‏أمن SaaS بموجب DORA

لائحة المرونة التشغيلية الرقمية DORA (اللائحة (الاتحاد الأوروبي) 2022/2554) إطار موحد من القواعد للمرونة التشغيلية الرقمية في القطاع المالي بالاتحاد الأوروبي. تُطبَّق مباشرةً في جميع الدول الأعضاء منذ 17 يناير 2025. تشمل البنوك وشركات التأمين وشركات الاستثمار ومؤسسات المدفوعات والنقود الإلكترونية وغيرها من الجهات المالية.

تقوم اللائحة على خمسة أركان: إدارة مخاطر ICT، وإدارة الحوادث المتعلقة بـICT والإبلاغ عنها، واختبار المرونة التشغيلية الرقمية، وإدارة مخاطر الأطراف الثالثة في مجال ICT، وتبادل المعلومات. ويندرج SaaS أساسًا تحت ركن مخاطر الأطراف الثالثة.

تقريبًا كل تطبيق SaaS تستخدمه جهة مالية، مثل أدوات التعاون وإدارة علاقات العملاء والموارد البشرية والتحليلات وإدارة المستندات، هو خدمة ICT يقدمها طرف ثالث. وبذلك يصبح العقد اتفاقًا مع طرف ثالث في مجال ICT وفق فصل DORA الخاص بمخاطر الأطراف الثالثة.

يخضع المزودون المصنفون أطرافًا ثالثة حرجة لخدمات ICT لإشراف مباشر من الهيئات الأوروبية للرقابة. غير أن هذا الإشراف لا ينقل المسؤولية، فالجهة المالية تبقى مسؤولة أمام جهة إشرافها عن مرونة الوظائف التي يدعمها SaaS.

تُلزم DORA كل جهة مالية بالاحتفاظ بسجل معلومات يغطي جميع ترتيباتها مع أطراف ثالثة في مجال ICT، ويجب أن يرد فيه كل عقد SaaS. يتضمن السجل هوية المزود، ووصف الخدمات، وما إذا كانت تدعم وظائف حرجة أو مهمة، وسلسلة المتعاقدين من الباطن، ومواقع البيانات، وحقوق الإنهاء.

تتلقى الجهات المختصة السجل وتبلغ الهيئات الأوروبية للرقابة بمضمونه. لذلك تظهر السجلات الناقصة لخدمات SaaS أثناء المراجعة الإشرافية بدلًا من أن تبقى ثغرة داخلية. ويُعد سجل أصول تقنية المعلومات الدقيق نقطة البداية العملية.

التقييم واجب يمتد عبر دورة حياة الخدمة كلها، وليس إجراءً شكليًا عند الشراء. قبل الاعتماد على خدمة SaaS يجب على الجهة تقييم القدرة التقنية للمزود وممارساته الأمنية وجودة دعمه وسلامته المالية، وتكرار المراجعة عند تغير الظروف.

يحظى تركّز المخاطر باهتمام خاص. فحين تعتمد جهات كثيرة على المنصات نفسها من SaaS، يتحول تعطل مزود واحد إلى حدث يمس القطاع كله، ولذلك يوثق السجل أيضًا مدى إمكانية استبدال كل خدمة فعليًا.

تحدد DORA الحد الأدنى لمحتوى عقود خدمات ICT. وعمليًا، يجب أن تتضمن اتفاقية SaaS هذه البنود على الأقل:

توحّد DORA طريقة تصنيف الحوادث الجسيمة المتعلقة بـICT والإبلاغ عنها. والحادث الذي يبدأ لدى مزود SaaS يبقى حادثًا يخص الجهة نفسها. عليها أن ترصد تراجع إحدى التبعيات، وأن تقيّم أثره على وظائفها.

ليست كل حادثة جسيمة خرقًا للبيانات، فتعطل مزود يوقف خدمة حرجة قد يخضع للإبلاغ أيضًا. وعلى الجهة تقديم تقارير أولية ووسيطة ونهائية ضمن المهل المحددة، وهذا يستلزم معرفة مسبقة بالوظائف التي تقوم على الخدمات.

يجب أن تشمل اختبارات المرونة بُعد الأطراف الثالثة. وينبغي لبرامج الاختبار، بما فيها اختبارات الاختراق الموجهة بالتهديدات TLPT للجهات التي تحددها الجهة الرقابية، أن تغطي سيناريوهات تعطل خدمة SaaS أو تراجعها أو اختراقها، وأن تتحقق من أن التعافي واستراتيجيات الخروج تصمدان تحت الضغط.

لا تنطبق كل التزامات على كل خدمة بالطريقة نفسها. وتُدار هذه الالتزامات عادةً ضمن عملية إدارة الامتثال، وتعتمد الحالة الموضحة أدناه على النطاق.

لا تغطي أي ضابطة منفردة الصورة الكاملة لخدمات SaaS. فمراجعة العقود تتحقق من الأوراق، بينما يوضح الجرد وسجلات النشاط ما يُستخدم فعلًا. والخدمات المعتمدة دون موافقة، وهي جوهر Shadow IT، تقع في الفجوة بين الاثنين.

تحدد اللائحة الالتزامات، لكن الممارسة تبدأ بمعرفة خدمات SaaS التي تستخدمها المؤسسة فعليًا. فالخدمات التي تعتمدها فرق بعينها لا تدخل السجل ولا تُقيَّم أبدًا، ومع ذلك تحمل تدفقات البيانات نفسها التي تحملها الخدمات المعتمدة.

لا تُذكر أي من الضوابط التالية بالاسم في اللائحة، لكن من دونها يصعب عمليًا الوفاء بالالتزامات التي تسميها اللائحة. وتحديد البيانات التي يجوز أن تصل إلى كل خدمة هو مهمة منع فقدان البيانات.

1. 1

   ابدأ بالجرد

   سجّل كل تطبيق SaaS قيد الاستخدام، بما في ذلك التطبيقات التي يعتمدها الموظفون بأنفسهم.

2. 2

   صنّف البيانات

   حدد البيانات التي يجوز أن تصل إلى كل خدمة.

3. 3

   غطِّ قنوات الدخول

   طبّق منع فقدان البيانات على الرفع من المتصفح وعملاء المزامنة والبريد، بحيث لا تصل البيانات الخاضعة للتنظيم إلا إلى خدمات السجل.

4. 4

   سجّل نشاط المستخدمين

   احتفظ بأثر أدلة داخل تطبيقات SaaS وحولها، لتصنيف الحوادث وللإجابة عن أسئلة الجهات الرقابية.

ابدأ بالبيانات التي يكون تسربها أشد ضررًا، ثم ارسم خريطة الخدمات التي يمكن أن تستقبلها. فسياسة تصنيف البيانات تمنح كل عقد وكل ضابطة مرجعًا واحدًا مشتركًا.

للمزيد من القراءة: مفهوم "انعدام الثقة" (Zero Trust).