الملخص

  • لا يمكن استنتاج المرونة المؤسسية من وقت التشغيل أو الاحتياطيات وحدها؛ بل يجب اختبارها عبر السلطة القانونية، وشرعية الحوكمة، وسلامة البيانات، والمالية، والثقة التشفيرية، والاعتماد على المشغل.
  • يجب أن تجمع مجموعة السيناريوهات الأساسية بين فشل الانتخابات، والإعسار، والعقوبات، وتعطيل المدفوعات، والهجوم الإلكتروني المنسق، وترحيل مرجع الثقة RPKI، وموجة من التحويلات المتنازع عليها أو بين المناطق.
  • يجب أن تتطور التمارين من اختبارات القرار الموثقة إلى التدريبات الوظيفية، والخدمة الظلية، والتحويل المسيطر عليه، والمحاكاة الكاملة بين المؤسسات دون المخاطرة بالسيطرة المباشرة على الموارد.
  • يجب أن تقيس شروط النجاح الحفاظ على السجلات الموثوقة، وحقوق اتخاذ القرار القانونية، واستعادة الخدمة، ووصول الحائزين، وتكافؤ أمن التوجيه، والقدرة على التصحيح، والحكم الذاتي الإقليمي، والعودة الآمنة للسيطرة.
  • يجب أن يحصل المشغلون الطارئون على الحد الأدنى من الصلاحيات المؤقتة اللازمة للاستمرارية، مع حظر صريح على تغيير السياسة، أو إعادة التخصيص التقديري، أو الاحتفاظ غير المحدود بالسلطة.
  • يجب أن يشارك المشغلون كمصدقين نشطين لأن السجل يمكن أن يعتقد أن الخدمة قد استُعيدت بينما لا تزال الأطراف المعتمدة والأتمتة والأدلة وأنظمة أمن التوجيه ترى حالة غير متناسقة.
  • يجب أن تكشف التقارير العامة عن الافتراضات، والنطاق المختبر، والإخفاقات، والأدلة، وأصحاب المعالجة، وتواريخ إعادة الاختبار مع حماية بيانات الاعتماد والسجلات الشخصية والتفاصيل الأمنية القابلة للاستغلال.
  • يمكن لـ NRS دعوة النقاش، وجمع حسابات الأعضاء المصرح لهم والتقديمات، ونشر مقارنات مدعومة بالمصادر لنتائج التمارين المكشوف عنها. لا يمكنها التحكم في التمرين، أو تقديم سلطة الامتثال، أو الاحتفاظ بأدلة تشغيلية محمية، أو إزاحة مكاتب تسجيل عناوين الإنترنت الإقليمية (RIRs) وخدمات IANA والمشغلين الطارئين والمراجعين المستقلين المسؤولين عن التنفيذ.

العقد هو وحدة الجدية المناسبة

تمرين سنوي واحد قصير جدًا لكشف فقدان الذاكرة المؤسسية، أو تغيير البائعين، أو استبدال التشفير، أو تغيير مجلس الإدارة، أو الانجراف القانوني. عشر سنوات طويلة بما يكفي لمغادرة كبار الموظفين، وانتهاء العقود، واستبدال الأنظمة، وتكرار النزاعات على السياسات، وقدوم وثائق الطوارئ. وهي أيضًا قصيرة بما يكفي لتحديد معالم رئيسية، وميزانيات، ومسؤولية عامة الآن.

يجب أن يعمل البرنامج كتسلسل، وليس كعشر تكرارات لنفس النقاش النظري. السنوات الأولى تؤسس لقوائم الجرد، وخرائط السلطة، وأهداف استرداد قابلة للقياس. السنوات الوسطى تختبر الاستبدال الوظيفي والتنسيق عبر المناطق. السنوات اللاحقة تجمع بين الإخفاقات وتتطلب من فرق مستقلة التعافي من معلومات غير كاملة أو مضللة. يجب أن تتضمن كل مرحلة دروسًا من الحوادث الحقيقية وتغييرات في القانون أو المعايير.

الهدف ليس خلق دراما. يجب أن يكون الاختبار شديدًا ولكن معقولاً. يمكن لقواعد الانتخابات أن تنتج نتائج متنازع عليها. يمكن للمؤسسات غير الربحية أن تواجه صدمات في الإيرادات أو دعاوى قضائية أو إعسارًا. يمكن للعقوبات أن تقيد الخدمات والبنوك والأطراف المقابلة. يمكن للمهاجمين المتطورين استهداف الهوية والمصادقة والتسجيل وأنظمة النشر في وقت واحد. تتطلب مفاتيح مرجع الثقة في النهاية الترحيل لأن الأجهزة والخوارزميات لا تدوم إلى الأبد. يمكن للندرة وإعادة الهيكلة المؤسسية أن تخلق دفقات من التحويلات. لا شيء من هذه الشروط تخميني.

توليمسودة وثيقة حوكمة RIR المنقحةاهتمامًا واضحًا للاستمرارية الطارئة، والمشغل الطارئ، والتسليم، والمراجعة بعد الحدث. يحددالتقييم الأولي للجاهزية للتنفيذالصادر عن NRO الحاجة إلى ترتيبات فنية وإدارية وقانونية للمشغل الطارئ والتسليم المستقر. هذه التزامات مؤسسية مهمة. يطرح اختبار الإجهاد سؤالاً عما إذا كان يمكن تنفيذها بقوائم جرد حقيقية وسلطات وموظفين وعقود وبيانات اعتماد ومواعيد نهائية.

حدد النظام قبل محاولة كسره

النظام قيد الاختبار أكبر من أي سجل واحد. في مركزه توجد سجلات موثوقة تربط موارد الأرقام بالحائزين المعترف بهم. حولها تقع هوية الأعضاء والحائزين، والعقود، والفواتير، ومراجعة التحويلات، وخدمات الدليل العام، وDNS العكسي، وشهادات RPKI والنشر، ودعم السياسات، والانتخابات، والتعامل مع النزاعات، وأدلة التدقيق، والاتصالات، والتنسيق مع IANA. يستهلك المشغلون الحالة الناتجة من خلال أنظمة بشرية وآلية.

يجب أن تبدأ كل مؤسسة مشاركة بخريطة خدمات وسلطات. لكل وظيفة حاسمة، تحدد الخريطة المصدر القانوني للسلطة، ومالك القرار، والمالك التشغيلي، ومخزن البيانات، وتبعية المصادقة، والمورد الحاسم، والمؤسسة الأولية والمؤسسة اللاحقة، وأقصى انقطاع مقبول، وفترة فقدان البيانات المقبولة، والبديل المصرح به. كما يجب أن تحدد الصلاحيات التي لا يمكن تفويضها بموجب القانون الحالي أو الوثائق الحاكمة.

يجب أن تميز الخريطة بين استمرارية الخدمة واستمرارية الحوكمة. قد يتمكن فريق طوارئ من إبقاء خدمة RDAP متصلة بالإنترنت دون أن تكون لديه سلطة الموافقة على التحويلات. قد يحافظ على نشر RPKI دون أن يحق له إصدار شهادات موارد جديدة. قد يجمع مدفوعات العضوية دون أن يكون قادرًا على تغيير جدول الرسوم. يفشل اختبار الإجهاد إذا تم الخلط بين الوصول التقني والسلطة القانونية.

