اهم تحديات أمن السحابة
لمساعدة الشركات على فهم تحديات السحابة التي يواجهونها، ذهب تحالف أمان السحابة مباشرة إلى المحترفين، حيث حددت مجموعة عمل من الممارسين والمهندسين المعماريين والمطورين والموظفين، قائمة بحوالي 25 تهديدًا أمنيًا، والتي تم تحليلها بعد ذلك من قبل المتخصصين في مجال الأمن الذين صنفوها وقلصوها إلى 11 من أكثر التحديات الأمنية السحابية شيوعًا:
خروقات البيانات
مسؤولية كل من مقدمي خدمات الحوسبة السحابية وعملائهم، ظلت خروقات البيانات تشكل أكبر تهديد لأمن السحابة، جيث تم إرجاع عدد من خروقات البيانات إلى السحابة على مدار السنوات الماضية، ومن أبرزها أخطاء تكوين السحابة، مما يتسبب في ضرر لا رجعة فيه لسمعتها، ومشاكل مالية بسبب الآثار التنظيمية والمسؤوليات القانونية وتكاليف الاستجابة للحوادث وانخفاض القيمة السوقية.
أخطاء التكوين وعدم كفاية التحكم في التغيير
عندما يتم إعداد الأصول بشكل غير صحيح، فإنها تكون عرضة للهجوم، بالإضافة إلى التخزين غير الآمن، تعد الأذونات المفرطة واستخدام بيانات الاعتماد الافتراضية مصدرين رئيسيين آخرين للثغرات الأمنية، فيما يتعلق بهذا، يمكن أن يتسبب التحكم غير الفعال في التغيير في تكوينات سحابة خاطئة في البيئات السحابية في الوقت الفعلي عند الطلب، كما يجب أتمتة التحكم في التغيير لدعم التغيير السريع، حيث تعتبر مسؤولية العميل والتهيئة الخاطئة والتحكم في التغيير جديدة في قائمة تهديدات أمان السحابة، وضمان التزام الشركاء الخارجيين بإجراءات إدارة التغيير والإصدار والاختبار المستخدمة من قبل المطورين الداخليين وإجراء تقييمات للمخاطر على فترات زمنية مخططة وإجراء تدريب للتوعية الأمنية مع المقاولين والمستخدمين والموظفين.
الافتقار إلى بنية واستراتيجية أمان السحابة
يقفز عدد كبير جدًا من المؤسسات إلى السحابة بدون البنية والاستراتيجية المناسبة، قبل تحقيق قفزة إلى السحابة، حيث يجب على العملاء فهم التهديدات التي يتعرضون لها، وكيفية الانتقال إلى السحابة بأمان، هذا التهديد جديد على القائمة وهو مسؤولية العميل بدون التخطيط المناسب، سيكون العملاء عرضة للهجمات السيبرانية التي يمكن أن تؤدي إلى خسائر مالية وإضرار بالسمعة ومشكلات قانونية ومتعلقة بالامتثال.
كما تشمل مواصفات (CCM) وهي عبارة عن اطار عمل للتحكم بالأمن السيبراني للحسوبة السحابية، ضمان أن تشمل سياسات تقييم المخاطر تحديث السياسات والإجراءات والمعايير والضوابط لتبقى ملائمة وتصميم وتطوير ونشر تطبيقات حاسمة للأعمال تؤثر على العملاء وتصميمات وتكوينات واجهة برمجة التطبيقات ومكونات الشبكة والنظام وفقًا لمستوى الخدمة المتفق عليه والتوقعات على مستوى القدرات وحوكمة تكنولوجيا المعلومات وسياسات وإجراءات إدارة الخدمة وتقييد حركة المرور ومراقبتها بين الاتصالات الموثوقة وغير الموثوق بها في بيئات الشبكة والمثيلات الافتراضية.
- “CCM” اختصار ل”cloud controls matrix”.
عدم كفاية الهوية وبيانات الاعتماد والوصول وإدارة المفاتيح
يمكن ربط غالبية تهديدات أمان السحابة وتهديدات الأمن السيبراني بشكل عام بقضايا إدارة الهوية والوصول (IAM) وهي عبارة عن خدمة ويب تساعد على الوصول للموارد الخاصة بالعملاء بأمان، جديد في قائمة تحديات الأمان السحابية، تتفاقم تحديات (IAM) القياسية بسبب استخدام السحابة، يتضاعف إجراء المخزون والتتبع والمراقبة وإدارة العدد الهائل من الحسابات السحابية المطلوبة من خلال مشكلات التزويد وإلغاء التوفير وحسابات المتسللين وحسابات المشرف الزائدة والمستخدمين الذين يتجاوزون عناصر تحكم (IAM)، فضلاً عن التحديات المتعلقة بتحديد الأدوار والامتيازات، بصفتها مسؤولية العميل.
- “IAM” اختصار ل”Identity and Access Management “.
