قانون إدارة أمن المعلومات الفيدرالي لعام 2002

قانون إدارة أمن المعلومات الفيدرالي لعام 2002 هو قانون فيدرالي أمريكي صدر عام 2002. وأقرّ هذا القانون بأهمية أمن المعلومات وضورته جزء من المصالح الاقتصادية والأمنية الوطنية للولايات المتحدة الأمريكية. ويلزم القانون كل مؤسسة حكومية فيدرالية بوضع وتوثيق وتنفيذ برنامج على مستوى المؤسسة لتوفير أمن المعلومات لأنظمة المعلومات التي تدعم عمليات المؤسسة وأصولها، بما في ذلك تلك التي توفرها أو تديرها مؤسسة أخرى أو متعاقد أو مصدر آخر. لقد لفت قانون إدارة أمن المعلومات الفيدرالي الانتباه داخل الحكومة الفيدرالية إلى الأمن السيبراني، وأكد صراحةً على اعتماد سياسة قائمة على المخاطر لضمان أمن فعال من حيث التكلفة، ويلزم هذا القانون مسؤولي برامج المؤسسات، وكبار مسؤولي المعلومات، والمفتشين العامين بإجراء مراجعات سنوية لبرنامج أمن المعلومات التابع للمؤسسة، وتقديم نتائجها إلى مكتب الإدارة والميزانية. ويستخدم مكتب الإدارة والميزانية بدوره هذه البيانات للمساعدة في مسؤولياته الرقابية، ولتقديم تقرير سنوي إلى الكونغرس حول مدى امتثال الوكالة أو المؤسسة للقانون.FY 2005 Report to Congress on Implementation of The Federal Information Security Management Act of 2002 في السنة المالية 2008، أنفقت الوكالات والمؤسسات الفيدرالية 6.2 مليار دولار أمريكي لتأمين إجمالي استثمارات الحكومة في تقنيات المعلومات، والتي بلغت حوالي 68 مليار دولار أمريكي، أي ما يعادل حوالي 9.2% من إجمالي محفظة تقنيات المعلومات.FY 2008 Report to Congress on Implementation of The Federal Information

عُدِّل قانون إدارة أمن المعلومات الفيدرالي لعام 2002 بموجب تعديل قانون أمن المعلومات الفيدرالي الصادر في عام 2014، والمعروف أحيانًا باسم إصلاح قانون إدارة أمن المعلومات الفيدرالي لعام 2014، حيث حُذفت الفصول الفرعية الثانية والثالثة من الفصل 35 من العنوان 44 من قانون الولايات المتحدة، واستُبدلت بنص القانون الجديد في الفصل الفرعي الثاني الجديد.

 الأهداف 
أسند قانون إدارة أمن المعلومات الفيدرالي لعام 2002 مسؤوليات محددة إلى المؤسسات والوكالات الفيدرالية، والمعهد الوطني للمعايير والتقانة، ومكتب الإدارة والميزانية بهدف تعزيز أنظمة أمن المعلومات. ويُلزم القانون، على وجه الخصوص، رئيس كل وكالة بتطبيق سياسات وإجراءات للحد من مخاطر أمن تقانة المعلومات إلى مستوى مقبول وبتكلفة معقولة. ويعني مصطلح أمن المعلومات بحسب ما ورد في قانون إدارة أمن المعلومات الفيدرالي لعام 2002 حماية المعلومات وأنظمة المعلومات من الوصول غير المصرح به، أو الاستخدام، أو الكشف، أو التعطيل، أو التعديل، أو التدمير، وذلك لضمان سلامتها، وسريتها، وتوافرها.