يجب أن تصنف قائمة الجرد الوظائف إلى أربعة مستويات استرداد. المستوى الأول يحتوي على الحفاظ على البيانات الموثوقة، والوصول للقراءة فقط إلى الدليل، واستمرارية مستودع RPKI، ومراقبة الأمن، والاتصالات المتعلقة بالحوادث. المستوى الثاني يحتوي على مصادقة الحائزين، وتصحيح السجلات، والتغييرات العاجلة لأمن التوجيه، والإجراءات الوقائية الموجهة من المحكمة. المستوى الثالث يحتوي على التخصيص الروتيني، والتحويلات، والفواتير، ودعم السياسات. المستوى الرابع يحتوي على الأحداث والتدريب والبحث والمشاريع التقديرية. يجوز للمؤسسات المحلية تعديل الترتيب، ولكن كل انحراف يجب أن يكون له سبب.

يمنع هذا التحديد الأولي خطأً شائعًا في التمارين: إعلان النجاح لأن المواقع المرئية تعود بينما الوظائف التي تؤسس السلطة لا تزال غير متاحة. كما يمنع توسع الصلاحيات الطارئة لمجرد أن الأعمال العادية غير ملائمة. الاستمرارية هي الحفاظ على الحقوق والسجلات الأساسية في ظل ظروف مقيدة، وليس إعادة إنشاء كل خدمة في اليوم الأول.

طريقة الحل تحتاج إلى مراحل ثابتة

يجب حل كل سيناريو من خلال ست مراحل قابلة للملاحظة. الأولى هي الكشف: متى علمت المؤسسة، وما الدليل الذي تجاوز العتبة؟ الثانية هي التصنيف: أي الخدمات والسلطات والسكان والتبعيات الخارجية تأثرت؟ الثالثة هي الاحتواء: ما الإجراءات التي تحافظ على الأدلة وتمنع التغيير غير المصرح به؟ الرابعة هي الاستمرارية: ما ترتيب الخدمة المؤقتة الذي يتم تفعيله، ومن يقوم به، وتحت أي حدود؟ الخامسة هي الاسترداد: كيف يتم التوفيق بين الحالة الموثوقة ووصول الحائزين والخدمات التابعة؟ السادسة هي العودة: كيف تنتهي السلطة المؤقتة، وكيف يتم مراجعة القرار؟

كل مرحلة تحتاج إلى سجل قرار. يجب أن يحدد السجل الأدلة المتاحة في ذلك الوقت، وصانع القرار المصرح له، والأساس القانوني، والمعارضة، والخدمات المتأثرة، وشرط انتهاء الصلاحية، ونقطة المراجعة التالية. يجب أن تزيل التمارين صانع قرار متوقعًا عن قصد لاختبار الخلافة. كما يجب أن تقدم أدلة متناقضة بحيث يجب على المشاركين التمييز بين الإلحاح واليقين.

يجب كتابة شروط النجاح قبل الكشف عن تفاصيل السيناريو. تتضمن الحد الأقصى للوقت للتعرف على الحدث، وتجميد التغييرات غير الآمنة، وإنشاء لقطة موثوقة، وإخطار المؤسسات التابعة، وتفعيل بديل قانوني، واستعادة الخدمات ذات الأولوية، والتوفيق بين الحالة اللاحقة. كما تتضمن شروطًا نوعية: لا تخصيص غير مصرح به، ولا فقدان صامت لحقوق المراجعة، ولا استخدام السلطة الطارئة لتغيير السياسة، ولا تدمير للأدلة، ولا سيطرة مؤقتة غير محدودة.

يجب أن يكون الحل قابلاً للعكس حيثما أمكن. يمكن رفع تقييد مؤقت. يمكن لخدمة القراءة فقط العودة إلى الوضع المعاملاتي بعد التوفيق. يمكن للمشغل الطارئ إعادة السلطة إلى مؤسسة إقليمية مستعادة. الإجراءات غير القابلة للعكس، مثل إلغاء الموارد أو تدمير مرجع الثقة، تتطلب موافقة وأدلة أقوى. يجب أن تعاقب الاختبارات القرارات السريعة ولكن غير القابلة للعكس التي تخلق ضررًا أكبر على المدى الطويل.

السيناريو الأول: الانتخابات لا تنتج سلطة شرعية

يبدأ السيناريو الأول بانتخابات مجلس إدارة عادية. يتم الطعن في بيانات الأهلية قبل فترة وجيزة من إغلاق التصويت. يبلغ مورد أن خطأ في التكوين قد يكون استبعد بعض الأعضاء وسمح ببيانات اعتماد مكررة للآخرين. الهامش الظاهر ضيق. تنتهي فترة مجلس الإدارة الحالي قبل أن يتمكن مراجعة مستقلة كاملة من الانتهاء. في نفس الوقت، يجب على مجلس الإدارة الموافقة على الميزانية وتعيين الموقعين على العقود الحاسمة.

يختبر هذا السيناريو ما إذا كانت الاستمرارية المؤسسية تعتمد على قبول نتيجة متنازع عليها. يجب على المشاركين تحديد أي هيئة يمكنها الحفاظ على العمليات، وما إذا كانت سلطة مجلس الإدارة الحالي تستمر مؤقتًا، وأي القرارات يمكن تأجيلها، وكيف يتم تأمين الأدلة، وكيف يحصل الأعضاء المتضررون على المراجعة. ستختلف الإجابة الصحيحة حسب القانون المعمول به واللوائح الداخلية. الاختبار هو ما إذا كانت الإجابة معروفة وقانونية ومقيدة قبل حدوث النزاع.

النجاح لا يعني إنتاج فائز بسرعة. يعني الحفاظ على أدلة الاقتراع، ومنع الأطراف المهتمة من السيطرة على التحقيق، والحفاظ على السلطة المؤسسية الضرورية فقط، وإكمال علاج ذي مصداقية. يجب أن تكون المؤسسة قادرة على إعادة إصدار أوراق الاقتراع أو إعادة الانتخابات دون فقدان عمليات السجل. يجب ألا يتخذ المديرون أو الموظفون المؤقتون قرارات سياسية أو تعويضية تنفيذية أو أصولية لا رجعة فيها ما لم يتسبب التأخير في ضرر واضح.

يجب أن تتضمن حزمة الأدلة لقطة الأهلية، وأعداد إصدار بيانات الاعتماد، وحالات فشل التسليم، ومقامات الإقبال، والتحقق المستقل، وجدول الطعن، والقرارات المتخذة خلال الفترة الانتقالية، والعلاج النهائي. تبقى الأصوات الشخصية سرية. يجب أن تكشف النتيجة العامة ما إذا كانت كل فئة مؤهلة قد حصلت على معاملة متساوية وما إذا كان ترتيب الاستمرارية قد غير المجال التنافسي.

متحور أصعب يجمع بين فشل الانتخابات والمعلومات المضللة. تنتشر إشعارات كاذبة حول تواريخ التصويت وانسحاب المرشحين. يجب على المؤسسة توثيق الاتصالات دون منح المسؤولين الحاليين سردية حصرية. يجب أن يتمكن المشغلون والأعضاء من التحقق من الإشعارات الرسمية عبر أكثر من قناة واحدة. يختبر التمرين الشرعية، وليس مجرد برنامج الاقتراع.

السيناريو الثاني: الفشل المالي يصل إلى السلطة التشغيلية

لا يجب أن يبدأ سيناريو الإعسار بإعلان واضح بأن الأموال نفدت. يجب أن يبدأ بإشارات متدهورة: إيرادات مركزة، ومدفوعات أعضاء متأخرة، ونفقات دعاوى قضائية، وخسائر عملة، ومورد يطلب دفعة مقدمة، ومدقق يشكك في افتراض الاستمرارية. تعتقد الإدارة أن التعافي ممكن. يخشى مجلس الإدارة من أن الإفصاح سيسرع الفشل.

