وقتی صحبت از امنیت زنجیره تامین (Supply Chain Security) به میان میآید، بسیاری از مدیران فناوری همچنان به دنبال دیوارهای آتش یا سیستمهای شناسایی نفوذ هستند. با این حال، شواهد موجود در گزارشهای سال ۲۰۲۴ و ۲۰۲۵ میلادی نشان میدهد که میدان نبرد تغییر کرده است. امروزه مهاجمان دیگر نیازی به شکستن درهای اصلی ندارند، بلکه از طریق «اعتمادِ نهفته» در ابزارهای توسعه و وابستگیهای نرمافزاری وارد میشوند.
گزارش اخیر Mandiant (M-Trends 2025) تأکید میکند که نرخ بهرهبرداری از آسیبپذیریهای روز صفر (Zero-Day) در زنجیرههای تامین، نسبت به سال ۲۰۲۳ رشدی ۲۴ درصدی داشته است. نفوذگران اکنون به جای هدف قرار دادن مستقیم سازمانهای بزرگ، به سراغ تامینکنندگان خدمات نرمافزاری کوچکی میروند که دسترسیهای سطح بالا به شبکه مشتریان دارند. این استراتژی «ضربه از طریق واسطه»، هزینههای بازیابی را به طور میانگین ۳۰ درصد افزایش داده است.
طبق تحلیلهای Gartner، پیشبینی میشود تا پایان سال ۲۰۲۶، بیش از ۴۵ درصد از حملات سایبری جهانی ریشه در بهرهبرداری از اکوسیستمهای نرمافزاری داشته باشد. این آمار نشان میدهد که سازمانها در کنترل «کد شخص ثالث» با خلأهای بنیادین روبرو هستند. وقتی یک کتابخانه متنباز (Open Source) با یک بدافزار آلوده میشود، عملاً تمام سدهای امنیتی شرکت، بیاثر میشوند.
شاخصهای IBM X-Force نیز حاکی از آن است که سرعت نفوذ از طریق بستههای مخرب در مخازن کد، به مرز نگرانکنندهای رسیده است. مهاجمان با تکنیکهای «مسمومسازی مخازن» (Repository Poisoning)، کدهای آلوده را در قالب بهروزرسانیهای معمولی به سیستمهای سازمانهای حساس تزریق میکنند. این در حالی است که بسیاری از تیمهای توسعه، ابزارهای کافی برای تحلیل دقیقِ «سایه» کدها یا همان وابستگیهای پنهان را در اختیار ندارند.
بسیاری از سازمانها هنوز از پروتکلهای قدیمی برای مدیریت داراییهای نرمافزاری خود استفاده میکنند که پاسخگوی پیچیدگیهای مدرن نیست. وابستگی به کتابخانههایی که توسط گروههای کوچک و غیرحرفهای نگهداری میشوند، یک ریسک عملیاتی است که به راحتی نادیده گرفته میشود. بدون پیادهسازی مکانیزمهای سختگیرانه برای «صورتحساب نرمافزاری» (SBOM)، مدیریت این وضعیت عملاً غیرممکن است.
امنیت در زنجیره تامین تنها یک مسئله فنی نیست، بلکه یک موضوع حاکمیتی است که نیاز به استراتژیهای جامعنگر دارد. سازمانها باید فرآیند «ارزیابی ریسک تامینکننده» را از چکلیستهای ساده به تستهای نفوذ عمیق و ممیزیهای مداوم تغییر دهند. اعتماد نباید پیشفرض باشد؛ در اکوسیستم فعلی، «احراز هویت کد» باید به همان اندازه احراز هویت کاربران جدی گرفته شود.
ما در اطلس فناوران رازبان (Atlas Fanavaran Razban) با درک این پیچیدگیهای ساختاری، راهکارهای تخصصی برای پایش و امنسازی زنجیره تامین سازمانها ارائه میدهیم.
