01

مقدمة

أرسل أحد الموردين إشعارًا أمنيًا يحمل رقم CVSS كبيرًا. سأل فريق المشتريات عما إذا كان يجب تحديث جميع الخزائن صباح الغد. يحمل إشعار آخر الرقم نفسه، لكنه يتعلق بمكون مختلف وترتيب تشغيل مختلف. لا يُفسر فرز الإشعارين حسب رقميهما فقط القرار الفعلي.

تصف مؤسسة FIRST نظام تقييم الثغرات الأمنية الشائعة (CVSS) بأنه إطار عمل لتوضيح خصائص الثغرات الأمنية في البرمجيات ودرجة خطورتها. وتنص الأسئلة الشائعة الخاصة بها صراحةً على أن درجات CVSS الأساسية لا تمثل المخاطر، ولا ينبغي استخدامها وحدها لتحديد أولويات التحديثات الأمنية. هذا التمييز مهم عندما يقارن مشتري المعدات عروض الدعم أو يستفسرون عن كيفية صيانة أسطول المعدات.

يحوّل هذا الدليل التمييز إلى أسئلة تُطرح عند شراء نظام بيع متصل بالإنترنت. وهو لا يُحدد أي عيب في أي منتج من منتجات WEIMI، ولا يحسب درجة تقييم، ولا يُحدد طلب تحديث فوري. المنتج النهائي المقترح هو تسليم قائم على الأدلة بين مُورّد المنتج وفريق الأمن المسؤول لدى المشتري.

02

إجابة سريعة

اطلب سياق التقييم والقرار المحلي، وليس فقط رقم CVSS. احتفظ بالمصدر والإصدار والمتجه المرفق مع التقييم. استفسر عن كيفية ارتباط المشكلة المبلغ عنها بالمنتج المُقدّم، ثم اطلب من الفريق المسؤول مراعاة النشر الفعلي ومعلومات التهديدات الحالية عند اتخاذ قرار الاستجابة.

يُعدّ التقييم الرقمي اختصارًا لشدة المشكلة التقنية، ولا يُظهر جميع الافتراضات أو جميع التبعات التشغيلية. تشجع الأسئلة الشائعة في برنامج FIRST المستهلكين على النظر إلى جوانب أخرى غير الرقم، بما في ذلك المعلومات التكميلية التي يمكن أن تساعد في تخطيط المعالجة، حتى وإن لم تُغيّر النتيجة النهائية.

عند الشراء، استفسر عما إذا كان بإمكان المورد شرح تأثير المنتج على مستوى الشركة وتوفير معلومات تقييمية قابلة للاستخدام. اسأل فريق المشغل عن كيفية ربط هذه المعلومات بالسياق المحلي. لا تفسر انخفاض تقييم المورد على أنه دليل على رفضه، أو ارتفاع تقييمه على أنه دليل على اكتمال عملية التركيب.

03

جدول المقارنة

04

من ينبغي عليه شراء هذا المنتج؟

استخدم هذه المراجعة عندما يتضمن عرض البيع برامج مستمرة أو خدمات سحابية أو مكونات أخرى مدعومة، ويحتاج فريق المشتريات إلى فهم تقييم الثغرات الأمنية الذي يقدمه المورد. وهي مفيدة قبل توقيع اتفاقية دعم تقتصر على إرسال التنبيهات العامة دون توضيح مدى صلتها بالمنصة المُقدمة.

يمكن للموزعين ومشغلي المواقع المتعددة استخدام نفس النهج لتجنب تكرار قرار الاستجابة نفسه في كل موقع. قد يكون تقييم المنتج المشترك مناسبًا لجميع المركبات، بينما لا يزال استخدام الخدمة المحلية والتبعيات والقيود التشغيلية بحاجة إلى مراجعة من قبل المنظمة المسؤولة.

يتولى المشتري تنسيق عملية التسليم، بينما يقوم المسؤولون عن الأمن والجوانب التقنية بتقييم الأدلة. لا تتضمن هذه المقالة أي تعليمات بشأن المسح الضوئي أو الاستغلال أو تغيير الإعدادات. كما أنها لا تحدد موعدًا نهائيًا عامًا لتحديث البرامج أو عتبة تقييم محددة لأي خزانة أو شبكة أو خدمة دفع أو تطبيق سحابي.

