في الثاني من مارس/آذار 2023، أعلنت إدارة بايدن-هاريس عن استراتيجيتها الوطنية للأمن السيبراني الأولى، بهدف ضمان الاستفادة الكاملة من بيئة رقمية آمنة ومأمونة لجميع الأمريكيين. ورغم أن تركيز هذه الاستراتيجية ينصب على الولايات المتحدة، إلا أن الحاجة إلى مثل هذه الخطة الشاملة وتطبيقاتها وفوائدها ملموسة على مستوى العالم. ولا عجب أن يكون مبدأ "انعدام الثقة" (ZT)، وتحديدًا أمن البيانات وفق هذا المبدأ، عنصرًا أساسيًا في هذه الاستراتيجية، إذ تُعد البيانات أهم الأصول الرقمية التي يجب حمايتها بكل حزم.
على الرغم من تزايد شعبية مفهوم "انعدام الثقة" في أوساط الأمن السيبراني، إلا أنه لا يزال مفهومًا غامضًا بالنسبة لمعظم المتخصصين في هذا المجال. فقد كشف استطلاع رأي أُجري عام 2022 وشمل صانعي القرار في مجال تكنولوجيا المعلومات والأمن السيبراني أن ثلثهم فقط ( 35 %) واثقون من فهمهم لإطار عمل "انعدام الثقة" وضوابطه. ومن خلال فهم تاريخ "انعدام الثقة"، ومعناه، وكيفية تطبيقه على أمن البيانات، تستطيع المؤسسات تعلم كيفية تطبيق هذه العناصر الأساسية لحماية أصولها الأكثر حساسية.
ما هو أمن الثقة الصفرية؟ نبذة تاريخية وأساسياته
يتمثل الهدف الرئيسي لأمن "انعدام الثقة" في منع اختراقات البيانات والحد من تنقل المستخدمين داخل الشبكة. وقد صاغ جون كيندرڤاج مصطلح "انعدام الثقة" لأول مرة أثناء عمله في شركة فورستر، واكتسب المصطلح شعبية واسعة عندما أدركت المؤسسات قصور نهج الأمن التقليدي القائم على حماية محيط الشبكة في حماية بنيتها التحتية الرقمية.
لطالما ركزت المؤسسات جهودها الأمنية على حدود الشبكة الخارجية، مستخدمةً جدران الحماية لحجب حركة البيانات الضارة والتحقق من هوية المستخدمين قبل منحهم صلاحية الوصول إلى موارد الشبكة. إلا أن هذا النهج محدود، إذ يمنح المهاجمين وصولاً غير مقيد إلى الموارد بمجرد اختراقهم للشبكة. علاوة على ذلك، ومع استضافة المؤسسات الحديثة للتطبيقات والبيانات في بيئات سحابية متعددة ، وعمل الموظفين عن بُعد، يصبح تحديد حدود الشبكة أكثر صعوبة، مما يُضعف فعالية أمن المحيط الخارجي.
مبدأ انعدام الثقة: المبادئ الأساسية وتشبيه أمن المطارات
تعتمد أنظمة الأمن القائمة على مبدأ الثقة الصفرية على ثلاثة مبادئ أساسية -
- لا تثق أبدًا، تحقق دائمًا : لا ينبغي أبدًا الوثوق بأي جهة تطلب الوصول إلى مورد ما بناءً على موقعها على الشبكة. يجب التحقق من صحة كل طلب، بما في ذلك الطلبات الواردة من داخل شبكة الشركة. كما يجب منح الثقة لكل معاملة على حدة، ولا ينبغي اعتبارها دائمة.
- منح أقل الامتيازات : ينبغي تقليل الوصول إلى الموارد إلى الحد الأدنى عن طريق تقييد الأذونات بما هو ضروري لإتمام المعاملة. يجب إعادة التحقق من الطلبات اللاحقة وإعادة المصادقة عليها ومعاملتها كمعاملات جديدة.
- افتراض وجود هجوم : ينبغي على المؤسسات أن تفترض وجود مهاجم على الشبكة في كل الأوقات. لذا، يجب تطبيق طبقات متعددة من الحماية لكشف أي مهاجم ينجح في اختراق إحدى هذه الطبقات.
لنأخذ مثالاً على إجراءات الأمن في المطار. يخضع جميع المسافرين، بغض النظر عن جنسيتهم أو نوع تأشيراتهم، لنفس الفحوصات الأمنية، بما في ذلك التحقق من الهوية وفحص الأمتعة، للوصول إلى بوابات الصعود إلى الطائرة. إذا خرج مسافرٌ عن طريق الخطأ من نقطة التفتيش الأمنية، فإنه يخضع لنفس الإجراءات الأمنية مرة أخرى. هذا يُشبه مبدأ " لا تثق أبدًا، تحقق دائمًا" . المسافر الذي يُسمح له بتجاوز نقطة التفتيش لا يمكنه الوصول إلا إلى المتاجر في تلك الصالة والصعود إلى الطائرة التي اشتراها. هذا يُشبه منح الأولوية لأقل المسافرين امتيازًا . بمجرد دخولهم نقطة التفتيش الأمنية، تُراقَب تحركات جميع المسافرين باستمرار بحثًا عن أي نشاط مشبوه عبر كاميرات المراقبة، ويتم التحقق من بطاقة الصعود إلى الطائرة مرة أخرى قبل السماح لأي مسافر بالصعود. هذا يُشبه افتراض وقوع هجوم .
لا يُمثل أمن "انعدام الثقة" تقنيةً واحدةً أو منتجًا واحدًا، بل هو مجموعة من المبادئ التوجيهية التي تُساعد المؤسسة على حماية أصولها. حتى لو لم تُباشر المؤسسة رسميًا تطبيق "انعدام الثقة"، فقد تكون لديها بالفعل عناصر أساسية منه مُدمجة في بنيتها الأمنية الحالية. يُعدّ الانتقال إلى "انعدام الثقة" رحلةً تدريجيةً، حيث ينبغي على المؤسسات البدء بمشاريع صغيرة وإضافة طبقات دفاعية جديدة تدريجيًا مع مرور الوقت لتعزيز أمن "انعدام الثقة" ومنع المُهاجمين دون تعطيل سير العمل.
تطبيق مبدأ "انعدام الثقة" الأمني على أصول البيانات وعناصرها
عادةً ما تُؤسس المؤسسات بنية أمانها القائمة على مبدأ "انعدام الثقة" على نهج الهوية أو تجزئة الشبكة، بدءًا من حلول إدارة الهوية والوصول (IAM) وحلول أمان الشبكة المُختارة لإنشاء آلية للتحقق من صحة طلبات الوصول الواردة. ويشترك في جميع هذه النهج مُحرك لاتخاذ القرارات وإنفاذ السياسات، يستخدم إشارات مُتنوعة كمدخلات لخوارزمية الثقة لمنح أو رفض أو إلغاء الوصول إلى مورد ما.
