How can I ensure products meet US data security standards when purchasing Chinese agricultural drones?

عندما يصمم فريق الهندسة لدينا أنظمة الطيران، نسمع مخاوفكم بشأن خصوصية البيانات بوضوح تام. SOC 2 النوع الثاني ¹. خصوصية البيانات ² يمكن أن تؤدي خروقات الأمان إلى إفساد موسم حصاد وتعريض بيانات المزرعة الحساسة للخطر.

لضمان الامتثال، تحقق من أن الشركة المصنعة تتجنب قائمة FCC المغطاة وتفي بمعايير NDAA القسم 848. يجب عليك المطالبة ببرامج ثابتة تدعم “وضع البيانات المحلي” لمنع المزامنة التلقائية، والتأكد من تشفير جميع البيانات باستخدام AES-256، وتأكيد أن أي تخزين سحابي مستخدم مستضاف فعليًا على خوادم مقرها الولايات المتحدة بدلاً من البنية التحتية الأجنبية.

إليك بالضبط كيف يمكنك تدقيق والتحقق من هذه الإجراءات الأمنية قبل إجراء عملية شراء.

كيف يمكنني التحقق مما إذا كانت شركة طائرات بدون طيار صينية تمتثل للوائح NDAA؟

نقوم بتحديث قوائم مصادر مكوناتنا باستمرار لتتوافق مع معايير التصدير العالمية وتجنب الأجهزة المقيدة. يمكن أن يكون التنقل في القوائم السوداء الفيدرالية مربكًا، ولكن التحقق من أصل الأجهزة هو الخطوة الأولى الحاسمة.

يجب عليك طلب فاتورة مواد كاملة (BOM) للتأكد من أن الطائرة بدون طيار لا تحتوي على مكونات حرجة من شركات مدرجة في قائمة حظر NDAA القسم 848. قم بمقارنة اسم الشركة المصنعة مع قائمة “الشركات العسكرية الصينية” المحددة لوزارة الدفاع وقائمة “المغطاة” الخاصة بـ FCC للتأكد من أن المعدات مؤهلة للاستخدام في الولايات المتحدة.

فهم المشهد التنظيمي أمر حيوي للمشترين في الولايات المتحدة. قانون تفويض الدفاع الوطني (NDAA) يستهدف على وجه التحديد قانون تفويض الدفاع الوطني (NDAA) ³ مخاطر سلسلة التوريد. يحظر القسم 848 على وزارة الدفاع تشغيل أو شراء أنظمة طائرات بدون طيار (UAS) المصنعة في الصين. في حين أن هذا ينطبق بشكل صارم على الوكالات الفيدرالية، فإن العديد من الشركات الخاصة وإدارات الزراعة على مستوى الولاية تتبنى هذه المعايير كمعيار للتكنولوجيا "الآمنة".

تدقيق فاتورة المواد

للتحقق حقًا من الامتثال، لا يمكنك الاعتماد على مجرد "نعم" من مندوب مبيعات. تحتاج إلى النظر تحت الغطاء. الطائرة بدون طيار هي مجموعة من المكونات المختلفة، ويركز NDAA على الأنظمة الفرعية الحرجة. يجب عليك أن تطلب من المورد تفصيلاً للمكونات.

عند مراجعة فاتورة المواد (BOM)، ركز على هذه المجالات الأساسية الثلاثة:

1. وحدة التحكم في الطيران: هذا هو دماغ الطائرة بدون طيار. تأكد من أن الشريحة ليست من كيان محظور.
2. نظام الإرسال اللاسلكي: الرابط بين جهاز التحكم والطائرة بدون طيار هو ناقل شائع لتسرب البيانات.
3. أنظمة الكاميرا والجيمبال: تجمع المستشعرات المرئية أكثر البيانات حساسية.

