نشر مورّد لمنصة تخزين سحابي سياسات وصول لحسابات التخزين في Azure عند إطلاق الخدمة، وهي سياسات عكست تصنيف البيانات ونموذج الوصول المقصود وقت الإطلاق. وكان حساب تخزين التحليلات مُهيَّأً مع تعطيل الوصول العام إلى الكائنات، لكن مع منح الوصول المصادَق عليه لجميع أعضاء مستأجر Azure AD الخاص بالشركة، وهو إعداد معقول حين كان التخزين يحتوي على مقاييس تحليلية مجمّعة يحق لجميع الموظفين الوصول إليها مشروعًا. وخلال الأشهر الأربعة عشر التالية، تطورت محتويات حساب التخزين تطورًا كبيرًا: أُضيفت تحليلات على المستوى الفردي، وخُزِّنت بيانات منسوبة إلى العملاء لأغراض إعداد التقارير، وفي النهاية أصبح الحساب المستودع الرئيسي لمستخرج تحليلات العملاء الذي احتوى على بيانات شخصية على مستوى السجل الفردي. وكان تصنيف البيانات قد تحول فعليًا من بيانات داخلية مجمّعة إلى PII سرية للعملاء، لكن أحدًا لم يحدّث سياسة الوصول لحساب التخزين. وظلت السياسة تمنح وصول القراءة لجميع مستخدمي Azure AD المصادَق عليهم. وعندما اكتُشف التحول خلال مراجعة امتثال لـ GDPR، كانت سياسة الوصول متساهلة أكثر من اللازم مع بيانات شخصية سرية لمدة أحد عشر شهرًا. وكان لدى ثلاثة آلاف موظف وصول للقراءة. كانت السياسة صحيحة من الناحية الفنية لحساب تخزين يحتوي على مقاييس مجمّعة. لكنها كانت خاطئة إلى حد كبير لحساب تخزين يحتوي على PII العملاء.
ما الإعدادات الخاطئة لسياسات الوصول حقًا؟
الإعدادات الخاطئة لسياسات الوصول هي إعدادات للتحكم في الوصول لا تعكس بشكل صحيح نموذج الوصول المقصود لنظام أو مورد أو بيانات في الوقت الحالي. ويمكن أن تنشأ من ثلاثة مصادر متمايزة: الإعداد الأولي غير الصحيح، وانحراف الإعدادات من خلال تغييرات غير مصرح بها أو غير مُراجَعة، وتقادم الإعدادات، أي إعداد أولي صحيح أصبح غير صحيح لأن النظام أو البيانات أو السياق التنظيمي الذي يحكمه قد تغير دون تحديث مقابل للسياسة.
تقادم الإعدادات هو فئة الإعداد الخاطئ الأكثر شيوعًا من الناحية التشغيلية والأقل تقييمًا. فالإعداد الخاطئ الأولي تعالجه قوائم التحقق الخاصة بالنشر وخطوط الأساس الأمنية. والانحراف غير المصرح به تعالجه البنية التحتية كرمز وضوابط إدارة التغيير. أما التقادم فتعالجه المراجعة الدورية للسياسات: تأكيد أن سياسات الوصول لا تزال مناسبة في ضوء التغييرات في تصنيف البيانات وفئات المستخدمين ووظيفة الأنظمة والهيكل التنظيمي التي حدثت منذ آخر مراجعة للسياسة. وكثيرًا ما تعاني المؤسسات التي لديها ضوابط نشر وإدارة تغيير ناضجة من تقادم كبير في السياسات لأن وتيرة مراجعة السياسات القائمة لم يُحافَظ عليها.
سيناريو إعادة تصنيف البيانات هو نمط التقادم الأخطر عاقبةً. فعندما يُعاد تصنيف البيانات المخزنة في نظام ما إلى مستوى أعلى، من داخلية إلى سرية أو من سرية إلى مقيدة، قد تكون سياسة الوصول التي كانت مناسبة للتصنيف الأصلي متساهلة إلى حد كبير بالنسبة للتصنيف الجديد. ولا تستدعي أحداث إعادة تصنيف البيانات تلقائيًا مراجعات لسياسات الوصول في معظم المؤسسات. إذ تحدث إعادة التصنيف في نظام حوكمة البيانات. وتبقى سياسة الوصول في حساب التخزين السحابي أو قاعدة البيانات أو خادم التطبيقات دون تغيير ما لم يربط أحدٌ تحديدًا حدث إعادة التصنيف بالتزام بمراجعة السياسة.
