پروفایل‌های حوزه‌ای
در این سند
نسخهٔ چارچوب: 2.0.0-draft.1. وضعیت: پیشنهاد پژوهشی. پروفایل‌های این سند نامزدهایی توضیحی‌اند که در انتظار بازبینی متخصصان مربوط‌اند.
هدف
پروفایل حوزه‌ای مشخص می‌کند که چارچوب چگونه بر رده‌ای محدود از استقرارها اعمال می‌شود. واژگان تحلیلی می‌تواند میان سامانه‌ها مشترک باشد، در حالی که اختیار، میزان در معرض بودن، کنش‌های مجاز، الزامات شواهد و تصمیم‌های پذیرش متفاوت‌اند. افشایی ممنوع، توصیه‌ای نادرست و کنشی فیزیکیِ ناایمن را نمی‌توان صرفاً با نسبت دادن درصدی مشاهده‌شده به هر یک، مقایسه‌پذیر کرد.
پروفایل، خاصیت‌های امنیتیِ عمومی را به قراردادها و تصمیم‌های محلی پیوند می‌دهد. پروفایل P01 تا P23 را از نو تعریف نمی‌کند، جایگزین «پروندهٔ ایمنیِ» مهندسی نمی‌شود، انطباق با مقررات را ثابت نمی‌کند و برای استقراری گواهی صادر نمی‌کند. پروفایل‌های نامزدِ زیر نقطه‌های شروعی عینی برای طراحی ارزیابی فراهم می‌کنند. آستانه‌های آن‌ها باید به تصویب مرجع تصمیم‌گیریِ مشخصی برسند و متخصصانی که با زمینهٔ عملیاتیِ واقعی آشنا هستند آن‌ها را بازبینی کنند.
سابقهٔ لازم برای هر پروفایل
هر پروفایل یک شناسهٔ محلی، نسخه، نسخهٔ چارچوب، وضعیت، مؤلفان، بازبینان، تاریخ بازبینی و دامنهٔ موردنظر دارد. دامنه شامل وظیفه، محیط استقرار، مراحل چرخهٔ عمر، افراد متأثر، وابستگی‌ها و عملیاتِ مستثناست. شرایطی را تعریف کنید که تحت آن‌ها یک استقرار از پروفایل بیرون می‌رود، مانند افزودن ابزارهای بیرونی یا فعال کردن یادگیری ماندگار.
کاربردپذیری L1 تا L9 را همراه با دلیل و کارکردهایی که هر حوزهٔ کاربردپذیر را پیاده‌سازی می‌کنند ثبت کنید. کاربردپذیری ادعای ارزیابی کامل نیست. از مقادیر applicable، not_applicable یا unresolved استفاده کنید؛ unresolved به بررسی نیاز دارد. یک رابط متنی همچنان می‌تواند وضعیت دیجیتال را در چارچوب L4 «ادراک و بازنمایی جهان» مشاهده کند. مدلِ مشترک به‌خودی‌خود قراردادی در L9 «تعامل جمعی و سامانه‌ای» برقرار نمی‌کند.
پروفایل قراردادهای خاصیت، منابع اختیار، گذارهای مجاز و ممنوع و الزامات اوراکل را مشخص می‌کند. پروفایل در معرض بودنِ انسان، تعهدهای کنشی، برگشت‌پذیری، مهار، بازیابی و عدم‌قطعیت را توصیف می‌کند. معیارهای پذیرش باید مرجع تصمیم‌گیری، مبنای شواهد و پیامدهای آزمونِ ناموفق یا بی‌نتیجه را نام ببرند. هر جا آستانهٔ عددیِ موجهی وجود ندارد، از قاعده‌ای کیفی و صریح استفاده کنید و محدودیت را بیان کنید، نه اینکه عددی جعل کنید.
تعهدات بیرونیِ مربوط را از راه بازبینیِ استانداردهای ویژهٔ هر استقرار شناسایی کنید. پیش از ادعای کاربردپذیری، حوزهٔ قضایی، بخش، کاربرد موردنظر و مراجع معتبر را ثبت کنید. این سند عمومی الزامات حقوقی یا مهندسیِ راستی‌آزمایی‌نشده را تجویز نمی‌کند. متخصصان باید پیوند با فرایندهای موجود را مستند کنند تا مسئولیت‌ها تخصیص یابند، نه اینکه تکرار شوند یا از قلم بیفتند.