التحقق من القوائم الفيدرالية

هناك قائمتان رئيسيتان تحتاج إلى التحقق منهما. الأولى هي قيود القسم 848 من NDAA. الثانية، وربما الأكثر إلحاحًا للمشغلين التجاريين، هي قائمة FCC المغطاة. قائمة FCC المغطاة ⁴ يمنع قانون المعدات الآمنة لعام 2021 لجنة الاتصالات الفيدرالية من ترخيص المعدات الموجودة في هذه القائمة. إذا كان نموذج طائرة بدون طيار جديد مدرجًا في القائمة المغطاة، فلا يمكن استيراده أو تسويقه بشكل قانوني في الولايات المتحدة.

الامتثال مقابل التخليص

هناك فرق بين كونك "متوافقًا مع NDAA" وكونك على "قائمة Blue UAS المعتمدة"." قائمة الأنظمة الجوية غير المأهولة الزرقاء الخالية من العيوب ⁵ Blue UAS هي قائمة حصرية للغاية من الطائرات بدون طيار المعتمدة مسبقًا لوزارة الدفاع. لن تكون معظم الطائرات الزراعية التجارية على قائمة Blue UAS بسبب التكلفة والحجم. ومع ذلك، لا يزال بإمكانها الامتثال لـ NDAA إذا لم تستخدم مكونات محظورة.

ارجع إلى الجدول أدناه لفهم الاختلافات في الوضع التنظيمي.

من خلال إجراء هذه الفحوصات، يمكنك تصفية الأجهزة عالية المخاطر قبل وصولها إلى مزرعتك.

هل يمكنني تخصيص برنامج التحكم في الطيران لضمان بقاء البيانات داخل الولايات المتحدة؟

غالبًا ما يتعاون فريق هندسة البرمجيات لدينا مع العملاء الأمريكيين لبناء إصدارات برامج ثابتة مخصصة تزيل استدعاءات الشبكة غير الضرورية. نحن نعلم أن البرامج القياسية والمقيدة غالبًا ما تخلق قلقًا أكثر من فائدتها للمزارعين المهتمين بالأمن.

نعم، يمكنك غالبًا طلب “بناء برامج ثابتة مخصصة” أو استخدام مجموعة أدوات تطوير البرامج (SDK) لاستبدال مكدس الاتصالات الافتراضي. يتيح لك هذا تعطيل ميزات “الاتصال بالمنزل” بشكل دائم، وإزالة تحليلات الاستخدام في الخلفية، وإجبار الطائرة بدون طيار على العمل في بيئة غير متصلة بالإنترنت تمامًا حيث لا تغادر البيانات وحدة التحكم المحلية.

الأجهزة هي نصف المعركة فقط. البرامج التي تعمل على وحدة التحكم في الطيران والمحطة الأرضية (الجهاز اللوحي أو جهاز التحكم عن بعد) تحدد إلى أين تذهب بياناتك. تأتي العديد من الطائرات الزراعية الجاهزة للاستخدام مع تطبيقات مملوكة تقوم تلقائيًا بمزامنة سجلات الطيران وأنماط الرش وإحداثيات GPS إلى سحابة الشركة المصنعة. غالبًا ما يتم ذلك لـ "التحقق من الضمان" أو "الصيانة التنبؤية"، ولكنه يشكل خطرًا أمنيًا.

قوة مجموعات أدوات تطوير البرامج (SDKs)

تقدم الشركات المصنعة المتطورة مثلنا حزمة تطوير برامج للهواتف المحمولة (SDK) أو حزمة تطوير برامج على متن الطائرة (Onboard SDK). هذه أداة قوية للأمان. تسمح حزمة تطوير البرامج لشركات البرمجيات الأمريكية التابعة لجهات خارجية بكتابة تطبيق الطيران.

بدلاً من استخدام التطبيق الصيني الافتراضي، يمكنك استخدام برامج أمريكية الصنع (مثل بعض منصات الزراعة الدقيقة) التي تتواصل مباشرة مع أجهزة الطائرات بدون طيار. هذا يتجاوز البنية التحتية السحابية للشركة المصنعة بالكامل. تتدفق البيانات من الطائرة بدون طيار إلى جهاز التحكم عن بعد، ثم مباشرة إلى أجهزتك الآمنة قانون المعدات الآمنة لعام 2021 ⁶ الخوادم.

