Table of Contents

التعريف ببرنامج العمل الدولي لمكافحة التصحر في أفريقيا الوسطى في مجال وثائق الهياكل الأمنية

:: إطار هيكل إدارة الدفاع، الذي يعد أداة أساسية لوصف هياكل المؤسسات في جميع أنحاء وزارة الدفاع الأمريكية، وعندما يطبق على الهيكل الأمني، يوفر البرنامج طريقة منضبطة ومنظمة لتوثيق العلاقات المعقدة بين الضوابط الأمنية، وعناصر النظام، والبعثات التشغيلية، ومناظر الخطر، ولا يقتصر هذا الإطار على مجموعة من الرسوم البيانية، بل إنه نهج شامل لضمان إدماج الاعتبارات الأمنية في كل طبقة من مستويات تصميم القدرات.

وتُحد من الغموض وثائق هيكل الأمن الفعالة التي تستخدمها الوكالة الدولية للطاقة الذرية، وتحسن إمكانية مراجعة الحسابات، وتُنشئ فهماً مشتركاً لكيفية اتساق المهام الأمنية مع الاحتياجات التشغيلية، فبدون إطار منظم، كثيراً ما تصبح الوثائق الأمنية مجزأة أو غير متسقة أو مفصولة عن سياق النظام الأوسع نطاقاً، وتعالج هذه الوثائق بتقديم آراء موحدة ومذكرات تتوافق مع كامل القوة وإمكانية التعقب والاتساق.

Core DoDAF Viewpoints relevant to Security Architecture

وتنظم اللجنة الأوصاف البنيوية في ثمانية وجهات نظر متميزة، كل منها يخدم غرضا تحليليا محددا، وبالنسبة للهيكل الأمني، لا تتسم جميع وجهات النظر بنفس القدر من الأهمية، ولكن مجموعة وثائق شاملة ستستفيد من وجهات نظر متعددة لإيجاد صورة كاملة، فالفهم الذي يُقصد به استخدام وجهات النظر وكيفية تكييفها مع الشواغل الأمنية هو أول أفضل الممارسات.

جميع نقاط المراقبة - السياق والنطاق

إن جميع نقاط التفتيش توفر سياقا شاملا، بما في ذلك الغرض من الهيكل ونطاقه وافتراضاته والقيود، وينبغي للمهندسين المعماريين الأمنيين أن يستخدموا " AV-1 " (Overview and Summary Information) للنص صراحة على الأهداف الأمنية والولايات التنظيمية وافتراضات التهديد التي تدفع الهيكل، كما أن " AV-2 " (الدستورية) أمر حاسم لتحديد المصطلحات المتصلة بالأمن بصورة متسقة في جميع الوثائق المحددة، وإزالة الارتباك على المصطلحات مثل " الحدود القائمة على الملكية " ، أو " ، أو " ، أو " ، أو " ، أو " ، أو " ، " ، " ، " ، " ، " ، " ، " ، " ، " ، " ، " ، " ، " ، " ، " ، " ، " ، " ، " ، " ، " ، " ، " ، " ، " ، " ، " ، "

القدرة على الرؤية - ما يجب أن يحققه النظام

أما نماذج القدرة على تحديد الهوية، فيجب أن توفرها المنظومة من القدرات الرفيعة المستوى، ويشمل ذلك، بالنسبة للأمن، قدرات مثل " إدارة الهوية " و " الرصد المستمر " و " الاستجابة للحوادث " و " ضمان الاتصال " باستخدام CV-1 (Vision) و CV-2 (الضرائب على المسؤولية)، يمكن للمهندسين المعماريين أن يوضوا النتائج الأمنية التي يرغبها مالكو البعثات، وقد تصبح هذه التعاريف الأساس الذي تستند إليه في مراقبة الفعالية)(2).

