将“主动警惕”嵌入五角大楼的高科技供应链

在国防领域，供应链错误如果发现得太晚，可能会造成巨大且难以克服的问题。然而，五角大楼并不太急于实施更主动的检测系统，这是一个随机测试承包商保证的过程，可能成本高昂。

但缺乏“主动警惕”可能会付出巨大代价。在造船案例中，在五角大楼发现问题之前，美国海军潜艇上使用了不合格钢材（关键部件）已有二十年之久。最近，海岸警卫队近海巡逻艇上的轴系不合规格 必须安装和删除——对于承包商和政府客户来说，这都是令人尴尬的时间和资金浪费。

如果这些问题能够及早发现，对利润或进度的短期打击将足以抵消复杂且长期的供应链故障所造成的更广泛的损害。

换句话说，供应商可能会受益于严格的外部测试和更严格甚至随机的合规测试。

Fortress 信息安全创始人 Peter Kassabov 在一次演讲中发表讲话 国防和航空航天报告播客 今年早些时候，他指出人们的态度正在发生变化，更多的国防领导人可能会开始“不仅将供应链视为推动因素，而且将其视为潜在风险”。

保护性法规仍在制定中。但为了让企业更加认真地采取主动的供应链警惕措施，企业可能会面临更大的激励措施、更严厉的制裁，甚至可能要求主要承包商的高管个人对损害承担责任。

旧的合规制度专注于旧的目标

更重要的是，五角大楼的供应链合规框架仍然专注于确保基本结构部件的基本物理完整性。尽管五角大楼目前的质量控制系统几乎无法发现具体的物理问题，但五角大楼确实很难执行当前国防部针对电子和软件的完整性标准。

评估电子和软件完整性的困难是一个大问题。如今，军队“黑匣子”中使用的设备和软件变得更加重要。作为一名空军上将 2013年解释过”，“B-52 的生死取决于其金属板的质量。今天，我们的飞机的生死取决于我们软件的质量。”

卡萨博夫也表达了同样的担忧，并警告说“世界正在发生变化，我们需要改变我们的防御措施。”

当然，虽然“老式”螺栓和紧固件规格仍然很重要，但软件确实是几乎所有现代武器价值主张的核心。对于F-35这种电子武器和关键的战场信息和通信网关来说，五角大楼应该更加关注中国、俄罗斯或其他对关键软件的可疑贡献，而不是检测某些源自中国的合金。

并不是说结构组件的国家内容不重要，而是随着软件制定变得更加复杂，在无处不在的模块化子程序和开源构建块的支持下，造成危害的可能性也随之增加。换句话说，中国制造的合金本身不会击落飞机，但在子系统生产的早期阶段引入的腐败的中国制造的软件却可以。

这个问题值得一问。如果美国最重要的武器系统的供应商忽视了像钢材和轴系规格这样简单的东西，那么有害的、不符合规格的软件无意中被令人不安的代码污染的可能性有多大？

软件需要更多审查

赌注很高。去年， 年度报告 五角大楼作战测试与评估主任办公室 (DOT&E) 的武器测试人员警告说，“国防部的绝大多数系统都是软件密集型的。软件质量和系统的整体网络安全通常是决定作战有效性和生存能力，有时甚至是致命性的因素。”

“我们可以保护的最重要的是支持这些系统的软件，”卡萨博夫说。 “国防供应商不能只关注并确保该系统不是来自俄罗斯或中国。更重要的是真正了解该系统内部的软件是什么以及该软件最终如何容易受到攻击。”

但测试人员可能没有评估操作风险所需的工具。据 DOT&E 称，运营商正在要求五角大楼的某人“告诉他们网络安全风险及其潜在后果是什么，并帮助他们制定缓解方案以应对能力损失。”

为了帮助实现这一目标，美国政府依赖关键的低调实体，例如 国家标准与技术研究所或 NIST，生成保护软件所需的标准和其他基本合规工具。但资金就是不存在。网络空间日光浴室委员会执行董事马克·蒙哥马利， 一直忙警告 NIST 将很难做一些事情，比如发布关键软件安全措施指南、制定软件测试最低标准或指导供应链安全，“多年来预算一直徘徊在 80 万美元以下”。

目前还没有简单的解决方案。 NIST 的“后台”指导，再加上更积极的合规努力，可以有所帮助，但五角大楼必须放弃老式的“反应式”供应链完整性方法。当然，虽然发现故障固然很好，但如果第二国防承包商首先开始编写与国防相关的代码，积极主动地努力维持供应链完整性，效果会好得多。