يجب على المشاركين تحديد متى يصبح الضغط المالي حدثًا استمراريًا، وما يجب الإفصاح عنه، وأي النفقات تحظى بالأولوية. تتنافس كشوف الرواتب للعمليات الحيوية، والأمن، والتأمين، والمرافق، وحضانة البيانات، والالتزامات القانونية، والموردين الأساسيين مع البرامج العادية. يجب أن يتضمن الاختبار تجميد الحساب المصرفي أو سحب مزود الدفع بحيث لا يمكن إنفاق الاحتياطيات الاسمية تلقائيًا.

تنشر NROصندوق استقرار RIR المشترككالتزام دعم جماعي طارئ. يسجل صفحته الحالية تبرعات طوعية من احتياطيات RIR، وطلبًا موثقًا رسميًا من مجلس إدارة RIR المتضرر، وموافقة بالإجماع من المجلس التنفيذي لـ NRO، ومساهمات تُقدم فقط عند الحاجة وليس كحساب مجمع مسبق التمويل. يجب أن يختبر تمرين ذو مصداقية شروط الوصول، والتوقيت، والعملة، والحوكمة، وشروط السداد أو المنح، والأدلة التي تحتاجها RIRs الأخرى قبل تحرير الدعم. التزام يتطلب طلبًا رسميًا من مجلس الإدارة قد يصل متأخرًا جدًا إذا كانت المؤسسة المتضررة قد فقدت بالفعل القدرة على تقديم هذا الطلب.

يجب أن يختبر السيناريو أيضًا حدود المحكمة والدائنين. قد تُعامل بيانات التسجيل والمفاتيح التشفيرية والنطاقات والمعدات والذمم المدينة بشكل مختلف بموجب القانون المحلي. يجب على المشاركين معرفة الأصول التي يمكن نقلها أو ترخيصها أو حمايتها، والتي تتطلب موافقة المحكمة. يجب عليهم اختبار ما إذا كان ممارس الإعسار يفهم أن سجلات موارد الأرقام الموثوقة ليست مخزونًا عاديًا للبيع.

تتضمن شروط النجاح الحفظ المتواصل للسجلات الموثوقة، وعدم رهن أو بيع السيطرة بما يتجاوز السلطة المؤسسية، واستمرار الخدمات ذات الأولوية، والاستخدام الموثق للاحتياطيات، وتفعيل المساعدة القانونية، وطريق موثوق لإعادة التأهيل أو التشغيل المؤقت. لا يمكن للثقة العامة أن تعتمد على إخفاء المشكلة حتى نفاد النقد.

السيناريو الثالث: العقوبات تجزئ القانون والدفع والخدمة

العقوبات هي اختبار إجهاد مفيد بشكل خاص لأنها تجمع بين عدم اليقين القانوني، ومخاطر الهوية، والاعتماد المصرفي، والضغط السياسي. يشرحتقرير عقوبات RIPE NCC للربع الثاني 2026أن عقوبات الاتحاد الأوروبي المطبقة يمكن أن تجمد تغييرات التسجيل دون إلغاء تسجيل الموارد أو إنهاء العضوية، بينما يمكن أن تنشأ قيود المدفوعات أيضًا من معالجة البنوك لقوائم عقوبات أخرى. هذا التمييز بين التسجيل والاستخدام والخدمة والدفع هو بالضبط ما يجب أن يحافظ عليه التمرين.

يجب أن يقدم السيناريو تسمية جديدة قد تنطبق على عضو من خلال السيطرة غير المباشرة. ينتج الفحص تطابقًا محتملاً ولكن ليس مؤكدًا. يرفض بنك المدفوعات من عدة أعضاء غير مرتبطين في نفس الاختصاص القضائي. تأمر محكمة في بلد آخر باستمرار الخدمة، بينما يهدد جهة تنظيمية في البلد الذي تم تأسيس السجل فيه بفرض عقوبات. يطلب الحائز المتضرر تغييرًا عاجلاً في تفويض أصل المسار بعد حادثة توجيه.

يجب على المشاركين فصل الحقائق عن التفسيرات القانونية. يجب عليهم تحديد من يمكنه أن يقرر أن التطابق مؤكد، وأي الخدمات مجمدة، وما التغييرات الآمنة التي تظل مسموحة، وكيف يتم تصحيح الإيجابيات الكاذبة، وكيف يتم معاملة الأعضاء في موقف مماثل. يجب عليهم تسجيل الوقت الفعلي لكل تقييد والحفاظ على طريق للمراجعة.

يجب أن يختبر التمرين التقارير العامة الإجمالية دون كشف الهوية الخاصة أو المشورة القانونية. كما يجب أن يختبر بدائل الدفع التي تمتثل للقانون المطبق. لا يجب معاملة العضو الذي لا يستطيع الدفع لأن بنك السجل يرفض معاملة قانونية تلقائيًا مثل العضو المتخلف الذي يختار عدم الدفع. تحتاج المؤسسة إلى تمييز موثق وطريقة للحفاظ على الاستمرارية أثناء حل عدم اليقين.

تتضمن شروط النجاح التصعيد القانوني في الوقت المناسب، وعدم إلغاء تسجيل غير مصرح به، ومعالجة محددة للتغييرات الأمنية العاجلة، وتصحيح الإيجابيات الكاذبة القائم على الأدلة، وقيود متسقة، وعودة قابلة للعكس إلى الخدمة العادية. القرار الشائع سياسيًا الذي ينتهك الواجبات القانونية للمؤسسة هو فشل؛ وكذلك الحذر القانوني الذي يترك المشغلين غير قادرين على حماية التوجيه دون مراجعة منطقية.

السيناريو الرابع: هجوم إلكتروني منسق ضد السلطة

يجب أن يستهدف السيناريو الإلكتروني الثقة وليس التوفر فقط. يخترق المهاجمون حساب دعم، ويغيرون بعض سجلات اتصال الحائزين، ويحصلون على جلسة صالحة لمسؤول، وينشرون إشعارًا ملفقًا يدعي أن بيانات السجل قد تم إفسادها. في نفس الوقت، يؤثر حركة مرور حجب الخدمة على استعلامات الدليل ونقطة نشر RPKI واحدة. توجد نسخ احتياطية، لكن أحدث اختبار استعادة لم يشمل جميع الخدمات اللاحقة.

يجب على المؤسسة تحديد أي حالة هي الموثوقة. يجب عليها الحفاظ على السجلات، وإلغاء الوصول، وتجميد التغييرات عالية المخاطر، وإنشاء لقطة موثوقة، وإبلاغ عدم اليقين دون دعوة افتراضات غير آمنة. موقع ويب نظيف ليس الهدف. الهدف هو سلسلة قابلة للدفاع من الأدلة إلى السلطة المستعادة.

يجب أن تتضمن التمارين متغيرات المخاطر الداخلية والموردين. قد يكون الموظف المميز غير متاح أو مشتبه به. قد يكون مزود الهوية مخترقًا. قد يستعيد مورد السحابة البنية التحتية ولكن ليس الترتيب الدقيق للأحداث اللازمة لتحديد التغييرات غير المصرح بها. يجب أن يُجبر المشاركون على استخدام أدلة مستقلة مثل السجلات الموقعة، وسجلات مكررة، وملاحظات خارجية، وتأكيد الحائزين.

يجب أن يظل الرد التقني متصلاً بالحقوق. إذا تم تجميد جميع التحويلات، يحتاج الحائزون إلى معرفة الأساس، ووقت المراجعة المتوقع، وطريق الاستثناء العاجل. إذا تم إعادة تعيين بيانات الاعتماد، تحتاج المؤسسات التي لديها جهات اتصال راحلة إلى مسار استرداد قوي. إذا تمت استعادة بيانات الدليل من لقطة سابقة، يجب إعادة تشغيل التصحيحات التي تم إجراؤها بعد تلك النقطة والتحقق منها بدلاً من فقدانها بصمت.

