Ugrađivanje “proaktivne budnosti” u Pentagonov lanac snabdijevanja visoke tehnologije

U nacionalnoj obrani, greške u lancu nabavke, kada se otkriju prekasno, mogu biti ogromne i teško ih je prevladati. Pa ipak, Pentagon nije previše željan implementacije proaktivnijih sistema za otkrivanje, potencijalno skupog procesa nasumično testiranja uvjeravanja izvođača.

Ali ovaj nedostatak „proaktivne budnosti“ može imati velike troškove. U slučajevima brodogradnje, čelik izvan specifikacije – kritična komponenta – korišten je na podmornicama američke mornarice dvije decenije prije nego što je Pentagon saznao za probleme. U skorije vrijeme, šahtovanje izvan specifikacije na patrolnom rezaču obalske straže morao biti instaliran i uklonjen— sramotno gubljenje vremena i sredstava i za izvođače i za vladine klijente.

Da su ovi problemi uhvaćeni rano, kratkoročni udar na profit ili raspored bi više nego nadoknadio širu štetu složenog i dugoročnog neuspjeha lanca nabavke.

Drugim riječima, dobavljači mogu imati koristi od snažnih eksternih testova i rigoroznijih—ili čak nasumičnih—testova usklađenosti.

Osnivač Fortress Information Security Peter Kassabov, govoreći o a Podcast Defence and Aerospace Report ranije ove godine, primetio je da se stavovi menjaju i da će sve veći broj vođa odbrane verovatno početi da gleda na lanac snabdevanja ne samo kao na pokretač, već i kao na potencijalni rizik.

Zaštitna regulativa se još uvijek razvija. Ali da bi kompanije navele da ozbiljnije shvate budnost lanca snabdevanja, kompanije se mogu suočiti sa većim podsticajima, većim sankcijama – ili možda čak i sa zahtevom da rukovodioci velikih glavnih izvođača budu lično odgovorni za štetu.

Stari režimi usklađenosti se fokusiraju na stare ciljeve

Štaviše, Pentagonov okvir usklađenosti lanca snabdevanja, ovakav kakav jeste, ostaje fokusiran na obezbeđivanje fundamentalnog fizičkog integriteta osnovnih strukturnih komponenti. I dok Pentagonovi sadašnji sistemi kontrole kvaliteta jedva da su u stanju da uoče konkretne, fizičke probleme, Pentagon se zaista bori da sprovede trenutne standarde integriteta Ministarstva odbrane za elektroniku i softver.

Teškoća u procjeni integriteta elektronike i softvera je veliki problem. Ovih dana, oprema i softver koji se koriste u vojnim „crnim kutijama“ su daleko kritičniji. Kao general vazduhoplovstva objašnjeno 2013, „B-52 je živio i umro na kvalitetu svog lima. Danas će naši avioni živjeti ili umrijeti od kvaliteta našeg softvera.”

Kasabov ponavlja ovu zabrinutost, upozoravajući da se “svijet mijenja i da moramo promijeniti našu odbranu”.

Naravno, iako su „staromodne” specifikacije vijaka i zatvarača još uvijek važne, softver je zaista u srži vrijednosti gotovo svakog modernog oružja. Za F-35, elektronsko oružje i ključnu informacijsku i komunikacijsku kapiju na bojnom polju, Pentagon bi trebao biti daleko više prilagođen kineskim, ruskim ili drugim sumnjivim doprinosima kritičnom softveru nego što bi to mogao biti u otkrivanju nekih legura iz Kine.

Nije da nacionalnom sadržaju strukturnih komponenti nedostaje važnost, ali kako formulacija softvera postaje složenija, podržana sveprisutnim modularnim potprogramima i gradivnim blokovima otvorenog koda, potencijal za nestašluke raste. Drugim rečima, legura kineskog porekla neće sama srušiti avion, ali korumpirani softver kineskog porekla uveden u vrlo ranoj fazi proizvodnje podsistema bi mogao.

Pitanje vredi postaviti. Ako dobavljači američkih sistema oružja najvišeg prioriteta zanemaruju nešto tako jednostavno kao što su čelik i specifikacije osovine, koje su šanse da se štetni softver koji nije u skladu sa specifikacijama nenamjerno kontaminira uznemirujućim kodom?

Softveru je potrebno više pažnje

Ulozi su visoki. Prošle godine, godišnji izvještaj iz Pentagonovih testera oružja u Uredu direktora za operativno testiranje i evaluaciju (DOT&E) upozorili su da je „ogromna većina sistema DOD-a izuzetno softverski intenzivna. Kvalitet softvera i ukupna sajber sigurnost sistema često su faktori koji određuju operativnu efikasnost i preživljavanje, a ponekad i smrtonosnost.”

„Najvažnija stvar koju možemo da obezbedimo je softver koji omogućava ove sisteme“, kaže Kasabov. „Dobavljači odbrane ne mogu samo da se fokusiraju i postaraju se da sistem ne dolazi iz Rusije ili Kine. Važnije je shvatiti šta je softver unutar ovog sistema i kako je na kraju ovaj softver ranjiv.”

Ali testeri možda nemaju alate potrebne za procjenu operativnog rizika. Prema DOT&E-u, operateri traže da im netko u Pentagonu „kaže koji su rizici za kibernetičku sigurnost i njihove potencijalne posljedice i da im pomogne da osmisle opcije ublažavanja kako bi se borili protiv gubitka sposobnosti“.

Da bi pomogla u tome, američka vlada se oslanja na kritične subjekte niskog profila poput Nacionalni institut za standarde i tehnologiju, ili NIST, za generiranje standarda i drugih osnovnih alata za usklađenost potrebnih za osiguranje softvera. Ali finansiranja jednostavno nema. Mark Montgomery, izvršni direktor Cyberspace solarijum komisije, je zauzeto upozorenje da će NIST biti pod teškim pritiskom da uradi stvari kao što je objavljivanje smernica o bezbednosnim merama za kritični softver, razvoj minimalnog standarda za testiranje softvera ili vođenje bezbednosti lanca snabdevanja „uz budžet koji se godinama kretao na nešto ispod 80 miliona dolara“.

Jednostavno rješenje se ne nazire. NIST-ove “back-office” smjernice, zajedno sa agresivnijim naporima za usklađenost, mogu pomoći, ali Pentagon mora da se odmakne od staromodnog “reaktivnog” pristupa integritetu lanca nabavke. Svakako, iako je sjajno uhvatiti neuspjehe, daleko je bolje ako proaktivni napori da se održi integritet lanca snabdijevanja udari u drugom odbrambenom ugovoru prvo počnu kreirati kod vezan za odbranu.