CJTF:n C2-integraatio: monikansallinen verkkojen silloitus ja datajako

Combined joint task force (CJTF) on väliaikainen monikansallinen muodostuma, joka kootaan useiden maiden ja useiden puolustushaarojen joukoista tietyn tehtävän suorittamiseksi. Sen esittämä käsky- ja hallintahaaste on ainutlaatuinen: päämaja, jonka on annettava käskyjä maiden rajojen yli, toimii samanaikaisesti useilla turvaluokitusalueilla, nojaa yhteensopimattomissa kansallisissa C2-järjestelmissä pidettyyn dataan ja riippuu eri mailta olevista viestintälinkeistä. Johdonmukaisen C2-integraation rakentaminen näissä olosuhteissa on vähemmän tuotevalintaongelma kuin arkkitehtuuriongelma — ja arkkitehtuuri koskee verkkotekniikkaa, turvallisuuskäytäntöä, oikeudellisia sopimuksia ja identiteetin hallintaa kerralla. Tässä artikkelissa käsitellään niitä teknisiä ja organisatorisia tekijöitä, jotka tekevät CJTF C2-integraatiosta toimivan, sekä malleja, jotka ovat nousseet esiin toistuvasta operatiivisesta kokemuksesta. Laajempaan näkymään siitä, miten nämä tekiijät sopivat liittoutuman yhteentoimivuuskehyksiin, katso NATO-yhteentoimivuusopas.

CJTF-arkkitehtuuri: monikansallinen C2-haaste

CJTF C2-integraation rakenteellinen vaikeus alkaa käskyvallasta. CJTF-päämaja harjoittaa operatiivista komentoa joukoista, jotka pysyvät hallinnollisesti ja kansallisesti kansallisen komennon alaisuudessa. Tämä tarkoittaa, ettei päämaja voi määrätä sen riippumistaan kansallisten C2-järjestelmien teknisiä standardeja — se voi vain määritellä, mitä näiden järjestelmien on voitava vaihtaa koalition kanssa, ja rakentaa sitten sillan. Tuloksena on arkkitehtuuri, joka on mukautettava samanaikaisesti eri standardeihin rakennettuihin kansallisiin järjestelmiin tarjoten samalla koalition puolelle kerroksen, joka on sisäisesti johdonmukainen riittävästi ollakseen operatiivisesti hyödyllinen.

Asehaarojen komentopaikat — maa-, meri-, ilmavoimat ja erikoisoperaatiot — kukin käyttävät omia C2-järjestelmiään, jotka on usein hankittu kansallisesti, ja ne yhdistyvät koalition tehtäväverkkoon määritetyissä kokoamispisteissä. Verko-omistusmalli on tässä erittäin tärkeä: Naton johtamassa CJTF:ssä tehtäväverkkoa hallinnoi tyypillisesti päämajan viestintä- ja tietojärjestelmäosasto (CIS), mutta fyysisen infrastruktuurin (satelliittilinkit, maalinkit, solmut) voivat toimittaa yksittäiset maat. Tämä jako verkon hallinnollisen omistuksen ja infrastruktuurin fyysisen omistuksen välillä luo koordinointiriippuvuuksia, jotka on ratkaistava ennen kuin verkkoa voi käyttää johdonmukaisena kokonaisuutena.

Keskeinen suunnitteluerottelu on kansallisen selkärangan ja koalition tehtäväverkon välillä. Jokainen osallistuva maa hallinnoi omaa kansallista C2-viestintäselkärankaansa, joka on yhdistetty kansalliseen taka-alueen infrastruktuuriin ja kuljettaa dataa kansallisilla turvaluokituksilla. Koalition tehtäväverkko on erillinen, tarkoitukseen rakennettu verkko, joka kuljettaa vain koalitiolle luovutettavaa tietoa sovitulla koalition turvaluokituksella. Mikään järjestelmä ei yhdisty molempiin ilman cross-domain-ratkaisua (CDS), joka valvoo niiden välistä rajaa. Suunnittelun on nimenomaan mallinnettava kunkin osallistuvan maan kansallinen selkäranka, CDS-rajapiste ja koalition verkkotopologia — kolme kerrosta, joiden on toimittava oikein ennen kuin mikään operatiivinen data virtaa.

