ما المقصود بالأمان السحابي؟

يتشارك موفرو الخدمات السحابية وعملاؤهم مسؤولية توفير الأمان السحابي. تختلف المسؤولية بناءً على نوع الخدمات المقدمة:

خدمة تأجير البنية التحتية. في هذا النموذج، يقدم موفرو الخدمات السحابية موارد للحوسبة والشبكة والتخزين عند الطلب. تقع مسؤولية تأمين خدمات الحوسبة الأساسية على عاتق الموفر. يتطلب من العملاء تأمين كل شيء متعلق بنظام التشغيل، بما في ذلك التطبيقات والبيانات وأوقات التشغيل والبرامج الوسيطة.

النظام الأساسي كخدمة. يقدم العديد من موفري الخدمات أيضاً بيئة للتطوير والنشر كاملة في السحابة. يتحملون مسؤولية حماية وقت التشغيل والبرامج الوسيطة ونظام التشغيل بالإضافة إلى خدمات حوسبة الذاكرة الأساسية. يجب على العملاء حماية تطبيقاتهم وبياناتهم وعملية وصول المستخدم وأجهزة المستخدم وشبكات المستخدم.

خدمة تأجير البرامج. بإمكان المؤسسات أيضاً الوصول إلى البرامج من خلال نموذج الدفع حسب وقت استخدام الخدمة، مثل Microsoft Office 365 أو Google Drive. في هذا النموذج، لا يتبدد احتياج العملاء إلى توفير الأمان لبياناتهم ومستخدميهم وأجهزتهم.

أربع أدوات تساعد الشركات على حماية مواردها في السحابة:

• يساعد النظام الأساسي لحماية حمل العمل على السحابة على تأمين إمكانات الحوسبة والتخزين والشبكات التي تحتاجها التطبيقات في السحابة. فهو يعمل عن طريق تحديد أحمال العمل في البيئات السحابية العامة والخاصة والمختلطة وفحصها بحثاً عن الثغرات الأمنية. إذا تم اكتشاف الثغرات الأمنية، سيوفر هذا الحل عناصر تحكم لإصلاح الثغرات.
• يعمل وسطاء أمان الوصول إلى السحابة على مساعدة فرق تكنولوجيا المعلومات في اكتساب رؤية حول استخدام التطبيقات السحابية وتوفير تقييم للمخاطر لكل تطبيق. تساعد هذه الحلول أيضاً في حماية البيانات وتحقيق أهداف التوافق من خلال استخدام الأدوات التي توضح كيفية نقل البيانات عبر السحابة. تستخدم المؤسسات أيضاً وسطاء أمان التطبيقات على السحابة لكشف سلوك المستخدم غير المعتاد ومعالجة التهديدات.
• يساعد حل إدارة وضع الأمان السحابي على تقليل المخاطر من خلال البحث المستمر عن أخطاء التكوين التي قد تؤدي إلى حدوث خرق. من خلال أتمتة العملية، تقلل هذه الحلول من مخاطر ارتكاب أخطاء خلال العمليات اليدوية وتزيد من الرؤية في البيئات التي تحتوي على آلاف الخدمات والحسابات. بمجرد كشف الثغرات الأمنية، توفر هذه الحلول توصيات موجهة لمساعدة المطورين على تصحيح المشكلة.
• توفر حلول إدارة الهوية والوصول الأدوات اللازمة لإدارة الهويات وتطبيق نُهج الوصول. تستخدم المؤسسات هذه الحلول لتقييد عملية الوصول إلى الموارد الحساسة وفرض مصادقة متعددة العوامل والوصول بأقل الامتيازات.
• يساعد النظام الأساسي لحماية التطبيقات المصممة للسحابة (CNAPP) فرق الأمان على دمج الأمان الممتد من التعليمات البرمجية إلى السحابة. ويوحّد "النظام الأساسي الشامل لحماية التطبيقات المصممة للسحابة" إمكانات التوافق والأمان؛ لمنع التهديدات التي يتعرض لها الأمان السحابي واكتشافها والتصدي لها بدءاً من مرحلة التطوير ووصولاً إلى مرحلة التشغيل.
• تمكن إدارة الأمان الموحد لـ DevOps فرق الأمان من توحيد مسارات الأمان المتعددة وتعزيزها وإدارتها، والتحقق المبكر من الثغرات الأمنية من خلال دمج الأمن في التعليمات البرمجية نفسها، وإدارة عمليات الحماية الممتدة من التعليمات البرمجية إلى السحابة في وحدة تحكم واحدة.

