الخلاصة

  • أفاد APNIC Blog في 14 سبتمبر بأن أربعة من قادة شبكات البحث والتعليم وقّعوا إعلان أوكلاند للنوايا بشأن المرونة السيبرانية خلال APAN62 الذي انعقد في أغسطس.
  • يذكر الإعلان العام بناء الثقة والاستعداد وتبادل المعلومات وتنسيق الحوادث والدعم المتبادل، لكنه يقيد ذلك بما تسمح به القوانين الوطنية وسياسات المؤسسات.
  • لا تنشر الصفحات المفحوصة نص الإعلان ولا قناة طلب موثقة أو مسؤول قرار أو مهلة استجابة أو حدود بيانات أو سجل تمرين. ويمكن لبطاقة تنسيق علنية مع ملحق تشغيلي محمي أن تُظهر سلسلة الصلاحية من دون كشف خطط حساسة.

تظهر فائدة الثقة قبل الحادث، أما فائدة الحوكمة فتظهر بعد وصول أول طلب. قد يعرف فريق إقليمي من يجب الاتصال به، لكنه لا يعرف هل يستطيع ذلك الشخص استلام بيانات معينة. وقد يستطيع فريق وطني استلام مؤشر تقني من دون أن يملك حق تغيير نظام الجامعة المتضررة. الاستجابة والحضور والصلاحية ليست حالة واحدة.

الخبر المنشور عن إعلان أوكلاند يحدد طموحاً جدياً. فقد سمّى Amber McEwen من REANNZ، وShinji Shimojo رئيس مجلس APAN، وJungsu Song رئيس TEIN*CC، وRoshan G. Ragel الذي وقّع باسم APAN/Asi@Connect Leaders Forum. كما قال إن الموقعين سيبحثون إنشاء فرع إقليمي لـ Global Security Policy Alliance أو بنية مشابهة، مع إبقاء الأولويات المحلية والاستقلال المؤسسي.

هذا النوع من التحضير مناسب لشبكات البحث والتعليم. فمشروع علمي واحد قد يعتمد على جامعة وشبكة بحث وطنية ووصلات دولية ومستودع بيانات وحاسوب متقدم في دول مختلفة. إذا أصابت حادثة حلقة واحدة، توزعت المشاهدة والقدرة على المعالجة والالتزام القانوني بين مؤسسات لا تتبع قيادة واحدة.

ولهذا تحمل العبارة المقيدة في الخبر وزناً خاصاً: يجري التعاون حيث تسمح القوانين الوطنية والسياسات المؤسسية. لا يستطيع منتدى إقليمي إلزام جامعة بكشف سجلاتها، ولا تفويض شبكة أجنبية لتعديل المرشحات، ولا الحلول محل جهة عامة في واجب إبلاغ قانوني. التوقيع يجمع النوايا ولا يدمج السلطات.

لكن السجل العلني لا يبيّن من يقرر أن القانون والسياسة يسمحان بالفعل. فالصفحات التي فُحصت لدى APNIC وAPAN62 وAPAN وREANNZ لا تربط بنص الإعلان الموقع. ولا توضح إن كان كل توقيع يلزم كياناً قانونياً أو منتدى أو منصباً، وكيف ينضم عضو جديد، ومتى يبدأ الترتيب أو يُراجع. كذلك لا توجد قناة موثقة للإبلاغ، أو ساعات خدمة، أو هدف لتأكيد الاستلام، أو درجات خطورة، أو وظيفة مخولة بقبول الدعم أو رفضه أو إحالته.

قد تكون هذه التفاصيل موجودة في وثيقة خاصة أو قائمة اتصال محمية. عدم ظهورها علناً لا يثبت ضعف الاستعداد ولا خرق أي التزام. لكنه يعني أن العضو لا يستطيع، اعتماداً على السجل العام وحده، تتبع الطريق من الوعد الإقليمي إلى الفعل المحلي المأذون.

حادثة واحدة لا تصنع سلطة واحدة

تصف APAN نفسها بأنها منظمة تمثل أعضاءها، وبأنها شبكة أساسية تصل شبكات البحث والتعليم في المنطقة. أما REANNZ فهي منظمة عضوية وشركة تملكها الدولة في نيوزيلندا ولها مجلس حوكمة خاص. الجامعات، والشبكات الوطنية، والمنتديات الإقليمية، وفرق الاستجابة، والهيئات العامة تدخل التنسيق بتفويضات مختلفة.

يمكن للمؤسسة المتضررة أن تبلغ عن الملاحظة. ويمكن للشبكة الوطنية أن تتحقق من أثر على المسار أو الخدمة. ويستطيع المنسق الإقليمي العثور على الطرف المناسب وجمع الفرق ومقارنة الأدلة. وقد يعرض شريك خبرة أو سعة بديلة. لكن مالك النظام هو عادة من يجيز تغيير الإعداد أو حفظ الأدلة المحلية أو قبول المخاطر المتبقية. وقد يعود الإبلاغ القانوني إلى جهة أخرى.

