اقرأ في هذا المقال
- تجزئة مسؤوليات أمان السحابة
- الاتجاهات في الأمن السحابي
- كيف يختلف أمان السحابة عن تقنية Infosec التقليدية
تجزئة مسؤوليات أمان السحابة
يحاول معظم موفري السحابة إنشاء سحابة آمنة للعملاء، حيث يعتمد نموذج أعمالهم على منع الانتهاكات والحفاظ على ثقة الجمهور والعملاء، كما يمكن لموفري السحابة محاولة تجنب مشكلات الأمان السحابية مع الخدمة التي يقدمونها، ولكن لا يمكنهم التحكم في كيفية استخدام العملاء للخدمة، والبيانات التي يضيفونها إليها، ومن يمكنه الوصول، يمكن للعملاء إضعاف الأمن السيبراني في السحابة من خلال التكوين والبيانات الحساسة وسياسات الوصول، في كل نوع من أنواع الخدمات السحابية العامة، كما يشترك موفر السحابة وعميل السحابة في مستويات مختلفة من المسؤولية عن الأمان، حسب نوع الخدمة هذه ومنها:
- البرمجيات كخدمة (SaaS): وهي أحد نماذج تقديم البرمجيات القائمة على السحابة، يتحمل العملاء مسؤولية تأمين بياناتهم ووصول المستخدم.
- “SaaS” اختصار ل”Software as a service“.
- النظام الأساسي كخدمة (PaaS): وهي نموذج حوسبة قائم على البيئة السحابية يسمح لفرق التطوير ببناء التطبيقات، يتحمل العملاء مسؤولية تأمين بياناتهم ووصول المستخدم والتطبيقات، حيث “PaaS” اختصار ل”Platform-as-a-service”.
- البنية التحتية كخدمة (IaaS): وهي نوع من نماذج الخدمة السحابية حيث يتم استضافة موارد الحوسبة في السحابة، حيث يتحمل العملاء مسؤولية تأمين بياناتهم ووصول المستخدم والتطبيقات وأنظمة التشغيل وحركة مرور الشبكة الافتراضية. حيث “IaaS” اختصار ل”Infrastructure as a service”.
الاتجاهات في الأمن السحابي
يميل نموذج سحابة المسؤولية المشتركة إلى دفع معظم مسؤولية تقنية المعلومات الافتراضية إلى المؤسسات التي تستخدم الخدمات السحابية، بغض النظر عما إذا كانت البيانات يتم استخدامها ومعالجتها وإدارتها في سحابة طرف ثالث، وبالتالي، تقوم المنظمات بتطوير ممارسات جديدة للوفاء بهذه المسؤوليات، حيث تتمثل إحدى الطرق الشائعة في استخدام الأنظمة الأساسية المركزية لتوفير أمان متعدد السحاب موحد، كما تستخدم معظم المؤسسات (CSP) مختلفة ومتعددة.
يمكن أن تكون أدوات مثل وسيط الوصول إلى الأمان السحابي مفيدة في تحقيق السبب لأنها تقع بين المستخدمين والتطبيقات السحابية وتراقب النشاط، تتمثل إحدى الطرق الشائعة الأخرى في حماية البيانات قبل وصولها إلى السحابة من خلال التشفير والإخفاء والترميز، وبالمثل، تتبنى المنظمات أيضًا نموذج الثقة لتحسين هويتها وإدارة الوصول، كما تميل العديد من الخروقات الأخيرة اليوم إلى استهداف الحسابات الخاطئة، ومن ثم، تعمل المؤسسات على تطوير قدرات منصة محددة لإدارة الهوية يمكن أن تتكامل في بيئاتها السحابية.
- “CSP” اختصار ل”Communicating Sequential Process.”.
كيف يختلف أمان السحابة عن تقنية Infosec التقليدية
والمقصود بها (Information Security)، يتم التأكيد بشكل عام على التهديد الأمني الذي تنطوي عليه الحوسبة السحابية بشكل أكبر على النقيض من فوائدها، نظرًا لأن مفهوم البيانات والعمليات بالكامل في بيئة رقمية ولكنها ديناميكية حيث تتغير الأشياء باستمرار يصعب الالتفاف حولها، ومع ذلك، فإن عمليات أمان السحابة تشبه إلى حد ما عمليات أمان تكنولوجيا المعلومات، لذلك، فإن فهم الاختلاف الخاص بينهما أمر بالغ الأهمية لطرد الشكوك العالقة حول مصطلح السحابة، يمكن إدراج بعض الاختلافات الرئيسية التي يحتاج أمان السحابة إلى مراعاتها على النحو التالي:
- الحدود المعاد هيكلتها: يتعامل جوهر أمان السحابة مع بروتوكولات وقيود الوصول والتفويض، حيث تتحكم بيئة الأمان التقليدية في الوصول باستخدام نموذج أمان محيط، أي توفير الوصول عبر الشبكات المحلية، ومع ذلك، فإن البيئة السحابية شديدة الترابط وتنتشر عبر الإنترنت، حيث تتجاوز حركة المرور الحدود التقليدية، وبالتالي يجب أن يشتمل إطار عمل الأمان السحابي على نماذج أمان لواجهات برمجة التطبيقات وإدارة الهوية والوصول واختطاف الحسابات والمطلعين الضارين وما إلى ذلك، وبالمثل، منع الوصول غير المصرح به من خلال اعتماد نهج يركز على البيانات وتعزيز عملية التفويض من الحلول التي يحتاج مقدمو خدمات الطاقة الشمسية إلى تنفيذها.