تتضمن شروط النجاح فقدان بيانات محدود، وتحديد كامل للسجلات المعدلة، والتحقق المستقل من اللقطة المستعادة، واسترداد خدمات المستوى الأول، وإعادة مصادقة آمنة للحائزين، والتوفيق بين RPKI وحالة الدليل، وحساب عام للحادث بعد زوال الخطر الأمني المباشر. يجب أن يقيس التمرين الوقت المئوي 95 لاستعادة الحائزين المتضررين للوصول الآمن، وليس فقط الوقت الذي يمكن للمسؤولين فيه تسجيل الدخول.

السيناريو الخامس: ترحيل مفتاح مرجع الثقة تحت اعتماد غير متساوٍ

الاستمرارية التشفيرية مؤسسية لأن السجل لا يسيطر على كل طرف معتمد. يعرّفRFC 9691كائن مفتاح مرجع الثقة الموقع الذي يمكنه الإشارة إلى مفتاح عام حالي وخلف ودعم التحويل المخطط لمرجع الثقة RPKI. يستخدم فترة قبول حتى يتمكن الأطراف المعتمدة من ملاحظة والتحقق من الخلف قبل التبديل. يعترف المعيار أيضًا بأن بعض الأطراف المعتمدة قد لا تدعم الانتقال التلقائي وقد تستمر في استخدام معلومات الثقة القديمة.

يبدأ السيناريو باستبدال مخطط لوحدة أمان الأجهزة. لا يمكن تصدير المفتاح الخاص القديم إلى الجهاز الجديد. قامت المؤسسة بتهيئة مفتاح خلف، لكن القياسات تظهر اعتمادًا غير متساوٍ بين تطبيقات الأطراف المعتمدة. خلال فترة القبول، يؤدي إعلان ثغرة أمنية إلى تقصير العمر الآمن للجهاز القديم. حادثة خدمة منفصلة تخلق محتوى مستودع غير متناسق لمجموعة فرعية صغيرة من المدققين.

يجب على المشاركين تحديد ما إذا كانوا سيواصلون أم يوقفون أم يعيدون تشغيل الترحيل. يحتاجون إلى دليل على أن مسارات الثقة القديمة والجديدة تنتج نتائج تحقق متكافئة. يجب عليهم التنسيق مع مطوري البرامج والمشغلين دون السماح للرسائل غير المؤكدة بأن تصبح جذر ثقة جديد. يجب عليهم الاحتفاظ بالمفتاح القديم لفترة كافية للاستمرارية مع الحد من التعرض من الأجهزة الضعيفة.

يجب أن يدير التمرين تحققًا حقيقيًا ضد مستودعات اختبار معزولة وإصدارات تمثيلية للأطراف المعتمدة. يجب أن يقيس الاعتماد، والفشل في الاسترجاع، والتحقق غير المتناسق، وبيانات الثقة القديمة، واستجابة المشغل. يجب أن يتضمن مؤسسة تثبت عمدًا مواد ثقة قديمة وأخرى تُحدّث فقط من خلال إصدارات البرامج. لا يمكن الحكم على النتيجة فقط من مدقق السجل الخاص به.

تتضمن شروط النجاح تغطية موارد متكافئة تحت كلا المفتاحين، وقبول ناجح من قبل المدققين المدعومين، وطريق موثق للانتقال اليدوي، وإشعار عام موثق، وتراجع قبل تقاعد المفتاح التدميري، وتوقيت قائم على الأدلة لإزالة المفتاح القديم. يجب أن يفشل الاختبار إذا أصبحت أي فئة مشغل كبيرة عمياء عن شجرة شهادات إقليمية كاملة دون اكتشاف.

السيناريو السادس: تحويل جماعي بعد صدمة مؤسسية وسوقية

يبدأ سيناريو التحويل بإعسار مجموعة بنية تحتية كبيرة تحتفظ بموارد من خلال شركات تابعة متعددة في عدة مناطق. تأذن المحاكم بالبيع في ولايات قضائية مختلفة. بعض التحويلات هي خلافة مؤسسية، والبعض الآخر بيع أصول، والبعض الآخر متنازع عليه من قبل الدائنين، والبعض يشمل مشترين لديهم بالفعل مساحة عناوين كبيرة. يقدم الوسطاء وثائق متداخلة. جزء من الموارد لديه تفويضات أصل مسار نشطة ومستخدمون حاسمون في القطاع العام.

يجب أن يتجاوز الحجم الناتج القدرة العادية لعدة أشهر. يختبر الاختبار ما إذا كانت المؤسسات يمكنها توسيع نطاق المراجعة دون التخلي عن فحوصات السلطة، أو تفضيل مقدمي الطلبات الأفضل مواردًا، أو تحويل قائمة الانتظار إلى وقف غير معلن. كما يختبر ما إذا كانت السجلات بين المناطق تتطابق عندما توافق إحدى المؤسسات على خطوة وتطلب أخرى أدلة إضافية.

يحتاج السيناريو إلى قائمة جرد اصطناعية ولكن متسقة داخليًا من الكيانات القانونية، وكتل الموارد، والعقود، وأوامر المحكمة، والسجلات التاريخية، وحالة الشهادات، وملاحظات التوجيه. يجب أن تتلقى الفرق الوثائق على مراحل، بما في ذلك التناقضات التي تتطلب التصعيد. يجب عليهم التمييز بين السيطرة القانونية على شركة وسلطة نقل تسجيل مورد معين.

لا تعني القدرة الطارئة مراجعة هوية مخففة. يمكن للمؤسسات إنشاء فرز، والتحقق المشترك من الوثائق، وتحليل أمر المحكمة الموحد، وقواعد الأولوية الشفافة. يمكن فصل التغييرات العاجلة اللازمة لحماية الشبكات النشطة عن التحويل النهائي. يجب تسجيل كل استثناء، وتحديده زمنيًا، وقابل للمراجعة.

تتضمن شروط النجاح عدم وجود disposition مكرر، وارتباط كامل لسجلات المصدر والمستلم، والحفاظ على الحالة المتنازع عليها، وتأخير الذيل المحدود، ومعرفات متسقة بين المناطق، وتوفيق الشهادات في الوقت المناسب، وإبلاغ قائمة الانتظار العامة. يجب قياس تأثيرات التركيز ولكن لا تستخدم لاختراع حظر سياسي أثناء الحدث. إذا كانت السياسة تسمح بنقل، فلا يجب على موظفي الطوارئ استبدال حكمهم السوقي الخاص.

السيناريو السابع: التنسيق مع IANA يصبح غير مؤكد

طبقة الترقيم العالمية لديها مجموعة معاملات ضيقة عن قصد، وأداؤها المنشور قوي. تظهرتقارير أداء موارد الأرقام IANAالإقرار والاستجابة والتنفيذ والدقة مقابل أهداف الخدمة، بالإضافة إلى نشر وتوفر DNS العكسي. هذا السجل يجعل التنسيق مع IANA سيناريو تحكم مناسبًا: الأداء العادي قابل للقياس، لذا يمكن اكتشاف الانحراف عنه بدقة.

يبدأ السيناريو بطلبات متضاربة يبدو أنها تأتي من جهات اتصال RIR مصرح لها أثناء حدث استمراري إقليمي. يطلب أحدهم تغييرًا في DNS العكسي؛ ويطلب آخر من IANA عدم التصرف لأن السلطة متنازع عليها. تدعي مؤسسة ثالثة أن ترتيبًا طارئًا قد دخل حيز التنفيذ، لكن إشعار التفعيل غير مكتمل. في نفس الوقت، يؤثر انقطاع في الاتصالات على قناة تحقق واحدة ثابتة.