ترکیب پروفایل‌ها
یک استقرار ممکن است چند پروفایل را عینیت بخشد. قراردادهای آن‌ها را صریحاً ترکیب کنید و تعارض‌ها را با مالکانِ پاسخ‌گو حل کنید. «قاعدهٔ سخت‌گیرانه‌تر را اعمال کن» تنها زمانی کارساز است که الزامات مقایسه‌پذیر باشند. الزام به حذف سوابق و الزام به نگه‌داری ردپای ممیزی، به آشتیِ مستدلِ دامنه و حداقل‌سازی داده نیاز دارند؛ هیچ‌یک صرفاً «بزرگ‌تر» از دیگری نیست.
به مفروضات مشترک باید با ذکر نسخه ارجاع داد و هر جا برای استفادهٔ ایمن لازم است آن‌ها را دوباره بیان کرد. تقدم و تعارض‌های حل‌نشده را ثبت کنید. پروفایل نمی‌تواند بی‌اعلام از یک تعریف بنیادی چشم بپوشد، ابطال را حذف کند یا نبودِ شواهد را به «قبولی» تبدیل کند. اگر استقراری که بارها تکرار می‌شود بدون بازتعریف یک خاصیت یا حوزه قابل توصیف نیست، بازنگری در چارچوب را پیشنهاد کنید و طبقه‌بندیِ حل‌نشده را حفظ کنید.
پروفایل نامزد برای دستیاری متنیِ مبتنی بر بازیابی
شناسهٔ نامزد: CP01. دامنه: دستیاری متنی که اسناد را بازیابی می‌کند و پاسخ‌های اطلاعاتی تولید می‌کند و توانایی ثبت قطعیِ کنش‌های ابزاریِ بیرونی را ندارد. این استقرار ممکن است از احراز هویت و سیاست‌های دسترسی در سطح سند استفاده کند. نسخه‌ای که ابزارهای نوشتن را فعال کند، باید افزون بر این، یک پروفایل کنش را نیز اعمال کند.
L1 «مدل‌ها و محاسبه» و L2 «نرم‌افزار و زیرساخت» مدل و خدمت را پوشش می‌دهند. L3 «داده و دانش» دسترسی به منابع، منشأ، بازیابی و ارجاع‌ها را پوشش می‌دهد. L5 «تفسیر و هدف‌ها» اختیار دستور و وظیفهٔ درخواست‌شده را پوشش می‌دهد. L8 «تعامل انسان و سامانه» شیوهٔ ارائه و فهم کاربر را پوشش می‌دهد. L4 زمانی کاربرد دارد که دستیار محیطی دیجیتال و در حال تغییر را برآورد کند، نه اینکه تنها از مجموعه‌ای ایستا پاسخ دهد. L6 زمانی کاربرد دارد که تاریخچه‌ها، پروفایل‌های کاربری یا حالت عملیاتی ماندگار باشند. L7 بر هر عملیات برنامه‌ریزی یا تفویض‌شده‌ای که واقعاً وجود دارد اعمال می‌شود، حتی بدون نوشتن بیرونی؛ در نبود چنین کارکردهایی ممکن است کاربردناپذیر باشد. L9 به تعاملی جمعی و شناسایی‌شده نیاز دارد، نه صرفاً به کاربران فراوان.
قراردادهای اصلی شامل P01 «محرمانگی» برای دسترسی به منابع، P04 «یکپارچگی دستور» برای جدا نگه داشتن محتوای بازیابی‌شده از اختیار، P06 «یکپارچگی دانش» برای منشأ، و P19 «یکپارچگی تصمیم انسانی» برای بازنمایی‌های به‌طور اساسی گمراه‌کنندهٔ شواهد است. وجود یک ارجاع ثابت نمی‌کند که منبع آن از ادعا پشتیبانی می‌کند. هم مجوز دسترسی و هم پشتیبانیِ شاهدی را ثبت کنید.