نقطة المراقبة التشغيلية - كيف تسير المهام الأمنية في سياق البعثة

وتصف نقطة المراقبة العملياتية العملياتية العمليات والأنشطة وتدفقات المعلومات من منظور تنفيذي، وتساعد الآراء التشغيلية الخاصة بالأمن على توضيح كيف أن المهام الأمنية - مثل التوثيق والإذن ومراجعة الحسابات والتعامل مع الحوادث - قد تدور في سير عمل البعثات. ويمكن أن تبين الفقرة 1 (النظرات العملية الرفيعة المستوى) أين توجد نقاط التفتيش الأمنية في سلسلة القتل أو دورة الحياة الخاصة بالمسح الحرفي.

نقطة المراقبة - التنفيذ التقني للمراقبة الأمنية

وتبيّن " نظام تحديد المواقع " الاحتياجات الأمنية إلى معدات وبرامجيات محددة ومكونات شبكية.() ويبين الجدول البياني الأول (وصف المواقع المشتركة بين المقاييس) كيف تظل الأجهزة الأمنية والأجهزة البكائية ومقدمي الهوية وأدوات الرصد مترابطة.() ويحلل الموقع SV-4 (وصف أداء المهام) المهام التي تؤديها النظم الأمنية، وباستخدام هذه الآراء، يمكن للمهندسين المعماريين تتبع أثراً للتصميم الأمني (مثل الاحتياقي)

نقطة المراقبة للبيانات والمعلومات - حماية البيانات في الراحة والتنقل

ويضع هيكل المعلومات والعلاقات وتدفقها نماذج لمراكز البيانات والمعلومات، ويستخدم مهندسو الأمن الفئة " دال - 1 " (نموذج البيانات المفاهيمية) لتحديد وتصنيف عناصر البيانات الحساسة.() ويورد هذا التقرير (نموذج البيانات القانونية) خصائص البيانات ذات الصلة بالأمن، مثل علامات التصنيف، وقوائم مراقبة الدخول، وبطاقات السلامة.() ويتناول الرقم " دال - 3 " (نموذج البيانات الفيزيائية) آليات البرمجيات البرمجية للخزن.()

نقاط أخرى ذات صلة بالأمن

وفي حين أن نقطة التفتيش في المشروع أقل تركيزاً، فإنها يمكن أن تستوعب المعالم الأمنية والقيود المفروضة على الموارد، ويمكن لنقطة النظر في المعايير أن تدرج إمكانية تطبيق معايير الرصد الوطنية، والمنظمة الدولية لتوحيد المقاييس، ومعايير برنامج التدريب المهني، كما أن وجهة نظر الخدمات في موقع التصوير (SvcV) مفيدة للهياكل الموجهة نحو الخدمات حيث لا يتم توفير الأمن كخدمة، مثل السماسرة المعماريين في الوصول السحابي، أو خدمات المعلومات الأمنية الفردية.

أفضل الممارسات 1: تحديد أهداف الأمن الواضحة ذات القابلية للتعقب

ويجب أن يبدأ كل جهد من جهود الهياكل الأمنية بأهداف أمنية محددة بوضوح ومتماشية مع البعثات، وتتجاوز هذه الأهداف البيانات العامة مثل " البيانات الوقائية " ، بل تحدد النتائج التي يمكن قياسها والتحقق منها ومرتبطة بآراء اللجنة، فعلى سبيل المثال، يمكن أن يكون الهدف هو " ضمان جميع البيانات الدقيقة للبعثات في المرور العابر بين المعاهد التكتيكية " ، باستخدام عناصر محددة من البيانات AES-256-GCM، مع إدارة مفاتيحها عن طريق نموذج أمني.

وينبغي أن تُدرج الأهداف الأمنية في الفئة " ألف - 1 " وأن تُصقل في التصنيف المركزي - 1. ويجب أن تُتبَع عن طريق الهيكل لتبيان الكيفية التي يؤدي بها كل هدف إلى أنشطة تشغيلية محددة (المكتب الخامس - 5)، وقدرات النظام (الشعبة) وحماية البيانات (DIV-2).

