الأمن السيبراني ومخاطر التقنية في القطاع العام

هذا لماذا يهم في القيمة العامة

حين تُشفَّر أنظمة مستشفى من مهاجم، لا يستطيع الأطباء رؤية تاريخ الأدوية، وتُحوَّل الإسعافات، وتُلغَى عمليات جراحية. حين تُخترَق أنظمة تحكّم مرفق مياه، ما يتعرّض للمخاطرة قيمة عامة ليست انقطاع خادم بل سلامة مياه الشرب. حين يُخرَق قاعدة بيانات وكالة منافع، الأشخاص الأكثر تعرّضًا غالبًا الأقل قدرة على استيعاب العواقب: دفعة مؤجَّلة، هوية مسروقة، أسرة لا تستطيع إثبات هويتها للدولة التي تدين لها بالدعم. أمن الحاسوب، يُسمَّى شائعًا الأمن السيبراني، ممارسة حماية أنظمة الحاسوب والشبكات والبيانات من وصول أو تعطّل أو ضرر غير مصرَّح به. في المؤسسات العامة، تقع تلك الممارسة مباشرة على المسار بين الدولة والمواطن الذي تخدمه.

هذا لماذا يُؤطِّر الموضوع مخاطرة الأمن السيبراني سؤال قيمة عامة، لا سؤالًا تقنيًا فقط. تعتمد الشرعية والدعم على إيمان المواطنين بأن المؤسسات التي تحمل بياناتهم وتُشغِّل خدماتهم الأساسية يمكن الوثوق بها لحماية كليهما (انظر الموضوع 1.2 — المثلث الاستراتيجي: الشرعية والقيمة والقدرة). يمكن لخرق واحد مُعلَن جيدًا أن يضرّ بتلك الثقة دائمًا، بالطريقة نفسها التي تضرّ بها طوارئ سيّئة الإدارة، لأن المواطنين يحكمون على المؤسسات بكيف تتصرّف تحت هجوم بقدر ما يحكمون عليها بأدائها اليومي (انظر الموضوع 3.12 — إدارة الأزمات والطوارئ والقدرة على الصمود، الذي يعامل الحوادث السيبرانية فئة واحدة ضمن الانضباط الأوسع للصمود).

مشكلة التمويل حادّة وخاصة بالقطاعين العام والاجتماعي. تملك وكالات وطنية كبيرة بازدياد فرق أمن مخصَّصة وميزانيات مؤسسية؛ عادة لا يملك مجلس مياه يخدم بلدة صغيرة، ولا صندوق مستشفى إقليمي، ولا جمعية خيرية محلية تُدير مأوى للعنف المنزلي ذلك، رغم حملها بيانات تضاهي حساسيتها بيانات أي بنك أو تفوقها. المهاجمون يعرفون هذا. الهيئات العامة ناقصة الموارد ليست حالة هامشية في هذا الموضوع؛ إنها قريبة من مركزه، لأن المؤسسة العامة الوسيطة التي تواجه هذه المخاطرة اليوم ليست وزارة وطنية بل هيئة محلية صغيرة، أو مرفق إقليمي، أو جمعية خيرية بحفنة موظفي تقنية معلومات ولا متخصّص أمن على الإطلاق.

المفاهيم الأساسية

البنية التحتية الحرجة مجموعة أنظمة وأصول — طاقة، مياه، نقل، رعاية صحية، مالية، اتصالات — أساسية بحيث يكون لعجزها أو تدميرها أثر مُوهِن على السلامة أو الاقتصاد أو الثقة العامة. تهم حماية البنية التحتية الحرجة هنا لأن كثيرًا من أخطر حوادث الأمن السيبراني في القطاع العام ليست هجمات على بيانات مجرَّدة بل هجمات على التقنية التشغيلية التي تُبقي البنية التحتية المادية عاملة، متمايزة عن تقنية المعلومات التي تحفظ السجلّات وتعالج المعاملات.

فاعل التهديد أي فرد أو مجموعة أو دولة قد تحاول اختراق نظام؛ في القطاع العام يمتدّ هؤلاء من مجموعات إجرامية مدفوعة ماليًا إلى فاعلين ترعاهم دول يسعون للتجسّس أو التعطيل. برمجية الفدية برمجية خبيثة تُشفِّر بيانات منظمة أو أنظمتها وتطلب دفعًا مقابل إطلاقها؛ أصبحت التهديد المهيمن للهيئات العامة تحديدًا لأن الخدمات الأساسية لا تستطيع تحمّل انقطاع مطوَّل، ما يزيد ضغط الدفع. التصيّد الاحتيالي شكل من الهندسة الاجتماعية يخدع فيه مهاجمون موظفين للكشف عن بيانات اعتماد أو تثبيت برمجية خبيثة، عادة عبر بريد إلكتروني خادع، ويبقى الطريقة الأشيع التي يكسب بها مهاجم موطئ قدم أولًا، لأنه يستهدف الناس لا التقنية.