 تطبيق القانون 
يتولى المعهد الوطني للمعايير والتقانة، وفقًا لقانون إدارة أمن المعلومات الفيدرالي لعام 2002، مسؤولية وضع المعايير والمبادئ التوجيهية، والأساليب والتقنيات المرتبطة بها، لتوفير أمن معلومات كافٍ لجميع عمليات الوكالات وأصولها، باستثناء أنظمة الأمن القومي. ويعمل المعهد الوطني للمعايير والتقانة بشكل وثيق مع الوكالات والمؤسسات الفيدرالية لتحسين فهمها وتطبيقها لقانون إدارة أمن المعلومات الفيدرالي لحماية معلوماتها وأنظمة المعلومات الخاصة بها، وينشر المعايير والمبادئ التوجيهية التي تُشكل الأساس لبرامج أمن معلومات قوية في الوكالات. ويتولى المعهد الوطني للمعايير والتقانة مسؤولياته القانونية من خلال قسم أمن الحاسوب في مختبر تقانة المعلومات. ويضع المعهد المعايير والمقاييس والاختبارات وبرامج التحقق لتعزيز وقياس والتحقق من أمن أنظمة وخدمات المعلومات. ويُشرف المعهد على ما يلي:

 مشروع تطبيق قانون إدارة أمن المعلومات الفيدرالي.
 برنامج أتمتة أمن المعلومات.
 قاعدة البيانات الوطنية للثغرات الأمنية، وهي بمثابة مستودع المحتوى الحكومي الأمريكي لبرنامج أتمتة أمن المعلومات، وبروتوكول أتمتة محتوى الأمان. تُشكل قاعدة البيانات الوطنية للثغرات الأمنية مستودع الحكومة الأمريكية لبيانات إدارة الثغرات الأمنية القائمة على المعايير، وتتيح هذه البيانات أتمتة إدارة الثغرات الأمنية وقياس الأمن والامتثال للقوانين (مثل قانون إدارة أمن المعلومات الفيدرالي).

 إطار الامتثال المُحدد بموجب قانون إدارة أمن المعلومات الفيدرالي والمعايير الداعمة له 
حدّد قانون إدارة أمن المعلومات الفيدرالي لعام 2002 إطارًا لإدارة أمن المعلومات، يجب اتباعه لجميع أنظمة المعلومات التي تستخدمها أو تُشغلها أي وكالة أو مؤسسة حكومية اتحادية أمريكية في السلطتين التنفيذية والتشريعية، أو التي تُشغلها جهة مُتعاقدة أو جهة أخرى نيابةً عن وكالة اتحادية في تلك السلطتين. ويُحدد هذا الإطار أيضًا المعايير والإرشادات التي وضعها المعهد الوطني للمعايير والتقانة على النحو التالي:The 2002 Federal Information Security Management Act (FISMA)

 جرد أنظمة المعلومات 
يشترط قانون إدارة أمن المعلومات الفيدرالي لعام 2002 أن يكون لدى الوكالات جردٌ لأنظمة المعلومات. ووفقًا لهذا القانون، يُلزم رئيس كل وكالة أو مؤسسة حكومية بإعداد وصيانة جردٍ لأنظمة المعلومات الرئيسية (بما في ذلك أنظمة الأمن القومي الرئيسية) التي تُشغّلها أو تخضع لسيطرتها. ويشمل تحديد أنظمة المعلومات في أي جردٍ بموجب هذا البند الفرعي تحديد الواجهات بين كل نظامٍ من هذه الأنظمة وجميع الأنظمة أو الشبكات الأخرى، بما في ذلك تلك التي لا تُشغّلها الوكالة أو تخضع لسيطرتها. وتتمثل الخطوة الأولى في تحديد ماهية نظام المعلومات المعني. لا يوجد ربطٌ مباشرٌ بين أجهزة الحواسيب ونظام المعلومات، بل قد يتألف نظام المعلومات من مجموعةً حواسيب فردية مُخصّصة لغرضٍ مشترك تحت إدارة مالك النظام نفسه. ويُقدّم دليلُ تطوير خطط الأمن لأنظمة المعلومات الفيدرالية إرشاداتٍ حول تحديد حدود النظام.NIST SP 800-18, Revision 1, "Guide for Developing Security Plans for Federal Information Systems"

