فروشندگان نرم افزار تا چه اندازه مسئول امنیت سایبری هستند؟

انجام بازی سرزنش اغلب اولین کاری است که هنگام رخ دادن یک نقض امنیتی انجام می شود. از بیرون، این رهبران کسب و کار هستند که بیشترین توجه عمومی را در مورد حوادث امنیت سایبری به خود جلب می کنند، در حالی که مطبوعات و مشتریان متعجب هستند که چگونه اجازه داده اند این اتفاق بیفتد. از آنجا، رهبران کسب و کار توجه خود را در داخل به تیم های فناوری اطلاعات و امنیت خود معطوف می کنند و سوالات مشابهی را می پرسند. هنگامی که یک رخنه رخ می دهد، در نهایت به دلیل آسیب پذیری های امنیتی موجود است که باید زودتر شناسایی و رفع می شد. بنابراین طبیعی است که تقصیر متوجه تیم هایی باشد که مسئولیت اصلی آنها یافتن این آسیب پذیری هاست.

اما در سال‌های اخیر، این بحث شروع به تکامل کرده است، و برخی شروع به زیر سوال بردن سطح مسئولیت شرکت‌های نرم‌افزاری در هنگام سوء استفاده از آسیب‌پذیری در محصولشان کرده‌اند. این ایده که مسئولیت بیشتری بر عهده فروشندگان نرم افزار برای اولویت دادن به امنیت است، مدتی است که مطرح شده است، به طوری که مجلس اعیان حتی در سال 2007 توصیه می کند که فروشندگان نرم افزار را به حساب بیاورند. اما با نقض های برجسته ای که اکنون به نظر می رسد هر هفته اتفاق می افتد . مانند اکسپلویت های Log4j یا حملات CitrixBleed، سوالاتی پیش می آید. اغلب ادعا می شود که تأکید بر مسئولیت خطاهای کاربر فردی و تصمیمات شرکت برای نقض، فرهنگ آسیب پذیری های امنیتی پایدار را فعال کرده است و به بدهی های امنیتی اجازه می دهد (که به هر گونه آسیب پذیری اصلاح نشده برای بیش از یک سال اشاره دارد) فروکش کند.