يجب على فريق IANA الحفاظ على الحياد مع تحديد الأدلة الكافية للإقرار أو التعليق أو الرفض أو تنفيذ الطلب. السرعة وحدها ليست نجاحًا. تنفيذ دقيق لتعليمات من طالب غير مصرح له سيكون فشلاً شديدًا. رفض كل طلب إلى أجل غير مسمى سينقل المخاطر أيضًا إلى مجتمع الترقيم. لذلك يحتاج الاختبار إلى سلم تحقق سلطة متفق عليه مسبقًا، وطرق تأكيد خارج النطاق، ومعالجة محددة للمطالبات المتضاربة.

يجب على المشاركين اختبار ما إذا كانت سجلات الاتصال الطارئ حديثة، وما إذا كانت التغييرات على تلك السجلات تتطلب سيطرة مزدوجة، وما إذا كان يمكن تدقيق أساس الاعتراف بالسلطة المؤقتة لاحقًا. لا يجب أن تحصل خدمة RIR بديلة على سلطة مواجهة IANA لمجرد أنها تمتلك نسخًا تقنية من البيانات. بالمقابل، لا يجب أن يتم منع هيئة طارئة معينة رسميًا لأن مسؤولًا سابقًا واحدًا يحتفظ بالوصول إلى قناة اتصال قديمة.

يجب أن يستخدم عنصر DNS العكسي نطاقات تركيبية وبنية تحتية معزولة. يجب على الفرق قياس مصادقة الطلب، ووقت القرار، ودقة التنفيذ، والنشر، والتراجع. يجب أن يختبر عنصر التسجيل ما إذا كانت حالة التخصيص الموثوقة تظل غير غامضة عبر IANA وجميع مشاركي RIR بعد الحدث. لا حاجة لتعريض أي تخصيص أو تفويض عالمي حي للخطر.

تتضمن شروط النجاح التحديد الصحيح للطالب المصرح له، والحفاظ على أدلة المطالبات المتضاربة، ووقت تعليق محدد، وعدم تغيير سجل عالمي غير مصرح به، وتنفيذ دقيق بعد الحل، وحالة لاحقة متسقة. يجب أن يكشف التقرير العام عن مسار السلطة المختبر والتوقيت مع إخفاء أسرار المصادقة. يثبت هذا السيناريو أن الاستمرارية المؤسسية تمتد عبر الحدود بدلاً من التوقف عند باب المكتب الإقليمي.

الاختبار الحاسم هو سيناريو مركب

اختبار كل صدمة على حدة ضروري وغير كافٍ. في 2033 أو 2034، يجب أن يجري البرنامج تمرينًا مركبًا حيث تكون شرعية الانتخابات متنازع عليها، ويتم خرق تعهد مالي، ويؤثر تحديث العقوبات على حائز رئيسي، ويستغل المهاجمون الارتباك، ويكون انتقال مرجع الثقة جاريًا بالفعل، وتصل قضية تحويل جماعي إلى موعد نهائي في المحكمة.

لا يجب أن يضيف السيناريو ببساطة ست مهام مستقلة. يجب أن تفرض التبعيات خيارات. تجميد جميع التغييرات يساعد في احتواء الهجوم الإلكتروني ولكن قد يمنع تصحيحًا ضروريًا للمفتاح أو أمن التوجيه. الإفصاح العام قد يحمي الأعضاء لكنه يفاقم هروب الودائع. تحرير أموال الاستقرار قد يتطلب توقيعات من مجلس إدارة متنازع عليه. تفعيل مشغل طارئ قد يحافظ على الخدمات لكنه يطلق قيودًا قانونية على الوصول عبر الحدود للبيانات. تمديد مفتاح مرجع الثقة القديم قد يساعد في التوافق لكنه يزيد التعرض الأمني.

يجب أن يتلقى المشاركون معلومات غير كاملة في جداول زمنية واقعية. يمكن للمراقبين المستقلين حقن أدلة جديدة بناءً على القرارات. إذا فشل فريق في الحفاظ على السجلات، يصبح الإسناد لاحقًا مستحيلاً. إذا أصدر تجميدًا قانونيًا واسعًا جدًا، يزداد الضرر على المشغلين. إذا انتظر اليقين، يتباطأ استعادة الخدمة. الغرض هو كشف المقايضات، وليس مكافأة الحسم المسرحي.

لا يجب أن تسيطر أي منظمة على سردية التمرين بأكمله. يجب أن تمثل فرق منفصلة RIR المتضررة، وRIRs الأخرى، وخدمات ترقيم IANA، ومشغل طارئ، ومشغلين، وحائزي موارد، ومدققين، وسلطات قانونية. قد تشارك NRS كمراقب مناصرة أو كممثل لعضو فوضها صراحة. يجب ألا تحصل NRS على بيانات اعتماد تشغيلية أو حقوق قرار أو حضانة أدلة محمية. يجب أن تتطابق حدود السلطة مع الترتيبات المعقولة. يجب على المراقبين تسجيل ليس فقط القرارات ولكن أيضًا الطلبات التي لم يتم الرد عليها والافتراضات التي لم يتحقق منها أحد.

النجاح يعني الحفاظ على حالة أدنى مشروعة: تبقى السجلات الموثوقة سليمة، والتغييرات غير الآمنة محتواة، والخدمات العامة الحيوية مستمرة، ويمكن ممارسة حقوق الحائزين العاجلة، وتبقى الشهادات قابلة للتفسير، والصلاحيات المؤقتة محدودة، والأدلة باقية، وتعود السيطرة الإقليمية عند استيفاء معايير الاستعادة. لا يعني ذلك أن كل خدمة روتينية تحقق أهدافها العادية.

خطوط الأساس، والحقن، والتحكم في التمرين

يمكن التلاعب باختبار الإجهاد قبل أن يبدأ باختيار خط أساس سهل. لذلك يجب أن يبدأ كل تمرين مشترك من بيان جرد موقع: أعداد السجلات الموثوقة، والحائزين النشطين، والحالات المفتوحة، والشهادات، وكائنات الدليل، والحسابات المميزة، والعقود الحاسمة، وتبعيات الخدمة. يجب على المراجعين المستقلين التحقق من العينات وتسجيل العيوب المعروفة. لا يمكن للفرق بعد ذلك إرجاع كل تناقض إلى السيناريو أو استبعاد مجموعة غير مريحة بصمت.

يجب أن تُشتق حقن السيناريو من المخاطر الموثقة والتبعيات المؤسسية الحقيقية. يمكن أن تشمل أمر محكمة، أو إشعار بنكي، أو تنبيه مورد الانتخابات، أو سجل أمني، أو نتيجة مدقق، أو شكوى عضو، أو تغيير في توفر الموظفين. كل حقنة تحتاج إلى وقت إصدار، ودور مصدر، وفئة موثوقية، ونتيجة أدلة مقصودة. قد يشكك المشاركون في موثوقية الحقنة، كما ينبغي لهم التشكيك في الأدلة غير المؤكدة في حدث حقيقي، لكن يجب على المراقبين الحفاظ على الحقيقة الأساسية اللازمة للتقييم لاحقًا.

لا يجب أن يوجه المراقبون الفرق نحو نتيجة سياسية مفضلة. وظيفتهم هي الحفاظ على وقائع متسقة، وتطبيق العواقب، وقياس القرارات، ومنع الاتصال غير الآمن بالأنظمة الحية. يجب على مجموعة تقييم منفصلة الحكم على شروط النجاح. يجب على مجموعة محمية أخرى إدارة أي مادة تقنية سرية. الفصل يقلل من خطر أن يعلن مصممو السيناريو افتراضاتهم الخاصة صحيحة.