 تصنيف المعلومات وأنظمة المعلومات حسب مستوى المخاطر 
ينبغي تصنيف جميع أنظمة المعلومات بناءًا على أهداف توفير مستويات مناسبة من أمن المعلومات، وفقًا لمجموعة من مستويات المخاطر. يُقدم أول معيار أمان إلزامي بموجب تشريع إدارة أمن المعلومات الفيدرالي ومعايير التصنيف الأمني لأنظمة المعلومات والمعلومات الفيدرالية، تعريفات لفئات الأمان. وتُقدم الإرشادات في دليل المعهد الوطني للمعايير والتقانة لكيفية ربط أنواع المعلومات وأنظمة المعلومات بفئات الأمان.

يُمثل تصنيف النظام وأنظمة المعلومات حسب مستوى المخاطر أعلى مستوى لتقييم تأثير أيٍّ من معايير أنواع المعلومات الموجودة في النظام. فعلى سبيل المثال، إذا كان أحد أنواع المعلومات في النظام مُصنّفًا على أنه «منخفض السرية والسلامة والتوافر»، بينما كان نوع آخر مُصنّفًا على أنه «منخفض السرية والتوافر» و«متوسط السلامة»، فإن مستوى تأثير السلامة يصبح متوسطا أيضًا.

 ضوابط الأمن 
وفقًا لقانون إدارة أمن المعلومات الفيدرالي لعام 2002، يجب أن تستوفي أنظمة المعلومات الفيدرالية الحد الأدنى من متطلبات الأمن. وتتمثل هذه المتطلبات في معيار الأمن الإلزامي الثاني المطلوب بموجب القانون، في الحد الأدنى من متطلبات الأمن لأنظمة المعلومات الفيدرالية. كما يجب على المؤسسات استيفاء الحد الأدنى من متطلبات الأمن من خلال اختيار ضوابط الأمن ومتطلبات الضمان المناسبة كما هو موضح في المنشور الخاص للمعهد الوطني للمعايير والتقانة حول ضوابط الأمن الموصى بها لأنظمة المعلومات الفيدرالية. تُعد عملية اختيار ضوابط الأمن ومتطلبات الضمان المناسبة لأنظمة المعلومات التنظيمية لتحقيق الأمن الكافي نشاطًا متعدد الجوانب وقائمًا على المخاطر، يشارك فيه موظفو الإدارة والتشغيل داخل المؤسسة. تتمتع الوكالات بمرونة في تطبيق ضوابط الأمن الأساسية وفقًا لإرشادات التخصيص الواردة في المنشور، ويتيح ذلك للوكالات تعديل ضوابط الأمن لتناسب متطلبات مهامها وبيئاتها التشغيلية بشكل أدق. يجب توثيق الضوابط المختارة أو المخطط لها في خطة أمن النظام.

 تقييم المخاطر 
يتطلب الجمع بين معيار تصنيف المعلومات وأنظمة المعلومات حسب مستوى الخطورة وبين المنشور الخاص بالمعهد الوطني للمعايير والتقانة مستوى أساسيًا من الأمن لجميع المعلومات وأنظمة المعلومات الفيدرالية. يُثبت تقييم المخاطر الذي تجريه الوكالة صحة مجموعة ضوابط الأمن، ويحدد ما إذا كانت هناك حاجة إلى أي ضوابط إضافية لحماية عمليات الوكالة أو المؤسسة الحكومية (بما في ذلك مهمتها، ووظائفها، وصورتها، أو سمعتها)، أو أصولها، أو أفرادها، أو منظمات ومؤسسات أخرى، أو الدولة ككُل. تُرسي مجموعة ضوابط الأمن الناتجة مستوىً من العناية الأمنية الواجبة على للوكالة الفيدرالية ومتعاقديها.NIST SP 800-53A "Guide for Assessing the Security Controls in Federal Information Systems" يبدأ تقييم المخاطر بتحديد التهديدات والثغرات الأمنية المحتملة، وربط الضوابط المُطبقة بكل ثغرات على حدة. ثم يُحدد الخطر بحساب احتمالية وتأثير استغلال أي ثغرة أمنية، مع مراعاة الضوابط الحالية. يُظهر تقييم المخاطر في نهايته المخاطر المحسوبة لجميع الثغرات، ويصف ما إذا كان ينبغي قبول الخطر أو التخفيف منه. وفي حال التخفيف من حدته بتطبيق أحد الضوابط، يجب وصف ضوابط الأمن الإضافية التي ستُضاف إلى النظام. كما أطلق المعهد الوطني للمعايير والتقانة برنامج أتمتة أمن المعلومات وبروتوكول أتمتة محتوى الأمن اللذين يدعمان ويكملان النهج المتبع لتحقيق تقييمات متسقة وفعالة من حيث التكلفة لضوابط الأمن.

