من يتحمل مسؤولية ثغرات البرمجيات: المستخدم أم الشركة المطورة؟

حين يتعرض مستخدم لاختراق، تبدأ النصائح المعتادة: حدث جهازك، اختر كلمة مرور قوية، وانتبه للروابط. كلها إجراءات مهمة، لكنها لا تجيب عن سؤال أكبر: ماذا لو كان المنتج نفسه يخرج إلى السوق بإعدادات خطرة أو بآلية تحديث ضعيفة؟

سؤال المسؤولية قبل الحادث

تطرح مبادرة «آمن منذ التصميم» التابعة لـCISA فكرة أن يتحمل المصنع جزءًا أكبر من نتائج الأمن بدل نقل العبء إلى كل مستخدم. في إرشادات «الممارسات السيئة لأمن المنتجات» المنشورة في 2025، تعد CISA وFBI بعض الممارسات عالية الخطورة، وتحثان الشركات على تجنبها خصوصًا في المنتجات ذات الصلة بالبنية الحيوية.

لماذا لا يكفي تدريب المستخدم؟

لا يستطيع المستخدم العادي مراجعة كود نظام التشغيل أو إثبات سلامة سلسلة توريد التحديثات. كما أنه لا يملك دائمًا صلاحية تغيير الإعدادات التي اختارها المصنع. ولهذا يصبح الاعتماد الحصري على التوعية معالجة للنتيجة بدل معالجة مصدر الخطر.

حجة الشركات: التكلفة والتوافق

قد تؤدي بعض الضوابط إلى تعقيد تجربة الدخول أو إلى كسر توافق قديم. هذه كلفة حقيقية ينبغي حسابها، لكنها ليست برهانًا على أن ترك الخيارات غير الآمنة افتراضيًا هو القرار الصحيح. السؤال العملي هو من يدفع تكلفة الخطر: الشركة عند التطوير أم آلاف العملاء بعد وقوع الحادث؟

الفرق بين منتج آمن ووعد بالأمان

الإعلان عن التشفير أو برنامج مكافآت للثغرات لا يثبت وحده جودة المنتج. مؤشرات التقييم الأقوى تشمل مدة الدعم، ووضوح سياسة الإفصاح عن الثغرات، وسرعة التحديثات، والضوابط المفعلة افتراضيًا، وإمكانية تعطيل الميزات غير الضرورية.

ما الذي يتغير في المشتريات التقنية؟

تقدم CISA أيضًا دليل «Secure by Demand» لمساعدة الجهات المشترية على طرح أسئلة أمنية محددة على الموردين. وهنا تنتقل المنافسة من عدد الميزات إلى قابلية التحقق من المسؤولية. وقد يصبح السؤال عن مدة الدعم الأمني أهم من فارق صغير في السعر الأولي.

الاستنتاج وحدوده

لا تعني مسؤولية المصنع إعفاء المستخدم من الحذر، ولا تعني أن كل اختراق دليل على إهمال. لكنها تعني أن توزيع المسؤولية يجب أن يعكس من يملك القدرة الفعلية على منع الخطر. عندما تكون الثغرة ناتجة عن قرار تصميمي، لا ينبغي أن يصبح المستخدم خط الدفاع الوحيد.

النتيجة التحليلية: الأمن المستدام يبدأ من المنتج ويكتمل بالمستخدم، وليس العكس. وهذه قراءة مستندة إلى الإرشادات المعلنة، لا إلى اختبار مستقل لمنتجات بعينها.