خرق البيانات الوصول أو الإفصاح أو الفقدان غير المصرَّح به لمعلومات، سواء عبر هجوم خارجي، أو شخص داخلي، أو خطأ بشري بسيط كقاعدة بيانات سيّئة الإعداد تُركَت مفتوحة على الإنترنت. هجوم سلسلة التوريد يخترق منظمة بشكل غير مباشر، باستهداف مورِّد أو بائع برمجيات أو مزوّد خدمة مُدارة أقلّ أمانًا تثق به المنظمة المستهدَفة؛ خطيرة بوجه خاص للقطاع العام لأن هيئات عامة كثيرة جدًا تتشارك حفنة بائعي برمجيات أنفسهم، ما يعني أن اختراق بائع واحد يمكن أن يتتالى إلى مئات المؤسسات في آنٍ واحد.

النظافة السيبرانية مجموعة الممارسات الروتينية — تصحيح البرمجيات فورًا، وفرض مصادقة قوية، وتقييد من يستطيع الوصول إلى ماذا، ونسخ البيانات احتياطيًا واختبار استعادة تلك النسخ — التي تمنع أغلبية الهجمات الناجحة الساحقة دون تتطلّب أدوات غريبة. تستغلّ معظم الخروق ثغرات معروفة غير مُصحَّحة أو بيانات اعتماد ضعيفة بدلًا من تقنيات جديدة.

بنية الثقة الصفرية مبدأ تصميم أمني يرى أنه يجب ألا يُوثَق أي مستخدم أو جهاز افتراضيًا، حتى داخل شبكة منظمة نفسها، وأن كل طلب وصول يجب التحقّق منه بغضّ النظر عن مصدره. أصبحت بنية الثقة الصفرية مؤثرة في إرشاد القطاع العام لأنها تناسب كيف يحدث عمل حكومي حديث فعلًا — موظفون ومتعاقدون ومواطنون يصلون إلى خدمات من أجهزة ومواقع كثيرة — أفضل من نموذج أقدم وثق بأي شيء داخل المحيط بالفعل.

إدارة حوادث أمن الحاسوب، تُسمَّى عادة الاستجابة للحوادث، العملية المُنظَّمة لاكتشاف حادثة أمنية واحتوائها واستئصالها والتعافي منها، تليها مراجعة لما سمح بحدوثها. التزام الإفصاح واجب قانوني أو تنظيمي بإخطار أفراد متأثرين، أو منظِّمين، أو الجمهور حين تُخترَق بيانات شخصية أو خدمات حرجة، خلال وقت محدَّد وبمعيار محدَّد.