- قابلية التوسع الافتراضية: تتضمن الحوسبة السحابية استضافة الموارد المقدمة عبر البرامج، تخزين البيانات ومعالجتها في البنية التحتية السحابية ديناميكية وقابلة للتطوير وقابلة للنقل، ومن ثم يحتاج إطار عمل أمان السحابة إلى دمج المتغيرات البيئية المصاحبة لعبء العمل، يحتاج إطار العمل أيضًا إلى استيعاب كل من حالات الراحة والعبور، سواء كانت مشفرة أو عابرة ديناميكيًا من خلال نظام إدارة السحابة وواجهات برمجة التطبيقات، للتخفيف من التهديدات وفقدان البيانات.
- مشهد التهديدات المتطور: مع النمو السريع في التقنيات، يتطور مشهد التهديدات ونواقل الهجوم أيضًا، هذه التطورات المعقدة ليست سوى تأثير إيجابي على الأمن الرقمي الحديث، والذي يشمل بالطبع السحابة. تم تصميم التهديدات المستمرة المتقدمة (APTs) والبرامج الضارة وبرامج الفدية المتطورة بشكل متزايد للتهرب من الدفاعات الأمنية من خلال استهداف الثغرات الأمنية في مكدس الحوسبة، نتيجة لذلك، هناك حاجة ملحة لتطوير حل واضح لهذه التهديدات، كما تقع على عاتق مزودي الخدمة السحابية والعملاء مسؤولية مواكبة التهديدات الناشئة وتطوير ممارسات الأمان السحابية.
كيفية التعامل مع الأمن السحابي
يعد إنشاء برنامج إدارة أمان السحابة المستمر للمؤسسة أمرًا بالغ الأهمية، كخطوة أولى، قد يرغب المستخدم في التعرف على أطر الأمان الرائدة، وأفضل الممارسات لأمن السحابة، مثل مركز معايير أمان الإنترنت الذي يوفر الأمان وأدلة التكوين لمختلف البيئات السحابية، ينشر (CSA) مصفوفة ضوابط السحابة التي تحدد مبادئ وضوابط الأمان الأساسية لتوجيه موفري الخدمات السحابية وعملاء الخدمة السحابية الذين يسعون إلى التنفيذ الآمن والتقييم والإدارة لأمن الخدمات السحابية المخاطر، تغطي (CCM) 176 عنصر تحكم عبر 17 مجالًا أمنيًا، مثل التدقيق والضمان وأمن التطبيقات والواجهة والتحكم في التغيير وإدارة التكوين والحوكمة والمخاطر والامتثال وأمن البنية التحتية والمحاكاة الافتراضية وإدارة التهديدات والضعف، وغيرها.
يمكن الاستفادة من مستشاري الأمان السحابي لفحص كيفية معالجة المؤسسة للبيانات وتخزينها والوصول إليها واستخدامها في السحابة، ثم يمكن صياغة بروتوكول مخصص لإدارة البيانات وعناصر أخرى من برنامج إدارة الأمان المتوافقة مع أهداف العمل ومخاطره الملف الشخصي، ستكون تقييمات أمان السحابة المهنية واختبارات الاختراق مفيدة أيضًا للمساعدة على استخدام السحابة بطريقة متوافقة وآمنة، في الحدث المؤسف الذي تتعرض فيه الشركة لخرق، فإن وجود خطة استجابة لحوادث السحابة أمر بالغ الأهمية للتخفيف من تأثير الهجوم وتقليل الضرر، إن تحمل أي حدث مأساوي للمؤسسة أمر مؤلم بدرجة كافية، ولكن كيفية تفاعل المؤسسة بعد مثل هذا الحدث غالبًا ما تحدد مصيرها. علاوة على ذلك، تلعب استجابة المنظمة دورًا مؤثرًا في التكلفة المحتملة للخرق الإلكتروني. حيث “CSA” اختصار ل”Cloud Security Alliance”.