Tehtäväverkon arkkitehtuuri

CJTF:n koalition tehtäväverkko rakennetaan CIS-arkkitehtuurin ympärille, joka noudattaa tyypillisesti vakiintuneita Nato-malleja sijoitetuille päämajille. Keskeinen vertailukohta on TOPFAS (Tool for Operational Planning, Force Activation and Simulation) -CIS-arkkitehtuurimalli, joka määrittää solmujen tyypit, palvelutasot ja yhteysvaatimukset Nato-standardin CJTF-päämajalle. Käytännössä kukin CJTF mukauttaa tätä mallia osallistuvien maiden, saatavilla olevan infrastruktuurin ja operatiivisten vaatimusten perusteella — mutta TOPFAS-perusmalli estää perustavanlaatuisten arkkitehtuuripäätösten uudelleen keksimisen jokaisessa käyttöönotossa.

Verkkokerrokset, jotka esiintyvät tyypillisessä CJTF CIS-ympäristössä, ovat:

• NATO SECRET (NS): koalition ensisijainen tehtäväverkko, joka kuljettaa operatiivista suunnittelua, käskyjä, tiedustelutuotteita ja tilannekuva-dataa, johon kaikilla valtuutetuilla koalition osallistujilla on pääsy.
• CENTRIXS-yhteisöt: Yhdysvaltojen johtamia koalition verkkoja tietyille kumppaniryhmille, jotka toimivat SECRET REL TO -tasolla asianomaiselle kumppanijoukolle. Yhdysvaltojen joukkoja sisältävä CJTF sisältää tyypillisesti yhden tai useamman CENTRIXS-verkon (yhteisökohtaisia, kuten CENTRIXS-ISAF tai CENTRIXS-J), jotka kuljettavat dataa, jota ei ole saatavilla NS:llä mutta joka on luovutettavissa tietyssä kumppaniryhmässä.
• BICES (Battlefield Information Collection and Exploitation Systems): Naton tiedustelunjakoverkko, jota käytetään tiedustelutuotteiden jakamiseen koalition kesken hallitummalla luovutustasolla kuin NS. BICES-pääsy on maa-kohtainen eikä se ole kaikilla koalition osallistujilla.
• Kansalliset SECRET-verkot: kunkin osallistuvan maan oma SECRET-infrastruktuuri, joka kuljettaa dataa kansallisilla turvaluokituksilla ja joka on yhteydessä koalition verkkoon vain CDS:n kautta.

Kaistan jakaminen näiden kerrosten välillä edellyttää harkittua suunnittelua. Tehtäväverkon WAN-linkit — satelliittiset, maaperäiset tai hybridiset — on jaettava kerrosten välillä palvelun laatu (QoS) -käytännöillä, jotka suojaavat aikakriittistä C2-liikennettä (seurantapäivitykset, käskyt, hälytykset) joukkodatansiirtojen (kuvitus, liikkuva video, logistiikkaraportit) syrjäyttämältä. Yleinen virhe on kohdella tehtäväverkon WANia yhtenä jaettuna putkona ilman QoS-segmentointia: operatiivisessa kuormassa tiedustelusyötteiden joukkodata kyllästää putken ja aikakriittinen käskyliikenne kokee sietämättömän viiveen. CDS:n alueiden väliselle siirtokanavalle on myös varattava suojattu kaistaosuus, sillä CDS:n läpäisykyvyn pullonkauloilla on kertova vaikutus kaikkeen alueiden väliseen dataan.