أفضل الممارسات

1. عامِل الأمن السيبراني مسؤولية هيئة حاكمة، لا وظيفة تقنية مُفوَّضة. يجب أن تتلقّى المجالس والفرق التنفيذية إحاطات منتظمة بلغة بسيطة عن مخاطرة سيبرانية وتوافق على ميزانيتها مباشرة، بدلًا من تركها تُتفاوَض داخل بند تقنية معلومات أوسع حيث تكون أسهل شيء اقتطاعه.
2. اجرد ما تحمله وما يعتمد عليه قبل تقرير كيفية حمايته. لا تستطيع منظمة تأمين بيانات أو أنظمة لم ترسمها؛ جرد أصول وبيانات حديث، مُقارَن مرجعيًا بعمل قابلية التشغيل البيني وحوكمة البيانات المُغطَّى في مكان آخر (انظر الموضوع 5.4 — بيانات القطاع العام وقابلية التشغيل البيني والبيانات المفتوحة)، شرط مسبق لكل ممارسة أخرى في هذه القائمة.
3. طبّق الأساسيات في كل مكان قبل الإنفاق على أي شيء متقدّم. إدارة التصحيحات، والمصادقة متعدِّدة العوامل، والنسخ الاحتياطية المُختبَرة، وضبط وصول أقلّ الامتيازات توقف الأغلبية الساحقة من الهجمات الواقعية.
4. تبنَّ إطارًا معترَفًا به بدلًا من اختراع واحد مخصَّص. أطر كإطار الأمن السيبراني للمعهد الوطني للمعايير والتقنية تمنح مفردات وبنية مشتركة — تحديد، حماية، كشف، استجابة، تعافٍ — يمكن لمنظمة صغيرة تبنّيها بصيغة مُبسَّطة وأخرى كبيرة تبنّيها بالكامل.
5. اجمع موارد عبر منظمات صغيرة بدلًا من شراء كلٍّ وحده. يمكن لخدمة عمليات أمن مشتركة، أو تجمّع استجابة حوادث سيبرانية إقليمي، أو إطار مشتريات عبر قطاع أن يمنح مجموعة من الهيئات المحلية الصغيرة أو المنظمات غير الربحية حماية لا يستطيع أي منها تحمّلها فرديًا.
6. اكتب خطة الاستجابة للحوادث قبل الحادثة، وتمرَّن عليها. خطة تُصاغ لأول مرة أثناء هجوم حيّ خطة مُصاغة بسوء، تحت ذعر، من أشخاص لم يختبروا أبدًا ما إذا كانت تعمل فعلًا.
7. قرِّر سياسة الإفصاح والدفع سلفًا، لا أثناء الحادثة. يجب أن يكون ما إذا كانت المنظمة ستدرس دفع فدية، ومن يملك سلطة اتّخاذ ذلك القرار، وكيف ومتى سيُخبَر الأشخاص المتأثرون سياسة مُعتمَدة من المجلس، لا قرارًا مُرتجَلًا تحت ضغط طلب ابتزاز حيّ.
8. جزّئ الشبكات بحيث لا يصبح اختراق واحد كل الاختراق. إبقاء التقنية التشغيلية التي تتحكّم بالبنية التحتية المادية منفصلة عن تقنية معلومات المكتب العام، وفصل الأنظمة عالية الحساسية عن الأقلّ حساسية، يحدّ من كم يمكن لدخيل دخل عبر نقطة ضعف واحدة الانتقال.
9. أدِر مخاطرة الطرف الثالث وسلسلة التوريد بصرامة تُماثِل المخاطرة الداخلية. اطلب ضمانات أمنية، وبنودًا للحقّ في المراجعة، والتزامات إخطار حوادث في عقود مع بائعي برمجيات ومزوّدي خدمة مُدارة.
10. استثمر في الناس، لا الأدوات فقط. تدريب منتظم وواقعي — بما يشمل تمارين تصيّد احتيالي محاكاة — يقلّل بشكل قابل للقياس هجمات الهندسة الاجتماعية الناجحة.
11. أبلِغ عن الحوادث بصدق واستخدم الحوادث الوشيكة دروسًا مجانية. ثقافة تعاقب موظفين على الإبلاغ عن خرق مشتبه به تضمن أن يُبلَّغ عن التالي متأخرًا أو لا يُبلَّغ عنه على الإطلاق.
12. ابنِ القدرة على الصمود السيبراني في شروط المشتريات والمنح، لا السياسة الداخلية فقط. يستطيع ممولون وهيئات تكليف اشتراط مستوى أساسي من الممارسة الأمنية من المنظمات التي يموّلونها أو يتعاقدون معها (انظر الموضوع 3.7 — المشتريات العامة والتكليف).

أسئلة للنقاش مع فريقك

هل نعرف أي بيانات وأنظمة نحملها فعلًا، وأيها سيؤذي شخصًا لو اخترِق؟ تكتشف منظمات كثيرة المدى الحقيقي لحيازاتها من البيانات فقط خلال تحقيق خرق، وهو أسوأ وقت ممكن لمعرفة ذلك. راجِع خدماتك الرئيسية واسأل، لكل منها، أي بيانات شخصية أو حسّاسة تشغيليًا تلمسها وماذا سيحدث لشخص حقيقي لو سُرِقت تلك البيانات أو عُدِّلت أو أصبحت غير متاحة.

لو ضُرِبنا ببرمجية فدية غدًا، هل نستطيع الاستعادة من نسخة احتياطية دون دفع؟ قيمة نسخة احتياطية ليست أنها موجودة بل أنها اختُبِرت لاستعادة فعلية بسرعة كافية، من نسخة حديثة كفاية بحيث تهم. اسأل متى اختُبِرت النسخ الاحتياطية آخر مرة بتمرين استعادة حقيقي، لا سجلّ إنجاز فقط.