أفضل الممارسات 2: آراء اللجنة المعنية بحقوق الإنسان في مجال تحقيق الأمن

فاستعمال كل وجهة نظر متاحة من جانب اللجنة المعنية بمكافحة المخدرات في أفريقيا الوسطى، يؤدي إلى تضخيم الوثائق غير المؤاتية، بل ينبغي للمهندسين المعماريين الأمنيين أن يختاروا فقط الآراء التي تخدم مباشرة احتياجات الاتصالات والتحليل الأمني، كما أن مجموعة من الآراء المتكافئة تُفضي إلى الوضوح وتخفف من أعباء الصيانة، وبالنسبة للهيكل الأمني النموذجي، فإن المجموعة الدنيا الموصى بها تشمل ما يلي:

  • AV-1] لتحديد الأهداف والافتراضات الأمنية.
  • CV-2] for security capacity taxonomy.
  • OV-1] and ]OV-5 for operational security processes.
  • SV-1] وSV-4] لوظائف الأمن في النظام والترابطات.
  • DIV-2]] فيما يتعلق بتصنيف البيانات ومتطلبات الحماية.
  • StdV-1] for applied security standards.

ويعني التكييف تكييف الملاحظات الموحدة والعارضات المتطورة للتأكيد على المفاهيم الخاصة بالأمن، مثلاً، على مخطط SV-1، يشمل خصائص أمنية مثل قوة التشفير، وطريقة التوثيق، والحدود الخاصة بالامتثال على خطوط الوصل بينية، وفي 5 فرنكات فرنسية، وأنشطة لون الكود التي تؤدي إلى أحداث أمنية أو تتطلب وصولاً متميزاً، وينبغي وصف هذا الخياطة وتبريرها في اتفاقيات الفرز 1.

أفضل الممارسات 3: المعايير والأطر الأمنية المتكاملة

أما البنية الأمنية التي تنتج بمعزل عن المعايير المقررة مثل النشر الخاص للشبكة الدولية للإحصاء، والرقم القياسي ISO/IEC 27001، وإطار إدارة مخاطر الـ دي دودي، والنموذج النموذجي للاستحقاقات الأمنية في سايبر، فلا بد أن تفشل أثناء الاعتماد أو مراجعة الحسابات، كما أن برنامج العمل الدولي يوفر آلية طبيعية لرسم هذه المعايير الخارجية على عناصر معمارية.

For example, map NIST 800-53 control AU-3 (Content of Audit Records) to an OV-5 activity “Generate Audit Log” and an SV-4 function “Audit Logging Service,” then specify the data at DIV-2 that define what fields the audit record contains. This mapping creates an audit-ready fisheriess can inspect directly from the structure aligning addition,

الممارسة الفضلى 4: الحفاظ على الاتساق في المصطلحات والإشعار

(أ) استخدامات [مضامين] [متغيرة] [موحدة] [موحدة] [موحدة] [موحدة]] [مضاهاة]

ومن المهم أيضاً معرفة ما إذا كان استخدام نظام " أوم " ، أو " سيزم " ، أو " إيدي إف " ، أو " بي بي بي إم إن " (BPMN) لاختلاف الآراء، وضمان أن يكون أسلوب التأشير، وأنواع الألوان، وأجهزة الشحوم، وأجهزة الإيكون موحدة في مجموعة الوثائق، وينبغي أن يستحدث مهندسو نموذج خاص بالهيكل الأمن دليلاً خاصاً للهيكل الأمني، وذلك باستخدام أجهزة المراقبة الأمنية، مثلاً للضواحيائية، ويمنع الضوابط الأمنية.