Cross-domain-ratkaisut kansallisten verkkojen välillä

Cross-domain-ratkaisut ovat tekninen täytäntöönpanopiste niille tiedon luovutussäännöille, jotka datajakosopimukset asettavat. CJTF:ssä jokainen data-alkio, joka liikkuu kansallisesta verkosta koalition tehtäväverkkoon — tai päinvastoin — kulkee CDS:n läpi, joka arvioi kohteen turvallisuusmerkinnän sovellettavaa luovutuskäytäntöä vastaan ja päättää, siirretäänkö, pidetäänkö vai hylätäänkö se. CDS-arkkitehtuurin ymmärtäminen on tämän vuoksi keskeistä CJTF C2-integraation ymmärtämisessä, sillä CDS-rajapinta on siellä, missä kansalliset ja koalition turvallisuusalueet kohtaavat.

CDS-toteutukset jakautuvat karkeasti kahteen kategoriaan. Laitteistotietovartijat ovat erikoistuneita laitetasoisia laitteita, joissa on muuttumattomuuden osoittava fyysinen turvallisuus ja jotka on hyväksytty korkean luotettavuuden alueiden välisiin siirtoihin kunkin maan hyväksyntäviranomaisen toimesta. Ne toteuttavat sisällön suodatuksen, protokollankatkokset ja merkintöjen tarkistuksen laitteistossa tai laiteohjelmistossa, ja niiden sertifiointiperusta on tyypillisesti Common Criteria EAL 5 tai korkeampi. Ohjelmistopohjaiset CDS-tuotteet toteuttavat vastaavan toiminnallisuuden ohjelmistopinossa, usein kaupallisella laitteistolla kovennetulla käyttöjärjestelmällä; ne ovat yleensä nopeampia määrittää ja päivittää, mutta niillä on erilaiset hyväksyntävaatimukset. CJTF:ssä laitteiston ja ohjelmiston CDS:n välisen valinnan määrittää usein kunkin maan kansallinen hyväksyntäviranomainen eikä koalitio, koska juuri kansallista aluetta suojataan.

CDS-suodatinkäytäntöjen suunnittelu on siellä, missä monimutkaisin tekninen työ tapahtuu. Suodatinkäytännön on toteutettava kaikkien sovellettavien datajakosopimusten luovutussäännöt sellaisina kuin ne esiintyvät lähdedatassa. Naton koalition C2:n ydinmerkintäattribuutit on määritelty STANAG 4774:ssä (Confidentiality Label Syntax) ja STANAG 4778:ssä (Metadata Binding) — turvaluokkitaso, luovutettavuusluettelo ja mahdolliset varaukset, jotka rajoittavat edelleenjakelua. Suodatinkäytäntö kuvaa näiden attribuuttiyhdistelmien luovutuspäätöksiin: data, joka on merkitty SECRET REL TO ISAF (hypoteettisesti), luovutetaan ISAF:n tehtäväverkkoon; data, joka on merkitty SECRET NOFORN, pidätetään kansallisella rajalla; data, jossa on tiedusteluyhteisön varaus (esim. SI, TK), ohjataan erilliseen inhimillisen tarkastuksen jonoon automaattisen luovutuksen sijaan.

Tietoluovutuksen (ROI) automaatio on kyky, joka tekee tästä hallittavan operatiivisissa datan määrissä. Jokaisen alueiden välisen datasiirron manuaalinen tarkastus on toteutettavissa pienelle yhdyskäytäntäyksikölle mutta täysin käyttökelvottomalle divisioonankokoiselle CJTF:lle, joka tuottaa tuhansia seurantapäivityksiä, viestiliikennettä ja sensoriraportteja tunnissa. ROI-automaatio käyttää kunkin datan turvallisuusmerkintää luovutuspäätöksen toteuttamiseksi ilman inhimillistä puuttumista kohteille, jotka täsmällisesti vastaavat käytäntöä. Kohteet, jotka osuvat käytäntöaukkoihin — merkitsemätön data, data tunnistamattomilla varauksilla, data turvaluokituksen rajalla — pidetään inhimilliselle tarkastukselle. Automaation laatu on täten suoraan verrannollinen lähdedatan merkintöjen laatuun: huonosti merkitty data luo inhimillisen tarkastuksen jonon, joka kumoaa automaation tarkoituksen ja tuo viiveen koalition kuvaan.