وضع البيانات المحلية

إذا لم يكن إعادة كتابة البرامج خيارًا، فيجب عليك البحث عن "وضع البيانات المحلية". عند تنشيطه، يعمل هذا الوضع كجدار حماية على الطائرة بدون طيار. يسمح للطائرة بدون طيار بالطيران والرش باستخدام نظام تحديد المواقع العالمي (GPS)، ولكنه يقطع اتصال الإنترنت لتحميل البيانات.

لماذا "وضع البيانات المحلية" ضروري:

• الخصوصية: تظل خرائط صحة المحاصيل على بطاقة SD الخاصة بك.
• السرعة: لا يتم إهدار النطاق الترددي في تحميل جيجابايت من مقاطع الفيديو بدقة 4K.
• الأمان: يقلل من سطح الهجوم للتهديدات السيبرانية.

سير عمل معزول عن الهواء

لتحقيق أقصى قدر من الأمان، يجب عليك التعامل مع الطائرة بدون طيار كجهاز "معزول عن الهواء". هذا يعني أن الطائرة بدون طيار ووحدة التحكم الخاصة بها لا تتصلان أبدًا بالإنترنت المفتوح. يتم إجراء التحديثات عبر بطاقة SD تم التحقق منها، وليس عبر الهواء (OTA).

فيما يلي مقارنة لكيفية تعامل تكوينات البرامج المختلفة مع بياناتك.

طلب الوصول إلى SDK أو بناء برنامج ثابت مخصص يعيد المفاتيح إلى بياناتك إليك بشكل فعال.

ما هي الوثائق التي يجب أن أطلبها لإثبات أن البرنامج الثابت للطائرة بدون طيار آمن؟

قبل أن نقوم بشحن أي وحدة من منشأتنا في شيان إلى الموزعين الدوليين، نتأكد من اكتمال حزمة الوثائق الخاصة بنا. نعتقد أن الشفافية في تقارير الاختبار هي الطريقة الوحيدة لبناء ثقة طويلة الأمد مع المشترين الغربيين.

يجب عليك طلب تقرير SOC 2 Type II أو شهادة ISO 27001 للتحقق من الضوابط الداخلية للبيانات لدى المورد. بالإضافة إلى ذلك، اطلب نتائج اختبار الاختراق من طرف ثالث من شركة أمنية معترف بها واتفاقية ترخيص المستخدم النهائي (EULA) واضحة تنص صراحةً على أن المستخدم يحتفظ بملكية 100% لجميع البيانات التي تم جمعها.

ستذكر الكتيبات التسويقية دائمًا أن المنتج "آمن". ومع ذلك، في عالم الامتثال للبيانات، "آمن" هو مصطلح قانوني وتقني يتطلب دليلًا. عندما تتفاوض مع مورد، فإن الوثائق التي تطلبها هي ورقتك الرابحة الأساسية.

عمليات تدقيق أمنية من طرف ثالث

الشهادة الذاتية ليست كافية. شهادة ISO 27001 ⁷ تحتاج إلى دليل على أن مدققًا مستقلاً قد اختبر النظام.

• ISO/IEC 27001: هذا هو المعيار الذهبي الدولي لإدارة أمن المعلومات. إذا كان لدى الشركة المصنعة هذا، فهذا يعني أن لديها عمليات منهجية لإدارة معلومات الشركة والعملاء الحساسة.
• SOC 2 Type II: هذا أكثر شيوعًا في سوق البرمجيات الأمريكي. يقوم بتقييم فعالية ضوابط الشركة بمرور الوقت فيما يتعلق بالأمن والتوافر والسرية.