سرقة الحساب
سرقة الحساب السحابي هو الكشف عن الحساب السحابي أو التسرب العرضي أو التعرض له أو أي اختراق آخر له، وهو أمر بالغ الأهمية لتشغيل بيئة سحابية أو إدارتها أو صيانتها، هذه الحسابات شديدة الامتياز والحساسة، إذا تم اختراقها، يمكن أن تسبب عواقب وخيمة، كما يمكن للتصيد الاحتيالي وحشو بيانات الاعتماد إلى بيانات الاعتماد الضعيفة أو المسروقة إلى الترميز غير المناسب، وبالتالي يؤدي اختراق الحساب إلى خروقات البيانات وتعطل الخدمة.
التهديدات من الداخل
لا تقتصر المخاطر المرتبطة بالموظفين وغيرهم ممن يعملون داخل شبكة المؤسسة على السحابة، سواء أكان إهمالًا أم متعمدًا، حيث يمكن أن يتسبب المطلعون بما في ذلك الموظفون الحاليون والسابقون والمقاولون والشركاء في فقد البيانات وتعطل النظام وتقليل ثقة العملاء وانتهاكات البيانات، كما يجب معالجة مسؤولية العميل والتهديدات الداخلية التي تتضمن بيانات مسربة أو مسروقة ومشكلات بيانات اعتماد وأخطاء بشرية وتكوينات خاطئة في السحابة.
واجهات غير آمنة وواجهات برمجة التطبيقات
تعد واجهات برمجة تطبيقات (CSP) وهي طبقة إضافية من الأمان تُستخدم لاكتشاف وإضعاف أنواع معينة من الهجمات وواجهات برمجة التطبيقات التي يتفاعل العملاء من خلالها مع الخدمات السحابية من أكثر المكونات تعرضًا لبيئة السحابة، حيث يبدأ أمان أي خدمة سحابية بمدى حماية هذه الخدمات وهي مسؤولية كل من العملاء ومقدمي خدمات الحوسبة السحابية، كما يجب أن يضمن مقدمو خدمات الحوسبة السحابية تكامل الأمن، ويجب أن يجتهد العملاء في الإدارة والمراقبة والاستخدام الآمن.
- “CSP” اختصار ل”Construction safety Professionals”.
ضعف مستوى التحكم
تعد مسؤولية العميل والجديدة في القائمة هذا العام، مستوى التحكم السحابي هو مجموعة وحدات التحكم الإدارية السحابية والواجهات التي تستخدمها إحدى المؤسسات، ويشمل أيضًا نسخ البيانات والترحيل والتخزين، وفقًا لـ (CSA) قد تتسبب طائرة التحكم المخترقة المؤمنة بشكل غير صحيح في فقد البيانات وغرامات تنظيمية وعواقب أخرى، فضلاً عن تشويه سمعة العلامة التجارية التي قد تؤدي إلى خسارة الإيرادات.
فشل البنية الأساسية والتطبيقات
البنية الأساسية، التي حددتها (CSA)، هي البروتوكولات والآليات التي توفر الواجهة بين طبقة البنية التحتية والطبقات الأخرى، يمكن أن تؤدي مثل هذه التحديات الأمنية إلى تعطيل الخدمة والتهيئة الخاطئة مع عواقب مالية وخسارة البيانات.
إساءة استخدام الخدمات السحابية والاستخدام الحاطىء
مثلما يمكن استخدام السحابة للأبد، يمكن أيضًا استخدامها بشكل ضار من قبل الجهات المهددة، حيث يؤثر الاستخدام الخاطىء على الأفراد وعملاء السحابة ومقدمي خدمات الحوسبة السحابية على حدٍ سواء، متنكرين على أنهم قادمون من (CSP)، يكون العملاء عرضة بشكل خاص لسوء استخدام الخدمات السحابية من خلال توزيع هجمات رفض الخدمة والتصيد والتشفير ونقر احتيالي وهجمات القوة الغاشمة واستضافة محتوى ضار أو مقرصن، كما يمكن أن تؤدي الخدمات السحابية التي تم اختراقها وإساءة استخدامها إلى تكبد نفقات، على سبيل المثال، خسارة في العملة المشفرة أو مدفوعات يقوم بها المهاجم، يستضيف العميل برامج ضارة دون علمه وفقدان البيانات و اكثر.
الرؤية المحدودة لاستخدام السحابة
كانت رؤية السحابة مصدر قلق لمسؤولي المؤسسة، لكنها جديدة على قائمة تحديات أمان السحابة (CSA)، حيث تؤدي الرؤية المحدودة إلى تحديين رئيسيين ، وفقًا لـ (CSA) تحدث إساءة استخدام التطبيق الخاضع للعقوبات عندما لا يتم استخدام التطبيقات المعتمدة من قبل قسم تكنولوجيا المعلومات، كما يتضمن ذلك المستخدمين المصرح لهم باستخدام التطبيق، وكذلك الأفراد غير المصرح لهم بالوصول إليه باستخدام بيانات اعتماد مسروقة تم الحصول عليها عن طريق حقن (SQL) أو هجمات (DNS)، على سبيل المثال.
- “SQL” اختصار ” Structured Query Language”.
- “DNS” اختصار ل” Domain Name System”.
