Vgradnja »proaktivne budnosti« v visokotehnološko dobavno verigo Pentagona

V nacionalni obrambi so lahko napake v dobavni verigi, če jih odkrijemo prepozno, velike in jih je težko premagati. In vendar Pentagon ni preveč vnet za uvedbo bolj proaktivnih sistemov zaznavanja, potencialno dragega postopka naključnega testiranja zagotovil izvajalcev.

Toda to pomanjkanje "proaktivne budnosti" ima lahko velike stroške. V primerih ladjedelništva se je na podmornicah ameriške mornarice dve desetletji uporabljalo jeklo, ki ni ustrezalo specifikacijam – kritična komponenta – preden je Pentagon izvedel za težave. V zadnjem času, izven specifikacij, gredi na krovu obalne straže Patrol Cutter je bilo treba namestiti in odstraniti—neprijetna izguba časa in sredstev za izvajalce in vladne stranke.

Če bi te težave odkrili zgodaj, bi kratkoročni udarec za dobiček ali urnik več kot nadomestil širšo škodo zapletene in dolgoročne okvare dobavne verige.

Povedano drugače, dobavitelji imajo lahko koristi od strogih zunanjih testov in strožjih ali celo naključnih testov skladnosti.

Ustanovitelj Fortress Information Security Peter Kassabov, govor na a Podcast Defense and Aerospace Report v začetku tega leta ugotovil, da se stališča spreminjajo in da bo več obrambnih voditeljev verjetno začelo gledati "na dobavno verigo ne samo kot na dejavnik, ampak tudi kot na potencialno tveganje."

Zaščitna ureditev se še razvija. Toda da bi podjetja resneje jemala skrbnost proaktivne dobavne verige, se lahko podjetja soočijo z večjimi spodbudami, večjimi sankcijami – ali morda celo z zahtevo, da so vodstveni delavci pri glavnih izvajalcih osebno odgovorni za škodo.

Stari režimi skladnosti se osredotočajo na stare cilje

Še več, Pentagonov okvir skladnosti dobavne verige, kakršen je, ostaja osredotočen na zagotavljanje temeljne fizične celovitosti osnovnih strukturnih komponent. In medtem ko Pentagonovi sedanji sistemi za nadzor kakovosti komajda odkrijejo konkretne, fizične težave, se Pentagon res trudi uveljaviti trenutne standarde integritete Ministrstva za obrambo za elektroniko in programsko opremo.

Težava pri ocenjevanju celovitosti elektronike in programske opreme je velik problem. Dandanes sta oprema in programska oprema, ki se uporabljata v vojaških »črnih skrinjicah«, veliko bolj kritični. Kot general letalskih sil pojasnjeno leta 2013, »B-52 je živel in umrl na podlagi kakovosti svoje pločevine. Danes bodo naša letala živela ali umrla od kakovosti naše programske opreme.«

Kassabov ponavlja to zaskrbljenost in opozarja, da se "svet spreminja in moramo spremeniti svojo obrambo."

Seveda, medtem ko so "staromodne" specifikacije vijakov in pritrdilnih elementov še vedno pomembne, je programska oprema res jedro skoraj vsakega sodobnega orožja. Pri F-35, elektronskem orožju in ključnem informacijskem in komunikacijskem prehodu na bojišču, bi moral biti Pentagon veliko bolj prilagojen kitajskim, ruskim ali drugim dvomljivim prispevkom k kritični programski opremi, kot bi lahko bil pri odkrivanju nekaterih zlitin iz Kitajske.

Ne da bi nacionalna vsebina strukturnih komponent manj pomembna, toda ko postaja formulacija programske opreme bolj zapletena, podprta z vseprisotnimi modularnimi podprogrami in odprtokodnimi gradniki, se potencial za zlorabo povečuje. Povedano drugače, zlitina kitajskega izvora sama po sebi ne bo porušila letala, lahko pa bi ga pokvarila kitajska programska oprema, uvedena v zelo zgodnji fazi proizvodnje podsistema.

Vprašanje je vredno zastaviti. Če dobavitelji oborožitvenih sistemov z najvišjo prednostjo v Ameriki spregledajo nekaj tako preprostega, kot so specifikacije jekla in gredi, kakšne so možnosti, da je škodljiva programska oprema, ki ne ustreza specifikacijam, nenamerno okužena z zaskrbljujočo kodo?

Programska oprema potrebuje več pozornosti

Vložki so visoki. Lansko leto, letno poročilo iz Pentagonovih preizkuševalcev orožja v Uradu direktorja, Operational Test and Evaluation (DOT&E) je opozoril, da je »velika večina sistemov DOD izjemno intenzivna s programsko opremo. Kakovost programske opreme in splošna kibernetska varnost sistema sta pogosto dejavnika, ki določata operativno učinkovitost in sposobnost preživetja, včasih pa tudi smrtnost.«

»Najpomembnejša stvar, ki jo lahko zavarujemo, je programska oprema, ki omogoča te sisteme,« pravi Kassabov. »Dobavitelji obrambnih izdelkov se ne morejo samo osredotočiti in zagotoviti, da sistem ne prihaja iz Rusije ali Kitajske. Pomembneje je dejansko razumeti, kakšna je programska oprema znotraj tega sistema in kako na koncu je ta programska oprema ranljiva.«

Toda preizkuševalci morda nimajo potrebnih orodij za ocenjevanje operativnega tveganja. Po navedbah DOT&E operaterji prosijo nekoga v Pentagonu, da jim "pove, kakšna so tveganja za kibernetsko varnost in njihove možne posledice, ter da jim pomaga oblikovati možnosti ublažitve za boj proti izgubi zmogljivosti."

Pri tem se vlada ZDA zanaša na kritične subjekte nizkega profila, kot je Nacionalni inštitut za standarde in tehnologijo, ali NIST, za ustvarjanje standardov in drugih osnovnih orodij za skladnost, potrebnih za zaščito programske opreme. Toda financiranja preprosto ni. Mark Montgomery, izvršni direktor Cyberspace Solarium Commission, je bil zaposlen opozorilo da bo NIST težko narediti stvari, kot je objavljanje smernic o varnostnih ukrepih za kritično programsko opremo, razvoj minimalnega standarda za testiranje programske opreme ali usmerjanje varnosti dobavne verige "v proračunu, ki se leta giblje pri nekaj manj kot 80 milijonih dolarjev."

Preproste rešitve ni na vidiku. Smernice NIST-a za "zaledno pisarno" skupaj z bolj agresivnimi prizadevanji za skladnost lahko pomagajo, vendar se mora Pentagon odmakniti od staromodnega "reaktivnega" pristopa k celovitosti dobavne verige. Čeprav je odlično loviti neuspehe, je veliko bolje, če proaktivna prizadevanja za ohranjanje celovitosti dobavne verige začnejo izvajati druge obrambne pogodbe, ki najprej začnejo oblikovati kodo, povezano z obrambo.