- تقادم الإعدادات الناجم عن إعادة تصنيف البيانات: بقاء سياسات الوصول عند مستوى الصلاحيات الخاص بالتصنيف الأصلي بعد إعادة تصنيف البيانات إلى مستوى أعلى
- توسّع النطاق دون تحديث السياسة: أنظمة يتوسع نطاق بياناتها إلى ما يتجاوز نموذج الوصول الأصلي دون مراجعة سياسة الوصول
- تغييرات فئات المستخدمين غير المنعكسة في السياسات: سياسات مُهيَّأة لفئة المستخدمين الأصلية التي توسعت أو تغيرت منذ ذلك الحين
- استمرار الإعدادات الافتراضية المتساهلة القديمة: إعداد متساهل أكثر من اللازم ضُبط عند النشر وكان مقبولًا عند مستوى حساسية أدنى ولم يُشدَّد قط مع ازدياد الحساسية
- لا توجد وتيرة لمراجعة السياسات: تُراجَع سياسات الوصول عند النشر ولا تُراجَع دوريًا بعد ذلك
لماذا يهم هذا
تهم الإعدادات الخاطئة لسياسات الوصول TPRM لأن المورّدين الذين يحتفظون ببيانات العملاء قد تكون لديهم سياسات وصول للتخزين وقواعد البيانات والتطبيقات هُيِّئت بشكل صحيح وفق الحساسية الأصلية لتلك البيانات لكنها لم تُحدَّث مع تطور البيانات. والمورّد الذي نما حجم بيانات عملائه وحساسيتها وتصنيفها التنظيمي نموًا كبيرًا منذ نشر النظام قد تكون لديه سياسات وصول كانت مناسبة عند النشر وأصبحت اليوم متساهلة إلى حد كبير.
لبُعد البيئة السحابية أهمية خاصة. إذ تُهيَّأ حسابات التخزين السحابي وحاويات الكائنات وخوادم قواعد البيانات وسياسات وصول API عند إنشاء الموارد بإعدادات تعكس نموذج الوصول المقصود في ذلك الوقت. ومع تطور البيئات السحابية، بإضافة بيانات جديدة وربط تكاملات جديدة ووصول فرق جديدة إلى الموارد، تزداد تدريجيًا احتمالية أن تصبح سياسات الوصول التي كانت صحيحة عند الإنشاء خاطئة الإعداد قياسًا على الوضع الحالي. وتعالج أدوات إدارة الوضع الأمني السحابي هذه المشكلة تحديدًا عبر المقارنة المستمرة بين إعدادات سياسات الوصول الحالية ومتطلبات الأمن الحالية.
أين تخطئ معظم الفرق
الإخفاق الأكثر تكرارًا هو التعامل مع مراجعة سياسات الوصول بوصفها نشاطًا مرتبطًا بالنشر لا التزامًا دوريًا بالحوكمة. فمراجعات عملية النشر تؤكد أن السياسات صحيحة عند إنشائها. أما المراجعات الدورية فتؤكد أن السياسات تظل صحيحة مع تطور الأنظمة والبيانات التي تحكمها. ولدى معظم المؤسسات الأولى دون الثانية بوتيرة كافية.
- التعامل مع مراجعة السياسات بوصفها نشاطًا مرتبطًا بالنشر لا التزامًا دوريًا
- إعادة تصنيف البيانات لا تستدعي مراجعة السياسات
- عدم وجود CSPM للمراقبة المستمرة لامتثال السياسات
- عدم تحديد وتيرة مراجعة السياسات أو عدم الحفاظ عليها
- مراقبة انحراف الإعدادات مقتصرة على التغييرات غير المصرح بها، لا على التقادم
كيف تبدو الممارسة الجيدة
تربط برامج حوكمة سياسات الوصول الناضجة التزامات مراجعة السياسات بالأحداث التي تُحدث التقادم، أي إعادة تصنيف البيانات وتوسع النطاق وتغييرات فئات المستخدمين، وتطبق مراقبة مستمرة عبر أدوات CSPM ترصد إعدادات السياسات التي لا تتسق مع متطلبات الأمن الحالية.