05

كيف نقوم بتقييم آلات البيع الذكية

الآلات الثلاث المذكورة أدناه هي قائمة مختصرة للمشتريات بناءً على قوائم المنتجات المتاحة للجمهور، وليست نتيجة اختبار مستقل . نقارن طرق الشراء المعلنة وأسئلة التقييم لإضافتها إلى الاستفسار. لم نتحقق من قوائم البرامج أو إشعارات الأمان أو سجلات الثغرات الأمنية أو التحديثات لهذه الآلات.

المصدر هو الأسئلة الشائعة حول نظام CVSS الإصدار 4.0 من FIRST تمت ملاحظته كإصدار الوثيقة 1.10. تشمل الشروحات ذات الصلة سياق الدرجة الرقمية، والتقييمات الخاصة بالمنصة، والمقاييس التكميلية، وأولوية التصحيح. نظام CVSS مملوك ومدار من قبل مؤسسة FIRST.Org. لا يتم نشر أو حساب أي درجة لثغرات المنتج في هذا الدليل.

سجل التقييم المقترح وأسئلة الشراء هي توصيات خاصة بعملية الشراء، ولا تمثل مراجعة أمنية كاملة أو التزامًا من المورد بتقديم الخدمة. يُرجى مطالبة كل مورد تم اختياره بتأكيد نطاق العمل المتاح للتكوين النهائي المعروض، وتحديد أي بنود لم تتم الإجابة عليها.

06

عوامل الشراء الرئيسية

حافظ على إمكانية تحديد هوية التقييم. احتفظ بالمرجع الاستشاري، ومزود التقييم، ونسخة التصحيح، والمتجه الكامل إن وُجد. توضح مؤسسة FIRST أن المتجه هو تمثيل مُختصر للقيم المستخدمة في حساب الدرجة. يصعب على المُراجع تفسير أو مُطابقة رقم منسوخ دون سياقه لاحقًا.

استفسر عن المنصة التي يشملها التقييم. تشير مؤسسة FIRST إلى أن مشكلة المكتبة قد تؤثر بشكل مختلف على الأنظمة المختلفة التي تستخدمها. اطلب من مُورّد المنتج توضيحًا للمنصة المُقدّمة، إن وُجد. قد يصف تقييم المكتبة العام وتقييم المنتج نطاقين مختلفين، دون أن يكون أي منهما مُضللًا بطبيعته.

افصل تقييم المورد عن سياق النشر. توضح الأسئلة الشائعة في الإصدار 4.0 أن خصائص التهديد تتغير بمرور الوقت، وأن الخصائص البيئية خاصة ببيئة المستهلك. أسند العمل المتعلق بالسياق المحلي إلى فريق المشغل المسؤول. لا ينبغي لمندوب مبيعات الخزائن أن يخترع بيئة المكان بهدف الحصول على رقم مطمئن.

استخدم المعلومات التكميلية للتخطيط. يقدم برنامج FIRST سلوك التعافي كمثال على المعلومات التي يمكن أن تؤثر على تخطيط الخدمة مع الحفاظ على مستوى الخطورة الرقمي دون تغيير. استفسر من المورد عما يمكنه تقديمه بشأن جهد الاستجابة أو سياق التعافي، دون افتراض أن أي قيمة محددة تنطبق على الجهاز المقترح.

سجّل أسباب الاستجابة. حافظ على أهمية المنتج، والجهة المسؤولة عن التقييم المحلي، والمعلومات الحالية التي تمّ أخذها في الاعتبار، ومرجع الإجراء المتفق عليه. يتطلب قرار تحديد الأولويات سببًا ونقطة مراجعة. لا تحوّل عبارة "في انتظار توضيح المورّد" إلى "غير متأثر" أو "لا يلزم اتخاذ إجراء" دون توضيح.

07

أفضل آلات البيع الذكية

ابدأ بدراسة سير العمل في قطاع التجزئة، ثم اطلب تفاصيل البرامج والخدمات المتاحة للمعدات المعروضة فعلياً. هذه القوائم الحقيقية هي مجرد نقاط انطلاق تجارية، ولا تُثبت وجود ثغرة أمنية، أو درجة CVSS، أو إمكانية تحديث مُختبرة.