أفضل الممارسات 5: تحديث الوثائق بانتظام من أجل التغيير

فالهيكل الأمني ليس قابلاً للتنفيذ لمرة واحدة، فالتهديدات تتطور، وتغير التكنولوجيات، وتبرز احتياجات جديدة من البعثات، ولكي تظل الوثائق ذات فائدة، يجب أن تكون أداة حية تخضع لإدارة التشكيلات المُنضبطة، وأن تُنشئ كوادر للاستعراضات ربعية للبرامج النشطة، وأن تُستكمل سنوياً للنظم الثابتة - وأن تتضمن كل تحديث سجلاً للتغيير يحدد ما هو متأثر.()

ويمكن أن تساعد الأدوات الآلية في توليد تنبيهات عندما تتغير العناصر المرتبطة في أحد الآراء التي تؤثر على الآخرين، مثلاً إذا استُعيض عن نموذج الأجهزة الأمنية في الموقع SV-1 بمنتج جديد، ينبغي نشر التغيير إلى أنشطة الـ OV-5 التي تعتمد على ذلك الجهاز، وتعطيات الموافقة على البيانات من الفئة دال إلى 2 التي كثيراً ما تستخدم قدرات التشفير، وبدون هذا التشغيل الآلي، يُحدث الدليل معلومات عن المنجزات التي تفشل في التحقق من صحة البيانات.

أفضل الممارسات 6: الأفرقة المشتركة عبر التخصصات

ولا يمكن تطوير بنية الأمن في فراغ، إذ أن الوثائق الأمنية الفعالة للبرنامج تتطلب التعاون بين مهندسي الأمن، ومهندسي النظام، وملاك البعثات، والمهنيين في مجال الاقتناء، ومهندسي الشبكات، وموظفي الخصوصية، ويضع كل أصحاب المصلحة منظورا فريدا يؤثر على الآراء ومستوى التفصيل، فعلى سبيل المثال، يمكن لمالكي البعثات أن يصادقوا على أن المفاهيم العملية للشبكة تمثل بدقة نقاط التفتيش الأمنية؛ ويمكن لمهندسي الشبكة أن يؤكدوا على القيود المفروضة على تكوين الوصلات الترددات الترددات.

وعند إنشاء فريق متعدد التخصصات، يُعهد إلى مهندس أمني رائد مسؤول عن اتساق الآراء الأمنية في جميع مجموعة الوثائق، ويجب أن يكون هذا الشخص مُبَرَّراً في منهجية نظام التعاون التقني ومجالات الأمن السيبراني، كما يمكن أن يشمل مُديراً للبيانات يمكن أن يكفل تصنيف آراء شعبة الشؤون المدنية على النحو الصحيح وضبطها، بعد كل ذلك، قد تتضمن وثائق الهيكل الأمني نفسه تفاصيل حساسة عن أوجه الضعف والدعاوى.

أفضل الممارسات 7: الأشعة المرئية والقص

وفي حين أن آراء اللجنة هي في الواقع صورية، فإن العديد من وثائق الهياكل الأمنية لا تزال تعتمد اعتماداً كبيراً على جداول وقوائم النواحي، ومن أجل تعزيز الاتصالات، والاستثمار في مخططات عالية الجودة تُحكي قصة واضحة، فعلى سبيل المثال، يمكن أن تستخدم صوراً من طراز OV-1 لتصوير المستخدمين والمهاجمين والدفاعات وتدفقات البيانات في سيناريو البعثة، مع تحديد مدى تعقيدات الألوان لتحديد الحدود.