 خطة أمن النظام 
ينبغي على الجهات الفاعلة وضع سياسة بشأن عملية تخطيط أمن النظام. يقدم المعيار مفهوم خطط أمن النظام، والتي تكون عبارة عن وثائق حية تتطلب مراجعة وتعديلًا دوريًا، بالإضافة إلى خطط عمل ومعالم رئيسية لتطبيق ضوابط الأمن. يجب وضع إجراءات تحدد من يراجع الخطط، ويحافظ على تحديثها، ويتابع ضوابط الأمن المخطط لها. وتُعد خطة أمن النظام بمثابة المدخل الرئيسي لعملية إصدار الشهادات والاعتماد الأمني للنظام. خلال عملية إصدار الشهادات والاعتماد الأمني، يتم تحليل خطة أمن النظام وتحديثها وقبولها. يؤكد وكيل الاعتماد أن ضوابط الأمن الموضحة في خطة أمن النظام تتوافق مع أمن المعلومات المحددة للنظام وفقًا لتصنيف المعلومات وأنظمة المعلومات حسب مستوى المخاطر، وأن تحديد التهديدات والثغرات الأمنية والتحديد الأولي للمخاطر مُحدد وموثق في خطة أمن النظام، أو تقييم المخاطر، أو وثيقة مماثلة.

 الاعتماد والتصديق 
بمجرد اكتمال توثيق النظام وتقييم المخاطر، يجب مراجعة ضوابطه واعتمادها لضمان عملها بشكل صحيح. ويُعتمد نظام المعلومات بناءًا على نتائج المراجعة. تُعرّف عملية الاعتماد والتصديق في دليل مصادقة واعتماد أنظمة المعلومات الفيدرالية. والاعتماد الأمني هو القرار الإداري الرسمي الذي يتخذه مسؤول كبير في الوكالة للسماح بتشغيل نظام المعلومات، والقبول الصريح للمخاطر التي قد تتعرض لها عمليات الوكالة أو أصولها أو أفرادها، بناءًا على تطبيق مجموعة متفق عليها من ضوابط الأمن. وفقًا لما نص عليه الملحق الثالث من تعميم مكتب الإدارة والميزانية رقم أ-130، يُوفر الاعتماد الأمني شكلاً من أشكال مراقبة الجودة، ويُشكل تحديًا للمديرين والموظفين الفنيين على جميع المستويات لتطبيق أكثر ضوابط الأمن فعاليةً في نظام المعلومات، مع مراعاة متطلبات المهمة، والقيود الفنية، والقيود التشغيلية، وقيود التكلفة/الجدول الزمني. وبمجرد اعتماده لنظام المعلومات، فإن مسؤول الوكالة يتحمل مسؤولية أمن النظام، ويكون مسؤولاً مسؤولية كاملة عن أي آثار سلبية قد تلحق بالوكالة في حال حدوث خرق أمني. وبالتالي، تُعدّ المسؤولية والمساءلة مبدأين أساسيين يُميّزان الاعتماد الأمني. ومن الضروري أن يمتلك مسؤولو الوكالة معلوماتٍ كاملةً ودقيقةً وموثوقةً قدر الإمكان حول الحالة الأمنية لأنظمة المعلومات الخاصة بهم، وذلك لاتخاذ قراراتٍ سريعةٍ وموثوقةٍ وقائمةٍ على تحديد المخاطر بشأن السماح بتشغيل تلك الأنظمة.NIST SP 800-37 "Guide for Applying the Risk Management Framework to Federal Information Systems

