مفهوم "انعدام الثقة" (Zero Trust)

لا يمكنك أبداً أن تكون واثقاً بنسبة 100% من أمن معلوماتك. إن تطوير أنواع جديدة من حماية البيانات يرتقي بتكنولوجيا المعلومات إلى مستوى أعلى. فقد أصبحت المصادقة متعددة العوامل والمستخدمون المميزون، والقياسات الحيوية للوصول – كل هذا أمراً معتاداً. وفي بيئة الشركات، نثق تلقائياً بالأشخاص داخل الشبكة ولا نثق بالأشخاص خارجها. سنستكشف اليوم مفهوم "انعدام الثقة" (Zero Trust) الجديد نسبياً وفائدته في حماية محيط الشركة والحوسبة السحابية وأمن الأجهزة المحمولة.

ما هو مفهوم "انعدام الثقة"؟

بشكل افتراضي، تُعتبر جميع المستخدمين والأجهزة والسحب والأنظمة والشبكات معرّضة للاختراق، بصرف النظر عما إذا كانت محمية بجدار حماية أم لا. ويتضمن مفهوم انعدام الثقة رقابة صارمة جداً على الوصول إلى الأنظمة، بحيث يخضع حتى المستخدمون الموثَّقون لعدة مراحل من التحقق. وتساعد هذه الطريقة على تقليل احتمالية نجاح أي هجوم على النظام بشكل كبير.

من خلال تقييد وصول المستخدمين المختلفين إلى قطاعات شبكة الشركة، تقل الفرص المتاحة للقراصنة للوصول إلى البيانات المحمية أو السرية. وبالطبع، فإن القيمة الأساسية لمفهوم انعدام الثقة تكمن في المصادقة متعددة العوامل (وهي آلية أمنية تتطلب طريقة مصادقة إضافية في الوقت الفعلي باستخدام فئة بيانات مستقلة عن المستخدم).

شبكة الشركة مقابل "انعدام الثقة"

كما ذكرنا سابقاً، تفترض الطريقة القديمة لحماية محيط الشركة أن أي مستخدم داخل شبكة الشركة يُعتبر افتراضياً "شخصاً موثوقاً"، وأي مستخدم خارج شبكة الشركة يُعتبر بالتالي "غير موثوق". وقد استمر هذا النموذج وازدهر على مدى العشرين عاماً الماضية لتبرير أن أفراداً معينين فقط لديهم إمكانية الوصول إلى البرامج والتطبيقات. غير أن هذا النموذج لحماية المحيط أثبت مع مرور الوقت أنه أقل فعالية بشكل متزايد، لا سيما بسبب القفزة الهائلة في تطور تقنيات الحوسبة السحابية والأجهزة المحمولة وأنظمة حماية البيانات، والانتقال الواسع للموظفين إلى العمل عن بُعد. ونتيجة لذلك، لم يعد مفهوم "الشخص الموثوق" داخل الشركة وخارج شبكتها قائماً في البيئة الجديدة. ويعامل النموذج الجديد جميع المستخدمين على أنهم "غير موثوقين" افتراضياً، ويُلزمهم باجتياز جميع خطوات الحصول على الوصول، بصرف النظر عن صلاحياتهم. وقد نوقشت سياسة "انعدام الثقة" لأول مرة في منتصف العقد الأول من الألفية الثالثة، وكانت فكرتها الأساسية هي "إلغاء محيط" الشركة والانتقال إلى استراتيجية حماية بيانات الشركة على جميع المستويات باستخدام التشفير والمصادقة متعددة العوامل.

تطور مفهوم "انعدام الثقة"

في عام 2010، صاغ جون كيندرفاغ، المحلل في شركة Forrester Research، مصطلح سياسة "انعدام الثقة"، وكانت فكرتها الأساسية هي عدم الثقة بأي مستخدم داخل الشركة أو خارجها. ويجب على الشركة التحقق من هوية أي شخص يحاول الاتصال بالشبكة قبل منحه إمكانية الوصول. وتضع سياسة "انعدام الثقة" النموذج الوقائي القائم على استخدام جدار حماية بين الشبكات الداخلية والخارجية موضع تساؤل، إذ إن استراتيجية الأمن هذه ستنهار إذا اخترق قرصان النظام داخل المحيط وأراد سرقة معلومات سرية. لذا، ففي النظام التقليدي، يتعين على مفتشي أمن المعلومات التحقق من جميع الموارد وحمايتها يدوياً، ومنح حق الوصول وإلغاءه لكل مستخدم على حدة.