Syvempään käsittelyyn CDS-teknologiasta ja sen roolista puolustusverkkojen arkkitehtuureissa, katso artikkeli cross-domain-ratkaisu puolustuksessa.

Datajakosopimukset ja turvaluokitusvastaavuudet

Datajakosopimus (DSA) on oikeudellinen ja poliittinen väline, joka valtuuttaa yhden maan jakamaan salastettua tietoa toisen maan tai koalition kanssa. CJTF:ssä DSAs määrittävät jakamisen ehdot — mitkä tietoluokat kuuluvat mihin turvaluokituksiin, millä rajoituksilla ja minkä valvonnan alaisina — ja niiden olemassaolo on edellytys niiden CDS:n tietoluovutuskäytäntöjen käytölle, jotka toteuttavat jakamisen. CDS ei voi luovuttaa dataa koalitiolle ilman kelvollista DSA:ta, joka tarjoaa luovutusvaltuuden.

DSA:t voidaan rakentaa kahdenvälisesti (kahden maan välillä) tai monenvälisesti (koko koalition laajuisesti). Kahdenväliset DSA:t ovat tyypillisesti tarkempia siitä, mitä jaetaan ja millä ehdoilla, mutta ne eivät skaalaudu suureen koalitioon — viidentoista maan CJTF vaatisi jopa 105 kahdenvälistä asiakirjaa, joista moni on neuvoteltava yksittäisesti korkealla hallintotasolla. Monenväliset DSA-kehykset, kuten Naton turvallisuuspolitiikka ja siihen liittyvät tietoturvan tekniset ja täytäntöönpanodirektiivit, asettavat perusehdot, joilla kaikki Naton jäsenmaat jakavat tietoa keskenään, ja vähentävät jäsenmaiden operaatiokohtaista neuvottelutaakkaa. Tehtäväkumppanit (Naton ulkopuoliset maat, jotka osallistuvat tiettyyn operaatioon) tarvitsevat tyypillisesti erillisiä kahdenvälisiä sopimuksia, jotka kuvavat niiden kansalliset turvallisuussäännöt Naton kehykseen.

Turvaluokitusvastaavuus on yksi DSA:n teknisesti merkitsevimmistä osatekijöistä. Jokainen maa käyttää omaa kansallista turvaluokitusjärjestelmäänsä omalla merkintäsanastollaan, omilla salastetun aineiston käsittelysäännöillään ja omilla oletuksillaan siitä, mitä SECRET merkitsee alkuperäisen hallitseman luovutuksen osalta. Monikansallisen CJTF:n on perustettava kartoitustaulukko, joka määrittää, miten kunkin maan kansalliset turvaluokitustasot vastaavat koalition tasoihin (NATO UNCLASSIFIED, NATO RESTRICTED, NATO CONFIDENTIAL, NATO SECRET, COSMIC TOP SECRET) tietojenvaihtoa varten. Tämä vastaavuus on harvoin täydellinen — se, mitä yksi maa luokittelee SECRET:iksi, voi olla merkittävästi korkeammalla tai alemmalla kuin toisen maa — ja kartoitusvalinnat vaikuttavat sekä tiedon turvallisuuteen että datan operatiiviseen saatavuuteen koalition verkossa.