من يملك سلطة تقرير ما إذا كنا سندفع فدية، وهل ناقشنا ذلك يومًا قبل أن يُطلَب منّا؟ هذا واحد من أعلى القرارات مخاطرة يمكن أن يواجهها فريق تنفيذي، غالبًا مطلوبًا خلال ساعات وبمعلومات ناقصة عمّا يملكه المهاجم فعلًا.

هل شركاؤنا ومورِّدونا الأصغر مخاطرة علينا أكبر مما نحن على أنفسنا؟ يمكن لمنظمة مركزية جيدة التأمين أن تُخترَق مع ذلك عبر مورِّد، أو متعاقد، أو شريك تسليم سيّئ التأمين له وصول مشروع إلى أنظمتها أو بياناتها. ارسم خريطة الأطراف الثالثة التي تستطيع الوصول إلى أنظمتك أو حمل بياناتك.

هل سنعرف أننا اخترقنا، وبأي سرعة؟ بعض أخطر الحوادث ليست تلك التي تحدث بسرعة بل تلك التي تبقى غير مُكتشَفة لأشهر، خلالها استكشف مهاجم بصمت، وصعّد امتيازات، واستخرج بيانات.

هل يفهم مجلسنا أو هيئتنا الحاكمة هذه المخاطرة جيدًا بما يكفي لحوكمتها، أم فوّضنا ذلك الحكم بصمت لفريق تقنية المعلومات؟ تتضمّن قرارات المخاطرة السيبرانية مقايضات حقيقية بين التكلفة واستمرارية الخدمة وحماية المواطن هي بحقّ عمل الهيئة الحاكمة، لا مسألة تقنية مُفوَّضة يُوافَق عليها بإيماءة.

في الممارسة: مثال على القيمة العامة

أدارت هيئة عبور إقليمية متوسطة الحجم — خيالية، توضيحية لنمط لا تقرير عن أي منظمة حقيقية — أنظمة جدولة ودفع قديمة رُقِّعت بالقطعة لعقد بدلًا من تحديثها. كان فريق تقنية المعلومات ثلاثة أشخاص، مسؤولين عن كل شيء من تذاكر مكتب المساعدة إلى أمن الشبكة، ولم يحصل الأمن السيبراني قط على بنده الخاص في الميزانية؛ عاش داخل تخصيص "صيانة أنظمة" عام لم ينمُ بقيمة حقيقية لسنوات.

اكتسب مهاجم وصولًا عبر بريد تصيّد احتيالي أُرسِل لموظف مالية، مستخدِمًا فاتورة مُنتحَلة من مورِّد استخدمته الهيئة فعلًا. بمجرد الدخول، قضى المهاجم ستة أسابيع يتحرّك بصمت عبر الشبكة قبل نشر برمجية فدية شفّرت نظام الجدولة، ومنصة دفع الأجرة، ونسخ الهيئة الاحتياطية، التي لم تُعزَل أبدًا عن الشبكة الرئيسية. واصلت الحافلات العمل على ذاكرة السائقين لمساراتهم لليوم الأول، لكن لم يُمكِن تحصيل الأجرة إلكترونيًا، وأظلمت شاشات المعلومات الفورية، وأصبحت أنظمة مالية الهيئة غير قابلة للاستخدام لكشوف الرواتب.

واجه الفريق التنفيذي قرار الفدية بلا سياسة مُتَّفَق عليها سلفًا: لم يُقرِّر أحد سلفًا من يملك سلطة الموافقة على دفعة، أو ما الموقف القانوني، أو ماذا سيخبرون الركّاب. لم تكن الاستعادة من نسخة احتياطية خيارًا، لأن النسخ الاحتياطية شُفِّرت مع كل شيء آخر. بعد تسعة أيام من الاضطراب، واستعادة خدمة جزئية، ودفعة وصفها مجلس الهيئة لاحقًا بأنها الخيار الأقلّ سوءًا المتاح حينذاك، كلّفت الهيئة بمراجعة مستقلة.

كانت اكتشافات المراجعة غير جذّابة ومتّسقة تمامًا مع النمط الذي يصفه هذا الموضوع: لا مصادقة متعدِّدة العوامل على أنظمة المالية، ولا تجزئة شبكة بين أنظمة المكتب وبنية دفع الأجرة، ولا استعادة نسخة احتياطية مُختبَرة منذ أكثر من عامين، ولا رؤية على مستوى المجلس للمخاطرة السيبرانية على الإطلاق قبل الحادثة. كانت استجابة الهيئة غير جذّابة بالمثل — خطة مرحلية لإصلاح الأساسيات، وترتيب مراقبة أمن مشترك مع هيئتي عبور مجاورتين لتقاسم تكلفة تغطية متخصصة لم يستطع أي منها تحمّلها وحده، وبند جدول أعمال دائم على المخاطرة السيبرانية على مستوى المجلس.

