‏الامتثال السحابي

الامتثال السحابي هو انضباط إثبات أن البيانات وأحمال العمل وضوابطها في خدمات السحابة تلبي المتطلبات السارية على المنظمة. وتشمل قوانين مثل GDPR وHIPAA وLGPD، والتزامات تعاقدية مثل PCI DSS، وأطر تقييم مثل ISO 27001 وSOC 2. ونقل الأنظمة إلى مزود سحابي يغيّر مكان عمل الضوابط، لكنه لا يغيّر الالتزامات.

يعتمد ما يجب ضبطه على نموذج الخدمة. في البنية التحتية كخدمة يهيّئ العميل أنظمة التشغيل والتطبيقات وإعدادات البيانات، لذلك تنطبق معظم المتطلبات مباشرة. وفي البرمجيات كخدمة يدير المزود المنصة، بينما يتولى العميل إدارة الهويات وإعدادات المشاركة وما يحق للمستخدمين تصديره. وفي جميع النماذج تبقى البيانات الخاضعة للتنظيم مسؤولية العميل.

يُصدر كل مزود كبير نموذجًا للمسؤولية المشتركة. فالمزود مسؤول عن السحابة نفسها: العتاد والأمن المادي والتوافر. أما العميل فمسؤول عن الأمن والامتثال داخل السحابة: تصنيف البيانات وقرارات الوصول والتهيئة ونشاط المستخدمين. وتغطي شهادات المزود جانبه من هذا الخط فقط، لا جانب العميل أبدًا.

للتقسيم أهمية لأن الجهات التنظيمية تحاسب مالك البيانات. فلا تقبل سلطة الإشراف جواب «كان المزود معتمدًا» إذا كان السبب حاوية تخزين مهيأة بشكل خاطئ، أو رابط مشاركة مفتوح لأي شخص، أو موظف صدّر السجلات إلى حساب شخصي. ويبدأ عمل الامتثال بربط مصفوفة مسؤوليات كل خدمة بالتزامات المنظمة، ثم سد الفجوات في جانب العميل: الهوية والتهيئة والتسجيل ومعالجة البيانات.

يتبع قانون حماية البيانات البيانات لا البنية التحتية. فبموجب GDPR، يُنشئ استخدام مزود سحابي علاقة معالج بيانات: اتفاقية معالجة، ومعالجون فرعيون موثقون، وضمانات نقل عندما تخرج البيانات من المنطقة. ويشترط HIPAA اتفاقية مع الشريك التجاري قبل أن تصل المعلومات الصحية المحمية إلى خدمات المزود.

ينتج عن ذلك واجبان. الأول معرفة البيانات الخاضعة للتنظيم الموجودة وأماكن وجودها: أي الخدمات تحتفظ بها، وفي أي مناطق، وبأي اتفاقيات. وهذا مستحيل دون تصنيف وجرد للخدمات يشمل Shadow IT، أي الأدوات التي تبناها الموظفون من تلقاء أنفسهم. والثاني ضبط حركة البيانات. فخروج بيانات خاضعة للتنظيم من الحدود المعتمدة عبر حساب غير معتمد أو مشاركة موجهة بشكل خاطئ يُعد حدث امتثال، وقد يُحسب أيضًا خرقًا للبيانات، حتى دون نية خبيثة.

توفر الأطر المفردات التي يُثبت بها الامتثال أمام العملاء والمدققين والجهات التنظيمية. وأكثرها طلبًا هي:

لا يقلّص مزود السحابة نطاق PCI DSS: يجب تقييم بيئة بيانات حاملي البطاقات أينما كانت تعمل.

للتدقيق في السحابة طبقتان. تعتمد طبقة المزود على شهاداته، مثل تقرير SOC 2 وشهادة ISO 27001. أما طبقة العميل فتعتمد على أدلة تنتجها المنظمة بنفسها: خطوط أساس التهيئة، ومراجعات الوصول، وسجلات النشاط، وسجلات الحوادث.

تحل المراقبة المستمرة للامتثال محل اللقطة السنوية. ولأن بيئات السحابة تتغير يوميًا، يتوقع المدققون أدلة تُنتج آليًا: تنبيهات عند انحراف التهيئة، ومسارات تدقيق كاملة تبيّن من فعل ماذا في كل خدمة، وتقارير عند الطلب. وتتبع طبقة العميل عادةً أربع خطوات:

1. 1

   خط الأساس

   سجّل التهيئة المعتمدة لكل خدمة سحابية، وقارن كل تغيير بها.

2. 2

   مراجعة الوصول

   تحقق من يصل إلى كل خدمة، وأزل الحسابات التي لم يعد لها مالك.

3. 3

   حفظ المسار

   احتفظ بسجل لمن فعل ماذا في كل خدمة، مع الوقت والكائن، للمدة التي تحددها السياسة.

4. 4

   تقرير عند الطلب

   أعدّ الأدلة للمدقق من السجلات المحفوظة، لا من الذاكرة.

في Anexet يُدار هذا الضبط على جهاز المستخدم: تحدد إعدادات التحكم في خدمات التخزين السحابي في ملف تعريف الوكيل مستوى الوصول وطريقة التدقيق ونسخة الظل لكل خدمة.

عمليًا يجمع البرنامج عددًا قليلًا من المكونات: جرد خدمات السحابة المستخدمة، بما فيها غير المعتمدة؛ وتصنيف البيانات التي تصل إليها؛ وربط الضوابط بكل إطار واجب التطبيق بحيث يلبي الضابط الواحد عدة متطلبات؛ والإنفاذ على القنوات التي تدخل منها البيانات وتخرج؛ وجمع الأدلة الذي يجعل ذلك قابلًا للإثبات عند الطلب.

لا يخص أي من هذه المكونات تنظيمًا واحدًا. فالالتزامات تتضاعف مع قانون خصوصية جديد أو عقد جديد أو نسخة جديدة من إطار ما، بينما تتغير الضوابط الأساسية نادرًا. والمنظمات التي تحافظ على الجرد والتصنيف والإنفاذ ومسار التدقيق تستوعب كل متطلب جديد بربطه بالضوابط القائمة. ويُشرح الجانب الوقائي من هذا العمل في أمن البيانات السحابية.

للمزيد من القراءة: استخدام نظام Anexet Ultimate DLP للامتثال لـ GDPR.