هناك أربعة مجالات تحتاج المؤسسات إلى مراعاتها عند تنفيذ الإجراءات والنُهُج لحماية أكثر من سحابة لك:

• تقييد الوصول: نظراً لأن السحابة تيسر الوصول إلى أي شيء عبر الإنترنت، فمن المهم للغاية ضمان وصول الأشخاص المناسبين فقط إلى الأدوات الصحيحة لفترة زمنية مناسبة.
• حماية البيانات: تحتاج المؤسسات إلى التعرف على مكان وجود بياناتها ووضع عناصر التحكم المناسبة لحماية البنية الأساسية حيث تتم استضافة البيانات وتخزينها وحماية البيانات نفسها.
• استرداد البيانات: يعد حل النسخ الاحتياطي الجيد وخطة استرداد البيانات أمراً بالغ الأهمية في حالة حدوث خرق.
• خطة الاستجابة: عندما تتعرض مؤسسة للهجمات، فإنها بحاجة إلى وضع خطة لتقليل تأثير الهجمات ومنع الأنظمة الأخرى من التعرض للاختراق.
• التحقق المبكر من الثغرات الأمنية: تعمل الفرق المسؤولة عن توفير الأمان والتطوير معاً لدمج الأمان في التعليمات البرمجية نفسها، بحيث يمكن تشغيل التطبيقات السحابية الأصلية بشكل آمن.
• اكتساب رؤية موحدة حول وع أمان DevOps: بإمكانك تقليل عدد الثغرات الأمنية من خلال استخدام واجهة مستخدم لعرض نتائج تحليلات وضع أمان DevOps على الأنظمة الأساسية لـ DevOps.
• توجيه تركيز فرق الأمان نحو التخلص من التهديدات الناشئة: بإمكانك تعزيز تكوينات موارد السحابة في التعليمات البرمجية لتقليل مشكلات الأمان التي تواجها بيئات الإنتاج.

تحتاج المؤسسات إلى الاحتراس من المخاطر التي تتعرض لها السحابة التالية:

• الحسابات المخترقة: غالباً ما يستخدم المهاجمون حملات التصيد الاحتيالي لسرقة كلمات مرور الموظفين والتمكن من الوصول إلى الأنظمة وأصول الشركة القيمة.
• الثغرات الأمنية في الأجهزة والبرامج: سواء كانت المؤسسة تستخدم مجموعة عامة أو خاصة، فمن المهم أن يتم تصحيح الأجهزة والبرامج وتحديثها.
• المخاطر الداخلية: يعد الخطأ البشري سبباً رئيسياً للاختراقات الأمنية. يمكن أن تؤدي التكوينات الخاطئة إلى وجود ثغرات تستغلها الجهات الضارة. غالباً ما ينقر الموظفون على الروابط الضارة أو ينقلون البيانات عن غير قصد إلى مواقع أقل أماناً.
• عدم اكتساب رؤية كافية لموارد السحابة: تصعب هذه المخاطر على السحابة عملية اكتشاف التهديدات والثغرات الأمنية والتصدي لها، والتي يمكن أن تؤدي إلى حدوث عمليات خرق الأمان وفقدان البيانات.
• عدم تحديد المخاطر الواجب معالجتها بشكل كافي: بمجرد ما يكتسب مسؤولي الأمان رؤية حول موارد السحابة، قد تبدو عدد توصيات تعزيز الوضع الأمني وكأنها عملية شاقة. من الضروري جعل كشف المخاطر على رأس أولوياتك للسماح للمسؤولين بتحديد المجالات التي يجب تركيز جهودهم فيها لتعزيز الأمان قدر الإمكان.
• أذونات السحابة المحفوفة بالمخاطر: تسبب انتشار الخدمات والهويات السحابية في زيادة عدد أذونات السحابة المحفوفة بالمخاطر وتوسيع نطاق الأجزاء المعرضة للهجوم. يقيس مؤشر تسلسل الأذونات (PCI) مدى الضرر الذي يمكن أن تسببه الهويات بناءً على أذوناتها.
• نطاق التهديدات الناشئة: تستمر المخاطر المرتبطة بالأمان السحابي في التطور. للحماية من عمليات خرق الأمان وتفادي فقدان البيانات، من الضروري أن تظل على اطلاع دائم بالتهديدات الجديدة والناشئة.
• التكامل غير الكافي بين تطوير السحابة الأصلية وتوفير الأمان: من الضروري أن تعمل الفرق المسؤولة عن توفير الأمان والتطوير معاً لتحديد مشكلات التعليمات البرمجية وإصلاحها قبل نشر التطبيق في السحابة.

