تقييم الجاهزية للتشفير ما بعد الكمي.

ما المقصود بالجاهزية للتشفير ما بعد الكمي؟

التشفير ما بعد الكمي (PQC) هو تشفير مصمّم لمقاومة الهجمات باستخدام الحواسيب الكمية. ويبدأ الاستعداد للانتقال بفهم الأنظمة التي تعتمد على التشفير، وما تحميه، وكيف يمكن تغيير مكوناتها التشفيرية.

يجمع تقييم الجاهزية هذه الأسئلة في مراجعة محددة النطاق. ويساعدك على تحديد المعلومات الناقصة والتخطيط لأعمال الحصر الإضافية ومناقشات الموردين ومراحل الانتقال.

ما الذي نراجعه؟

• الحصر ووضوح المعلومات: السجلات المتاحة لاستخدام التشفير، والمسؤولون عنها، والنواقص التي تحتاج إلى استقصاء إضافي.
• الاعتماديات التقنية: التطبيقات والشهادات الرقمية وخدمات الهوية والاتصالات والبنية التحتية والمكونات التي يديرها الموردون ضمن النطاق.
• البيانات وأولويات العمل: المعلومات المطلوب حمايتها، والمدة اللازمة للحفاظ على سريتها، والخدمات الأهم للمؤسسة.
• قيود الانتقال: خطط الموردين والأنظمة القديمة ومتطلبات التوافق ودورات استبدال المعدات والموافقات على التغيير.
• المسؤوليات: أصحاب القرار والفرق المكلفة بجمع الأدلة وتنسيق المراحل التالية.

كيف نجري التقييم؟

• تحديد النطاق: نتفق على الخدمات والأنظمة والأسئلة التي سيعالجها التقييم.
• مراجعة المعلومات المتاحة: نفحص الحصر والمستندات المتفق عليها مع الفرق المسؤولة.
• تحديد النواقص والاعتماديات: نميّز بين ما تثبته الأدلة وما يحتاج إلى حصر إضافي أو تأكيد من المورد.
• إعداد خارطة الطريق: نقترح الأولويات والمسؤوليات والمتطلبات اللازمة لبرنامج انتقال على مراحل.

ما المخرجات التي تحصل عليها؟

• ملخص للجاهزية يوضح النطاق الذي تمت مراجعته والأدلة المتاحة.
• مراجعة لحصر الأصول التشفيرية المتفق عليه، تشمل نواقص المعلومات وأسئلة المتابعة.
• سجل مرتب حسب الأولوية للاعتماديات ومخاطر التخطيط والأسئلة الموجهة للموردين.
• خارطة طريق مقترحة للانتقال، مع مناقشة القرارات اللازمة للتقدم فيها.

من تقييم الجاهزية إلى التخطيط للانتقال

يركز هذا العمل على تقييم الجاهزية والتخطيط. أما الحصر الآلي واستبدال المكونات التشفيرية وتنفيذ الانتقال في أنظمة الإنتاج واختبارات التوافق بين الأنظمة فهي أنشطة منفصلة، ولا تدخل ضمن نطاق هذا التقييم.

يمكن الاستفادة من موارد NIST الخاصة بالانتقال إلى التشفير ما بعد الكمي عند إعداد المراجعة. ونوثّق المراجع والافتراضات المتفق عليها، ونناقش أي متطلبات خاصة بالجهة ضمن نطاق العمل.

ماذا تجهّز للمناقشة الأولى؟

جهّز ما يتوفر من سجلات التشفير أو الشهادات الرقمية، ونظرة عامة على التطبيقات والموردين المهمين، والقيود المعروفة المرتبطة بالأنظمة القديمة أو البيانات التي تتطلب سرية طويلة الأمد. وإذا كان الحصر غير مكتمل، فوضّح المعلومات المتاحة لنتفق على نطاق واقعي للتقييم.

أسئلة حول الجاهزية للتشفير ما بعد الكمي

هل نحتاج إلى حصر كامل للأصول التشفيرية قبل البدء؟

لا. يمكننا مراجعة السجلات المتاحة ضمن النطاق المتفق عليه وتحديد نواقصها. وقد تحدد الخطة الناتجة مواضع تحتاج إلى حصر إضافي؛ ولا نفترض أن الحصر غير المكتمل يمثل جميع الأنظمة.

هل يمكن أن يشمل التقييم اعتماديات التقنيات التشغيلية؟

نعم. يمكن، بالاتفاق، مراجعة الاعتماديات التشفيرية المرتبطة بالأنظمة التشغيلية. وتدخل ضمن مناقشة التخطيط مسائل دعم الموردين وقيود التشغيل ودورات استبدال المعدات.

هل يعني إكمال تقييم الجاهزية أن الأنظمة أصبحت آمنة ضد الهجمات الكمية؟

يوفر التقييم أدلة وخطة لدعم القرارات. أما تغيير الأنظمة والتحقق من تلك التغييرات فهما مرحلتان لاحقتان؛ ولا يكتمل الانتقال بمجرد إجراء تقييم الجاهزية.

المراجع

• NIST NCCoE — الانتقال إلى التشفير ما بعد الكمي