الخلاصة

  • كان RFC 1087 بيان سياسة من IAB في سياق إنترنت بحثي مدعوم تاريخياً داخل الولايات المتحدة، لا بروتوكولاً لكشف الأفعال أو إثباتها أو إنزال العقوبة بها.
  • توضح RFC 1244 وRFC 2196 أن الجزء القابل للتنفيذ يبقى عند الموقع الذي يملك الموارد: عليه أن يقرر القواعد ويكسب التأييد ويبلغها ويطبق الآليات.

تسمية الخطر ليست إثباتاً للواقعة

لا يتحدث RFC 1087 عن إنترنت عالمي مجرد من الزمن. فهو يصف شبكة من شبكات جُمعت بموارد بشرية واقتصادية من الحكومة الأمريكية والصناعة والجامعة؛ بدأت وسيلة للبحث في الشبكات ثم صارت تخدم مجتمعاً بحثياً أوسع. يسميها IAB مرفقاً وطنياً ويربط منفعتها بتوافرها وإتاحة الوصول إليها. وفي هذا الإطار التاريخي يصف الوصول والاستخدام بأنهما امتياز.

بعد ذلك يؤيد النص خمس فئات من الأفعال المقصودة باعتبارها غير أخلاقية وغير مقبولة: طلب وصول غير مصرح به، وتعطيل الاستخدام المقصود، وإهدار موارد الأشخاص أو السعة أو الحاسوب، وتدمير سلامة المعلومات الحاسوبية، والإخلال بخصوصية المستخدمين. كان لهذه القائمة غرض مهم؛ فقد جعلت مخاطر حقيقية مرئية في بنية تتصل فيها مؤسسات مختلفة. لكنها لم تحول الفئات إلى آلة لإثبات الوقائع.

لا تقول عبارة «وصول غير مصرح به» وحدها من يملك المورد، ولا أي قاعدة محلية كانت نافذة، ولا أي حساب استُعمل، ولا ما إذا كانت النية قد ثبتت. و«التعطيل» ليس قياساً للتوافر ولا يحدد سبباً ولا يختار علاجاً. حتى إذا ذكرت السياسة أن الفعل متعمد، لا تصبح النية ثابتة من عنوان السياسة. يلزم سجل للحدث وطريقة فحص وجهة تتحمل قرارها.

ينبغي هنا فصل ثلاث طبقات. تستطيع السياسة أن تبين لماذا يستحق أمر ما الانتباه. يحتاج التحكم إلى نطاق ومشغل مسؤول ومدخل قابل للرصد وقاعدة قرار. ويحتاج التفويض إلى طرف يملك سلطة على المورد الذي ستقع عليه النتيجة. لم يقدم RFC 1087 تلك الطبقات خدمة مشتركة للإنترنت؛ بل سجل موقفاً سياسياً ضمن سياقه التاريخي.

النص نفسه ترك الآليات عملاً لاحقاً

خاتمة RFC 1087 أكثر تحفظاً مما يوحي به صوته. قالت IAB إنها تعتزم العمل مع الوكالات الفدرالية وغيرها من الأطراف المعنية لتحديد آليات تقنية وإجرائية وإقامتها كي يصبح الإنترنت أقدر على مقاومة التعطيل. كما أقرت بأن الأمن قد يكون مكلفاً وقد يأتي بنتيجة عكسية إذا أعاق حرية تدفق المعلومات التي تمنح الإنترنت قيمته.

هذه الصياغة تفصل القلق عن الوسيلة. لا تحدد تنسيق حزم أو اعتماداً أو حساساً أو معيار دليل أو عقوبة أو ولاية قضائية. ولا تفترض أن جميع المواقع لها مالك واحد أو تعرض واحد للمخاطر أو التزامات واحدة. فالآليات كان لا بد أن تُعرف وتُنظم مع الأطراف ذات الصلة.

تكتسب القاعدة الواضحة أحياناً أدوات متخيلة بعد نشرها. حين يبدو المنع معقولاً، يُفترض أن العبارة تتضمن جهاز كشف ومصدراً للسلطة ونتيجة جاهزة. لكنها لا تختار من يشغل التحكم، ولا تتحقق من الدليل، ولا تقرر كيف يُصلح الخطأ. لكل خطوة لاحقة مسؤوليتها وكلفتها، ولا ينبغي أن تذوب في وضوح العبارة الأولى.