ويمكن أن تساعد تقنيات السحب الاستيعابية على وضع هيكل لمختلف الجمهور، إذ يمكن للزعماء الأقدم أن يستحدثوا مجموعة موجزة تنفيذية من الآراء تسلط الضوء على القدرات الأمنية الرئيسية ومواقع المخاطر، وبالنسبة للأفرقة التقنية، يقدموا آراء مفصلة مع معايير التشكيل ومواصفات الوصل بين الأطراف، ويستخدموا سلاسل سردية متسقة: مثلا " يوثق المستخدمون عبر CAC (V-5)، عملية تحديد الهوية التي تسمى خدمة PKI (SV-4)،

التصدي للتحديات المشتركة في الوثائق الأمنية الصادرة عن منظمة التعاون والتنمية في الميدان الاقتصادي

وحتى مع وجود أفضل الممارسات، يواجه الممارسون صعوبات متكررة، ويتمثل أحد التحديات في التوتر بين الشمولية والقدرة على القراءة، وكثيرا ما يشعر مهندسو الأمن بالضغط لتوثيق كل رقابة ممكنة، مما يؤدي إلى وجود رؤية واسعة النطاق لا يقرأها أحد، والحل هو إعطاء الأولوية لجميع الضوابط بحاجة إلى رأيهم الخاص، والتركيز على الضوابط التي تم تحديدها باعتبارها ذات أهمية بالغة أو عالية في تقييم المخاطر المتعلقة بالأمن السيبراني الذي يجريه النظام، ويتمثل التحدي الآخر في الحفاظ على الاتساق عند قيام جهات متعددة بالتحقق من الضوابط القائمة على النظامية التي تسهم في إعادة البناء.

وثمة تحد ثالث يتمثل في معالجة العلاقات الأمنية الدينامية مثل البنيانات ذات الثقة الصفرية التي تتحول فيها الحدود الاستئمانية على أساس السياق، وقد يلزم استكمال الآراء التقليدية التي وضعتها اللجنة والتي تستهدف النظم الثابتة بالآراء القائمة على القدرات والتي تصف السلوكيات التكييفية، ويمكن أن تمتد المحركات الأثرية لتشمل برنامج العمل الدولي للتنمية الزراعية بإضافة مخططات آلية للدولة أو استخدام حالات في إطار وجهة نظر " أوف " لالتقاط قرارات الثقة الدينامية.

الأدوات والتكنولوجيات اللازمة للمحفوظات الأمنية التابعة لبرنامج المساعدة الإنمائية

يمكن أن تشمل أدوات هيكل المشاريع التي تدعم استخدام القوة وآلية التنمية المستدامة (DM2) [الهجوم من القوات المسلحة]] [النظام المصمم] ، [تقييم البيانات] [المصفوفة المتوافقة مع البيانات] [الرمزية]

وبصرف النظر عن الأداة، يجب أن يكون الناتج متقاسما مع أصحاب المصلحة الذين قد لا يكون لديهم إمكانية الوصول إلى برامج النموذج، وأن تكون آراء التصدير بمثابة أرقام قياسية عالية الاستبانة بالنسبة للوثائق الكبيرة، وأن تحتفظ ببوابة هيكلية إلكترونية (مثلا باستخدام نظام SharePoint أو Confluence) تتيح الوصول إلى آخر النسخ، مع وضع بطاقات مضافة للتصنيف الأمني.

خاتمة

فوثيقة الهيكل الأمني باستخدام برنامج العمل الدولي لمكافحة المخدرات هو نظام منهجي يولد الوضوح والامتثال والثقة، إذ أن تحديد أهداف واضحة، واختيار الآراء المناسبة، ودمج المعايير، والحفاظ على الاتساق، ودمج التغيير، والتعاون على نطاق واسع، واستخدام المعالم المرئية القوية، يمكن للمهندسين المعماريين الأمنيين أن يخلقوا وثائق لا تلبي متطلبات الشراء فحسب، بل أيضاً تحسن الوضع الأمني بشكل حقيقي، ويدفع الاستثمار في وثائق البناء المعمارية العالية الجودة أرباحاً في جميع مراحل التطوير.

وللحصول على مزيد من القراءة، يرجى الرجوع إلى مواصفات الرسمية [DAF 2.02] ] و]NIST SP 800-53 Rev 5]]]، وهذه الموارد توفر السياق الموثوق والتفاصيل اللازمة لتنفيذ الممارسات المبينة هنا بدقة.