Varausten käsittely on rinnakkainen ongelma. Maat soveltavat kansallisia varauksia — NOFORN, REL TO -määrätyille luetteloille, vain kansallisille silmille tarkoitetut rajoitukset, osastovaraukset — joita on kunnioitettava, vaikka tieto ylittäisi koalition alueelle. DSA:n on määriteltävä, miten kukin varaus käsitellään: kunnioitetaan sellaisenaan (varaus kulkee datan mukana koalition verkkoon), poistetaan määritellyin ehdoin (alkuperäinen sallii varauksen poiston koalition käyttöön) tai käytetään estoperusteena (dataa tällä varauksella ei voi luovuttaa koalitiolle lainkaan). CDS-suodatinkäytäntöjen toteutus seuraa suoraan näistä varausten käsittelysäännöistä, mistä syystä DSA-neuvottelun ja CDS-käytäntöjen suunnittelun on edettävä tiiviissä yhteistyössä eikä peräkkäin.

STANAG-harmonisointi koalition datan vaihdolle

STANAGit (NATO Standardization Agreements) määrittävät tekniset standardit, joita koalition C2-järjestelmät käyttävät datan vaihtoon. CJTF C2-integraation kannalta asiaankuuluvat STANAGit kattavat merkinnät, viestinvälityksen, taktiset datalinkit ja C2-tietomallin. Insinöörityön haaste on siinä, että maat toteuttavat STANAGeja kansallisilla toteutusprofiileilla — ne valitsevat eri versioita, ottavat käyttöön eri valinnaisia kenttiä, käyttävät eri koodauksia ja tulkitsevat monitulkittaisia määräyksiä eri tavoin. CJTF:n on joko harmonisoitava nämä kansalliset profiilit tai rakennettava välityskerros, joka siltaa ne koalition yhdyskäytävässä.

Koalition datan vaihdolle suoraan keskeisimmät STANAGit ovat:

• STANAG 4774 / 4778: määrittävät NATO Confidentiality Label Syntax - ja Metadata Binding -spesifikaatiot, joilla kiinnitetään turvallisuusmerkinnät viesteihin ja dataobjekteihin. Maat, jotka toteuttavat näiden STANAGien eri versioita tai valinnaisia laajennuksia, tuottavat merkintöjä, joita toisen maan CDS ei välttämättä pysty jäsentämään — suora yhteentoimivuushäiriö, jolla on turvallisuusseuraamuksia.
• STANAG 5048: Military Message Handling System (MMHS), koalition standardi päämajojen väliseen muodolliseen viestintään. Kansalliset MMHS-toteutukset eroavat toisistaan merkistöjen käsittelyssä, otsikkokenttien koodauksessa ja valinnaisissa reititysrakenteissa.
• STANAG 5516 (ja siihen liittyvä ADatP-3): Tactical Data Exchange -muodot. Maat toteuttavat Link 16:n ja sen viestistandardit kansallisilla laajennuksilla ja versioeroilla, mikä edellyttää käännöstä yhdyskäytävällä, kun taktisen tilannekuvan data ylittää kansalliset rajat.
• STANAG 2534 / MIP (Multilateral Interoperability Programme): määrittää C2-tietojenvaihtodatamallin (C2IEDM / JC3IEDM / MIM) maavoimien C2-järjestelmille. Kansalliset C2-järjestelmät toteuttavat eri MIP-versioita, ja siirtyminen aiemmista versioista MIP4:ään ei ole valmis koko allianssissa, mikä luo versiosiltaustarpeita.

Datasanakirjojen sovittaminen on huolellista työtä, jossa kansallisia toteutusprofiileja verrataan kenttä kentältä, tunnistetaan, missä ne eroavat toisistaan, ja päätetään, miten kukin ero käsitellään. Kentissä, joissa molemmat osapuolet käyttävät samaa koodausta ja samoja merkityksiä, siltaa ei tarvita. Kentissä, joissa toinen osapuoli käyttää valinnaista laajennusta, jota toinen ei toteuta, on määritettävä kuvaus tai oletusarvo. Kentissä, joissa kaksi maata käyttää aidosti eri semanttisia malleja samalle käsitteelle (esim. eri tavat ilmaista joukon operatiivinen tila), on kirjoitettava sisällöllinen käännössääntö ja testattava se oikealla datalla. Tämä työ tehdään tyypillisesti käyttöönottoa edeltävässä integraatiotapahtumassa — ihanteellisesti CWIX-tyylisessä koalition testiharjoituksessa — ja jäljelle jäävät aukot dokumentoidaan hyväksyttyinä rajoituksina operaatioon lähdettäessä.

