معايير تقييم نظام الحاسوب الموثوق

معايير تقييم أنظمة الحاسوب الموثوقة ( TCSEC ) هي معيار تابع لوزارة الدفاع الأمريكية يحدد المتطلبات الأساسية لتقييم فعالية ضوابط أمن الحاسوب المدمجة في نظام الحاسوب . وقد استُخدمت معايير TCSEC لتقييم وتصنيف واختيار أنظمة الحاسوب التي يُنظر في استخدامها لمعالجة وتخزين واسترجاع المعلومات الحساسة أو السرية . ^{[ 1 ]}

يُعدّ دليل TCSEC، الذي يُشار إليه غالبًا باسم " الكتاب البرتقالي" ، محور سلسلة منشورات وزارة الدفاع الأمريكية " سلسلة قوس قزح" . صدر الدليل لأول مرة عام 1983 عن المركز الوطني لأمن الحاسوب (NCSC)، التابع لوكالة الأمن القومي ، ثم جرى تحديثه عام 1985، قبل أن يُستبدل في نهاية المطاف بالمعيار الدولي "المعايير المشتركة" ، الذي نُشر لأول مرة عام 2005.

بحلول أواخر الستينيات، قطعت الوكالات الحكومية، شأنها شأن مستخدمي الحواسيب الآخرين، شوطًا كبيرًا في الانتقال من المعالجة الدفعية إلى أنظمة متعددة المستخدمين وأنظمة المشاركة الزمنية. وكانت وكالة مشاريع البحوث المتقدمة التابعة لوزارة الدفاع الأمريكية (ARPA)، والتي تُعرف الآن باسم داربا (DARPA ) ، ممولًا رئيسيًا لأبحاث المشاركة الزمنية. ^{[ 1 ]} وبحلول عام 1970، كانت وزارة الدفاع تخطط لعملية شراء ضخمة لأجهزة الحاسوب المركزية، تُعرف باسم نظام القيادة والسيطرة العسكرية العالمي (WWMCCS)، لدعم عمليات القيادة العسكرية. وقد برزت الرغبة في مواجهة التحديات الأكثر تقدمًا مبكرًا. فعلى سبيل المثال، قدمت قيادة النقل الجوي العسكري التابعة للقوات الجوية (MAC) للقوات المسلحة خدمة شحن جوي ونقل ركاب غير مصنفة إلى حد كبير، ولكن في حالات نادرة، كان يُطلب منها تصنيف بعض مهامها باستخدام الطائرات والأطقم نفسها، كما هو الحال في حالات الطوارئ العسكرية أو العمليات الخاصة. بحلول عام 1970، كانت شركة MAC قد أوضحت متطلبات معالجة المعلومات السرية على أجهزة الكمبيوتر المركزية WWMCCS التي ستصل قريبًا، مع السماح للمستخدمين غير الحاصلين على تصريح أمني بالوصول إلى المعلومات السرية (المستخدمين غير المصرح لهم) بالوصول إلى أجهزة الكمبيوتر المركزية. ^{[ 2 ]}

استجاب مجتمع الأمن القومي للتحديات بطريقتين: كلف مكتب وزير الدفاع بإجراء دراسة حول السياسات والقضايا التقنية المرتبطة بتأمين أنظمة الكمبيوتر، بينما مولت وكالة مشاريع الأبحاث المتقدمة (ARPA) تطوير نموذج أولي لنظام تشغيل آمن يمكنه معالجة المعلومات السرية وحمايتها.

نُظِّمَت هذه الدراسة تحت مسمى فرقة عمل مجلس العلوم الدفاعية المعنية بأمن الحاسوب، برئاسة الراحل ويليس وير. وضمّت في عضويتها خبراء تقنيين من الحكومة وشركات المقاولات الدفاعية، بالإضافة إلى مسؤولين أمنيين من وزارة الدفاع ومجتمع الاستخبارات. اجتمعت فرقة العمل بين عامي 1967 و1969، وأصدرت تقريرًا سريًا أُتيح للمنظمات الحاصلة على تصريح أمني مناسب ابتداءً من عام 1970. ^{[ 3 ]} وقدّم تقرير وير ، كما عُرِف تقرير فرقة عمل مجلس العلوم الدفاعية، إرشاداتٍ حول تطوير وتشغيل أنظمة حاسوب متعددة المستخدمين تُستخدم لمعالجة المعلومات السرية.

