بریتانیا جلوی تأمین‌کننده‌های پرخطر فناوری رو می‌گیره
خلاصهٔ کامل‌تر
لایحهٔ امنیت و تاب‌آوری سایبری بریتانیا (CSRB) که نوامبر ۲۰۲۵ به پارلمان رفت، مراحل مجلس عوام رو رد کرده، الان به‌عنوان HL Bill 32 تو مجلس اعیانه و به تصویب نهایی نزدیکه. به گفتهٔ نویسنده، ۲۴ آگوست ۲۰۲۶ دولت اصلاحاتی به این لایحه اضافه کرد که به وزرا قدرت می‌ده سازمان‌های بخش‌های حیاتی رو از به‌کارگیری تأمین‌کننده‌های فناوری «پرخطر» منع کنن.
محرکش یه اتفاق واقعی بود. دو روز قبلش گزارش شد مهاجم‌های مرتبط با ایران یه واحد تولید برق کوچیک بریتانیا رو چهار روز از کار انداختن. خود حمله اثر بزرگی نداشت، ولی این سؤال رو جدی کرد که یه حملهٔ گسترده‌تر از مسیر زنجیرهٔ تأمین چه بلایی سر صنایع حیاتی میاره.
نکتهٔ جالب رویکرد اینه که امنیت زیرساخت حیاتی رو با سخت‌گیری بیشتر روی خود همون سازمان‌ها بالا نمی‌بره، بلکه ارتباطشون با تأمین‌کننده‌هایی که ناامن تشخیص داده می‌شن قطع می‌کنه. به گفتهٔ دارن گوچیونه از Keeper Security، مهاجم‌ها معمولاً از در جلویی یه سازمان خوب‌محافظت‌شده وارد نمی‌شن و سراغ فروشنده‌ای با امنیت سبک‌تر یا سرویس‌دهنده‌ای با دسترسی دائمی می‌رن.
تحقیق خود Keeper نشون می‌ده ۳۴٪ سازمان‌های بریتانیایی حادثه‌ای مرتبط با فروشنده یا تأمین‌کنندهٔ ثالث گزارش کردن. جیمی اختر از CyberSmart هم می‌گه خیلی از شرکت‌های کوچیک اصلاً خودشون رو بخشی از زیرساخت حیاتی نمی‌دونن، ولی وقتی به سازمان‌های بخش حیاتی فناوری، سرویس یا دسترسی می‌دن، تاب‌آوری سایبری‌شون خیلی مهم میشه.
CSRB از قبل هم الزامات سختی داشت: مهلت‌های خیلی کوتاه برای گزارش حادثه و جریمه‌های سنگین. ولی امکان مسدودکردن یه شرکت مشخص یه پله بالاتره. حرف نهایی مقاله ساده‌ست: هدف زنجیرهٔ تأمینه، ولی وسط هدف شرکت‌های کوچیکی هستن که به زیرساخت حیاتی سرویس می‌دن. وقتی لایحه Royal Assent بگیره و به قانون تبدیل بشه، امنیت ضعیف یه SME می‌تونه مستقیم به سوددهی آینده‌ش ضربه بزنه.
نکات کلیدی:
- لایحهٔ CSRB نوامبر ۲۰۲۵ ارائه شد و الان به‌عنوان HL Bill 32 تو مجلس اعیان نزدیک تصویب نهاییه.
- اصلاحات ۲۴ آگوست ۲۰۲۶ به وزرا اجازه می‌ده تأمین‌کننده‌های فناوری پرخطر رو برای بخش‌های حیاتی بلاک کنن.
- محرک اصلی، حمله‌ای بود که یه نیروگاه کوچیک بریتانیا رو چهار روز از مدار خارج کرد.
- طبق تحقیق Keeper Security، ۳۴٪ سازمان‌های بریتانیایی حادثهٔ مرتبط با تأمین‌کنندهٔ ثالث داشتن.
- بعد از Royal Assent، اسم قانون میشه Cyber Security and Resilience (Network and Information Systems) Act.