يجب أن يعكس ساعة التمرين الوظيفة المختبرة. قد يضغط سيناريو مالي أو عقوبات أسابيع في ساعات مع الحفاظ على ترتيب القرار وفترات الإشعار. لا يمكن ببساطة ضغط انتقال مرجع الثقة إذا كانت المدة نفسها توفر الأمن. قد يحاكي الاختبار الوظيفي فترات طويلة، لكن البرنامج النهائي يجب أن يجري أيضًا تدريبًا حقيقيًا واحدًا على الأقل موسعًا يكشف عن عمليات التسليم بين النوبات والمناطق.

يجب التقاط كل اتصال عبر قنوات متفق عليها. غالبًا ما تحمل المكالمات غير الرسمية سياقًا حاسمًا أثناء الحوادث، لكنها لا تترك سجلاً للمراجعة. يجب أن تتطلب التمارين مذكرة قرار قصيرة بعد التعليمات الشفوية ويجب أن تختبر فشل خدمة المؤتمر أو الرسائل الأساسية. يجب صياغة الإشعارات العامة وتوثيقها كما لو كانت حقيقية، ثم توزيعها فقط داخل بيئة التمرين ما لم يتم وضع علامة واضحة كاختبارات.

يمكن إيقاف التمرين إذا كان يخاطر بالخدمات الحية أو البيانات المحمية أو سلامة المشاركين. يجب تحديد سلطة ومعايير الإيقاف مسبقًا. الإيقاف للسلامة ليس فشلاً؛ خلق خطر حي يمكن تجنبه هو الفشل. يجب أن يسجل التقييم أيضًا أي افتراض تصميم تسبب في الإيقاف ويتطلب إعادة اختبار أكثر أمانًا.

طرق التمرين يجب أن تتجاوز النقاش

الطريقة الأولى هي التحقق من الوثائق. يفحص المراجعون المستقلون ما إذا كانت السلطات وقوائم الجرد والاتصالات والعقود وأهداف الاسترداد وصلاحيات الاستبدال حديثة ومتسقة. يمكن أن يكشف هذا عن تناقضات قبل أي محاكاة. وثيقة تسمي موظفًا سابقًا أو موردًا منتهيًا يجب أن تعتبر نتيجة، وليس جاهزية مكتملة.

الطريقة الثانية هي محاكاة القرار. يتلقى القادة والموظفون الفنيون حقنًا موقوتة ويجب عليهم إنتاج سجلات قرارات فعلية، وإشعارات، وتصعيدات قانونية، وأولويات خدمة. يقارن المراقبون القرارات بالوثائق الحاكمة وشروط النجاح. يجب ألا يتلقى المشاركون الإجابة المتوقعة مسبقًا.

الطريقة الثالثة هي التدريب الوظيفي في بيئات معزولة. تستعيد الفرق لقطات موثوقة، وتعید بناء الوصول للهوية، وتصدر شهادات اختبار، وتوفق الأدلة، وتعالج تحويلات تركيبية. المخرجات المقاسة تأتي من الأنظمة والمدققين المستقلين، وليس من التقرير الذاتي. يجب أن تكون بيانات الاعتماد والبيانات تركيبية أو محمية بقوة.

الطريقة الرابعة هي الخدمة الظلية. يتلقى فريق بديل حالة غير إنتاجية مكررة ويحاول تقديم وظائف محددة دون مساعدة من الفريق الأساسي. تكشف النتائج عن معرفة غير موثقة، وتبعيات ملكية، وسلطة غامضة. تبقى المؤسسة الأساسية مسيطرة على الخدمات الحية.

الطريقة الخامسة هي التحويل المسيطر عليه. يتم تبديل خدمة ضيقة قابلة للعكس مثل مجموعة بيانات عامة للقراءة فقط أو مستودع RPKI اختباري إلى بديل معدة تحت المراقبة. أي عنصر حي يتطلب ضوابط تغيير صارمة، وإشعار عضو مسبق حيثما كان مناسبًا، وتراجع، وموافقة صريحة. يجب ألا تخلق التمارين أبدًا مخاطر غير ضرورية للسيطرة الفعلية على الموارد.

الطريقة النهائية هي محاكاة بين المؤسسات مع اتصالات حقيقية، وتوقيت مستقل، وأنظمة مشغل تمثيلية. يجب أن تشمل ظروف الليل وعطلة نهاية الأسبوع ومناطق زمنية متعددة. خطط الاسترداد التي تعمل فقط عندما يكون كل متخصص متاحًا فورًا ليست مرنة.

المشغلون هم مصدقون، ليسوا جمهورًا

يمكن لمؤسسات السجل اختبار استعادة الخدمة الداخلية وما زالت تفشل في رؤية الفشل الخارجي. قد يخزن المشغلون بيانات الدليل مؤقتًا، ويشغلون برامج متنوعة للأطراف المعتمدة، ويؤتمنون تغييرات الشهادات، ويعتمدون على قوائم السماح، أو يفسرون إشعارات الحوادث بشكل مختلف. تحدد ملاحظاتهم ما إذا كانت الحالة المستعادة قابلة للاستخدام.

يجب أن يجند البرنامج مشغلين من أحجام ومناطق ونماذج تقنية مختلفة. يجب أن يشمل المشاركون مزودي الوصول، وشبكات الاستضافة، وشبكات القطاع العام، وشبكات المحتوى، والمؤسسات، ومطوري برامج أمن التوجيه. دورهم هو التحقق من النتائج التركيبية، واختبار الاتصالات، والإبلاغ عن العواقب التشغيلية. لا يجب أن تمنح المشاركة الوصول إلى بيانات الحائزين الخاصة.

يجب أن تشمل مقاييس المشغل الوقت اللازم لمصادقة إشعار رسمي، والوقت اللازم لاسترجاع حالة الدليل الحالية، وتقارب المدقق، ونتائج صحة التوجيه غير المتناسقة، والأتمتة الفاشلة، والتدخل اليدوي، وعدم اليقين المتبقي. يمكن لخدمة أن تحقق هدف التوفر الداخلي بينما يتلقى المشغلون نتائج متناقضة. لذلك فإن التقارب الخارجي هو شرط نجاح.

يجب على المشغلين أيضًا اختبار ضبط النفس. يجب ألا تشجع اتصالات الطوارئ الشبكات على رفض مسارات بناءً على أدلة غير مؤكدة أو غير كاملة. سلطة السجل على السجلات لا تحول المؤسسة إلى وحدة تحكم توجيه عالمية. يجب أن تصف الإشعارات الحالة الملاحظة، والثقة، والخدمات المتأثرة، والتحقق الموصى به دون المبالغة في الأمر.

السلطة الطارئة يجب أن تكون ضيقة ومؤقتة

يحتاج المشغل الطارئ إلى وصول ووضع قانوني كافيين للحفاظ على الخدمات الأساسية. لا يجب أن يرث ولاية غير مقيدة. يجب أن يسرد صك التفعيل الوظائف المسموحة، والإجراءات المحظورة، وحدود البيانات، وسلطة الإنفاق، وفترات المراجعة، وشروط انتهاء الصلاحية، ومعايير العودة.

يجب أن تشمل الإجراءات المحظورة عادةً تغيير سياسة الأرقام الإقليمية، أو إعادة تخصيص الموارد المتنازع عليها، أو تغيير قواعد الانتخابات، أو التصرف في الأصول المؤسسية، أو استخدام بيانات الأعضاء لأغراض غير ذات صلة، أو تمديد تعيينه الخاص. يجب أن تتطلب الاستثناءات هيئة مصرح بها بشكل منفصل وأسبابًا عامة. لا يجب أن تصبح الهيئة الطارئة حاكمة على ضرورتها المستمرة.

