تتطلب حماية الأسرار التجارية في تطبيقات المراسلة مجموعة من الضوابط: وصول الموظفين، وأمن الأجهزة، وإدارة المجموعات، والاحتفاظ بالملفات، والتشفير. قد تكون مقاومة التهديدات الكمية مهمة للمعلومات التي يجب أن تظل سرية مدة طويلة، لكنها لا تحل محل هذه الضوابط، ولا تضمن وحدها «أمن المؤسسة».
حدّد أولًا ما الذي يجب أن يبقى سريًا
أعدّ قائمة بالبيانات ومسارات انتقالها: فخريطة المنتج والعقود ومعلومات العملاء ومفاتيح الوصول وملفات البحث لا تنطوي بالضرورة على المخاطر نفسها. اسأل عن كل فئة: من ينبغي أن يطّلع عليها، وما عواقب انكشافها، وإلى متى يجب أن تبقى سرية؟
يؤكد دليل NIST للانتقال إلى تشفير ما بعد الكم أهمية تحديد الأصول والاعتماديات التشفيرية. من دون هذه القائمة، قد ترقّي تطبيق المراسلة بينما تبقى نسخة من الملف نفسه في البريد الإلكتروني أو مساحة مشتركة أو نسخة احتياطية قديمة بمستوى حماية مختلف.
لا تخلط تهديد المستقبل بمخاطر اليوم
في سيناريو «اجمع الآن وفكّ التشفير لاحقًا»، يحتفظ المهاجم بالبيانات المشفّرة انتظارًا لقدرة محتملة على فك تشفيرها في المستقبل. والبيانات التي يجب أن تبقى سرية سنوات تحتاج إلى خطة انتقال أبكر. لا يعني هذا السيناريو أن جميع محادثات اليوم قابلة للكسر.
قام NIST في FIPS 203 بتوحيد آلية ML-KEM. يعرّف هذا المعيار مكوّنًا لإنشاء المفاتيح؛ ولا يمكن استنتاج استحالة أي هجوم مستقبلي أو اعتماد المنتج بأكمله منه.
وفي الوقت نفسه، قد يتسبب حساب موظف غادر المؤسسة، أو حاسوب محمول مصاب، أو مشاركة ملف بالخطأ في تسريب اليوم نفسه. يجب أن تشمل خطة الأمن كلا الأفقين الزمنيين.
قائمة تقييم تطبيق المراسلة المؤسسي
| المجال | السؤال العملي | الدليل المناسب |
|---|---|---|
| العضوية | ماذا يحدث لوصول أجهزة الموظف بعد مغادرته؟ | اختبار إزالة العضو والجلسات النشطة |
| المحتوى | كيف تُحمى النصوص والمرفقات والمكالمات والتسجيلات كلٌّ على حدة؟ | وثائق منفصلة لكل مستوى |
| الاستعادة | من يملك عبارة الاستعادة أو النسخة الاحتياطية؟ | إجراء استعادة مُختبَر ببيانات غير حساسة |
| الجهاز | ما الفرق بين الهاتف الشخصي والهاتف المُدار؟ | سياسة الوصول والإعدادات الفعلية |
| البيانات الوصفية | ما المعلومات التشغيلية التي تُسجَّل ويُحتفَظ بها؟ | سياسة واضحة وقابلة للتتبّع |
| الترقية | كيف يتصرف العميل القديم أو غير المتوافق؟ | الإصدارات المدعومة واختبار التوافق |
| الحوادث | من المسؤول عن المعالجة، وما مسار الإبلاغ عن الثغرات؟ | عملية استجابة ومسؤول محدد |
هذا الجدول معيار للاختيار، وليس نتيجة اختبار أو تصنيفًا للخدمات. تتطلب الالتزامات القانونية والتعاقدية للمؤسسة مراجعة تناسب مجال نشاطها؛ فاسم خوارزمية ليس إثباتًا للامتثال القانوني.
ما موقع Livara في هذا التقييم؟
تشرح وثائق أمن Livara بنية LVR1 للمحادثات المباشرة وLGS1 للمجموعات الخاصة. وتفصل الصفحة نفسها معلومات التوجيه والعضوية عن المحتوى المشفّر، وتوضح حدودًا مختلفة لوضع التسجيل على الخادم. هذا وصف للمنتج، وليس تقرير تدقيق مؤسسي مستقلًا.
عند التقييم، اربط الادعاء الخاص بكل ميزة بالإصدار الفعلي والدليل ذي الصلة. يفيد Proof Lab في فحوص محدودة مثل مطابقة ملف مع بصمة تجزئة مرجعية، لكنه لا يحل محل اختبار التحكم بالوصول، ومراجعة الشفرة، وتقييم الأجهزة.
قيّم الإتاحة أثناء اضطراب الشبكة على نحو منفصل
لا يستطيع التشفير إنشاء مسار شبكة غير موجود. يعتمد عمل خدمة ما عند انقطاع الإنترنت الدولي على إمكانية الوصول الفعلي إلى الخادم وDNS ومسار الشبكة واعتماديات تسجيل الدخول والإشعارات. ولا يمكن استنتاج «العمل الكامل أثناء كل انقطاع» من خوارزمية لما بعد الكم.
لاختبار الاستمرارية، نفّذ سيناريوهات انقطاع الإنترنت وتغيير الشبكة واستعادة الاتصال باستخدام بيانات اختبار. سجّل زمن الاستعادة، والرسائل غير المُسلَّمة، وسلوك المستخدمين غير المتصلين. وإذا حدّدت مسارًا بديلًا، فتحقّق من سريته أيضًا.
الاختيار المؤسسي الجيد هو ما يمكن شرح حمايته وحدوده وسلوكه عند الأعطال واختبارها.