تقارير اختبار الاختراق

اسأل الشركة المصنعة عما إذا كانت قد خضعت لـ "اختبار الاختراق". هذا هو المكان الذي يحاول فيه المتسللون الأخلاقيون اختراق برامج الطائرة بدون طيار للعثور على نقاط الضعف. ستشارك الشركة المصنعة ذات السمعة الطيبة ملخصًا لهذه النتائج (مُعدلة للأمان) لإثبات أنها تقوم بإصلاح الثغرات بنشاط.

تحليل اتفاقية ترخيص المستخدم النهائي

غالبًا ما يتم تجاهل اتفاقية ترخيص المستخدم النهائي (EULA)، ولكنها تحتوي على تفاصيل مهمة. تحتاج إلى البحث عن بنود محددة.

• ملكية البيانات: هل ينص النص على "الشركة المصنعة تمتلك حقوق البيانات المجمعة"؟ إذا كان الأمر كذلك، ابتعد. يجب أن ينص على "يحتفظ المستخدم بالملكية الكاملة"."
• بيانات الاستخدام المجهولة: تسمح العديد من الاتفاقيات للشركات المصنعة بجمع بيانات "مجهولة". في الزراعة، لا تكون إحداثيات نظام تحديد المواقع العالمي (GPS) مجهولة حقًا أبدًا لأنها تتوافق مع عنوان مزرعة معين. تأكد من أنه يمكنك إلغاء الاشتراك في هذا.

معايير التشفير

يجب أن تنص الوثائق صراحة على معايير التشفير المستخدمة. "درجة عسكرية" هو مصطلح تسويقي. أنت تبحث عن اختصارات تقنية محددة.

• AES-256 المعيار لتشفير البيانات المخزنة (على بطاقة SD الخاصة بالطائرة بدون طيار).
• TLS 1.2 أو 1.3: المعيار لتشفير البيانات أثناء النقل (بين الطائرة بدون طيار ووحدة التحكم).

إذا لم تحدد ورقة البيانات الفنية هذه البروتوكولات، فهذه علامة حمراء.

هل سيتم تخزين بيانات رحلاتي الزراعية محليًا أم نقلها إلى خوادم أجنبية؟

نقوم بتكوين محطات التحكم الأرضية الخاصة بنا لإعطاء الأولوية لخصوصية المستخدم، مع العلم أن المزارعين الأمريكيين يعتبرون بيانات حقولهم أسرارًا تجارية خاصة. نفضل أن نمنحك خيار اختيار مسار التخزين الخاص بك بدلاً من فرض افتراضي.

يعتمد ذلك كليًا على تكوين الخادم الذي تختاره أثناء الإعداد. يجب عليك الإصرار على استخدام بنية تحتية سحابية مقرها الولايات المتحدة (مثل AWS أو Azure Microsoft Azure ⁸ مستضافة في أمريكا الشمالية) أو تخزين محلي صارم حيث لا تغادر البيانات بطاقة SD أبدًا، مما يضمن عدم إرسال أي بيانات عن بعد أو صور إلى خوادم خارج الولايات المتحدة.

الموقع الفعلي للخادم هو الحدود النهائية لسيادة البيانات. حتى لو تم تشفير البيانات، إذا كانت موجودة على خادم في ولاية قضائية ذات قوانين بيانات تدخلية، فإنها تكون معرضة للخطر. بالنسبة للطائرات الزراعية الصينية بدون طيار، غالبًا ما يكون الإعداد الافتراضي هو خادم في البر الرئيسي للصين أو سنغافورة. يجب عليك تغيير هذا بنشاط.

النقاش حول السحابة مقابل المحلي

الطائرات الزراعية الحديثة بدون طيار هي جامعات بيانات قوية. إنها تولد:

• خرائط الأورثوموزايك: خرائط عالية الدقة لحقولك.
• بيانات متعددة الأطياف: معلومات عن صحة المحاصيل غير مرئية للعين المجردة.
• سجلات الرش: سجلات التطبيق الكيميائي للامتثال التنظيمي.