Viestimuotojen siltaaminen koalition yhdyskäytävässä kääntää kansallisten muotojen ja kunkin STANAGin koalition perusprofiilin välillä. Välityspalvelu vastaanottaa viestit kunkin osallistuvan maan profiilissa, soveltaa sovituskuvausta ja julkaisee viestit uudelleen koalition perusprofiilissa muiden osallistujien käyttöön. Välityspalvelu on testattava koko sillä viestityyppien ja kenttäyhdistelmien kirjolla, jota kunkin osallistuvan maan järjestelmät todella tuottavat — ei vain STANAG-spesifikaation kanonisia esimerkkejä — koska kansalliset toteutukset tuovat usein esiin reunatapauksia, joita laboratoriotestit eivät löydä.

Federatiivinen identiteetti- ja käyttövalvonta CJTF:ssä

Koalition tehtäväverkon käyttövalvonnan on sovitettava yhteen käyttäjät, jotka on todennettu monilla eri kansallisilla identiteetti-infrastruktuureilla ja jotka käyttävät monista organisaatiorooleista käsin resursseja, joiden turvaluokitukset ja luovutusmerkinnät kattavat laajan kirjon. Keskittäin koalition ylläpitämä käyttäjäkohtainen käyttövalvontaluettelo ei ole toteutettavissa suuressa CJTF:ssä, jossa kokoonpanot muuttuvat maiden kierräessä joukkoja sisään ja ulos. Ratkaisu on federatiivinen identiteetin hallinta yhdistettynä attribuuttipohjaiseen käyttövalvontaan (ABAC).

Kukin osallistuva maa ylläpitää omaa julkisen avaimen infrastruktuuriaan (PKI) — CA-hierarkiaa, joka myöntää digitaalisia sertifikaatteja maan käyttäjille ja järjestelmille. Jotta kansallinen PKI olisi koalition verkon luottavien osapuolten (todennuspalvelimet, käyttövalvontapalvelut, sovellusportaalit) luottama, maan juuri-CA:n sertifikaatti on sisällytettävä koalition luottamusankkurivarastoon, ja PKI:den välillä on oltava voimassa ristisertifiointisopimus. NATO ylläpitää NATO PKI:tä omalla CA-hierarkiallaan; jäsenmaat ylläpitävät lisäksi kansallisia PKI:itä, ja NATO PKI:n ja kansallisten PKI:den välinen ristisertifiointi on edellytys saumattomalle todennukselle koko koalitiossa. Tehtäväkumppanit, jotka eivät kuulu NATO PKI:n luottamusverkostoon, tarvitsevat erilliset ristisertifiointijärjestelyt, jotka on saatettava loppuun ennen operaation alkua. Syvällisemman käsittelyn federatiivisen identiteetin toiminnasta koalition verkoissa tarjoaa artikkelimme federatiivinen identiteetti koalition verkoissa.

Kun identiteetti on muodostettu, käyttöpäätökset tehdään ABAC-käytännöillä, jotka arvioivat käyttäjän attribuutteja — kansalaisuus, turvallisuustaso, määritetty rooli, operatiivinen tehtävänosoitus, organisatorinen asema — resurssin attribuutteja (turvaluokitus, varaukset, luovutusmerkinnät) vasten ja tekevät myöntö- tai kieltopäätöksen. ABAC:n etu roolipohjaisiin malleihin nähden CJTF:ssä on, että käytännön voi kirjoittaa kerran attribuuttiyhdistelmien avulla ja soveltaa dynaamisesti mihin tahansa resurssiin luettelematta käyttäjä–resurssi-pareja etukäteen. Käytäntösääntö kuten ”resurssia, joka on merkitty SECRET REL TO [kumppanijoukko], saa käyttää mikä tahansa käyttäjä, jonka kansalaisuus kuuluu joukkoon [kumppanijoukko] ja jonka turvallisuustaso on SECRET tai korkeampi”, kattaa määrittelemättömän määrän käyttäjiä ja resursseja ilman manuaalista ylläpitoa.

