A „proaktív éberség” beágyazása a Pentagon csúcstechnológiai ellátási láncába

A honvédelemben az ellátási lánc hibái, ha túl későn észlelik őket, hatalmasak lehetnek, és nehezen kiküszöbölhetők. Ennek ellenére a Pentagon nem vágyik túlságosan proaktívabb észlelési rendszerek bevezetésére, ami egy potenciálisan költséges folyamat a vállalkozói biztosítékok véletlenszerű tesztelésére.

De a „proaktív éberség” hiánya jelentős költségekkel járhat. Hajóépítési esetekben a specifikációtól eltérő acélt – kritikus alkatrészt – használtak az amerikai haditengerészet tengeralattjáróin két évtizeden át, mielőtt a Pentagon tudomást szerzett a problémákról. A közelmúltban a specifikációtól eltérő aknázás a parti őrség tengeri járőrvágójának fedélzetén telepíteni és eltávolítani kellett— kínos idő- és pénzpocsékolás mind a vállalkozók, mind a kormányzati ügyfelek számára.

Ha ezeket a problémákat korán észlelték volna, a nyereséget vagy az ütemezést ért rövid távú csapás bőven ellensúlyozta volna az ellátási lánc összetett és hosszú távú meghibásodásának szélesebb körű kárát.

Más szóval, a beszállítók profitálhatnak az erőteljes külső tesztekből és a szigorúbb – vagy akár véletlenszerű – megfelelőségi tesztekből.

A Fortress Information Security alapítója, Peter Kassabov a Defense and Aerospace Report podcast Az év elején megjegyezte, hogy a hozzáállás megváltozik, és valószínűleg egyre több védelmi vezető kezdi el „az ellátási láncra nemcsak mint lehetőségre, hanem potenciális kockázatra is tekinteni”.

A védelmi szabályozás kidolgozása még folyamatban van. De ahhoz, hogy a vállalatok komolyabban vegyék a proactie ellátási lánc éberséget, a vállalatoknak nagyobb ösztönzőkkel, nagyobb szankciókkal kell szembenézniük – vagy akár azzal a feltétellel, hogy a fő fővállalkozók vezetői személyesen felelősek legyenek a károkért.

A régi megfelelőségi rendszerek a régi célokra összpontosítanak

Sőt, a Pentagon ellátási lánc megfelelőségi keretrendszere, ahogy van, továbbra is az alapvető szerkezeti elemek alapvető fizikai integritásának biztosítására összpontosít. És bár a Pentagon jelenlegi minőségellenőrző rendszerei alig képesek elkapni a konkrét, fizikai problémákat, a Pentagon valóban küzd a Védelmi Minisztérium jelenlegi integritási szabványainak érvényesítéséért az elektronikára és a szoftverekre vonatkozóan.

Nagy probléma az elektronika és a szoftver integritásának értékelésének nehézsége. Manapság a hadsereg „fekete dobozaiban” használt felszerelések és szoftverek sokkal kritikusabbak. A légierő egyik tábornokaként 2013-ban kifejtve, „A B-52 élt és halt a fémlemez minőségén. Ma repülőgépeink élni vagy meghalni fognak a szoftverünk minőségétől.

Kassabov ezt az aggodalmat visszhangozza, figyelmeztetve, hogy „a világ változik, és meg kell változtatnunk a védekezésünkön”.

Természetesen, bár a „régimódi” csavarok és rögzítők specifikációi továbbra is fontosak, a szoftver valóban szinte minden modern fegyver értékajánlatának középpontjában áll. Az F-35-höz, amely egy elektronikus fegyver és egy kulcsfontosságú harctéri információs és kommunikációs átjáró, a Pentagonnak sokkal jobban hozzá kellene hangolódnia a kínai, orosz vagy más, a kritikus szoftverekhez való kétes hozzájárulásokhoz, mint egyes Kínából származó ötvözetek észleléséhez.

Nem mintha a strukturális komponensek nemzeti tartalma nélkülözné a jelentőséget, de ahogy a szoftverek megfogalmazása egyre bonyolultabbá válik, amelyet mindenütt jelenlévő moduláris szubrutinok és nyílt forráskódú építőelemek támogatnak, úgy nő a balhé lehetősége. Másképpen fogalmazva, egy kínai eredetű ötvözet önmagában nem fogja lerombolni a repülőgépet, de az alrendszergyártás nagyon korai szakaszában bevezetett korrupt, kínai eredetű szoftverek igen.

A kérdést érdemes feltenni. Ha Amerika legmagasabb prioritású fegyverrendszereinek szállítói figyelmen kívül hagyják az olyan egyszerű dolgokat, mint az acél és a tengely specifikációi, mennyi az esélye annak, hogy a káros, specifikáción kívüli szoftvereket akaratlanul is zavaró kód szennyezi be?

A szoftver további vizsgálatot igényel

A tét nagy. Tavaly a éves jelentés a Pentagon fegyvertesztelői az Operational Test and Evaluation Igazgatói Hivatalnál (DOT&E) arra figyelmeztettek, hogy „a DOD-rendszerek túlnyomó többsége rendkívül szoftverigényes. A szoftver minősége és a rendszer általános kiberbiztonsága gyakran azok a tényezők, amelyek meghatározzák a működési hatékonyságot és a túlélést, néha pedig a halálozást.”

„A legfontosabb dolog, amit biztosíthatunk, az a szoftver, amely lehetővé teszi ezeket a rendszereket” – mondja Kassabov. „A védelmi beszállítók nem tudnak csak arra koncentrálni, és gondoskodni arról, hogy a rendszer ne Oroszországból vagy Kínából származzon. Sokkal fontosabb, hogy valóban megértsük, mi a szoftver ebben a rendszerben, és hogyan lesz végül ez a szoftver sebezhető.”

Előfordulhat azonban, hogy a tesztelők nem rendelkeznek a működési kockázat értékeléséhez szükséges eszközökkel. A DOT&E szerint az üzemeltetők arra kérnek valakit a Pentagonnál, hogy „mondja el nekik, mik a kiberbiztonsági kockázatok és azok lehetséges következményei, és segítsen nekik olyan enyhítő lehetőségeket kidolgozni, amelyekkel leküzdhetik a képességvesztést”.

Ennek elősegítése érdekében az Egyesült Államok kormánya olyan kritikus, alacsony profilú entitásokra támaszkodik, mint a Nemzeti Szabványügyi és Technológiai Intézet, vagy NIST, szabványok és más alapvető megfelelőségi eszközök létrehozásához, amelyek a szoftverek biztonságossá tételéhez szükségesek. De a finanszírozás egyszerűen nincs meg. Mark Montgomery, a Cyberspace Solarium Commission ügyvezető igazgatója, elfoglalt volt a figyelmeztetés hogy a NIST-nek nehéz lesz olyan dolgokat tennie, mint például a kritikus szoftverek biztonsági intézkedéseiről szóló útmutató közzététele, a szoftvertesztelés minimumszabványainak kidolgozása, vagy az ellátási lánc biztonságának szabályozása „olyan költségvetés mellett, amely évek óta 80 millió dollár alatt mozog”.

Egyszerű megoldás nem látszik. A NIST „back-office” útmutatása agresszívabb megfelelési erőfeszítésekkel párosulva segíthet, de a Pentagonnak el kell távolodnia az ellátási lánc integritásának régimódi „reaktív” megközelítésétől. Természetesen, bár nagyszerű a hibák észlelése, sokkal jobb, ha az ellátási lánc integritásának megőrzésére irányuló proaktív erőfeszítések a második védelmi vállalkozók először kezdik meg a védelemmel kapcsolatos kódok kidolgozását.