البيانات المسروقة قد تنتظر سنوات: سباق تجهيز الأنظمة لعصر الحوسبة الكمومية

ببساطة

قد تُسرق بيانات مشفّرة اليوم، ثم تُفكّ شيفرتها في المستقبل إذا أصبحت الحواسيب الكمومية قوية بما يكفي. لذلك تحتاج الجهات الحكومية والعسكرية إلى معرفة أنظمتها وأجهزتها أولاً، ثم استبدال وسائل الحماية تدريجياً بوسائل مصممة لمقاومة هذا الخطر، من دون تعطيل عملها. الموعد الاتحادي المحدد لبعض الأنظمة عالية الأهمية هو نهاية عام 2030.

لم يعد الاستعداد للحواسيب الكمومية شأناً مؤجلاً إلى يوم ظهور جهاز قادر على كسر التشفير الشائع. فالمعضلة الأمنية تبدأ قبل ذلك بكثير: يمكن لمهاجم أن يجمع معلومات محمية الآن، ويحتفظ بها إلى أن تتطور قدراته على فكها. ولهذا تتحول مسألة الانتقال إلى أساليب تشفير جديدة إلى مشروع طويل يتطلب معرفة دقيقة بما تملكه المؤسسات، وتنسيقاً بين أصحاب الأنظمة ومورديها وسلاسل الإمداد.

الخطر الذي يبدأ قبل ظهور القدرة

تقوم حماية كثير من الاتصالات والملفات الرقمية على وسائل رياضية تجعل قراءة البيانات من دون المفتاح المناسب شديدة الصعوبة. لكن التقدم في الحوسبة الكمومية يثير احتمال أن تصبح بعض الأساليب المستخدمة اليوم قابلة للكسر بواسطة حاسوب كمومي قوي في المستقبل. لا يعني ذلك أن كل البيانات المشفّرة باتت مكشوفة الآن، ولا أن القدرات المتاحة لدى الخصوم معروفة على وجه الدقة؛ بل إن توقيت هذا التحول وحجمه غير محسومين، وهو ما يجعل الاستعداد المبكر مهماً.

في نقاش عُقد خلال مؤتمر TechNet Info-Pacific في هونولولو، وصف مات مكفادين، نائب رئيس قطاع الأمن السيبراني في شركة GDIT، نمطاً يُعرف بفكرة «اجمع الآن وافك لاحقاً». وفي هذا السيناريو، لا يحتاج المهاجم إلى قراءة البيانات فور سرقتها؛ يمكنه تخزين نسخ منها وانتظار تطور أدواته. وقد تبقى المعلومات الحساسة ذات قيمة لسنوات، ولذلك لا يحلّ تأخر فكها المشكلة بالنسبة إلى الجهة التي فقدتها.

تختلف حساسية البيانات باختلاف عمرها وقيمتها. فمعلومة تفقد أهميتها سريعاً قد لا تمثل الخطر نفسه الذي تمثله سجلات يُراد إبقاؤها سرية مدة طويلة. ومن هنا لا يكفي سؤال المؤسسة عما إذا كانت أنظمتها محمية في الوقت الراهن؛ عليها أيضاً التفكير في المدة التي ينبغي أن تظل فيها بياناتها آمنة، وفي احتمال أن يحتفظ طرف معاد بنسخ مشفّرة منها حتى يصبح فكها ممكناً.

وأشار مكفادين إلى أن مدى تقدم خصوم الولايات المتحدة في هذا المجال ليس معروفاً بالكامل. هذا القدر من عدم اليقين لا يقدم دليلاً على أن كل خصم يمتلك بالفعل حاسوباً كمومياً قادراً على كسر التشفير، لكنه يضع المؤسسات أمام تحدي التخطيط لاحتمال ذي عواقب كبيرة. فانتظار اليقين الكامل قد يترك وقتاً غير كافٍ لتغيير الأنظمة المعقدة التي تعتمد عليها الاتصالات والخدمات والمهام العسكرية.

ما المقصود بالتشفير المقاوم للكم

التشفير ما بعد الكم هو اسم لمجموعة من الخوارزميات الرياضية التي يُراد منها حماية الشبكات والأنظمة من الهجمات التي قد تستخدم الحواسيب الكمومية. والغاية ليست تشغيل كل مؤسسة على حاسوب كمومي، بل تحديث وسائل الحماية التي تعتمد عليها الأنظمة حتى لا تصبح عرضة لطريقة جديدة في معالجة المسائل الحسابية.

ويستلزم هذا التغيير أكثر من تثبيت برنامج جديد في لحظة واحدة. فالتشفير حاضر في أجزاء متعددة من البنية الرقمية، وقد يرتبط بإنشاء المفاتيح التي تسمح لطرفين بتبادل البيانات بأمان، أو بالتوقيعات الرقمية التي تساعد على التحقق من مصدر ملف أو رسالة وسلامتها. لذلك قد تحتاج مكونات مختلفة إلى خوارزميات مختلفة، كما أن معرفة مواضع استخدامها شرط لتحديد ترتيب التحديثات.