أربعة منظورات قطاعية

الحكومة المحلية

تقف الهيئات المحلية عند تقاطع غير مريح: تحمل بيانات حسّاسة جدًا — سجلّات رعاية اجتماعية، معلومات إسكان ومنافع، سجلّات انتخابية — وتُشغِّل خدمات لا يستطيع المواطنون الاستغناء عنها بسهولة، لكنها تملك عادة أصغر ميزانيات أمن وأقلّ موظفين متخصّصين من أي مستوى حكومة.

الحكومة الوطنية

تملك الحكومات الوطنية عمومًا الموارد لبناء وكالات أمن سيبراني مخصَّصة وأطرًا وطنية — هيئات كالمركز الوطني للأمن السيبراني البريطاني أو وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية توجد لوضع معايير وتنسيق استجابة ودعم هيئات عامة ناقصة الموارد ضمن ولايتها القضائية. التحدّي الوطني المميِّز أقلّ حول النظافة الأساسية وأكثر حول فاعلي تهديد ترعاهم دول وذوي قدرات عالية.

القطاع الاجتماعي وغير الربحي

كثيرًا ما تحمل منظمات غير ربحية وغير حكومية بعض أحسّ بيانات أي قطاع — سجلّات صحية، سجلّات ناجين من عنف أو اضطهاد، عمل حالات لاجئين ولجوء — بينما تعمل بأرقّ ميزانيات أمن لأي نوع منظمة في هذا الكتاب، لأن الممولين نادرًا ما يخصّصون مالًا للأمن ونادرًا ما تتطلبه شروط المنح.

المتعدد الأطراف والدولي

تعمل الهيئات المتعددة الأطراف والدولية عبر ولايات قضائية بقوانين إفصاح مختلفة، وتعريفات مختلفة للبنية التحتية الحرجة، ومستويات مختلفة من القدرة السيبرانية الوطنية، ما يجعل التنسيق نفسه مشكلة متمايزة: قد تكون أنظمة هيئة دولية الخاصة محمية جيدًا بينما تتفاوت وكالاتها الأعضاء الوطنية هائلًا.

أنماط الفشل الشائعة

مسرحية أمن بلا جوهر تشغيلي. تتبنّى منظمة وثيقة سياسة تبدو مثيرة للإعجاب، أو شهادة امتثال، أو أداة واحدة مكلفة، وتعامل الصندوق مُعلَّمًا، بينما تبقى النظافة الأساسية — التصحيح، والمصادقة متعدِّدة العوامل، والنسخ الاحتياطية المُختبَرة — متفاوتة.

المخاطرة غير المملوكة. يُفتَرَض أن الأمن السيبراني وظيفة شخص آخر — فريق تقنية المعلومات، مورِّد، منظِّم — ولا يوجد مالك مسؤول واحد على مستوى الهيئة الحاكمة. هذا يُنتج مخاطرة تُناقَش في كل مكان ولا تُقرَّر في أي مكان.

نقص استثمار مُبرَّر بغياب حادثة سابقة. لأن برنامج أمن يُدار جيدًا لا يُنتج حدثًا مرئيًا حين ينجح، سهل تجريده من التمويل في جولة ميزانية ضيقة لصالح شيء بناتج مرئي.

أنظمة موروثة تُبقى عاملة بعد عمرها الداعم. تُشغِّل هيئات عامة كثيرًا برمجيات أو عتادًا لفترة طويلة بعد أن يتوقّف بائع عن إصدار تصحيحات أمنية لها، لأن الاستبدال مكلف أو مُعطِّل أو غير شعبي سياسيًا، والنظام "لا يزال يعمل".

ثقافة حوادث تلوم أولًا. حين يُعاقَب موظفون يُبلِّغون عن خرق مشتبه به أو خطأ بدلًا من دعمهم، تُبلَّغ حوادث مستقبلية متأخرة، أو مُقلَّلة، أو لا تُبلَّغ على الإطلاق.