از اسناد حفاظت‌شدهٔ ساختگی، محتوای بازیابی‌شدهٔ همسان و ارجاع‌های منبعی که مستقلاً بررسی شده‌اند استفاده کنید. بیازمایید که آیا محتوای غیرمجاز به خروجی می‌رسد، آیا دستورهای بدخواهانهٔ درون اسناد وظیفه را تغییر می‌دهند، و آیا هنگامی که ماندگاری وجود دارد، حالتِ نگه‌داشته‌شده از مرز میان کاربران عبور می‌کند. پاسخ‌های نادرست دربارهٔ واقعیت‌ها را با شناسایی قرارداد و پیامدِ مربوط از یافته‌های امنیتی جدا کنید.
قاعدهٔ تصمیمِ پیشنهادی: هر افشای غیرمجازِ مشاهده‌شده پیش از پذیرش پیکربندیِ متأثر به رفع یا مهار نیاز دارد. مشاهده نشدنِ افشا تنها پوششِ آزموده‌شده را ثابت می‌کند. نقص‌های شیوهٔ ارائه می‌توانند بر پایهٔ شواهدِ رابط، اصلاح را توجیه کنند؛ ادعای اثر واقعی بر تصمیم‌های انسانی به پژوهش انسانیِ مناسب نیاز دارد. پذیرش عملیاتی افزون بر این به معیارهای کیفیت شواهدِ ویژهٔ هر بار کاری نیاز دارد که مالک تصویب کرده باشد. این معیارها در اینجا نامشخص می‌مانند، زیرا دستیار جست‌وجوی یک کتابخانه و سامانه‌ای مشاوره‌ای با پیامدهای سنگین، در معرض خطرهای متفاوتی قرار دارند.
پروفایل نامزد برای عامل‌های ابزاری سازمانی
شناسهٔ نامزد: CP02. دامنه: دستیاری که اطلاعات سازمانی را می‌خواند و ابزارهایی را فرا می‌خواند که می‌توانند سوابق را تغییر دهند، پیام بفرستند یا گردش‌کارهایی را به راه اندازند. این پروفایل فهرست صریحی از موجودیت‌ها، قابلیت‌ها، قواعد تأیید و نقاطِ تعهدِ بیرونی را در بر می‌گیرد.
L1 تا L3 و L5 تا L8 معمولاً کاربرد دارند. L4 زمانی کاربرد دارد که عامل وضعیتِ در حال تغییرِ یک برنامه یا گردش‌کار را مشاهده کند. L9 زمانی کاربرد دارد که عامل‌های هماهنگ یا قیدهای مشترکِ گردش‌کار، قراردادی جمعی پدید آورند. کاربردپذیری باید در برابر گراف واقعی تأیید شود، نه اینکه از واژهٔ «عامل» استنباط شود.
قراردادهای دارای اولویت شامل P08 «یکپارچگی هویت»، P09 «یکپارچگی هدف»، P12 «یکپارچگی قابلیت»، P13 «یکپارچگی کنش»، P14 «کنترل‌پذیری»، P15 «یکپارچگی برنامه‌ریزی» و P16 «یکپارچگی تفویض» است. اگر وظیفهٔ مجاز قیدهای محدودتری بر منابع یا مقصود بگذارد، اجازه در سطح ابزار به‌تنهایی کافی نیست. مشخص کنید تأیید چگونه به پارامترهای دقیق کنش مقید می‌شود، تغییرات چگونه تأیید را باطل می‌کنند، و اختیارِ تفویض‌شده چگونه منقضی یا ابطال می‌شود.
آزمون از حساب‌های جداشده، داده‌های سازمانیِ ساختگی، ابزارهای جایگزینِ ساختگی یا تراکنش‌های محیط پیش‌عملیاتی، و بازخوانیِ حالتِ ثبت‌شده استفاده می‌کند. تغییر پارامترها پس از تأیید، اجرای تکراری، لغو، اجازه‌های کهنه و اطلاعات ابزاری که در کنترل مهاجم است را بگنجانید. هم برنامه و هم اجراکننده را بیازمایید، زیرا رد کردنِ یک فراخوانیِ ناایمنِ ابزار ثابت نمی‌کند که هدف درست تفسیر شده، و از سوی دیگر پیشنهادی ناایمن شاهدی بر کنشی بیرونی که ثبت قطعی شده نیست.