تستحق عودة السلطة قدرًا من الاختبار مثل التفعيل. يجب على المؤسسة المستعادة إظهار شرعية الحوكمة والأمن وسلامة البيانات والتوظيف والقدرة المالية والسيطرة القانونية. يجب على الهيئة الطارئة تقديم سجلات كاملة والتخلي عن بيانات الاعتماد. قد يكون التشغيل الموازي ضروريًا للتوفيق، لكن ملكية القرار يجب أن تكون لا لبس فيها.

تركيز مسودة مواد الحوكمة على المراجعة بعد الطوارئ مهم. يجب أن يستخدم كل تمرين نفس الانضباط حتى عندما لا يحدث طارئ حي. يجب أن يحدد التقرير العام المدة، والخدمات المقدمة، والسلطة المستخدمة، والاستثناءات، والحقوق المتأثرة، وقرار العودة، والعيوب غير المحلولة، والتوصيات.

يمكن لـ NRS دعوة المؤسسات التي قد لا تثق ببعضها البعض، ومساعدة الأعضاء الأصغر في التعبير عن تجربتهم، ونشر أبحاث تقارن المقاييس والنتائج العامة. لا يجب عليها الاحتفاظ بأصول الاختبار، أو تعريف الامتثال، أو الاحتفاظ بأدلة محمية، أو تشغيل التمرين، أو التحكم في نقل السلطة. تلك الوظائف تعود إلى RIRs المشاركة، وخدمات IANA، والمشغلين الطارئين المؤهلين، والمراجعين المستقلين. تكون شرعية NRS أقوى عندما تجعل مناصرتها السلطة أكثر مساءلة دون اكتساب أي من تلك السلطة نفسها.

يجب أن تحتفظ النتيجة بالفشل، لا تخفيه

درجة مرونة واحدة ستكون جذابة ومضللة. يمكن للمؤسسات أن تكون قوية في الاسترداد التقني وضعيفة في السلطة القانونية، أو مرنة ماليًا وهشة تشفيريًا. يجب أن تستخدم النتيجة بطاقة أداء متعددة الأبعاد مع شروط فشل صارمة.

الأبعاد هي السلطة، والحوكمة، والمالية، وسلامة البيانات، واحتواء الأمن، واستمرارية الخدمة، ووصول الحائزين، وتكافؤ RPKI، والتقارب الخارجي، والاتصالات، وقابلية العكس، والتعلم. يجب أن يظهر كل بُعد الهدف، والنتيجة الملاحظة، ومصدر الدليل، والثقة. تشمل حالات الفشل الصارمة تغيير مورد غير مصرح به، وفقدان بيانات موثوقة، وعدم القدرة على تحديد صانع قرار قانوني، وسلطة طارئة غير محدودة، وتباعد شهادات غير مكتشف، والفشل في الحفاظ على حقوق المراجعة.

يجب أن تبلغ مقاييس الوقت عن التوزيعات. لا يمكن تمثيل استرداد الحائز من خلال أول تسجيل دخول ناجح. لا يمكن تمثيل استرداد التحويل من خلال حالة سهلة واحدة. لا يمكن تمثيل تقارب المدقق من خلال تنفيذ المؤسسة نفسها. تكشف نتائج الذيل عن من يتحمل تكلفة الضغط المؤسسي.

يجب تصنيف النتائج حسب العواقب والتكرار. قد يكون عيب التوثيق بسيطًا حتى يمنع سلطة التوقيع الطارئ. الاختبار الفاشل ليس هزيمة للسمعة إذا أنتج علاجًا في الوقت المناسب وإعادة اختبار ناجحة. إخفاء أو تضييق الاختبار بعد الفشل أكثر خطورة من اكتشاف الضعف.

المعالجة وإعادة الاختبار جزء من النتيجة

تقرير تمرين بدون معالجة ممولة هو ملاحظة، وليس تحسينًا للمرونة. كل نتيجة مادية يجب أن يكون لها مالك مسؤول، وموارد معتمدة، ومعالجة مخاطر مؤقتة، وتاريخ مستهدف، وطريقة إعادة اختبار. إذا قبلت الإدارة المخاطر، يجب على الهيئة الموافقة أن تذكر لماذا يكون التعرض المتبقي مقبولاً ومتى ينتهي هذا الحكم. يجب أن تعود النتائج الحرجة إلى مجلس الإدارة أو الهيئة الحاكمة المماثلة بدلاً من الاختفاء في الصيانة الفنية.

يجب أن تعيد الاختبارات إنتاج الحالة الفاشلة بدقة كافية لإثبات التصحيح. وثيقة جديدة ليست كافية عندما يتعلق الفشل بالاستعادة الفعلية. خطاب ضمان من المورد ليس كافياً عندما يتعلق الفشل بالاستبدال عبر الموردين. مدقق داخلي ناجح ليس كافياً عندما لاحظ المشغلون نتائج RPKI متباينة. يجب أن يتطابق الدليل مع شرط النجاح الأصلي.

يجب أن يميز البرنامج بين الاحتواء الفوري، والتصحيح الدائم، والتعلم المنهجي. الاحتواء الفوري يقلل التعرض الحالي، مثل تحديث جهات الاتصال الطارئة أو الحفاظ على نسخة احتياطية إضافية. التصحيح الدائم يغير القدرة، مثل إنشاء سلطة مفوضة قانونية أو مسار استعادة تم اختباره بشكل مستقل. التعلم المنهجي يغير المؤسسات أو المعايير ذات الصلة بحيث لا يتكرر نفس الضعف في مكان آخر.

يجب أن يعكس توقيت إعادة الاختبار الخطورة. يجب إعادة اختبار الفشل الصارم الذي يتضمن بيانات موثقة أو سلطة غير قانونية أو تباعد تشفيري خلال ستة أشهر. يجب إعادة اختبار ضعف الاستمرارية الرئيسي خلال عام. يمكن أن تتبع النتائج الأقل خطورة التمرين السنوي التالي، ولكن العناصر المتأخرة يجب أن تبقى عامة. لا يجب على المؤسسات انتظار معلم العقد القادم لنفس السيناريو.

الفشل المتكرر يحتاج إلى تصعيد. إذا فشلت إعادة الاختبار مرتين لنفس السبب الأساسي، يجب على المراجعين المستقلين فحص ما إذا كان العلاج المذكور يعالج السبب، وما إذا كانت الموارد كافية، وما إذا كان لدى القادة حوافز للتأخير. قد يكون الدعم الجماعي مناسبًا، خاصة للقدرة التشفيرية أو القانونية المتخصصة. يجب أن تعزز المساعدة المؤسسة الإقليمية المتضررة قبل النظر في الاستبدال.

لا يجب أن تمحو إعادة الاختبار الناجحة النتائج الأصلية. يجب أن يظهر سجل العشر سنوات الاكتشاف، والمعالجة المؤقتة، والتصحيح، والأدلة، والإغلاق. هذا التاريخ يسمح للأعضاء بتمييز المؤسسات التي تتعلم من تلك التي تدير اللغة فقط. كما يحمي الموظفين الذين يبلغون عن نقاط الضعف: سجل تحسن شفاف يجعل الاكتشاف علامة على السيطرة الفعالة بدلاً من سبب لقمع الأخبار السيئة.

بحلول 2036، قد يكون مقياس النجاح الأكثر إقناعًا هو معدل إغلاق النتائج الصعبة عبر عدة مؤسسات. هذا المقياس يلتقط الاستعداد لتمويل المرونة غير الجذابة، وقبول الأدلة المستقلة، والعودة بعد الفشل الأولي. تمرين أول مثالي أقل مصداقية من برنامج صارم يجد عيوبًا حقيقية ويثبت إصلاحها.