يتمثل الأمان السحابي في التقنيات والإجراءات والنُهج وعناصر التحكم التي تساعدك على حماية الأنظمة والبيانات المستندة إلى السحابة. تتضمن بعض أمثلة الأمان السحابي ما يلي:

• أدوات مثل أداة وسيط أمان الوصول إلي السحابة لاكتساب رؤية حول التطبيقات والبيانات التي تستخدمها مؤسستك.
• إدارة وضع الأمان السحابي لمساعدتك في تحديد أخطاء التكوين وتصحيحها.
• أدوات لمساعدة فرق الأمان والتطوير على العمل معاً لدمج الأمان في التعليمات البرمجية نفسها.
• النظام الأساسي لحماية حمل العمل على السحابة لدمج الأمان في عملية التطوير.
• تطبيق نُهج المؤسسة لتحديث أجهزة الموظفين بما في ذلك، برامج تصحيح الأخطاء باستمرار.
• وضع برنامج تدريبي للتأكد من أن الموظفين على دراية بأحدث أساليب التصيد الاحتيالي والتهديدات.

من خلال حماية الأنظمة والبيانات السحابية من التهديدات الداخلية والخارجية، يمكن للأمان السحابي تقليل مخاطر الهجمات عبر الإنترنت. يدعم الأمان السحابي أيضاً نماذج العمل المختلطة من خلال التحكم في الأشخاص الذين يمكنهم الوصول إلى الموارد بغض النظر عما إذا كان الموظفون والمقاولون وشركاء الأعمال يعملون في الموقع أو عن بُعد. تتمثل أحد مزايا الأمان السحابي في تعزيز أمان البيانات ومساعدة المؤسسات على الوفاء بالتزامات التوافق مثل القانون العام لحماية البيانات (GDPR) وقانون نقل التأمين الصحي والمسؤولية (HIPAA). يمكن أن يتسبب عدم الالتزام باللوائح في دفع غرامات باهظة الثمن وإلحاق الضرر بالمؤسسة.

تشمل أفضل ممارسات الأمان السحابي تقنيات مؤسستك وعملياتها وعناصر التحكم فيها، بما في ذلك:

• التأكد من أن النظام الأساسي للتطبيقات المصممة للسحابة يتضمن النظام الأساسي لحماية حمل العمل على السحابة، وإدارة استحقاقات البنية التحتية السحابية، وإدارة وضع الأمان السحابي لمساعدتك على تقليل الأخطاء وتعزيز الأمان وإدارة عملية الوصول بفاعلية.
• إجراء تدريب باستمرار لمساعدة الموظفين على اكتشاف حملات التصيد الاحتيالي وتقنيات الهندسة الاجتماعية الأخرى. تنفيذ العمليات التي تهدف إلى منع الهجمات واكتشافها والتصدي لها، بما في ذلك تشفير البيانات الحساسة، وتصحيح الأخطاء باستمرار في الأجهزة والبرامج، ووضع نُهُج لكلمات المرور قوية.
• اعتماد استخدام إطار عمل نموذج أمان "الثقة المعدومة" للتحقق الصريح من كل طلبات الوصول. وهذا يتضمن استخدام ميزة الوصول بأقل الامتيازات لمنح الأشخاص إمكانية الوصول فقط إلى الموارد التي يحتاجون إليها فقط.
• اعمل على التحقق المبكر من الثغرات الأمنية في مسار DevOps والذي يمكن فرق الأمان والتطوير من العمل معاً لدمج الأمان في التعليمات البرمجية نفسها، بحيث يمكن تشغيل التطبيقات السحابية الأصلية بشكل آمن.