فهرست کنش‌های برگشت‌ناپذیر شامل افشاها و پیام‌هایی است که گیرندگانشان ممکن است پیش از پس گرفته شدنِ پیام بر پایهٔ آن عمل کنند، و نیز تراکنش‌هایی که بازگرداندنشان نامطمئن است. قاعدهٔ تصمیمِ پیشنهادی: هر مسیرِ نشان‌داده‌شده به سوی تعهدی بیرونی و تأییدنشده، تا زمانی که مهار راستی‌آزمایی نشده، مانع پذیرش آن مسیر می‌شود. برآوردهای نرخ برای اولویت‌بندی و پایش سودمند می‌مانند، اما تعهدهای ممنوع را مجاز نمی‌کنند. مالکِ بهره‌بردار باید عدم‌قطعیتِ باقی‌مانده و پوشش آزمون را جداگانه تصویب کند. شواهد بازیابی باید بازگرداندن را از جبران متمایز کنند.
پروفایل نامزد برای ربات‌های بدن‌مند
شناسهٔ نامزد: CP03. دامنه: کنترل‌گری هوشمند که محیطی فیزیکی را مشاهده می‌کند و می‌تواند بر حرکت یا کنش عملگرها اثر بگذارد. این پروفایل ادعای استقرارِ ایمن را صرفاً بر پایهٔ این چارچوب مستثنا می‌کند. متخصصان مربوط در رباتیک و ایمنی باید محدودهٔ عملیاتی و تعهدات مهندسیِ بیرونی را تعریف کنند.
L1 «مدل‌ها و محاسبه»، L2 «نرم‌افزار و زیرساخت»، L4 «ادراک و بازنمایی جهان» و L7 «برنامه‌ریزی و کنش» محوری‌اند. L3 بر نقشه‌ها، منابع آموزشی یا دیگر دانش‌ها اعمال می‌شود. L5 بر تفسیر و هدف‌ها؛ L6 بر حالت عملیاتیِ نگه‌داشته‌شده؛ و L8 بر نظارت و تعامل. L9 جایی کاربرد دارد که چند دستگاه یا منابع مشترک به قراردادی جمعی نیاز داشته باشند.
قراردادها شامل P22 «یکپارچگی ادراک» و P23 «یکپارچگی مدل جهان» برای مشاهده و برآورد، P13 «یکپارچگی کنش» برای کنشِ محدودشدهٔ عملگرها و P14 «کنترل‌پذیری» برای مداخلهٔ مؤثر است. امضای معتبرِ حسگر می‌تواند خاستگاه را ثابت کند، بی‌آنکه ثابت کند صحنهٔ مشاهده‌شده راستین یا به‌روز است. رواداری، تازگی، شیوهٔ رسیدگی به ناهمخوانی و قواعد جایگزینیِ ایمن را که محدودهٔ عملیاتی الزام می‌کند بیان کنید.
با ورودی‌های ضبط‌شده، شبیه‌سازی یا چیدمان‌های جداشده و بی‌خطر آغاز کنید. تغییرات مشاهده، برآوردهای کهنه، تأخیر، قطع و بازیابی را بدون در معرض آسیب قرار دادنِ افراد یا دارایی‌های عملیاتی ارزیابی کنید. مفروضات شبیه‌ساز و شرایطی را که تحت آن‌ها شواهد ممکن است به محیط واقعی منتقل شوند ثبت کنید. مسیر حرکتیِ ممنوعی که شبیه‌سازی شده، شاهدی دربارهٔ همان پیکربندی و مدل است، نه آسیبی واقعی و مشاهده‌شده یا اثباتی بر رفتار در محیط عملیاتی.
قاعدهٔ تصمیمِ پیشنهادی: اگر رسیدن‌پذیریِ یک تعهد فیزیکیِ ممنوع حل‌نشده باشد، ادامهٔ مهار و بازبینی متخصصان لازم است. پذیرش به شواهدی نیاز دارد که نشان دهد موانع و مسیرهای مداخلهٔ مشخص‌شده در محدودهٔ مفروضات زمانیِ خود عمل می‌کنند، و نیز به فرایند ایمنیِ جداگانهٔ خودِ استقرار. برآوردهای احتمالاتی آگاهی‌بخش‌اند، اما آزمون‌های محدود نمی‌توانند نبودِ شکست‌های نادر را ثابت کنند. این پروفایل هیچ نمایش زندهٔ فیزیکیِ زیان‌باری را الزام یا مجاز نمی‌کند.