في أوائل سبعينيات القرن الماضي، وُجّهت متطلبات القوات الجوية الأمريكية لتطوير قدرات جديدة لأنظمة الحاسوب إلى قسم الأنظمة الإلكترونية التابع للقوات الجوية (ESD)، والذي عُرف لاحقًا باسم مركز الأنظمة الإلكترونية في قاعدة هانسكوم الجوية بولاية ماساتشوستس. تلقى قسم الأنظمة الإلكترونية الدعم والمشورة التقنية من مؤسسة MITRE ، إحدى مراكز البحث والتطوير الممولة اتحاديًا في البلاد . اقترح تقرير مبكر صادر عن MITRE ^{[ 2 ]} مناهج بديلة لتلبية متطلبات التحكم في الوصول إلى الوسائط (MAC) دون الحاجة إلى تطوير نظام تشغيل آمن متعدد المستويات، على أمل أن تتجنب هذه المناهج المشكلات التي وصفها تقرير وير بأنها مستعصية.

نشرت غريس هاموندز نيبالدي، أثناء عملها في مؤسسة مايتر، تقريرًا وضع الخطط الأولية لتقييم أنظمة التشغيل التجارية الجاهزة . ^{[ 4 ]} ويؤكد تقرير نيبالدي بشدة على أهمية الأمن الإلزامي. وكما هو الحال في الكتاب البرتقالي الذي تلاه، يُحدد التقرير سبعة مستويات للمنتجات المُقَيَّمة، حيث يُخصص المستوى الأدنى والأقل أمانًا (0) للمنتجات "غير المُقَيَّمة". وفي مخطط نيبالدي، يجب أن تتضمن جميع المستويات، باستثناء المستوى 1 (أدنى مستوى يخضع للتقييم فعليًا)، ميزات أمنية إلزامية شاملة.

بدأ العمل على كتاب أورانج عام ١٩٧٩. وكان إعداد هذا الكتاب مشروعًا ضخمًا امتد من تقرير نيبالدي عام ١٩٧٩ ^{[ ٤ ]} إلى إصداره الرسمي عام ١٩٨٣. وكانت المسودة الأولى لمعايير التقييم هي الكتاب الأزرق الذي صدر في مايو ١٩٨٢. ^{[ ١ ]} ونُشر كتاب أورانج في أغسطس ١٩٨٣. وكانت شيلا براند المؤلفة الرئيسية، وساهم عدد من الأشخاص الآخرين بشكل أساسي في تطويره، من بينهم غريس هاموندز نيبالدي وبيتر تاسكر من شركة ميتري ، ودان إدواردز وروجر شيل ومارفين شيفر من المؤتمر الوطني لأمن الحاسوب، وتيد لي من شركة يونيفاك . كما ذُكر عدد من الأشخاص من الحكومة والمتعاقدين معها والموردين، بمن فيهم جيم أندرسون وستيف ووكر وكلارك وايزمان وستيف ليبنر، كمراجعين أثروا في محتوى المنتج النهائي. ^{[ ١ ]}

في عام 1999، تم استبدال كتاب أورانج بالمعايير الدولية المشتركة لتقييم أمن تكنولوجيا المعلومات . ^{[ 1 ]}

في 24 أكتوبر 2002، تم إلغاء الكتاب البرتقالي (المعروف أيضًا باسم DoDD 5200.28-STD) بواسطة DoDD 8500.1، والذي أعيد إصداره لاحقًا باسم DoDI 8500.02، في 14 مارس 2014. ^{[ 5 ]}

تُحدد هيئة أمن الاتصالات في تكساس (TCSEC) أربعة أقسام: D وC وB وA، حيث يتمتع القسم A بأعلى مستوى من الأمان. يُمثل كل قسم فرقًا جوهريًا في مستوى الثقة التي يُمكن أن يضعها الفرد أو المؤسسة على النظام المُقيّم. بالإضافة إلى ذلك، تُقسّم الأقسام C وB وA إلى سلسلة من التقسيمات الهرمية الفرعية تُسمى الفئات: C1 وC2 وB1 وB2 وB3 وA1. ^{[ 7 ]}

يقوم كل قسم وفئة بتوسيع أو تعديل متطلبات القسم أو الفئة السابقة مباشرة، حسب ما هو مذكور. ^{[ 7 ]}

يُعد المنشور المعنون "لائحة الجيش 380-19" مثالاً على دليل لتحديد فئة النظام التي ينبغي استخدامها في موقف معين. ^{[ 13 ]}

• تم استبدال AR 380-19 بـ AR 25-2
• معايير تقييم منتجات الحاسوب الموثوقة الكندية
• المعايير المشتركة
• أمن تكنولوجيا المعلومات
• سلسلة قوس قزح
• وحدة النظام الأساسي الموثوقة

• معهد الأمن القومي - معايير تقييم أنظمة الحاسوب الموثوقة 5200.28-STD
• معايير تقييم نظام الحاسوب الموثوق به التابع لوزارة الدفاع الأمريكية (FAS IRP DOD 5200.28)
• معايير التقييم الفني المقترحة لأنظمة الحاسوب الموثوقة