Wbudowanie „proaktywnej czujności” w zaawansowany technologicznie łańcuch dostaw Pentagonu

W obronie narodowej błędy w łańcuchu dostaw, jeśli zostaną wykryte zbyt późno, mogą być ogromne i trudne do przezwyciężenia. A jednak Pentagon nie jest zbyt chętny do wdrażania bardziej proaktywnych systemów wykrywania, potencjalnie kosztownego procesu losowego testowania gwarancji wykonawców.

Ale ten brak „proaktywnej czujności” może mieć duże koszty. W przypadku przemysłu stoczniowego stal niezgodna ze specyfikacją – kluczowy składnik – była używana w okrętach podwodnych marynarki wojennej Stanów Zjednoczonych przez dwie dekady, zanim Pentagon dowiedział się o problemach. Niedawno na pokładzie Offshore Patrol Cutter Straży Przybrzeżnej pojawił się wał poza specyfikacją musiał być zainstalowany i usunięty— żenująca strata czasu i funduszy zarówno dla wykonawców, jak i klientów rządowych.

Gdyby problemy te zostały wykryte wcześnie, krótkoterminowy cios w zyski lub harmonogram z nawiązką zrekompensowałby większe szkody wynikające ze złożonej i długoterminowej awarii łańcucha dostaw.

Innymi słowy, dostawcy mogą skorzystać na energicznych testach zewnętrznych i bardziej rygorystycznych, a nawet losowych testach zgodności.

Założyciel Fortress Information Security, Peter Kassabov, przemawia na Podcast dotyczący raportu z dziedziny obrony i lotnictwa na początku tego roku zauważył, że postawy się zmieniają i więcej liderów obrony prawdopodobnie zacznie patrzeć „na łańcuch dostaw nie tylko jako czynnik umożliwiający, ale także jako potencjalne ryzyko”.

Regulacje ochronne są wciąż opracowywane. Jednak aby skłonić firmy do poważniejszego potraktowania proaktywnej czujności łańcucha dostaw, firmy mogą napotkać większe zachęty, większe sankcje – a może nawet wymóg, aby dyrektorzy głównych głównych wykonawców ponosili osobistą odpowiedzialność za szkody.

Stare systemy zgodności koncentrują się na starych celach

Co więcej, struktura zgodności łańcucha dostaw Pentagonu, taka jaka jest, nadal koncentruje się na zapewnieniu fundamentalnej fizycznej integralności podstawowych elementów konstrukcyjnych. I podczas gdy obecne systemy kontroli jakości Pentagonu ledwo są w stanie wychwycić konkretne, fizyczne problemy, Pentagon naprawdę ma problemy z egzekwowaniem obecnych standardów integralności Departamentu Obrony dla elektroniki i oprogramowania.

Dużym problemem jest trudność w ocenie integralności elektroniki i oprogramowania. W dzisiejszych czasach sprzęt i oprogramowanie używane w „czarnych skrzynkach” wojskowych są znacznie bardziej krytyczne. Jako jeden generał sił powietrznych wyjaśnione w 2013 r., „B-52 żył i umarł na jakości swojej blachy. Dziś nasze samoloty będą żyły lub ginęły na jakości naszego oprogramowania.”

Kassabov powtarza tę troskę, ostrzegając, że „świat się zmienia i musimy zmienić nasze mechanizmy obronne”.

Oczywiście, podczas gdy „staromodne” specyfikacje śrub i łączników są nadal ważne, oprogramowanie jest tak naprawdę podstawą niemal każdej propozycji wartości nowoczesnej broni. Jeśli chodzi o F-35, broń elektroniczną i kluczową bramkę informacyjną i komunikacyjną na polu bitwy, Pentagon powinien być znacznie bardziej dostosowany do chińskiego, rosyjskiego lub innego wątpliwego wkładu w krytyczne oprogramowanie niż do wykrywania niektórych stopów pochodzących z Chin.

Nie chodzi o to, że narodowa zawartość elementów strukturalnych jest pozbawiona znaczenia, ale w miarę jak tworzenie oprogramowania staje się bardziej złożone, wspierane przez wszechobecne modułowe podprogramy i bloki konstrukcyjne typu open source, rośnie potencjał psot. Innymi słowy, stop pochodzący z Chin sam nie zniszczy samolotu, ale uszkodzone, chińskie oprogramowanie wprowadzone na bardzo wczesnym etapie produkcji podsystemu może.

Warto zadać pytanie. Jeśli dostawcy systemów uzbrojenia o najwyższym priorytecie w Ameryce przeoczają coś tak prostego, jak specyfikacje stali i wałów, jakie są szanse, że szkodliwe, niezgodne ze specyfikacją oprogramowanie zostanie nieumyślnie zanieczyszczone kłopotliwym kodem?

Oprogramowanie wymaga dokładniejszej analizy

Stawka jest wysoka. W zeszłym roku roczny raport Testerzy broni Pentagonu z Biura Dyrektora ds. Testów i Oceny Operacyjnej (DOT&E) ostrzegali, że „ogromna większość systemów DOD jest niezwykle intensywnie korzystająca z oprogramowania. Jakość oprogramowania i ogólne cyberbezpieczeństwo systemu często są czynnikami decydującymi o skuteczności operacyjnej i przeżywalności, a czasem o śmiertelności”.

„Najważniejszą rzeczą, jaką możemy zabezpieczyć, jest oprogramowanie umożliwiające działanie tych systemów”, mówi Kassabov. „Dostawcy systemów obronnych nie mogą po prostu skoncentrować się i upewnić, że system nie pochodzi z Rosji ani z Chin. Ważniejsze jest, aby rzeczywiście zrozumieć, jakie jest oprogramowanie w tym systemie i jak ostatecznie to oprogramowanie jest podatne na ataki”.

Jednak testerzy mogą nie mieć narzędzi niezbędnych do oceny ryzyka operacyjnego. Według DOT&E operatorzy proszą kogoś w Pentagonie, aby „powiedział im, jakie są zagrożenia cyberbezpieczeństwa i ich potencjalne konsekwencje, oraz aby pomógł im opracować opcje łagodzenia skutków w celu walki z utratą zdolności”.

Aby to zrobić, rząd USA polega na krytycznych podmiotach o niskim profilu, takich jak Narodowy Instytut Norm i Technologiilub NIST, aby wygenerować standardy i inne podstawowe narzędzia zgodności potrzebne do zabezpieczenia oprogramowania. Ale finansowania po prostu nie ma. Mark Montgomery, dyrektor wykonawczy Komisji Cyberprzestrzeni Solarium, był zajęty ostrzeżeniem że NIST będzie ciężko naciskać na takie rzeczy, jak publikowanie wskazówek dotyczących środków bezpieczeństwa dla krytycznego oprogramowania, opracowywanie minimalnych standardów testowania oprogramowania lub kierowanie bezpieczeństwem łańcucha dostaw „przy budżecie, który od lat oscyluje na poziomie prawie 80 milionów dolarów”.

Nie widać żadnego prostego rozwiązania. Wytyczne NIST dotyczące „zaplecza” w połączeniu z bardziej agresywnymi wysiłkami w zakresie zgodności mogą pomóc, ale Pentagon musi odejść od staromodnego „reakcyjnego” podejścia do integralności łańcucha dostaw. Oczywiście, chociaż świetnie jest wyłapywać awarie, o wiele lepiej jest, jeśli proaktywne wysiłki mające na celu utrzymanie integralności łańcucha dostaw wbiją się w drugie, gdy wykonawcy obrony najpierw zaczną tworzyć kod związany z obronnością.