حقائق سريعة

• وفقًا لتقرير IBM لعام 2024، فإن ما يقرب من 40% من خروقات البيانات تتضمن الآن بيانات موزعة عبر بيئات متعددة.
• غالبًا ما تنبع الخروقات البارزة - مثل اختراق Capital One والحادثة الأخيرة السحابية لدى AT&T - من أخطاء أساسية في إعدادات البنية التحتية.
• تخلق الأنظمة السحابية والهجينة لتقنية المعلومات تعقيدًا، ما يزيد من خطر الخطأ البشري والثغرات التي يتم التغاضي عنها.
• يهدف إطار عمل CISA الخاص بـ Secure by Design إلى جعل الأمن جزءًا أساسيًا من بناء أنظمة تقنية المعلومات وصيانتها.

ساحة المعركة غير المرئية: البنية التحتية كهدف للجريمة الإلكترونية

تخيل قلعة بجدران سميكة وحراس يقظين - ومع ذلك فإن أساسها مليء بالشقوق. هذه هي حال المؤسسات الرقمية اليوم: فبينما تعجّ حدود الشبكات بجدران الحماية وأجهزة إنذار التسلل، تظل بنية تقنية المعلومات الأساسية مكشوفة بشكل خطير في كثير من الأحيان.

لسنوات، ركز الأمن السيبراني على الدفاع عن نقاط الدخول الواضحة. لكن مع انتقال الشركات إلى السحابة واعتمادها على الإعدادات الهجينة، تغيّرت الأرضية نفسها تحتها - حرفيًا ومجازيًا. والنتيجة؟ متاهة واسعة ومتغيرة باستمرار من الخوادم والتخزين والاتصالات، لا يفهمها إلا القليل حقًا، وأقل منهم من يستطيع تأمينها.

دروس من الماضي: عندما تتحول الأخطاء إلى كارثة

التاريخ مليء بالخروقات التي لم تبدأ باختراق ذكي، بل بإغفال بسيط. كان اختراق Capital One عام 2019، حيث كشف جدار ناري مُهيأ بشكل خاطئ في بيئة سحابية ملايين سجلات العملاء، جرس إنذار. ومؤخرًا، أبرز اختراق ضخم لدى AT&T تم تتبعه إلى مزود سحابي تابع لطرف ثالث كيف يمكن لنقاط ضعف البنية التحتية أن تُسقط حتى أكبر الشركات.

يسلط تقرير IBM لعام 2024 بعنوان “تكلفة خرق البيانات” الضوء على واقع مقلق: ما يصل إلى 40% من الخروقات تتضمن الآن بيانات متناثرة عبر بيئات تقنية مختلفة - السحابة، والخوادم الخاصة، والأنظمة المحلية. وكلما زاد تعقيد البنية التحتية، زادت احتمالية تسلل شيء ما عبر الشقوق.

لماذا التعقيد هو العدو

بنية تقنية المعلومات اليوم تشبه مدينة مبنية على طبقات - أساسات قديمة رُقّعت بناطحات سحاب جديدة، وكلها مترابطة. كل نشر سحابي، أو تحديث برمجي، أو تعديل متعلق بالامتثال القانوني يضيف جزءًا متحركًا آخر. وغالبًا ما تكافح فرق الأمن لمواكبة ذلك، معتمدة على الجداول الإلكترونية وقوائم التحقق اليدوية. وفي الوقت نفسه، يوازن المهندسون بين أولويات متنافسة، وأحيانًا يتركون إصلاحات “مؤقتة” تتحول إلى ثغرات دائمة.

هذا الانفصال ليس غير فعال فحسب - بل خطير أيضًا. يعرف المهاجمون أن سوء التواصل والتحديثات المتسرعة هما أفضل أصدقائهم. وحتى الفرق الحسنة النية قد تترك أبوابًا خلفية مفتوحة، كما رأينا في استغلال Apple CarPlay الشهير وفي عدد لا يحصى من هجمات برامج الفدية التي استغلت برامج تشغيل مهملة وعناصر تحكم قديمة.

الأمان منذ التصميم: مخطط للمرونة

هنا يأتي تحرك CISA الخاص بـ Secure by Design، الذي يحث المؤسسات على نسج الأمن في كل مرحلة من مراحل البنية التحتية - من التخطيط والبناء إلى العمليات اليومية. وبدلًا من سد الثغرات بعد وقوعها، يعني Secure by Design فحص كل قفل وكل نافذة قبل أن يكتمل بناء المنزل أصلًا.

تشمل المبادئ الأساسية تكييف سياسات الأمن مع كل بيئة، وأتمتة عمليات الفحص المستمرة للثغرات، ودمج الإصلاحات مباشرة في سير العمل الهندسي (ويُطلق على ذلك غالبًا DevSecOps). والهدف هو جعل الأمن أمرًا روتينيًا كالتنفس - بحيث تُكتشف المشكلات وتُصلح قبل أن يتمكن المهاجمون من استغلالها.

WIKICROOK

• البيئة الهجينة: تمزج البيئة الهجينة بين أنظمة تقنية المعلومات السحابية والمحلية، ما يوفر المرونة لكنه يزيد من تعقيد الأمن والإدارة.
• انعدام الثقة: انعدام الثقة هو نهج أمني لا يُوثق فيه بأي مستخدم أو جهاز افتراضيًا، ويتطلب تحققًا صارمًا لكل طلب وصول.
• سوء التهيئة: سوء التهيئة هو خطأ في إعداد الأنظمة أو البرمجيات يتركها عرضة للهجمات السيبرانية، مثل ترك باب مفتوح عن طريق الخطأ.
• DevSecOps: DevSecOps هو نهج يدمج الأمن في كل مرحلة من مراحل تطوير البرمجيات وعمليات تقنية المعلومات، ما يعزز تسليمًا أكثر أمانًا وكفاءة للبرمجيات.
• الأمان منذ التصميم: يعني الأمان منذ التصميم دمج الأمن في الأنظمة منذ البداية، لا كفكرة لاحقة، لمنع الثغرات وتعزيز الحماية.