ABAC:n käytännön toteutus käyttöönotetussa CJTF-ympäristössä edellyttää, että attribuuttitieto on tarkkaa ja ajantasaista. Turvallisuustasoa, roolia ja tehtävänosoitusta koskevat attribuutit on noudettava auktoritatiivisista kansallisista hakemistoista tai identiteetintarjoajista ja ylläpidettävä kokoonpanojen muuttuessa. Käyttäjä, jonka rooliattribuuttia ei ole päivitetty uudelleensijoituksen jälkeen, voi säilyttää pääsyn resursseihin, joita uusi rooli ei salli, tai häneltä voidaan evätä pääsy, jonka uusi rooli edellyttää. Attribuuttien hallinta on operatiivinen prosessi, ei kertaluonteinen konfigurointitehtävä, ja koalition CIS-osastolla on oltava omistajuus kokoonpano-attribuutti-kuvauksesta ja sen ylläpidosta yhteistyössä kunkin osallistuvan maan henkilöstöviranomaisen kanssa.

# Illustrative ABAC policy rule (XACML-style pseudocode)
Rule: "Access SECRET REL TO partner-set resources"
  Effect: Permit
  Condition:
    resource.classification == "SECRET"
    AND resource.releasability.contains(subject.nationality)
    AND subject.clearanceLevel IN ["SECRET", "TOP_SECRET"]
    AND subject.assignment.operationalStatus == "ACTIVE"
  ObligationOnPermit:
    log_access(subject.id, resource.id, decision="PERMIT", timestamp=now())
            

Oppitunnit todellisista CJTF-käyttöönotoista

Peräkkäisistä CJTF-operaatioista nousevat kaavat paljastavat toistuvia vikamalleja, jotka ovat rakenteellisia eivätkä sattumanvaraisia. Niiden ymmärtäminen on suorin tie välttää samat ongelmat uudessa käyttöönotossa.

Tiedon hamstraus on operatiivisesti vakavin vikamalli ja samalla se, jota raportoidaan johdonmukaisimmin operaatioiden jälkeisissä analyyseissä. Sitä tapahtuu, kun kansalliset osastot kieltäytyvät luovuttamasta dataa koalition verkkoon, koska tietoluovutuskäytäntö on ratkaisematta, koska CDS:ää ei ole konfiguroitu toteuttamaan sovellettavaa DSA:ta tai koska kansalliset luovutusvirkamiehet soveltavat liian varovaisia tulkintoja, kun käytäntö on monitulkittainen. Tuloksena on koalition yhteinen operatiivinen tilannekuva, joka on selvästi heikompi kuin se, minkä yksittäinenkin maa näkee omassa kansallisessa verkossaan, ja tämä heikentää päämajan kykyä suunnitella ja ohjata operaatioita. Lievennyskeinona on saattaa DSA-neuvottelut ja CDS-käytännön konfigurointi valmiiksi ennen operaation alkua — ei sen jälkeen — ja suorittaa käyttöönottoa edeltävät testit, jotka validoivat toteutuvan datavirran, eivät vain verkkoyhteyden. Käytäntöaukot, jotka tunnistetaan vasta, kun operatiivinen data alkaa virrata, on äärimmäisen vaikea ratkaista aikapaineessa.