إذا كنت تستخدم ميزات "السحابة" للراحة (مشاركة سهلة مع المهندسين الزراعيين)، فأنت تثق بجهاز كمبيوتر شخص آخر.

خيارات السحابة المستضافة في الولايات المتحدة

إذا كان يجب عليك استخدام السحابة، فتحقق من المضيف. تقوم العديد من الشركات المصنعة الصينية الرائدة الآن بتأجير مساحة خادم من أمازون خدمات أمازون ويب (AWS) ⁹ خدمات الويب (AWS) خدمات أمازون ويب ¹⁰ أو Microsoft Azure الموجودة تحديدًا في فيرجينيا أو كاليفورنيا لإرضاء العملاء الأمريكيين. يجب عليك طلب ضمان مكتوب أو مخطط معماري يوضح أن نقطة نهاية البيانات هي عنوان IP أمريكي.

حل "Sneaker-Net"

الطريقة الأكثر أمانًا هي الطريقة القديمة: الوسائط المادية. غالبًا ما نوصي بنهج "Sneaker-Net" للعملاء ذوي الأمان العالي.

1. قم بتشغيل الطائرة بدون طيار في وضع عدم الاتصال.
2. يتم حفظ البيانات على بطاقة SD الموجودة على متن الطائرة.
3. قم بإنزال الطائرة بدون طيار.
4. قم بإزالة بطاقة SD وامشِ بها (بأحذيتك الرياضية) إلى جهاز كمبيوتر آمن ومعزول.
5. قم بمعالجة البيانات محليًا باستخدام برامج سطح المكتب مثل Pix4Dfields أو Agisoft Metashape.

تضمن هذه الطريقة أنه حتى لو أرادت الطائرة بدون طيار إرسال البيانات، فإنها لا تستطيع ذلك فعليًا.

هرمية تخزين البيانات

راجع هذه الهرمية لتحديد مستوى المخاطر المقبول لمزرعتك.

من خلال التحكم في نقطة نهاية التخزين، فإنك تجعل أصل الأجهزة غير ذي صلة بأمان بياناتك.

الخاتمة

تأمين بياناتك الزراعية عند استخدام طائرات بدون طيار صينية يتطلب نهجًا استباقيًا، وليس مجرد ثقة عمياء. يجب عليك التحقق من أصل الأجهزة مقابل قوائم NDAA، وتخصيص البرامج لمنع نقل البيانات الأجنبية، والمطالبة بشهادات أمنية صارمة مثل SOC 2، وفرض بروتوكولات تخزين محلية صارمة. من خلال اتخاذ هذه الخطوات، يمكنك الاستفادة من تكنولوجيا الطائرات بدون طيار المتقدمة مع الحفاظ على بيانات مزرعتك الخاصة آمنة على الأراضي الأمريكية.

الحواشي

1. صفحة AICPA الرسمية تشرح تقارير SOC للمنظمات الخدمية. ︎

2. خلفية عامة حول مفهوم خصوصية المعلومات والبيانات. ︎

3. النص التشريعي الرسمي للقانون الذي يحتوي على القسم 848 بشأن الطائرات بدون طيار الصينية. ︎

4. القائمة الحكومية الرسمية لمعدات الاتصالات التي تعتبر خطرًا على الأمن القومي. ︎

5. قائمة وزارة الدفاع الرسمية لأنظمة الطائرات بدون طيار المعتمدة. ︎

6. تشريع رسمي يمنع ترخيص لجنة الاتصالات الفيدرالية للمعدات الموجودة في القائمة المغطاة. ︎

7. المعيار الرسمي لأنظمة إدارة أمن المعلومات. ︎

8. الموقع الرسمي لمزود السحابة الأمريكي الرئيسي المذكور كخيار استضافة. ︎

9. الموقع الرسمي لمزود السحابة الأمريكي الرئيسي المذكور كخيار استضافة. ︎

10. وثائق حول كيفية تعامل AWS مع خصوصية البيانات ومكان إقامتها. ︎