أمن السحابة والأجهزة المحمولة في "انعدام الثقة"

المبادئ الأساسية الثلاثة لمفهوم انعدام الثقة الأمني:

• يجب على الشركات توفير وصول آمن إلى شبكاتها بغض النظر عن موقع الشركة أو الموظف؛

• يجب على المؤسسات التحكم في وصول المستخدمين بحيث لا يتمكنون من الوصول إلا إلى الموارد التي يحتاجونها. إضافة إلى ذلك، يجب على الشركات منع المستخدمين من الوصول إلى المعلومات الحساسة المحتملة، وتحديد أدوار الموظفين بوضوح. ويتم ذلك لضمان بقاء البيانات الخاصة داخل الشركة في حال إنهاء خدمة الموظف؛

• يجب على الشركات فحص حركة البيانات وتسجيلها للتأكد من أن المستخدمين يتصرفون بشكل قانوني.

مع تزايد عدد الأجهزة المتصلة بشبكات الشركات، بدأت مؤسسات أكثر فأكثر في تطبيق حلول برمجية خاصة تدعم سياسة "انعدام الثقة". ولا شك أن الجميع قد سمع بأنظمة DLP – وهي برمجيات متخصصة مصممة لمنع تسرب المعلومات السرية ومراقبة نشاط الموظفين خلال يوم العمل. دعونا نلقِ نظرة سريعة على كيفية عمل مثل هذا النظام، باستخدام Anexet Ultimate من Scinero Software Limited كمثال.

مثال على نظام Anexet Ultimate لمنع تسرب البيانات من Scinero Software Limited

Anexet Ultimate هو نظام DLP يحمي الشركات من تسرب البيانات الناجم عن الموظفين، ويراقب نشاطهم على الحاسوب، ويحدد التهديدات المحتملة، وفي حال وقوع حادثة، يبلغ فريق أمن المعلومات في المؤسسة فوراً بالخرق أو حتى يمنع وقوع الحادثة أصلاً.

يُثبَّت تطبيق وكيل Anexet Ultimate على الحاسوب، حيث يعترض الرسائل والملفات المرسَلة والمستلَمة ويراقب جميع الإجراءات المنفَّذة على الحاسوب. وتُرسَل جميع المعلومات المعترَضة إلى خادم Anexet الخاص بك وتخضع لتحليل ذكي. وإذا اكتُشفت مخالفة، يمكن للنظام حظر الإجراء وإخطار خدمة أمن المعلومات في الشركة.

يمكن استخدام نظام DLP في الشبكات المحلية للشركة، والشبكات ذات البنية المعقدة، والمكاتب الموزعة جغرافياً وأماكن العمل المتنقلة. وهكذا، يعمل هذا الحل البرمجي وفق مبادئ سياسة "انعدام الثقة" ويساعد على تقليل فرص فقدان البيانات السرية الخاصة بالمؤسسة بشكل كبير.

كذلك، وتماشياً مع مفهوم "انعدام الثقة"، يُعد استخدام الشبكة الافتراضية الخاصة (VPN) إلزامياً عند العمل في بيئة الشركة. وتمتلك الشركات حالياً شبكتها الافتراضية الخاصة الخاصة بها، والتي تعمل جنباً إلى جنب مع الأساليب التقنية الأخرى لحماية المعلومات.

مستقبل انعدام الثقة

مع تقدم التكنولوجيا يومياً وابتكار المهاجمين لأساليب متزايدة التطور لمهاجمة الأنظمة، أدرك مجتمع تكنولوجيا المعلومات العالمي بالفعل الصلاحية المطلقة لمفهوم "انعدام الثقة" ويطبق هذا النموذج على نطاق واسع في الشركات. وبالطبع، تُعد شركات التكنولوجيا الكبرى أول من يدرك إمكانات "انعدام الثقة". وبشكل عام، يتوقع المحللون أن يصبح نموذج "انعدام الثقة" منتشراً في جميع أنحاء العالم بحلول 2025-2030.

أولئك الذين تشكل حماية بيانات الشركة السرية أولوية بالنسبة لهم هم أول من ينتقل إلى "انعدام الثقة" وأنظمة DLP. ويعمل كل هذا معاً لضمان أقصى درجات الأمان لبيانات الشركة.