تدقيق أمريكي: صفر اختبارات لتشفير ما بعد الكمّ في 24 وكالة

Summary

خلال تدقيق امتد من فبراير 2024 إلى سبتمبر 2025، لم يجد مكتب مساءلة الحكومة اختباراً لتشفير ما بعد الكمّ داخل بيئة أي من الوكالات الأربع والعشرين. بحثت وكالة واحدة عن منتجات مرشحة من دون اختبارها، ولم تُنجز الوكالات الثلاث والعشرون الأخرى التحضير الذي فحصه التدقيق.
طلبت توجيهات مكتب الإدارة والميزانية لعام 2022 جرد الأنظمة الضعيفة وتقدير التمويل وإجراء التجارب. وأقر المعهد الوطني للمعايير والتكنولوجيا أول المعايير الأساسية في أغسطس 2024. بقيت الفجوة عند التنفيذ المحلي القابل للإثبات.

معيار جديد أمام نظام لم يفتح غطاءه أحد

نُشرت النسخة العلنية من تقرير مكتب مساءلة الحكومة في 6 أكتوبر 2026، ثم وُضّح نصها في 14 أكتوبر. أما فترة التدقيق فكانت من فبراير 2024 إلى سبتمبر 2025. رقم «صفر» يصف تلك الفترة وما فُحص فيها، ولا يقدم إحصاءً جديداً لحالة الوكالات في نوفمبر 2026. بهذا الحد الزمني الواضح، تظل النتيجة لافتة: لم يكن لدى الوكالات اختبار واحد يربط القرار الوطني بنظام تديره فعلاً.

في نوفمبر 2022، وجّه مكتب الإدارة والميزانية الوكالات إلى تحديد الأنظمة ذات الأولوية التي تستخدم خوارزميات تشفير معرضة للخطر، وتقدير موارد الانتقال، وتجربة الحلول الجديدة داخل بيئاتها. وفي أغسطس 2024، أقر المعهد الوطني للمعايير والتكنولوجيا معاييره الأساسية الأولى، ومنها FIPS 203 لتأسيس المفاتيح. تحدد المواصفة الخوارزمية. لكنها لا تعرف إن كان جهاز قديم يقبل التحديث، أو إن كانت رسالة أطول تمر عبر بروتوكول قائم، أو من يعيد الخدمة إذا فشل التحقق من الهوية.

وكالة واحدة أجرت بحثاً في السوق عن تطبيقات محتملة لدى الموردين، ولم تختبر أياً منها في نظامها. أما الوكالات الثلاث والعشرون الأخرى فلم تعالج أنشطة التحضير التي قيّمها المكتب. البحث عن منتج يصلح لبدء عملية شراء. الاختبار يكشف مكان اصطدام المنتج بالتطبيق وبالمكتبة البرمجية وبالإجراءات التي يعتمد عليها الجمهور.

كلمة «طوعي» نقلت العبء إلى المستقبل

قالت 16 وكالة إن اختيار المرشحين أو اختبارهم سابق لأوانه لأن الموردين ما زالوا يدمجون المعايير في منتجاتهم. ووصف مسؤولون في مكتب المدير الوطني للأمن السيبراني الاختبارات بأنها طوعية، مع الإشارة إلى قلة الموارد. رد مكتب مساءلة الحكومة بأن توجيه مكتب الإدارة والميزانية لم يصف الاختبار بالطوعي، وأن نماذج أولية باستخدام أدوات مفتوحة المصدر كانت ممكنة قبل اكتمال العرض التجاري. هنا تتحول كلمة إدارية إلى قرار عملي: تنتظر الوكالة المورد كي يكتشف لها مشكلة لا يعرفها إلا من يدير نظامها.

كان الجرد نفسه ناقصاً. وكالة واحدة فقط استوفت كل أنشطة الجرد المنطبقة؛ وكالة أخرى لم تملك قائمة بالأنظمة ذات الأولوية، و22 وكالة قدمت قوائم جزئية. وفحص المكتب، في عينة منفصلة من ست وكالات، دقة تسجيل الخوارزميات المعرضة للخطر؛ لم تستوف أي منها هذا الاختبار المحدد بالكامل. نتيجة العينة المكونة من ست وكالات لا تُعمم على الوكالات الأربع والعشرين. أما أرقام الجرد الشاملة فتبيّن وحدها أن نطاق العمل لم يكن معروفاً بدقة.

لم تستوف أي وكالة نشاط تقدير التمويل بالكامل. قدمت 21 وكالة تقديرات جزئية اعترفت بعدم دقة بياناتها، ولم تقدم ثلاث وكالات تقديراً. واستند تقدير واحد فقط إلى جرد مكتمل للأنظمة ذات الأولوية. وصف مكتب الإدارة والميزانية ومكتب المدير الوطني الأرقام بأنها تقديرات تقريبية تساعد القرار السياسي، لا طلبات اعتمادات. هذا وصف صادق لقيمة الأرقام، لكنه يوضح لماذا لا يمكن تحويلها إلى جدول تنفيذ بلا جرد واختبار.

يوضح التقرير الرسمي الكامل سبب أهمية الوقت. الحواسيب الكمّية الحالية لا تكسر التشفير المعني، وقد تتمكن آلة مستقبلية قوية بما يكفي من ذلك. بيانات مشفرة تُجمع الآن قد تبقى ذات قيمة عندئذ. الخطر التنفيذي الحالي هو إضاعة سنوات قبل معرفة الأنظمة التي يجب تغييرها، لا الادعاء بأن هجوماً كمّياً ناجحاً وقع بالفعل.

أصدر المكتب 89 توصية في تقرير حساس من سبتمبر 2025، ولم تضف النسخة العلنية المنشورة في أكتوبر 2026 توصيات جديدة. ما يستحق المتابعة الآن هو جرد مؤرخ لكل وكالة، وتجربة محددة في بيئتها، ومشكلة توافق موثقة، ومسؤول معلوم، وتقدير مالي تغير بعد ظهور النتيجة. تقدم مقالة Heng Lu عن المواصفة المشتركة والقرار التنفيذي المحلي زاوية لفهم توزيع المسؤولية، بينما تأتي الوقائع الأمريكية من وثائق المكتب والمعهد الأصلية.