حددت الحكومة الأميركية مواعيد اتحادية لهذا العمل في أمر تنفيذي صدر في 22 يونيو. وبموجب الجدول الوارد فيه، ينبغي للأصول عالية القيمة والأنظمة ذات الأثر الكبير أن تستخدم التشفير ما بعد الكم لإرساء المفاتيح في موعد أقصاه 31 ديسمبر 2030. أما الموعد المحدد لاستخدامه في التوقيعات الرقمية فهو عام 2031. ويكشف اختلاف الموعدين أن الانتقال لا يُعامل كخطوة واحدة تشمل كل وظائف التشفير في الوقت نفسه.

هذه التواريخ ليست مجرد علامات على تقويم تقني؛ فهي تعني أن على الجهات المعنية أن تعمل قبل حلولها بوقت كافٍ. فالتقييم والتخطيط والتنسيق مع الموردين قد يستغرق مراحل متتابعة، فيما قد تكون هناك أنظمة لا يمكن تغييرها بسهولة أو من دون اختبار. وكلما تأخر اكتشاف اعتماد مهم على وسيلة تشفير معينة، ضاقت مساحة الوقت المتاحة لمعالجة المشكلة قبل الموعد المطلوب.

الجرد أولاً: لا يمكن تحديث ما لا تعرفه المؤسسة

تبدأ إحدى العقبات الأساسية بسؤال يبدو بسيطاً: ما الذي ينبغي حمايته وتحديثه؟ قد لا تملك المؤسسة صورة مكتملة عن جميع التطبيقات والأجهزة والشبكات التي تستخدم التشفير، أو عن الشهادات المرتبطة بها. وحذّر مكفادين من صعوبة تنفيذ الانتقال حين لا تعرف الجهة ما لديها؛ لذلك عدّ إعداد جرد شامل خطوة تأسيسية، لا إجراءً إدارياً يمكن تأجيله إلى نهاية المشروع.

هذا الجرد يفترض أن يحدد المكونات ذات الصلة في البيئة التقنية، وأن يوضح أين توجد وسائل التشفير وكيف تُستخدم، وما الشهادات التي تعتمد عليها التطبيقات والأجهزة والشبكات. فالقائمة لا تساعد على عدّ الأصول فحسب، بل تتيح للمسؤولين رؤية الروابط بينها. وقد يكون تحديث تطبيق واحد مرتبطاً بجهاز أو شبكة أو خدمة يقدمها طرف خارجي، ما يجعل التعامل مع العنصر بمعزل عن بقية النظام غير كافٍ.

كما أن معرفة الأصول تساعد على ترتيب الأولويات. فقد تحتاج الجهة إلى التمييز بين نظام عالي الأهمية وآخر أقل أثراً، وبين بيانات ينبغي أن تبقى سرية زمناً طويلاً وأخرى تتغير قيمتها بسرعة. ويتيح هذا الفهم توجيه الجهد إلى المواقع التي يمكن أن يؤدي تعطلها أو كشف بياناتها إلى عواقب أكبر. لكن ترتيب الأولوية لا يغني عن صورة شاملة؛ إذ يمكن أن تكون نقطة الاعتماد الحاسمة جزءاً صغيراً لا يظهر ما لم تُفحص العلاقات بين الأنظمة.

ومن التحديات التي تظهر سريعاً الاعتماد على مورّدين من خارج المؤسسة. فالتطبيق أو الجهاز قد يتضمن مكونات لا تتحكم فيها الجهة مباشرة، وقد تحتاج عملية التغيير إلى معلومات أو تحديثات من الشركة التي توفره. لذلك دعا مكفادين إلى تعاون أصحاب الأنظمة مع الموردين الخارجيين وسلاسل الإمداد، وإلى تشكيل فريق حوكمة يدفع العمل نحو الامتثال ويشرف على الاستعداد للتغييرات.

مرونة التشفير من دون إضعاف المهمة

لا يكفي اختيار خوارزمية جديدة إذا كان تغييرها لاحقاً بالغ الصعوبة. ولهذا تبرز فكرة المرونة التشفيرية: أن تُبنى البنية التقنية بحيث تستطيع التحول من وسيلة تشفير إلى أخرى عند الحاجة، مع استمرار أداء الأنظمة لمهماتها. ووصفت العقيد تاسيكا ديفيس، مديرة عمليات الأمن السيبراني واتصالات المقاتلين في قيادة القوات الجوية الأميركية في المحيط الهادئ، هذا التحول بأنه تهديد إضافي ينبغي أخذه في الحسبان عند تصميم بنية قادرة على الصمود.

المقصود بالمرونة ليس تغيير وسائل الحماية بلا تخطيط، بل تجنب الارتهان إلى خيار واحد يصعب استبداله. فإذا ظهرت حاجة إلى تحديث خوارزمية أو مكوّن، ينبغي أن تتمكن الجهة من الانتقال المنظم من دون أن تفقد الاتصال أو تقلل قدرة النظام على أداء وظيفته. ويكتسب هذا الاعتبار وزناً خاصاً في البيئات التي لا يمكن فيها قبول توقف طويل أو تراجع مفاجئ في الأداء.

