ADatP-4774 синтаксис міток конфіденційності в метаданих

Що це таке

Машинозчитувана заміна паперового грифа

Паперові документи несуть гриф у верхньому та нижньому колонтитулах, проставлений від руки або за шаблоном, мовою того, хто його писав. Так працює доти, доки та сама інформація не починає рухатися між системами, країнами та партнерами по коаліції, яким усім потрібно прочитати той самий гриф однаково. ADatP-4774 - це відповідь NATO для цифрового випадку: він визначає синтаксис XML для "confidentiality metadata label", структурованої порції даних, яка несе ту саму інформацію, що й паперовий гриф, і прикріплена до об'єкта даних так, щоб рішення про подальші дії ухвалювало програмне забезпечення, а не людина.

Сам документ не вирішує, що означає та чи інша класифікація і кому що дозволено бачити. Він визначає контейнер: PolicyIdentifier, який називає політику безпеки, що керує міткою, обов'язковий Classification, необов'язковий PrivacyMark і набір елементів Category, які уточнюють поширення. Що саме означають ці значення, закріплює та політика безпеки, на яку вказує PolicyIdentifier, власна політика NATO або національна. Цей документ не те місце, де шукають значення класифікації; це місце, де шукають, як це значення закодовано, щоб система могла на нього зреагувати.

Технічний зміст несе саме Allied Publication. Сили він набуває через STANAG 4774, угоду NATO зі стандартизації. У Letter of Promulgation сказано прямо: "The agreement of nations to use this publication is recorded in STANAG 4774." Країни ратифікують цю угоду, і принаймні одне застереження до неї зафіксовано у власній титульній частині документа.

Що має нести кожна мітка

Мітку несуть три елементи верхнього рівня: originatorConfidentialityLabel (мітка, яку проставляє автор інформації), alternativeConfidentialityLabel (рівнозначна мітка в іншій політиці, для іншого одержувача) та metadataConfidentialityLabel (яка захищає сам набір метаданих). Усі три мають однакову базову структуру: обов'язковий елемент ConfidentialityInformation і обов'язкову дату створення, а також необов'язковий ідентифікатор автора та необов'язковий елемент наступності.

На практиці важать дві дати. CreationDateTime потрібен завжди. ReviewDateTime "SHALL be present when no SuccessionHandling element is present", тож кожна мітка потребує або запланованої мітки-наступниці, або прикріпленої дати ручного перегляду, і ніколи ні того, ні того. Сам механізм наступності дозволяє авторові визначити мітку, яка "will succeed the current confidentiality metadata label at the specified date and time": саме так заплановане зниження грифа чи заплановану зміну поширення вбудовують у мітку, замість того щоб людина виконувала це того самого дня.

Категорії: обмежувальні, дозвільні, інформативні

Крім самої класифікації, мітка може нести елементи Category трьох різних типів, і цю різницю варто засвоїти, бо в рішенні про доступ вони поводяться неоднаково. Категорії RESTRICTIVE звужують коло тих, хто може щось бачити (Additional Sensitivity). Категорії PERMISSIVE визначають явний перелік одержувачів (Context, Only, Releasable To). Категорії INFORMATIVE у рішенні про доступ не беруть жодної участі (Administrative) і існують лише для того, щоб скерувати поводження з інформацією.

Саме для власної політики безпеки NATO документ точно вказує, що система має робити: "The 'Context' category MUST be present within a NATO Security Policy ConfidentialityInformation element", і ця категорія несе одне значення, яке визначає, для кого інформацію було створено. Releasable To та Only є необов'язковими, і кожна з них може траплятися більше ніж один раз там, де поширення треба розширити або звузити далі. Значення категорії Administrative несуть власне обмеження, і воно протилежне: вони "are consequently valid only within ConfidentialityInformation elements that have a Classification element of 'UNCLASSIFIED'", тож їх не можна прикріпити до нічого класифікованого.

Одне правило легко проґавити, і варто написати на нього тест. На найвищому рівні класифікації гриф, який відображає система, читається не як NATO: документ вимагає, щоб PolicyIdentifier "MUST be displayed as 'COSMIC' instead of 'NATO'" скрізь, де Classification має значення Top Secret. Процедура відображення, яка будує гриф просто зі значення PolicyIdentifier без цього єдиного винятку, помилиться саме там, де помилка коштує найдорожче.

Поводження з інформацією, яка надійшла без мітки

Системи NATO постійно приймають інформацію із зовнішніх джерел, яку взагалі ніколи не маркували. Документ прямо каже, чого робити далі не можна: політику безпеки NATO не можна використовувати як первинну авторську мітку такої інформації, бо це хибно заявляло б право власності NATO на те, чого NATO не створювало. Натомість політику NATO "can however be used in the alternative confidentiality label". Первинна мітка для приймання немаркованої інформації використовує окрему політику, яку документ називає PUBLIC: її єдине значення класифікації - UNMARKED, а її єдина категорія, "In Confidence", є суто інформативною.

Де він зобов'язує, а де ні

Цей документ звернений до тих, хто створює та експлуатує інформаційні системи NATO і національні системи, а не до постачальника напряму. Він говорить про "applications and services", які мають бути здатні "create confidentiality metadata labels at any point in the information life-cycle", і про "Governing Security Policy Authority", який закріплює, що означають значення мітки для його власної політики. Постачальник виконує ADatP-4774 тому, що система, яку він будує чи експлуатує, має обмінюватися маркованими даними з тією, що вже його впровадила, і найчастіше тому, що цього вимагає договір, тендер або національна директива щодо впровадження. Пункт про сферу застосування вказує на подальші подробиці, опубліковані окремо: "Technical implementation of this standard will require detailed implementation profiles specific to usage scenarios" в ADatP-34.

Схему побудовано так, щоб вона сягала за межі членства в NATO. Додаток 2 прямо розбирає три приклади: "The example clearances consider: 1. A NATO member nation, 2. A partner nation and 3. A non-member, non-partner nation." Категорії Context, Releasable To та Only існують саме для того, щоб перенести цю різницю в реальну мітку.

Як отримати документ

ADatP-4774 є несекретним і безкоштовним. Чинне видання наведено в базі даних стандартизаційних документів NATO; ми не розміщуємо копії і не продаємо її.

Стандарти, на які він посилається

• STANAG 4406Довідково

Інші стандарти в темі «Системи зв'язку та інформації»

• AComP-5639AComP-5639 - специфікації Protected Core Networking для статичного середовища
• AComP-5640AComP-5640 - специфікації Protected Core Networking для розгортаного середовища
• ADatP-4778Механізм прив'язки метаданих ADatP-4778
• ADatP-5636Специфікація базових метаданих NATO ADatP-5636
• ADatP-5644Профіль обміну повідомленнями через вебсервіси ADatP-5644
• ADatP-5656Інтерфейс федеративного управління сервісами та контролю ADatP-5656