تُطوّر المعلومات والأدلة الداعمة اللازمة للاعتماد الأمني خلال مراجعةٍ أمنيةٍ مُفصّلةٍ لنظام المعلومات، تُعرف عادةً باسم شهادة الأمن. تُعتبر شهادة الأمن بمثابة تقييم شامل لضوابط الأمن الإدارية والتشغيلية والفنية في نظام معلومات، يُجرى لدعم اعتماد الأمن، لتحديد مدى صحة تطبيق الضوابط، وعملها على النحو المنشود، وتحقيقها للنتيجة المرجوة فيما يتعلق بتلبية متطلبات أمن النظام. تُستخدم نتائج شهادة الأمن لإعادة تقييم المخاطر وتحديث خطة أمن النظام، مما يوفر أساسًا واقعيًا للمسؤول المُصرّح له لاتخاذ قرار اعتماد الأمن.

 المراقبة المستمرة 
يُطلب من جميع الأنظمة المعتمدة مراقبة مجموعة مختارة من ضوابط الأمن، ويتم تحديث وثائق النظام لتعكس التغييرات والتعديلات التي تطرأ عليه. ينبغي أن تؤدي التغييرات الكبيرة في ملف تعريف أمان النظام إلى تحديث تقييم المخاطر، وقد تحتاج الضوابط التي خضعت لتعديلات جوهرية إلى إعادة اعتمادها. وتشمل أنشطة المراقبة المستمرة إدارة التكوين والتحكم في مكونات نظام المعلومات، وتحليلات الأثر الأمني للتغييرات على النظام، والتقييم المستمر لضوابط الأمن، وإعداد تقارير الحالة. تضع المؤسسة معايير الاختيار، ثم تختار مجموعة فرعية من ضوابط الأمن المستخدمة في نظام المعلومات للتقييم. كما تضع المؤسسة جدولًا زمنيًا لمراقبة الضوابط لضمان تحقيق تغطية كافية.

 الانتقادات 
وصف خبيرا الأمن، بروس برودي، كبير مسؤولي أمن المعلومات الفيدرالي السابق، وآلان بالير، مدير الأبحاث في معهد سانس للتقانة المتقدمة، قانون إدارة أمن المعلومات الفيدرالي لعام 2002 بأنه أداة حسنة النية لكنها معيبة جوهريًا، إذ رأوا أن منهجية الامتثال والإبلاغ التي يفرضها قانون إدارة أمن المعلومات الفيدرالي تقيس مدى التخطيط الأمني بدلاً من قياس مدى أمن المعلومات الفعلي. كذلك أفاد كيث رودس، كبير المسؤولين التقنيين السابق في مكتب المحاسبة العامة، إن قانون إدارة أمن المعلومات الفيدرالي يمكنه أن يساعد في تأمين أنظمة الحكومة، وقد ساعد بالفعل، ولكن كيفية التنفيذ هي الأهم من كل شيء، فإذا نظر العاملون في مجال الأمن إلى قانون إدارة أمن المعلومات الفيدرالي باعتباره مجرد قائمة تحقق، فلن يتم إنجاز أي شيء.

 مراجع 



تصنيف:الولايات المتحدة في 2002
تصنيف:أمن البيانات
تصنيف:أمن الحاسوب
تصنيف:جريمة سيبرانية
تصنيف:قانون الولايات المتحدة
تصنيف:قانون الولايات المتحدة الفدرالي
تصنيف:قوانين
تصنيف:قوانين الكونغرس الأمريكي السابع بعد المئة