1. آلة الوجبات الخفيفة والمشروبات بشاشة لمس WEIMI WM22

اطلع على الصفحة العامة لـ WM22 يعرض هذا الإعلان خيارات شاشة اللمس مع معلومات واستخدامات ترويجية. إذا كان هذا التنسيق مناسبًا للمنتجات المزمعة، فاسأل المورّد عن البرامج والخدمات المشمولة في نطاق الدعم النهائي.

بالنسبة لإشعارات الثغرات الأمنية التي تؤثر على هذا النطاق، اطلب توضيحًا لمدى صلة المنتج بالموضوع، بالإضافة إلى مراجع التقييم التي يمكن للمشغل تقديمها لفريقه. لا تُحدد واجهة شاشة اللمس المألوفة كيفية تقييم هذه الإشعارات، أو ما إذا كان مكون معين موجودًا في التكوين المُقدم.

2. ثلاجة بيع بالتجزئة تعمل بالذكاء الاصطناعي من نوع WEIMI ذات خزانة واحدة

اطلع على الصفحة العامة لثلاجات البيع بالتجزئة المزودة بتقنية الذكاء الاصطناعي يُقدّم الوصف العام تجربةً مفتوحةً ومُختارةً ومُغلقةً مع تشغيل سحابي. ولا يُحدّد هذا الوصف كيفية تحضير العصائر. ويجعل نموذج التسوق المتصل نطاق الخزانة والخدمة الفعلي موضوعًا مفيدًا لاستفسارات الدعم.

استفسر عن كيفية تحديد الخدمة أو الإعدادات المتأثرة في الإشعار، وما هو الشرح المُرفق به على مستوى المنتج. لا تعتبر تشغيل السحابة دليلاً على أن كل مكون يتم تحديثه تلقائيًا، أو أن المزود قد قيّم بالفعل شبكة المشغل المحلية واعتماديات أعماله.

3. آلة بيع ذات خزانتين من نوع WEIMI

اطلع على الصفحة العامة للخزانة المزدوجة يجمع العرض التقديمي بين قسم رئيسي عمودي وقسم فرعي حلزوني. يُرجى طلب نطاق النظام المُقدّم فعلياً قبل افتراض كيفية ارتباط إشعار الأمان بأي من القسمين أو بالتصميم الكامل.

لا يُحدد عدد الخزائن المادية بنية البرمجيات أو عدد المكونات التي تتم صيانتها بشكل مستقل. اطلب مراجع المعدات والخدمات ذات الصلة. عندها يستطيع فريق التشغيل ربط معلومات المورد بعملية النشر بدلاً من الاعتماد على صورة المنتج.

08

مقارنة الميزات

هذه مجرد أسئلة، وليست ميزات دعم مُعتمدة. لا يُمنح أي مرشح رتبة أمنية أو فترة تحديث. يُرجى التأكد من مُقدّم الخدمة، ومعلومات التقييم، وحدود الدعم في العرض المكتوب قبل استخدامها في مقارنة عمليات الشراء.

09

تحليل التكلفة والعائد على الاستثمار

مثال تخطيطي افتراضي، وليس نمذجة خسائر إلكترونية أو تسعير الموردين. لنفترض أن المشتري يخصص 48 دولارًا من وقت الموظفين لمراجعة مراجع التقييم، و54 دولارًا لتنسيق مراجعة محلية، و30 دولارًا لتسجيل قرار الاستجابة. يبلغ بدل الإدارة التوضيحي 132 دولارًا.

لنفترض أن دورة توضيح متكررة واحدة تتطلب ثلاث ساعات عمل للموظفين بسعر 44 دولارًا للساعة. كما أن التكلفة الإدارية المفترضة تبلغ 132 دولارًا. تجنب هذه الدورة يعادل مخصصات التخطيط المذكورة في المثال. هذا لا يضمن منع حدوث خرق أو انقطاع أو زيارة طارئة أو خسارة في المبيعات.

احصل على تكاليف الدعم والتنفيذ الفعلية من الجهات المسؤولة. لا يمكن تحويل رقم CVSS مباشرةً إلى خسارة مالية متوقعة أو عائد مضمون عند التحديث. افصل القرار التشغيلي وأساسه التقني عن الاحتمالات المالية المُفترضة.

