يسعى البنتاغون إلى إيجاد طريقة موضوعية لاختبار أدوات الامتثال لسياسة انعدام الثقة

يقول مكتب برنامج الثقة المعدومة التابع لوزارة الدفاع الأمريكية إنه يعمل على إنشاء شهادة داخلية مستقلة للأدوات التي تأتي عبر أبوابه للتأكد من أنها آمنة إلكترونيًا كما يزعمون.

راندي ريسنيك، مدير مكتب إدارة المحافظ المالية الثقة الصفرية وقال أحد المسؤولين في البنتاغون إن هناك حاجة إلى التحقق بشكل مستقل من مدى جودة المنتجات والخدمات التي يقدمها البائعون. كما أن إنشاء عملية موحدة متعددة الخطوات لضمان الامتثال لمبدأ عدم الثقة من شأنه أن يمنح وزارة الدفاع الثقة فيما تشتريه.

يبدأ التقييم بتقييم يعطي قراءة شاملة لتصميم الأمن السيبراني ويحدد المجالات التي يمكن للمطورين فيها معالجة الثغرات في وقت مبكر من العملية.

قال ريسنيك في مؤتمر صحفي: “لا يمكنك التلاعب بها حقًا لأنها 250 سؤالاً، ومن المرجح أن تضطر إلى الكذب في الكثير منها لتضليل النتائج”. مؤتمر تكنيت سايبر قدمته الجمعية الدولية لاتصالات وإلكترونيات القوات المسلحة في بالتيمور في 25 يونيو. “وإذا كنت تفكر في تصميم شيء ما وقمت بصدق بتنفيذ هذه العملية … فسوف يخبرك ذلك بالفجوة بين أينما كنت والـ 91 (الحد الأدنى) من الأنشطة. من المفيد معرفة هذا لأنه يمكنك حينها تصميم أو هندسة أو إصلاح كل ما عليك القيام به للوصول إلى الهدف.

يدفع مكتب رئيس المعلومات في البنتاغون عام 2027 ليكون العام الذي تتماشى فيه الوزارة بشكل كامل مع انعدام الثقة. وقد قدمت بالفعل خارطة طريق للقيام بذلك، تسمى استراتيجية ZT اعتبارًا من عام 2022 والتي قال ريسنيك إنه من غير المرجح أن يتم تحديثها. وبدلاً من ذلك، يركز القسم على إيجاد طرق لاختبار تصميماته بشكل موثوق من حيث الأمان ضد نقاط الضعف. تلقى القسم خطط ZT من الخدمات ووكالات وزارة الدفاع الأخرى، ولكنه يسعى الآن إلى عملية أكثر آلية وقابلة للتكرار لتقييمها لتحرير ساعات العمل والحفاظ على وتيرة سريعة.

بعد التقييم الأولي، قال ريسنيك إن الأداة ستخضع لعملية محاكاة تختبر فعليًا نقاط الضعف، وتقدم تعليقات عدة مرات حسب الحاجة لإصلاح الثغرات. وبعد ذلك، ستحتاج الأداة إلى مراجعة تقرير “الفريق الأرجواني” الذي يلخص نتائج الهجمات الدفاعية والهجومية على النظام.

وقال ريسنيك: “نحن نختبر نتائج محددة لـ ZT في كل جزء من خطوة الاختبار”. “هذه ليست مجرد تجربة عشوائية للفريق الأحمر. هذا في الواقع مفصل للغاية، ومحدد للغاية بشأن ما نريد أن يسعى إليه الفريق الأرجواني لإثبات أنه تكوين بدون ثقة.

إن العملية واضحة المعالم، ولكن هناك بعض التحديات التي تعترض تنفيذها. ويقول ريسنيك إن أكبر عقبة تواجهه هي الافتقار إلى الخبراء في الفريق الأرجواني.

وأضاف: “ليس لدينا ما يكفي من الموهبة”. “ليس لدينا ما يكفي من الناس. إنه استنزاف. لديهم مهام أخرى يتعين عليهم القيام بها».

ولتسريع التصاميم من خلال التعاون الأرجواني، قال ريسنيك إنه يريد إيجاد طريقة للحصول على مساعدة الصناعة والاختبار في بيئة محايدة بأقل التكاليف. وذكر أنه تم التفكير في جلب أفراد احتياطيين أو حرس متعددي العناصر لأداء بعض واجبات الفريق الأرجواني، لكن يجب أن تتم الموافقة عليهم من قبل وكالة الأمن القومي، وهو أمر يصعب العثور عليه.

الهدف النهائي هو استخدام التكنولوجيا والأتمتة لإنشاء عمليات قابلة للتكرار وفعالة تؤدي في النهاية إلى توقيع مسؤول القسم على حل ZT الذي يتمتع بدعم من فحص مستنير.

وقال: “ستكون هذه البوابة للسماح للمكونات بشراء حلول ZT المستهدفة أو المستوى المتقدم بشكل مؤكد قبل عام 2027”. “نريد السماح للقسم بالاختيار من قائمة الحلول… لتقليل مخاطر عدم نجاح ما يشترونه.”