نموذج النضج

قائمة التحقق

• فرد أو لجنة مُسمًّى على مستوى الهيئة الحاكمة يملك المخاطرة السيبرانية ويُبلِّغ عنها بانتظام وبلغة بسيطة.
• جرد حالي موجود لما تحمله المنظمة من بيانات وأنظمة، وأيها الأكثر حساسية أو حرجًا لخدمة.
• المصادقة متعدِّدة العوامل مفروضة على كل الأنظمة التي تحمل بيانات حسّاسة أو تتحكّم بخدمات حرجة.
• تُؤخَذ نسخ احتياطية بانتظام، تُخزَّن معزولة عن الشبكة الرئيسية، واختُبِرت استعادتها خلال الاثني عشر شهرًا الماضية.
• تُصحَّح البرمجيات والأنظمة بجدول محدَّد، ولأي نظام لا يمكن تصحيحه بعد الآن خطة موثَّقة لاستبداله أو عزله.
• خطة استجابة حوادث مكتوبة موجودة، تُسمِّي من يملك سلطة اتّخاذ قرارات رئيسية، وتمرَّن عليها بتمرين واقعي خلال العام الماضي.
• سياسة مُعتمَدة من المجلس موجودة حول دفع الفدية وكيف ومتى يُخطَر المتأثرون والمنظِّمون والجمهور.
• تشمل عقود بائعي البرمجيات ومزوّدي الخدمة المُدارة ضمانات أمنية والتزامات إخطار حوادث.
• يتلقّى الموظفون تدريبًا منتظمًا وواقعيًا، بما يشمل تمارين تصيّد احتيالي محاكاة.
• يُعامَل الإبلاغ عن حادثة مشتبه بها أو حادثة وشيكة معلومة قيّمة، لا أساسًا للوم.
• استُكشِفت ترتيبات أمن مشتركة أو مُجمَّعة مع منظمات نظيرة بحجم وميزانية مماثلين.
• تظهر المخاطرة السيبرانية صراحة في تخطيط الأزمات والصمود الأوسع للمنظمة، لا خطة منفصلة ومقطوعة الصلة.

المصادر الرئيسية

• إطار الأمن السيبراني للمعهد الوطني للمعايير والتقنية — الإطار المُهيكَل الرائد لتنظيم ممارسة الأمن السيبراني.
• مهمة وإرشاد الوكالة الأوروبية للأمن السيبراني (ENISA) المنشورَين حول تحقيق مستوى مشترك من الأمن السيبراني عبر الاتحاد الأوروبي.
• عمل منظمة التعاون الاقتصادي والتنمية حول سياسة الأمن الرقمي، الذي يُؤطِّر الأمن الرقمي مسألة إدارة مخاطرة اقتصادية واجتماعية لا تقنية بحتة.
• الإرشاد التشغيلي المنشور من وكالات أمن سيبراني وطنية كالمركز الوطني للأمن السيبراني البريطاني ووكالة الأمن السيبراني وأمن البنية التحتية الأمريكية.

المراجع

1. Computer security — Wikipedia — https://en.wikipedia.org/wiki/Computer_security
2. Critical infrastructure — Wikipedia — https://en.wikipedia.org/wiki/Critical_infrastructure
3. Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
4. Phishing — Wikipedia — https://en.wikipedia.org/wiki/Phishing
5. Data breach — Wikipedia — https://en.wikipedia.org/wiki/Data_breach
6. Supply chain attack — Wikipedia — https://en.wikipedia.org/wiki/Supply_chain_attack
7. Zero trust architecture — Wikipedia — https://en.wikipedia.org/wiki/Zero_trust_architecture
8. Computer security incident management — Wikipedia — https://en.wikipedia.org/wiki/Computer_security_incident_management
9. National Cyber Security Centre (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Cyber_Security_Centre_(United_Kingdom)
10. Cybersecurity and Infrastructure Security Agency — Wikipedia — https://en.wikipedia.org/wiki/Cybersecurity_and_Infrastructure_Security_Agency
11. Cybersecurity Framework — National Institute of Standards and Technology — https://www.nist.gov/cyberframework
12. Who we are — European Union Agency for Cybersecurity (ENISA) — https://www.enisa.europa.eu/about-enisa/who-we-are
13. Digital security — Organisation for Economic Co-operation and Development (OECD) — https://www.oecd.org/en/topics/digital-security.html
14. What we do at the NCSC — National Cyber Security Centre (United Kingdom) — https://www.ncsc.gov.uk/section/about-ncsc/what-we-do
15. About CISA — Cybersecurity and Infrastructure Security Agency (United States) — https://www.cisa.gov/about