רשומות לבדן אינן מספיקות

מערכות מייצרות רשומות, לא הוכחה עצמאית

מערכות דיגיטליות מייצרות יומנים, מסדי נתונים, נתיבי ביקורת ורשומות פנימיות.

המנגנונים האלה מספקים יכולת פנימית להוכחה. הם מאפשרים לארגונים לשחזר מה קרה בתוך המערכות שלהם.

אבל שחזור אינו אימות עצמאי.

כאשר אימות דורש גישה למערכות פנימיות, לנתונים או לשיתוף פעולה מוסדי, ההוכחה נשארת תלויה מבחינה מבנית.

האימות תלוי בתנאים שאולי לא יישמרו

ברוב הסביבות, האימות תלוי בתנאים שלא ניתן להבטיח לאורך זמן.

• גישה למערכות פנימיות
• זמינות של נתונים היסטוריים
• המשך קיומו של הארגון או של הספק
• נכונות לשתף פעולה או לחשוף רשומות

אם אחד מהגורמים האלה נכשל, האימות נחלש או נעשה בלתי אפשרי.

הפער הוא מבני, לא נסיבתי

רשומות לבדן אינן מספיקות לעיתים קרובות אינו נראה בתחילה.

הוא נחשף עם הזמן, כאשר מערכות משתנות, נתונים אובדים או עוברים לארכיון, וארגונים משתנים.

מה שפעם היה אפשר להראות באמצעות גישה למערכת נעשה בהדרגה קשה יותר לאימות בתנאים עצמאיים.

ההשלכות חורגות מן המערכת

הפער הזה נעשה קריטי כאשר לאירועים דיגיטליים יש השלכות מעבר למערכת שיצרה אותם.

• החלטות מונחות בינה מלאכותית שייתכן שבהמשך יהיה צורך לבקר או להגן עליהן
• תהליכים חוזיים שבהם צריך להראות גרסה מסוימת
• תקשורת שעשויה להפוך לראיה
• אירועים פיננסיים או תאגידיים הכפופים לבדיקה
• נכסים טוקניזטיביים ומעברי מצב
• תהליכים אוטומטיים שבהם יומנים לבדם אינם מספיקים כהוכחה

חיזוק הרשומות אינו פותר את הבעיה

הנחה נפוצה היא שיומנים טובים יותר, יותר נתונים או עיגון קריפטוגרפי חזק יותר פותרים את הבעיה.

גישות כאלה מחזקות את הרשומות הפנימיות, אך אינן מסירות את התלות במערכות שיצרו אותן.

העניין אינו שלמות הנתונים. השאלה היא אם אימות יכול להתקיים באופן עצמאי מן המערכת שיצרה את הנתונים.

לטפל בפער ברגע התרחשות האירוע

‎CERTCRYPT‎ מטפלת ברשומות לבדן אינן מספיקות ברגע שבו אירועים דיגיטליים מתרחשים.

במקום להסתמך על שחזור מאוחר יותר, מערכות יכולות להפיק ארטיפקטים של הסמכה בזמן ההנפקה.

כך נוצרים אישורים שאת האימות שלהם ניתן לשחזר בהמשך באופן עצמאי לפי כללים פומביים.

האימות חדל להיות תלוי במערכת המקורית כסמכות קבועה.

מרשומות שמורות לאימות הניתן לשחזור

רשומות דיגיטליות ממשיכות להיות שימושיות לתפעול.

אך כאשר נדרש אימות עצמאי, ההוכחה אינה יכולה להיות תלויה בגישה מתמשכת לאותן רשומות.

סגירת רשומות לבדן אינן מספיקות מחייבת יצירת הוכחה לפי כללים שנשארים בני תחולה לאורך זמן.

זה נעשה מכריע

רשומות לבדן אינן מספיקות חשוב במיוחד כאשר אירועים משפיעים בהמשך על אחריות, ביקורת, מחלוקת או בחינה.

בשלב הזה השאלה הבאה כבר אינה אם האירוע תועד, אלא אם הוא נשאר בר-הגנה בתנאים עצמאיים.

חשיפת האימות אינה אחידה

לא כל האירועים הדיגיטליים ניצבים בפני אותה רמת חשיפה אימותית.

יש סביבות שמייצרות רשומות פנימיות חזקות אך עדיין קשה לאמת אותן באופן עצמאי. אחרות מחזיקות ביכולת פנימית חלשה יותר להוכחה, אך בצורך מבני גבוה יותר באימות עצמאי.

כך נוצרות רמות שונות של לחץ אימותי בין תחומים.

הניתוח הבא משווה בין ארבעה ממדים מבניים שמגדירים את החשיפה האימותית:

• צורך מבני בהוכחהעד כמה קריטי שאירוע יישאר ניתן להדגמה לאורך זמן בתנאים עצמאיים.
• יכולת מוסדית להוכחה דיגיטליתהיכולת של המערכת או הארגון המקוריים לשחזר ולהדגים את האירוע באופן פנימי.
• יכולת אימות עצמאית נוכחיתעד כמה ניתן כיום לאמת את האירוע בלי להסתמך על המערכת המקורית.
• רלוונטיות ההסמכהעד כמה ההסמכה בזמן ההנפקה פותרת ישירות את בעיית האימות עבור סוג כזה של אירוע.

המסלולים הבאים

ברגע שהבעיה מתבהרת, הצעד הבא הוא לראות כיצד היא הופכת לבעיית החלטה.

אם לפני ההמשך עדיין צריך לבחון רלוונטיות או מסגור טכני, אפשר להשתמש באחד המסלולים הבאים.