الأدلة العامة والتفاصيل المحمية يمكن أن تتعايش

يجب أن يذكر التقرير العام افتراضات السيناريو، والمشاركين حسب الدور، والخدمات المختبرة، والنطاق المستبعد، وشروط النجاح، والقرارات، والنتائج الملاحظة، والإخفاقات، والحقوق المتأثرة، وأصحاب المعالجة، وتواريخ إعادة الاختبار. يجب أن يتضمن بيانات كافية عن التوقيت والتوفيق للأطراف الخارجية لفهم النتيجة.

لا يجب أن ينشر بيانات الاعتماد، أو السجلات الشخصية، أو المشورة القانونية المميزة، أو الثغرات التفصيلية، أو المفاتيح الخاصة، أو الهندسة القابلة للاستغلال، أو أدلة الأعضاء السرية. يمكن للمدققين المستقلين فحص تلك المواد وإصدار بيان ضمان محدود النطاق. يمكن تأخير النتائج الأمنية حتى المعالجة حيثما يشكل الإفصاح مخاطر فورية، لكن وجود النتيجة وشدتها لا يجب أن يختفيا.

يجب أن تكون الأدلة دائمة. يجب أن تحافظ سجلات التمرين على لقطات موقعة، وسجلات الأحداث، ومخرجات المدقق، وسجلات القرارات، والاتصالات، والمراجعات تحت حضانة مسيطر عليها. يجب أن تربط التقارير العامة بقطع أثرية مستقرة ذات سلامة تم التحقق منها حيثما كان آمنًا. يجب أن تستشهد إعادة الاختبار اللاحقة بالنتيجة الأصلية وتظهر ما تغير.

يجب أن يرى الجمهور أيضًا الخلاف. إذا فسر المستشارون القانونيون والمشغلون والقادة المؤسسيون شرط النجاح بشكل مختلف، يجب أن يشرح التقرير الاختلاف والقرار النهائي. مسرح الإجماع ليس مرونة. تكسب المؤسسات الثقة من خلال إظهار كيفية حل الأدلة المتنازع عليها.

تقويم الاختبار 2026-2036

2026:إنشاء الميثاق المشترك، وخرائط السلطة، ومستويات الخدمة، والشروط المشتركة، وشروط النجاح، وقواعد الأدلة المحمية. نشر الفجوات على مستوى المؤسسة.

2027:اختبار نزاع الانتخابات، والخلافة، والاتصالات في كل مؤسسة مشاركة. طلب مراجعة مستقلة للاقتراع والسلطة.

2028:اختبار الضائقة المالية، وانقطاع البنك، والوصول إلى صندوق الاستقرار، وحدود المحكمة. التوفيق بين افتراضات تكلفة الخدمة الأساسية والسيولة.

2029:اختبار العقوبات، والإيجابيات الكاذبة، وحواجز الدفع، والاستثناءات الأمنية العاجلة، والصراع القانوني عبر الحدود.

2030:إجراء تمارين وظيفية إلكترونية منسقة، بما في ذلك استرداد اللقطة الموثوقة، وإعادة مصادقة الحائز، والتوفيق اللاحق.

2031:إجراء اختبارات ترحيل مفتاح مرجع الثقة RPKI المخطط له ضد تطبيقات الأطراف المعتمدة المتنوعة ومسارات الانتقال اليدوي.

2032:تشغيل طفرة تحويل جماعي مع الخلافة المؤسسية، والإعسار، والحالات بين المناطق، والسلطة المتنازع عليها.

2033:تشغيل خدمات استمرارية ظلية واختبار الجاهزية القانونية والإدارية والفنية للمشغل الطارئ.

2034:إجراء أول سيناريو دولي مركب مع تحكم مستقل ومشغلين تمثيليين.

2035:المعالجة، وإعادة اختبار حالات الفشل الصارمة، وتكرار سيناريوهات مختارة مع عدم توفر الموظفين والموردين غير المعلن.

2036:إجراء سيناريو مركب ثانٍ، ومقارنة أدلة عشر سنوات، ومراجعة ترتيبات الاستمرارية، وتحديد دورة الاختبار التالية.

يجب أن تستمر تمارين المؤسسة السنوية بين المعالم الرئيسية. يحدد التقويم التركيز المشترك، وليس عمل المرونة الوحيد. يجب أن تؤدي الحوادث الحقيقية إلى اختبارات إعادة مستهدفة. التغييرات الجوهرية في النظام أو القانون أو البائع أو المفاتيح لا يجب أن تنتظر السنة المقررة.

كيف سيبدو النجاح الموثوق

بحلول 2036، يجب أن يكون العضو قادرًا على السؤال عمن يمكنه التصرف عندما يكون مجلس الإدارة متنازعًا عليه وتلقي إجابة دقيقة قانونية. يجب أن يكون المدقق قادرًا على تتبع كيفية دعم أموال الطوارئ للخدمات الأساسية. يجب أن يحتفظ الحائز الخاضع للعقوبات أو المطابق خطأً بطريق مراجعة موثق. يجب أن يكون المشغل قادرًا على التحقق من انتقال مرجع الثقة عبر أكثر من قناة واحدة. يجب أن يكون مزود الخدمة الخلف قادرًا على استعادة الوظائف ذات الأولوية من قوائم جرد مختبرة دون وراثة سلطة السياسة.

يجب أن تعرف المؤسسات أيضًا حدودها غير القابلة للاختزال. بعض صراعات المحاكم لا يمكن حلها بالتنسيق التقني. بعض الأطراف المعتمدة ستبقى بطيئة في التحديث. لا يمكن استبدال بعض الموردين فورًا. لا يمكن أن تكون بعض الأدلة السرية عامة. اختبار الإجهاد لا يلغي عدم اليقين. يجعله محدودًا ومملوكًا ومرئيًا.

أسوأ نتيجة ستكون سلسلة مصقولة من التمارين حيث لا تهدد السيناريوهات حقوق القرار أبدًا، ويظل القادة التنفيذيون متاحين دائمًا، وتتلقى الفرق البديلة تعليمات مثالية، وتعلن التقارير النجاح دون تحقق خارجي. ذلك سيختبر العرض، وليس المؤسسات.

أفضل نتيجة أكثر تواضعًا وأكثر تطلبًا: دليل متكرر على أن نظام السجل يمكن أن يتدهور بأمان، ويحافظ على السلطة، ويحمي الحقوق العاجلة، ويستعيد الحالة التقنية المتماسكة، ويعيد السلطة المؤقتة. تظل RIRs مسؤولة إقليميًا. تظل خدمات ترقيم IANA مستقرة وقابلة للقياس. تساهم NRS في المناصرة والدعوة وتمثيل الأعضاء المصرح لهم والمقارنة العامة دون اكتساب سلطة تشغيلية. يتحقق المشغلون مما لا تستطيع المؤسسات رؤيته من الداخل.

غالبًا ما تُناقش الشرعية المؤسسية كموافقة في الأوقات العادية. اختبارها الأكثر حدة هو ضبط النفس في الأوقات غير العادية. تثبت الهيئة لياقتها ليس فقط من خلال التصرف، ولكن من خلال معرفة الصلاحيات التي تفتقر إليها، وأي القرارات يجب أن تنتظر، وأي الأدلة يجب أن تبقى، ومتى يجب إعادة السيطرة. اختبار إجهاد مدته عشر سنوات سيجعل تلك الفضائل قابلة للملاحظة قبل أن يضطر نظام سجل الإنترنت إلى تعلمها علنًا تحت ضغط حقيقي.

قاعدة الأدلة