تصبح السياسة قابلة للعمل داخل موقع محدد

يوضح RFC 1244، وهو Site Security Handbook لعام 1991، الطبقة التالية بصورة عملية. يصف نفسه بأنه دليل وإطار، لا وصفة جاهزة. ولكي تكون السياسة فعالة، يجب أن يتخذ الموقع قرارات، ويحصل على اتفاق، ويبلغ السياسة، وينفذها. ويعرّف الموقع من خلال منظمة تملك حواسيب أو موارد متصلة بالشبكة، مع افتراض موافقة ودعم من يملكون تلك الموارد فعلاً.

هذا ليس تفصيلاً إدارياً. يمكن لسياسة استخدام مقبول في موقع ما أن تحدد الحسابات والأنظمة والاتصالات المشمولة، وأن تبين حدود الوصول والسلطة، والجهة التي تستجيب، والإجراءات المتبعة. وهي لا تصبح مع ذلك التقاطاً للحزم أو دليلاً على حادثة؛ لكنها تصل القاعدة بمورد محدد وطرف مسؤول وسياق يمكن فيه تنفيذها.

ويصوغ RFC 2196، وهو النسخة اللاحقة من الدليل، البنية نفسها بوضوح أكبر. فهو وثيقة معلوماتية ويقول إن سياسة الأمن ينبغي أن تحدد الآليات التي تتحقق بها متطلباتها. ويمكن لسياسة الاستخدام الملائم أن تبين ما ينبغي للمستخدمين فعله وما لا ينبغي، وأن تراعي القوانين واللوائح، وأن تُبلّغ وتُراجع. ويكمل RFC 2504 الصورة من جانب المستخدم، من غير أن يدعي أن الدليل يثبت أن موقعاً ما منح شخصاً بعينه إذناً.

لا تصنع هذه الوثائق سلسلة أوامر مستمرة. إنها تظهر تسلسلاً للمسؤولية: بيان واسع يسمّي خطراً مشتركاً؛ موقع يدير موارده يترجم الخطر إلى قواعد وإجراءات وآليات؛ ثم يلزم دليل مناسب قبل وصف واقعة بعينها بأنها مخالفة. لا تلغي قوة الجملة الأولى أي خطوة لاحقة.

ما لا تحسمه سياسة الاستخدام المقبول

لا يحدد RFC 1087 شروط مزود حالي، ولا القانون المطبق اليوم، ولا ملكية جهاز، ولا إذن مستخدم. ولا يثبت أن حزمة بعينها كانت خبيثة، أو أن انقطاعاً كان مقصوداً، أو أن المراقبة ضُبطت كما ينبغي، أو أن إجراءً قسرياً كان متناسباً. ولا ينشئ عقداً أو نشرًا معاصراً أو اختصاصاً أو نتيجة تشغيلية.

حفظ هذا القيد يحمي الدقة وقابلية الرجوع. يستطيع مالك الشبكة تحديد أصوله وجمع الأدلة الملائمة ومراجعة إجراء محلي عندما يتغير الخطر. أما معاملة نص تاريخي كما لو كان قد اتخذ تلك القرارات بالفعل، فتخلط المعيار والدليل والملكية والتنفيذ في ادعاء واحد، وتجعل تصحيح الخطأ أصعب حين تختلف الوقائع.

المصادر وحدود الدليل

تضم حزمة المصادر المجمدة RFC 1087 وRFC 1244 وRFC 2196 وRFC 2504. يدعم RFC 1087 بيان IAB لعام 1989 والفئات الخمس والإشارة إلى آليات تقنية وإجرائية مستقبلية. ويدعم RFC 1244 وRFC 2196 المقارنة مع السياسة المحلية والآليات والمراجعة؛ ويدعم RFC 2504 سياق الإرشاد الموجه للمستخدم. ولا يثبت أي منها مخالفة حالية أو هوية أو إذناً أو نتيجة قانونية أو ولاية قضائية أو نشراً أو نتيجة تشغيلية.