10

الخيار الأفضل حسب السيناريو

يحمل إشعاران نفس الرقم: اطلب من المراجع مراعاة السياق الكامل بدلاً من افتراض نتائج متطابقة. توضح مؤسسة FIRST أن متجهات مختلفة قد تُشير إلى نفس النتيجة الرقمية. لا تزال أهمية المنتج وآثاره التشغيلية بحاجة إلى دراسة.

يختلف تقييم المورّد عن قاعدة البيانات العامة: احتفظ بالمصدرين واستفسر عن السبب. تُشير مؤسسة FIRST إلى اختلافات المنصات والتصحيحات والأخطاء كأسباب محتملة لاختلاف التقييمات. لا يُعدّ انخفاض التقييم دليلاً قاطعاً على تحسين المنصة، ولا دليلاً قاطعاً على التستر.

في حال تغيير نطاق المنتج أو طريقة نشره: استفسر من الفريق المسؤول عما إذا كان قراره السابق لا يزال ساريًا. احتفظ بالمراجع التقنية المُعدّلة والسياق المحلي المتعلق بالقرار. لا تنقل أولوية تصحيح مشروع سابق إلى تكوين جديد دون مراجعة.

11

التطبيقات

يمكن أن يتضمن سجل التقييم مرجع الإشعار، والمصدر، وإصدار التقييم، والمتجه، وشرح المنتج، وسجلات النشر ذات الصلة، والجهة المسؤولة عن القرار. أضف مرجع الإجراء، والافتراضات، ونقطة المراجعة التالية. لا يشترط أن يحتوي السجل على تفاصيل الاستغلال أو بيانات الاعتماد الخاصة لجعل عملية تسليم الشراء مفيدة.

يمكن أن يتضمن الاستفسار المُركّز ما يلي: "بالنسبة للإشعارات الأمنية ذات الصلة بالنطاق المُقدّم، ما هي مراجع شرح وتقييم تأثير المنتج التي ستُقدّمونها؟ يُرجى التمييز بين تقييم منصتكم والمعلومات التي يجب على فريقنا إضافتها لنشرها الخاص." اسألوا عن كيفية إبلاغكم بأي تعديلات على هذه المراجع.

يجب على فرق الأمن والعمليات المعتمدة تحديد أي إجراءات تغيير فعلية. لا يُجيز هذا الإجراء الخاص بالمشتريات اختبار أو تعطيل الضوابط أو تثبيت تحديث غير مُراجع. والهدف منه هو جعل قرار الاستجابة قابلاً للتتبع بدلاً من السماح لنتيجة منسوخة بأن تصبح تعليمات غير موثقة.

12

التعليمات

13

التوصية النهائية

تعامل مع رقم CVSS كمدخل في عملية التقييم، وليس كقائمة انتظار التصحيحات المكتملة. احتفظ بمصدره وإصداره ومتجهه، واطلب من المورد توضيح مدى ملاءمته على مستوى المنتج، وقدّم للفريق المسؤول سياق النشر اللازم لاتخاذ قرار استجابة موثق.

اختر نظام البيع الآلي المناسب لمتطلبات البيع بالتجزئة، ثم احصل على وثائق دعم واضحة للنظام المُقترح. يصبح ملف الشراء أكثر فائدة عندما يوضح المعلومات التي يقدمها المورد، وما هي القرارات المحلية التي لا تزال للمشغل.

14

دعوة للعمل

احصل على عرض سعر مخصص يشمل بضائعك، ووجهة الشحن، وطريقة البيع بالتجزئة المفضلة لديك، وترتيبات الخدمة المطلوبة. حدد الجهة المسؤولة عن المراجعة الفنية، واستفسر عن معلومات تقييم الثغرات الأمنية الخاصة بالمنتج والمتاحة ضمن نطاق الدعم المقترح.

استخدم خيار الاستفسار في صفحة منتج WEIMI المرتبطة لطلب تفاصيل التكوين والدعم. اطلب توضيحات مكتوبة، ومراجع الخدمة ذات الصلة، وأسئلة مفتوحة حتى يتمكن فريقك من مراجعة العرض دون افتراض أن وصف الميزة المنشور يتضمن قدرة أمنية غير موثقة.