لذلك يحتاج الطلب إلى حالات منفصلة: مستلم، ومتحقق من مصدره، ومحدد النطاق، ومسموح بالمشاركة، ومقبول، ومفوض، ومنفذ، ومغلق. كما يحتاج إلى حالات صريحة للرفض والإحالة وانتظار الإذن.

من دونها يبدو الرد الآلي قبولاً للمساعدة، ويبدو حاضر الاجتماع كأنه مخول بتغيير الشبكة، ويفقد المؤشر قيد تداوله عند إعادة إرساله. وقد يُتهم شريك بالتجاهل فيما يمنعه القانون أصلاً من استلام البيانات. الثقة الجيدة لا تخفي هذه الحدود؛ بل تجعل العبور بينها سريعاً وقابلاً للتتبع.

وسم المشاركة لا يمنح إذناً بالعمل

يوفر Traffic Light Protocol لدى FIRST أربعة أوسمة — TLP:RED وTLP:AMBER وTLP:GREEN وTLP:CLEAR — لتحديد مدى إعادة توزيع المعلومات الحساسة المحتملة. وهو مفيد حين تشمل الحادثة جامعات ومشغلين وموردين وهيئات عامة عبر دول عدة.

إلا أن الوسم لا يثبت أن المرسل مخول بالكشف، ولا أن المستلم يملك أساساً قانونياً للحفظ، ولا أن الإدارة أجازت التدخل، ولا أن الفريق قادر على التنفيذ. قد يكون مؤشر TLP:AMBER عاجلاً ويصل إلى جهة لا تسيطر على النظام. وقد تنتشر ملاحظة TLP:CLEAR بحرية وهي غير صحيحة.

يجب أن تبقى أربعة قرارات مستقلة: هل يحق للمرسل المشاركة؟ هل يحق للمستلم التلقي؟ هل للمؤسسة صلاحية الفعل؟ وهل قبل مشغل النظام ذلك الفعل؟ لون واحد لا يقوم مقام أربعة تفويضات.

نموذج قديم يبين الحد الأدنى المفيد للعامة

يصف RFC 2350 منذ عام 1998 توقعات عامة لفرق الاستجابة للحوادث الأمنية. وهو يفرق بين الجمهور الذي يخدمه الفريق وسلطته، ويطلب توضيح معلومات الاتصال وساعات العمل وأنواع الحوادث ومستوى الدعم وسياسة التعاون والكشف ووسائل الاتصال الآمنة.

لا يحكم هذا المستند إعلان أوكلاند، ولم يعلن الموقعون اعتماده. فائدته هنا تصميمية فقط: يمكن نشر غلاف تشغيلي مفهوم من دون نشر دليل التحقيق والاستجابة.

يحتاج العضو إلى معرفة أين يبلغ، وما الذي يتوقعه، ومن يملك القرار التالي. أما أسماء الأفراد ومفاتيح التشفير وتسلسل الاتصالات ومخططات البنية والرأي القانوني والخطط الفنية فتبقى في ملحق محمي. الشفافية تتعلق بالمسار وحدوده، لا بكشف كل وسيلة تشغيل.

بطاقة من طبقتين

تسجل الطبقة العلنية الموقعين الحاليين والجمهور الذي يمثله كل منهم. وتوضح إن كان التوقيع يلزم كياناً قانونياً أو منتدى أو منصباً، وتحدد قناة الطلب الرسمية، والدور الذي يقبل أو يرفض أو يحيل، وتواريخ النفاذ والمراجعة والانضمام والانسحاب.

لا يلزم نشر محتوى الحادثة. تكفي حالات مثل: جرى التحقق من المصدر، الإذن قيد الانتظار، قُبلت المساعدة، رُفضت، نُقلت المسؤولية إلى المشغل المحلي، أُغلق الملف. ويمكن للإحصاءات المجمعة وسجلات التمارين أن تثبت الاستخدام من دون تسمية المتضرر.

وتحمل الطبقة المحمية جهات الاتصال المتحقق منها، والمفاتيح، والمناطق الزمنية، والعتبات، وحقول البيانات القابلة للمشاركة، وقواعد TLP، والقيود الوطنية، واعتماد الموردين، ومسارات التصعيد والبدائل. لكل عنصر مالك وتاريخ آخر اختبار. ويولد كل طلب إيصالاً يربط طالبه بالفعل المطلوب والحد المطبق وصاحب القرار وأساس صلاحياته ونقطة التسليم التالية.

هذه ليست دعوة إلى قيادة إقليمية تتحكم في شبكات الأعضاء. يستطيع المنسق التوجيه والتوثيق من دون وراثة صلاحيات التشغيل. وليست حكماً على فشل الإعلان؛ فالخبر جديد، والبنية الإقليمية ما زالت احتمالاً يُبحث.

السؤال العملي بسيط: إذا اكتشف عضو في APAN حادثة عابرة للحدود، فهل يستطيع من السجل العلني تحديد أول طلب صحيح، وأول قرار يمكن إسناده إلى صاحبه، والحد الذي لا يتجاوزه الوعد الإقليمي؟ ليس بعد.

المصادر