مكتب الأمن السيبراني الياباني يحث الشركات على سد الثغرات الأساسية

التشغيل والتصميم

ففي التشغيل، يُطلب من الشركات حصر أصولها الرقمية، بما فيها إصدارات البرمجيات ومواضع استخدامها، وجمع معلومات الثغرات المعروفة ومعالجتها، مع إعطاء الأولوية للخوادم وأجهزة الشبكات. كما ينبغي جرد «سطح الهجوم» باستمرار وتقليصه، ومنه لوحات الإدارة المكشوفة وبيئات التطوير والاختبار وإعدادات المشاركة الخاطئة في التخزين السحابي. والإجراء الثالث هو الفحص المستمر للثغرات ومراقبة السلوك المشبوه باستخدام الذكاء الاصطناعي، على أن يراجع البشر نتائج التقييم ويتخذوا القرار النهائي.

وفي التصميم، توصي الوثيقة بمبدأ «الأمان بالتصميم» عبر نمذجة التهديدات واستخدام أدوات SAST وSCA وDAST وIAST. وتدعو إلى تعزيز أمن واجهات API في مواجهة هجمات «App-to-Backend» (A2B)، بمراجعة الصلاحيات وبيانات الاعتماد وحدود الطلبات، وإجراء فحص الثغرات واختبار الاختراق قبل الإطلاق. ومن أمثلة الثغرات حقن SQL وتنفيذ التعليمات البرمجية عن بعد وSSRF.

سلسلة التوريد

قد تتضرر الشركة بسبب خلل لدى متعاقد خارجي حتى لو كانت إجراءاتها سليمة. لذلك توصي الوثيقة بالمصادقة متعددة العوامل، وتقييد عناوين IP، والاتصال وقت العمل فقط، ومراجعة صلاحيات المسؤولين، وتضمين متطلبات الأمن في العقود. وبالنسبة إلى المصادر المفتوحة والمكتبات الخارجية، يلزم إعداد إجراءات استجابة أولية لثغرات اليوم الصفري وطلب SBOM.

وتختم الوثيقة بأن هذه الإجراءات تركز على أساليب الهجوم الحالية، وأن إساءة استخدام الذكاء الاصطناعي قد تصبح أكثر تطورا.