‏أمن البيانات السحابية

يغطي أمن البيانات السحابية البيانات في ثلاث حالات. البيانات الساكنة موجودة في التخزين السحابي وخدمات التعاون. أما البيانات المنقولة فتتحرك بين الأجهزة والشبكة المؤسسية وتلك الخدمات. ويشمل مستوى التحكم الحسابات والأدوار والمفاتيح والتسجيل، وهو الذي يحدد من يصل إلى البيانات وما إذا كان يمكن إثبات هذا الوصول.

يعتمد النطاق على نموذج الخدمة. في البنية التحتية كخدمة، يدير العميل أنظمة التشغيل والتطبيقات ومعظم إعدادات طبقة البيانات. وفي البرمجيات كخدمة، يشغّل المزود كل شيء تقريبًا، ويدير العميل أساسًا الهويات وما يُسمح للمستخدمين بفعله. وكلما امتلك المزود أكثر، تحوّل الخطر إلى مسألة إعدادات وسلوك المستخدمين.

يمكن ضبط كل خدمة تخزين سحابي، بما في ذلك نسختها على الويب، على وضع الوصول أو التدقيق أو النسخ الظلي. وتطبّق وحدة التحكم في التخزين السحابي هذه الأوضاع على كل خدمة على حدة.

1 / 2

• 
• 

ينشر كل مزود كبير نموذج مسؤولية مشتركة. المزود مسؤول عن السحابة نفسها: العتاد والأمن المادي والتوافر. ويبقى العميل مسؤولًا عن البيانات داخل السحابة: التصنيف وقرارات الوصول والإعدادات وما يفعله المستخدمون في الخدمات. ولا يغطي أي مزود حاوية تُركت عامة، أو رابط مشاركة أُرسل إلى الجهة الخطأ، أو موظفًا يصدّر السجلات إلى حساب شخصي.

معظم حوادث البيانات السحابية لا يسببها فشل المزود، بل افتراض العميل أن المزود تولّى أمرًا كان من مسؤوليته. وأول خطوة في أي برنامج هي مطابقة مصفوفة مسؤوليات كل خدمة مع ضوابط المؤسسة.

الإعدادات الخاطئة هي باستمرار السبب الرئيسي لكشف البيانات في السحابة. فبيئات السحابة تتغير أسرع من دورات المراجعة، وتُنشأ الموارد لمهمة قصيرة أو لترحيل، فيصبح الاستثناء دائمًا. وهذه هي الأنماط المتكررة:

يتبنى الموظفون خدمات السحابة أسرع مما تستطيع فرق الأمن اعتمادها، وهذه الفجوة هي جوهر Shadow IT. ومن الأمثلة تطبيق ملاحظات، أو حساب تخزين سحابي شخصي يُستخدم لنقل ملف كبير عبر اتصال بطيء. ونادرًا ما يكون shadow SaaS خبيثًا، بل هو تيسير للعمل. لكن كل خدمة غير معتمدة قناة تغادر عبرها بيانات المؤسسة الحدود المعتمدة، خارج قواعد التسجيل والاحتفاظ.

الصعوبة في الرؤية. فالخدمة المستخدمة في المتصفح تبدو حركة ويب عادية، وعميل المزامنة يبدو كأي تطبيق آخر. وتجمع البرامج بين جرد ما هو مستخدم وسياسة لما هو مقبول، وضوابط على عملية النقل نفسها. والهدف هو اكتشاف لحظة رفع بيانات العمل إلى خدمة غير معتمدة.

تعمل في هذا المجال عدة فئات من الضوابط، منها Cloud DLP وDLP على نقاط النهاية. ويحتاج البرنامج الناضج عادةً إلى أكثر من فئة واحدة، لأن كل فئة ترى جزءًا مختلفًا من المشكلة:

ابدأ بالخدمات التي تحفظ أكثر البيانات حساسية، ثم ارسم خريطة قنوات الرفع التي يستخدمها الموظفون فعلًا. فقائمة ضوابط تُكتب لكل خدمة سحابية دفعة واحدة تميل إلى منع العمل الاعتيادي وإيقافها في النهاية. وتطبّق Anexet DLP هذه الضوابط عند نقطة النهاية حيث يبدأ الرفع، وتحتفظ بمسار التدقيق داخل بنية العميل التحتية.

للمزيد من القراءة: أنظمة DLP: ما هي وكيف تعمل; مفهوم “انعدام الثقة” (Zero Trust).