پروفایل نامزد برای سامانه‌های چندعاملیِ مشترک
شناسهٔ نامزد: CP04. دامنه: چند عامل یا خدمت که اطلاعات یا اختیار را با هم مبادله می‌کنند و از منابع مشترک برای انجام وظیفه‌ای هماهنگ استفاده می‌کنند. همهٔ مشارکت‌کنندگان واقعی و وابستگی‌های مشترک را ثبت کنید. لازم نیست هر مشارکت‌کننده پیاده‌سازیِ کاملی از هر نُه حوزه داشته باشد.
L1 تا L8 را بر پایهٔ کارکردهای موجود اعمال کنید و L9 «تعامل جمعی و سامانه‌ای» را تنها در برابر یک قرارداد جمعیِ مشخص ارزیابی کنید. نمونه‌ها شامل بودجهٔ گروهیِ یک منبع، ناوردای تخصیصِ کلی‌ای که بررسی‌های تفویضِ منفرد آن را تضمین نمی‌کنند، یا این الزام است که بازخورد کارِ تکمیل‌شده را بارها از نو مجاز نکند. نقض عادیِ دامنهٔ تفویض در L7 باقی می‌ماند، مگر آنکه تعهدی جمعی و جداگانه مشخص شده باشد. پیش از وارد کردن اختلال‌ها، معناشناسیِ مشروعِ همگام‌سازی و هماهنگی را بیان کنید.
خاصیت‌های دارای اولویت می‌توانند شامل P16 «یکپارچگی تفویض»، P20 «یکپارچگی انتساب»، P21 «یکپارچگی اعتماد»، P03 «دسترس‌پذیری» و P17 «یکپارچگی زمانی» باشند. تبادل اطلاعات نباید بی‌اعلام به تفویض اختیار تبدیل شود. بودجه‌ای جمعی صرفاً به این دلیل حفظ نمی‌شود که هر درخواستِ محلی زیر حدِ مجاز برای هر درخواست بماند.
از بستر آزمونِ مهارشده‌ای با پیکربندی‌های ثابتِ مشارکت‌کنندگان و زمان‌بندیِ کنترل‌پذیر استفاده کنید. اجراهای خط پایه و اجراهای دارای اختلال را مقایسه کنید، تأخیرها یا توپولوژی را تغییر دهید و گره‌ها و چرخه‌های مشترک را بازرسی کنید. رابطه یا وابستگیِ مشترکِ مظنون را به‌طور آزمایشی حذف کنید تا انتشار را از شکستِ ناشی از علت مشترک متمایز کنید. هرگاه هیچ یالِ منفردی قراردادی را نقض نمی‌کند، گروه یا زیرگراف را به‌عنوان جایگاه شکست گزارش کنید.
قاعدهٔ تصمیمِ پیشنهادی: نقضِ نشان‌داده‌شدهٔ یک قرارداد جمعی، تا زمانی که بازیابی یا پیشگیریِ محدود راستی‌آزمایی نشده، مانع پذیرش ترکیبِ متأثر می‌شود. پیکربندی‌ای موفق، افزایش دلبخواهیِ شمار مشارکت‌کنندگان را توجیه نمی‌کند. مالک تصمیم باید توپولوژی، هم‌روندی، حدود منابع و پایشِ پشتیبانی‌شده را تعریف کند. شواهد مدل‌سازی به‌صراحت «مدل‌سازی‌شده» باقی می‌مانند، و تکرار مستقل باید همان قرارداد را با مفروضاتِ افشاشدهٔ ترکیب بررسی کند.
پروفایل نامزد برای یادگیرنده‌های تطبیقی
شناسهٔ نامزد: CP05. دامنه: سامانه‌ای که در طول چرخهٔ عمرِ پشتیبانی‌شدهٔ خود، در واکنش به اطلاعات ورودی، پارامترهای مدل، قواعد، دانشِ نگه‌داشته‌شده یا سیاست عملیاتی را تغییر می‌دهد. بازیابی عادی به‌تنهایی لزوماً تطبیق نیست؛ سازوکار واقعیِ به‌روزرسانی را مشخص کنید.
