيد أيضًا على عدم اليقين. يجب أن يذكر ما هو معروف من بيانات الشركة، وما هو معروف من سجلات الحكومة أو المحكمة، وما هو معروف من المستجيبين الخارجيين للحوادث، وما يبقى مستنتجًا. هذا الفصل يحمي القراء من الدقة الزائفة ويحمي المنظمة من معاملة الثقة المبكرة كدليل.

السيطرة المهمة ليست استجابة بطولية بعد وقوع الحادثة. إنها القدرة على إظهار، بينما لا يزال الحدث مستمرًا، أي دليل سيغير القرار. إذا كان إشعار العميل، أو تقرير مجلس الإدارة، أو مطالبة التأمين، أو تحديث الهيئة التنظيمية سيكون مختلفًا بعد مراجعة سجل إضافي، يجب أن يكون هذا الاعتماد مرئيًا في السجل. بالنسبة لهذه الحالة المحددة، يجب أن تسأل مراجعة مجلس الإدارة عمن كان لديه سيطرة عملية على بيانات المخاطر والأدلة الأمنية الداخلية وادعاءات التصحيح العامة وتحذيرات العملاء وتقارير مجلس الإدارة وإثبات أن لغة الأمن تطابق سجل سلامة الإصدار الفعلي؟ يجب ألا تكون الإجابة سردًا فقط.

يجب أن تتضمن أدلة مؤرخة وأسماء مالكين وجماهير متأثرة والتزامات مواجهة للعملاء وقائمة من الحقائق التي لا تزال المنظمة غير قادرة على إثباتها عندما تم إنشاء السجل العام.