الانتقال إلى السحابة لا يسلّم أمنك للمزود، بل يغيّر الأجزاء التي تتحمل مسؤوليتها. ومعظم الحوادث السحابية تقع في الأجزاء التي تبقى عليك.
تسارع تبني السحابة في المملكة، مدعوماً بافتتاح كبار المزودين مناطق داخل المملكة أو إعلانهم عنها، وبسياسات وطنية تشجع استخدام السحابة في القطاعين الحكومي والخاص. وتغيرت معه الأحاديث الأمنية مع عملائنا. فالسؤال لم يعد هل السحابة آمنة، بل هل تستخدمها مؤسستك بأمان.
المسؤولية المشتركة بلغة بسيطة
ينشر كل مزود سحابي نموذجاً للمسؤولية المشتركة. يؤمّن المزود البنية التحتية الأساسية: مراكز البيانات والعتاد والمنصة الجوهرية. وتؤمّن أنت ما تبنيه وتضبطه فوقها. ويختلف موضع الخط بحسب الخدمة.
- البنية التحتية كخدمة: أنت مسؤول عن أنظمة التشغيل وإعدادات الشبكة والتطبيقات والهويات والبيانات.
- المنصة كخدمة: يدير المزود جزءاً أكبر من الطبقات، لكنك ما زلت مسؤولاً عن أمن التطبيقات والهويات وإعدادات الوصول والبيانات.
- البرمجيات كخدمة: يشغّل المزود التطبيق، وتبقى مسؤولاً عمّن يملك الوصول، وكيف ضُبط، وما البيانات التي تضعها فيه.
وفي الثلاثة تبقى الهوية والإعدادات والبيانات عليك. ولهذا يقف سوء الإعداد، مثل حاوية تخزين تُركت عامة أو حساب مسؤول بلا مصادقة متعددة العوامل، وراء كثير من الاختراقات السحابية.
إقامة البيانات والمتطلبات الوطنية
لكثير من المؤسسات في السعودية، مكان تخزين البيانات مسألة امتثال لا مجرد تفضيل.
- تضع ضوابط الأمن السيبراني للحوسبة السحابية (CCC) من الهيئة الوطنية للأمن السيبراني متطلبات لمزودي الخدمات السحابية وللجهات المستفيدة من الخدمات السحابية ضمن نطاق الهيئة، بناءً على الضوابط الأساسية للأمن السيبراني.
- كثيراً ما يُشترط بقاء أحمال العمل الحكومية والمنظَّمة، والبيانات المصنفة حساسة وفق قواعد تصنيف البيانات الوطنية، داخل المملكة.
- يقيّد نظام حماية البيانات الشخصية نقل البيانات الشخصية خارج المملكة بحالات محددة.
- وللجهات التنظيمية القطاعية، ومنها البنك المركزي السعودي للمؤسسات المالية، توقعاتها الخاصة بشأن الإسناد الخارجي والسحابة.
قبل اختيار خدمة أو منطقة، صنّف البيانات التي سيحتفظ بها حمل العمل وتأكد أي من هذه المتطلبات ينطبق. فاختيار منطقة داخل المملكة في البداية أسهل كثيراً من الانتقال إليها لاحقاً.
الضوابط التي تبدأ بها
١. الهوية
- افرض المصادقة متعددة العوامل على كل مستخدم بشري، بطرق مقاومة للتصيد للمسؤولين.
- احفظ بيانات اعتماد الحساب الجذري أو المسؤول العام بعيداً، ولا تستخدمها إلا في الطوارئ.
- اربط وحدات التحكم السحابية بمزود الهوية المركزي عبر الدخول الموحد، ليفقد المغادرون الوصول في كل مكان دفعة واحدة.
- امنح أقل الصلاحيات وراجعها بانتظام، فالصلاحيات السحابية تتراكم بسرعة.
- أدر هويات الأجهزة ومفاتيح الوصول بعناية، وفضّل بيانات الاعتماد قصيرة العمر على المفاتيح طويلة العمر.
٢. السجلات
- فعّل سجلات التدقيق لكل حساب واشتراك، بما فيها نشاط مستوى التحكم، وأرسلها إلى موقع مركزي لا يستطيع مسؤولوك تعديله.
- راقب الأحداث عالية الخطورة، مثل حسابات المسؤولين الجديدة، وتعطيل السجلات، وانكشاف التخزين للعامة، والوصول غير المعتاد من مواقع جديدة.
٣. الإعدادات والوضع الأمني
- حدّد خطوط أساس آمنة وفق معيار معترف به، وانشر البنية بوصفها شيفرة لتُراجع الإعدادات قبل تشغيلها.
- استخدم إدارة الوضع الأمني للسحابة لاكتشاف أخطاء الإعداد باستمرار عبر الحسابات.
- احظر الوصول العام إلى التخزين افتراضياً، واشترط استثناءً لكل ما يحتاجه فعلاً.
٤. حماية البيانات
- شفّر البيانات أثناء التخزين والنقل. وللأحمال الحساسة، فكّر في مفاتيح يديرها العميل لتتحكم في دورة حياتها والوصول إليها.
- استخدم نقاط اتصال خاصة لقواعد البيانات والتخزين حتى لا تكون قابلة للوصول من الإنترنت.
- انسخ البيانات الحرجة احتياطياً إلى حسابات منفصلة بوصول مقيد، واختبر الاستعادة. فمجموعات برامج الفدية تستهدف النسخ السحابية عمداً الآن.
٥. أحمال العمل وتطبيقات SaaS
- احمِ الأجهزة الافتراضية والحاويات بأمن مناسب للأجهزة وبيئة التشغيل، وافحص الصور قبل النشر.
- راجع إعدادات تطبيقات SaaS وصلاحيات تطبيقات الطرف الثالث، خاصة في منصات التعاون والبريد.
- فكّر في وسيط لأمن الوصول السحابي حين يصعّب تكاثر تطبيقات SaaS الرؤية.
٦. الاستجابة للحوادث
كيّف خطة الاستجابة للحوادث للسحابة. وتأكد من أن الفريق يملك الوصول والأدوات للتحقيق في السجلات السحابية وعزل الموارد وحفظ الأدلة، ويعرف كيف يستعين بدعم المزود أثناء الحادث.
الانتقال الآمن
أكثر عمليات الانتقال أماناً تعامل الأمن جزءاً من التصميم، لا مراجعة في النهاية. اتفق على منطقة هبوط تتضمن الهوية والسجلات والشبكة والحواجز الواقية قبل نقل أول حمل عمل. وصنّف البيانات قبل الانتقال، وقرر أي الأحمال يبقى في مقر العمل أو ينتقل إلى منطقة داخل المملكة. ثم انتقل على موجات، متحققاً من الوضع الأمني في كل مرحلة.
يساعد فريق أمن السحابة لدينا المؤسسات في المملكة على تصميم مناطق هبوط آمنة، وتقييم الوضع الأمني عبر سحابات AWS وAzure وGoogle وOracle وHuawei، واستيفاء متطلبات الهيئة والقطاع. ونعتمد مصفوفة ضوابط السحابة أساساً، مربوطة بالضوابط الوطنية.