وتبدأ هذه المرونة بفهم الصورة التقنية كاملة، لا بالنظر إلى جهاز منفرد أو تطبيق واحد. فقد تكون مكونات النظام موزعة بين شبكات وخدمات وأطراف مختلفة، وقد يترتب على تغيير في جزء منها أثر في أجزاء أخرى. لذلك شددت ديفيس على ضرورة تقييم البيئة من منظور التهديدات ككل، ثم التخطيط للتعامل معها ضمن بنية متماسكة. هذا المنظور يمنع أن يصبح تحديث عنصر واحد سبباً لمشكلة تشغيلية في عنصر يعتمد عليه.

ويزداد الأمر تعقيداً حين تكون المنصات المطلوب تحديثها غير ثابتة في مكان واحد لفترات طويلة. فالتخطيط لتغيير وسائل الحماية في منصة متحركة أو موزعة يختلف عن التعامل مع بيئة ثابتة ومركزية؛ إذ ينبغي أن يراعي استمرار الاتصال وقدرة النظام على مواصلة مهمته أثناء الانتقال. ولا يقدم هذا التحدي حلاً سريعاً، لكنه يوضح لماذا لا يمكن اختزال الاستعداد في شراء برنامج أو إعلان موعد نهائي.

عمل مؤسسي يتجاوز فريق الأمن

لأن التشفير قد يظهر في تطبيقات وأجهزة وشبكات من جهات متعددة، لا تقع مسؤولية الانتقال على فريق الأمن السيبراني وحده. يحتاج أصحاب الأنظمة إلى معرفة ما يعتمدون عليه، ويحتاج الموردون إلى توفير المعلومات والتحديثات المطلوبة، كما ينبغي أن تكون سلاسل الإمداد جزءاً من خطة العمل. ومن دون هذا التعاون قد تتوقف المؤسسة عند مكون لا تملك تفاصيله أو لا تستطيع تغييره منفردة.

يمكن لفريق الحوكمة أن يحدد المسؤوليات، ويتابع عمليات الجرد، ويربط الأولويات بالمواعيد المحددة، ويضمن أن تتوافق خطوات التحديث مع احتياجات التشغيل. كما يساعد وجود جهة تنسيق واضحة على كشف الاعتماد المتبادل بين أجزاء البنية الرقمية، بدلاً من أن يعمل كل فريق وفق قائمة منفصلة لا تتصل بخطط الآخرين. وهذا مهم بوجه خاص عندما يكون المورد الخارجي طرفاً في توفير عنصر لا يمكن استبداله بسرعة.

ومع ذلك، يظل التخطيط قائماً على موازنة جانبين: تقوية الحماية، والمحافظة على قدرة الأنظمة على العمل. فالتغيير الذي يرفع مستوى الأمان لكنه يعطل مهمة أساسية لا يحقق الغاية كاملة، كما أن تجنب التغيير حفاظاً على استمرارية التشغيل قد يترك البيانات مكشوفة لمخاطر مستقبلية. المطلوب هو بناء مسار تدريجي، يعتمد على معرفة الأصول والتهديدات، ويتيح إجراء التعديلات واختبارها بطريقة لا تضر بالوظائف الحيوية.

إن مواعيد 31 ديسمبر 2030 لإرساء المفاتيح، و2031 للتوقيعات الرقمية، تمنح الجهات إطاراً زمنياً واضحاً، لكنها لا تزيل تلقائياً التعقيدات التقنية والتنظيمية. ويبدأ التعامل الجاد معها بفهم ما تستخدمه المؤسسة اليوم، ثم تحديد ما يحتاج إلى التغيير، والتنسيق مع كل طرف يملك جزءاً من الحل. وكلما كانت هذه الصورة أوضح، أصبح الانتقال أقل اعتماداً على المفاجآت وأقدر على حماية البيانات والمهام.

الخاتمة

الاستعداد لعصر الحوسبة الكمومية ليس انتظاراً لحظة تصبح فيها الشيفرات الحالية قابلة للكسر، بل سباق تخطيط يبدأ قبلها. فاحتمال جمع البيانات المشفّرة الآن وفكها لاحقاً يجعل طول عمر المعلومات عاملاً أمنياً مهماً، رغم أن قدرات الخصوم وتوقيت تطورها لا يزالان غير معروفين بالكامل. ولهذا وضعت الحكومة الأميركية مواعيد محددة: 31 ديسمبر 2030 لاستخدام التشفير ما بعد الكم في إرساء المفاتيح للأصول عالية القيمة والأنظمة ذات الأثر الكبير، وعام 2031 للتوقيعات الرقمية. ويتطلب بلوغ هذه الأهداف جرداً شاملاً للتطبيقات والأجهزة والشبكات والشهادات، وتعاوناً مع الموردين وسلاسل الإمداد، وبنية مرنة تسمح بتحديث وسائل الحماية من دون تعطيل المهمات. أما الخطوة الأولى، كما توضح التحذيرات المطروحة في هونولولو، فهي أن تعرف المؤسسة ما تملكه وما يعتمد عليه عملها؛ فالتحديث لا يمكن أن يكون منظماً إذا بقيت مكونات النظام مجهولة.