Kaistarajoitteet ovat toinen vikakategoria, ja ne ovat lähes väistämättömiä eteen sijoitetuissa elementeissä, jotka on yhdistetty taktista satelliittiyhteyttä pitkin. Modernien C2-järjestelmien tuottama liikenne — jatkuvat seurantapäivitykset, monikerroksiset tiedustelutuotteet, suuren erotuskyvyn kuvitus ja UAV:ien täysliikevideo — ylittää selvästi sen, mitä monet sijoitetut satelliittiyhteydet pystyvät kuljettamaan. Vikamalli on asteittainen heikkeneminen: aikakriittinen C2-liikenne alkaa kokea viiveitä, kun massadata täyttää käytettävissä olevan kapasiteetin, ja koalition tilannekuva vanhenee juuri kun operatiivinen tahti kiihtyy. Lievennyskeino on yhdistelmä QoS-täytäntöönpanoa (kuten yllä on kuvattu), datan pakkaamista koalition yhdyskäytävässä ja harkittuja päätöksiä siitä, mitkä tietoluokat ovat sallittuja tehtäväverkossa ja millä päivitysnopeuksilla. Kaikkea jaettavissa olevaa ei tarvitse jakaa; tietotilan priorisointi on komentopäätös, jonka CIS-arkkitehtuurin on oltava suunniteltu täytäntöön panemaan.

CDS-pullonkaulat syntyvät, kun cross-domain-ratkaisusta tulee läpäisyrajoite. Yksittäinen CDS-laite, joka käsittelee kaiken toimialueiden välisen liikenteen suuressa CJTF-päämajassa — yleinen alkukonfiguraatio nopeasti koostetuissa operaatioissa — muuttuu yksittäiseksi vikapisteeksi ja käsittelyn kuristuspisteeksi, kun datamäärät kasvavat. Tyypillinen vikamalli on jonojen kasvu CDS:ssä: kansallisista verkoista saapuvat luovutukset jonoontuvat CDS:n tarkastusläpäisyn taakse, mikä tuo viiveen, joka tekee aikakriittisestä datasta — kuten ilma-alusten seurantapäivityksistä — operatiivisesti vanhentunutta siihen mennessä, kun se saapuu koalition verkkoon. Lievennyskeino on hajautettu CDS-arkkitehtuuri: useita CDS-instansseja käsittelemässä eri toiminnallisia liikennevirtoja (tiedustelu, tulitoiminta, logistiikka, omien joukkojen seuranta) sekä kyky siirtyä instanssista toiseen vikatilanteessa. Tämä edellyttää enemmän CDS-kapasiteettia, mutta kustannus on perusteltu toimialueiden välisen polun yksittäisen pullonkaulan operatiivisella riskillä.

Harvemmin siteerattu mutta käytännössä merkittävä vikamalli on luokitusmerkintöjen laadun heikkeneminen operaation kuluessa. Käyttöönoton alussa datan merkintäkurinalaisuus on tyypillisesti korkeimmillaan — järjestelmät on konfiguroitu oikein, operaattorit on koulutettu ja noudattamista valvotaan. Operaation jatkuessa ja operatiivisen tahdon vaihdellessa merkintöjen laatu alkaa liukua: operaattorit käyttävät yleisiä merkintöjä yksittäisten luovutusmerkintöjen sijaan, automatisoidut järjestelmät tuottavat merkitsemättömiä datatuotteita ja poikkeamat kertyvät. Seurauksena on kasvava datamäärä, jota CDS ei voi luovuttaa automaattisesti, koska merkintä ei vastaa käytäntöä, mikä laajentaa inhimillisen tarkastuksen jonoa ja pienentää ROI-automaation todellista kattavuutta. Merkintälaadun ylläpito edellyttää jatkuvaa operatiivista valvontaa — määräaikaisia tarkastuksia merkintäkaavoista, palautetta lähettäville yksiköille, joiden data toistuvasti ei läpäise automaattisen luovutuksen suodatinta, ja teknisiä ohjaimia, jotka estävät merkitsemättömän datan pääsyn jakeluketjuun lähdejärjestelmässä.