L1 زمانی کاربرد دارد که رفتار اجراییِ مدل تغییر کند؛ L3 زمانی که منابع دانش تغییر کنند؛ L6 زمانی که حالت عملیاتی نگه داشته شود. L2 زیرساخت به‌روزرسانی و دسترسی را پوشش می‌دهد. L5 و L7 بر تداوم هدف و هرگونه برنامه یا کنش اعمال می‌شوند. کاربرد L4، L8 و L9 به کارکردهای مشاهده، نظارت انسانی و تعامل جمعی بستگی دارد.
قراردادها شامل P02 «یکپارچگی»، P06 «یکپارچگی دانش»، P07 «یکپارچگی حافظه»، P09 «یکپارچگی هدف» و P17 «یکپارچگی زمانی» است. تعریف کنید چه کسی به‌روزرسانی‌ها را مجاز می‌کند، کدام ورودی‌ها می‌توانند در آن سهیم باشند، به‌روزرسانی‌ها چه زمانی اثر می‌کنند، چه چیزی ناوردا می‌ماند، و به‌روزرسانیِ زیان‌بار چگونه تشخیص داده و بازگردانده می‌شود. بازگرداندن پارامترها لزوماً کنش‌ها یا افشاهای بیرونیِ پیشین را بی‌اثر نمی‌کند.
از جریان‌های ساختگیِ بازپخش‌پذیر و محیط‌های به‌روزرسانیِ جداشده استفاده کنید. تاریخچه‌های همسان را مقایسه کنید، تصویرهای لحظه‌ایِ اولیه را نگه دارید، و هرگاه مواد ارزیابی نقش شواهدِ کنارگذاشته را دارند، آن‌ها را بیرون از آموزش نگه دارید. اثرهای تأخیری، حذف منبع، بازگرداندن و اینکه آیا اصلاحی ظاهری پس از یک به‌روزرسانیِ مجازِ دیگر باقی می‌ماند را بیازمایید. به جای گزارش یک نرخ کلی، منشأ به‌روزرسانی‌ها و تغییرات رفتار در گذر زمان را ثبت کنید.
قاعدهٔ تصمیمِ پیشنهادی: به‌روزرسانی‌هایی که یک ناوردا را نقض می‌کنند، طبق روالی مستند به قرنطینه یا بازگرداندن نیاز دارند. پذیرش بر یک فرایند به‌روزرسانی و محدودهٔ عملیاتی اعمال می‌شود، نه به‌طور نامحدود بر نام یک مدل. بازبینی متخصصان باید بازهٔ پایش، شدنی بودنِ بازگرداندن و شواهد لازم پیش از ازسرگیریِ عملیات را تعیین کند. ارزیابیِ پیوسته بدون این مفروضات، ایمنیِ پیوسته را ثابت نمی‌کند.
بازبینی و تکامل
پیش از پذیرش یک نامزد، بازبینی به دست مالکان استقرار، متخصصان فنیِ مربوط و، هر جا مناسب است، نمایندگان منافعِ متأثر را الزام کنید. تخصص، تعارض منافع، نظرهای مخالف و آستانه‌های حل‌نشده را ثبت کنید. بازبینی صرفاً چون مستند شده، به تأیید نهادی تبدیل نمی‌شود.
پس از تغییرات اساسی در قابلیت‌ها، میزان در معرض بودن، تطبیق، اختیار یا ترکیب جمعی، پروفایل را بازبینی کنید. یافته‌ها و تصمیم‌ها را به نسخهٔ دقیق پروفایل پیوند دهید. بازنگری‌های پیشنهادی باید توضیح دهند کدام قرارداد تغییر کرده و چرا ارزیابی‌های پیشین به بررسی دوباره نیاز دارند. پروفایل‌ها کاربرد را صریح می‌کنند؛ اثربخشی آن‌ها و ساختار نُه‌حوزه‌ایِ چارچوب همچنان موضوع ارزیابی تجربی‌اند.