- مراجعة السياسات المستندة إلى الأحداث: إعادة تصنيف البيانات وتغييرات النطاق وتغييرات فئات المستخدمين تستدعي مراجعة سياسات الوصول
- مراقبة CSPM المستمرة: تُقيَّم سياسات الوصول السحابية باستمرار مقارنةً بمتطلبات الأمن الحالية
- وتيرة دورية لمراجعة السياسات: تُراجَع جميع سياسات الوصول وفق جدول محدد بمعزل عن مسببات الأحداث
- ربط تصنيف البيانات بمتطلبات سياسات الوصول: تُعلَّم تغييرات التصنيف تلقائيًا لمراجعة السياسات
- السياسة كرمز: سياسات وصول معرَّفة في رمز خاضع للتحكم في الإصدارات يتطلب مراجعة التغييرات
الأدوات
إدارة الوضع الأمني السحابي: Wiz وOrca وPrisma Cloud
تُقيِّم منصات CSPM باستمرار سياسات الوصول إلى الموارد السحابية مقارنةً بأفضل الممارسات الأمنية ومتطلبات السياسات المؤسسية، فتحدد حسابات التخزين ذات الوصول المتساهل أكثر من اللازم، وسياسات الوصول إلى قواعد البيانات التي لا تتسق مع تصنيف البيانات، وسياسات بوابات API التي انحرفت عن خطوط الأساس الأمنية. وبالنسبة لممارسي TPRM، فإن السؤال عمّا إذا كان المورّد يستخدم CSPM مع مراقبة مستمرة لامتثال السياسات يوفر سؤالًا محددًا حول رصد التقادم.
البنية التحتية كرمز: Terraform وAWS CloudFormation وAzure Bicep
تُعرِّف أدوات البنية التحتية كرمز إعدادات البنية التحتية في رمز خاضع للتحكم في الإصدارات، مما يتيح مراجعة التغييرات على تعديلات سياسات الوصول ويوفر سجلًا حاليًا لإعدادات السياسات المقصودة يمكن مقارنته بالإعدادات المنشورة فعليًا. وبالنسبة لممارسي TPRM، فإن السؤال عمّا إذا كانت سياسات الوصول معرَّفة في بنية تحتية كرمز خاضعة للتحكم في الإصدارات مع مراجعة التغييرات يوفر سؤالًا محددًا حول منع الانحراف والتقادم.
تحديات الحوكمة
يتمثل تحدي الحوكمة في الإعدادات الخاطئة لسياسات الوصول في فجوة الربط بين الأحداث التي تُحدث التقادم وعمليات الحوكمة التي من شأنها معالجته. فأنظمة تصنيف البيانات ومنصات حوكمة البيانات وفرق الأمن توجد في مجالات تنظيمية منفصلة. وعندما يعيد فريق حوكمة البيانات تصنيف مجموعة بيانات، لا يوجد عادةً إشعار آلي إلى فريق البنية التحتية المسؤول عن سياسات الوصول التي تحكم مجموعة البيانات تلك. ويتطلب سد هذه الفجوة إما تكاملًا إجرائيًا بين حوكمة البيانات وحوكمة سياسات الوصول، أو مراقبة مستمرة عبر CSPM ترصد عدم التطابق دون الحاجة إلى إشعار.
- طبّق CSPM للمراقبة المستمرة لامتثال سياسات الوصول
- اربط إعادة تصنيف البيانات بالتزام بمراجعة سياسات الوصول
- حدّد وتيرة دورية لمراجعة السياسات: عدد مرات مراجعة جميع سياسات الوصول بصرف النظر عن الأحداث
- أدرج تقادم السياسات في تقييم حوكمة الوصول
- اسأل المورّدين عن نطاق تغطية CSPM لديهم وعن نتائج آخر فحص لامتثال السياسات
إذا كنت فريقًا صغيرًا
اطلب من مورّديك المستضافين سحابيًا أحدث نتائج فحص CSPM المتعلقة بالإعدادات الخاطئة لسياسات الوصول، وتحديدًا: هل حُدِّدت أي حسابات تخزين أو قواعد بيانات أو موارد API بسياسات وصول لا تتسق مع تصنيف بياناتها؟ يكشف هذا السؤال عمّا إذا كان CSPM مستخدمًا وعمّا إذا كان قد رصد إعدادات خاطئة ناجمة عن التقادم. أما المورّدون الذين لا يستخدمون CSPM، فاسألهم متى رُوجعت سياسات الوصول آخر مرة للأنظمة التي تحتوي على بياناتك، وما إذا كانت أي أحداث لإعادة تصنيف البيانات خلال الاثني عشر شهرًا الماضية قد استدعت مراجعة لسياسات الوصول.
- اطلب أحدث نتائج CSPM المتعلقة بالإعدادات الخاطئة لسياسات الوصول
- اسأل عمّا إذا كانت أحداث إعادة تصنيف البيانات تستدعي مراجعات لسياسات الوصول
- اسأل متى رُوجعت سياسات الوصول آخر مرة للأنظمة التي تحتوي على بيانات العملاء
- اسأل عمّا إذا كانت سياسات الوصول معرَّفة في بنية تحتية كرمز خاضعة للتحكم في الإصدارات
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«هل تستخدمون أداة لإدارة الوضع الأمني السحابي تراقب سياسات الوصول باستمرار بحثًا عن الإعدادات الخاطئة، وما الذي وجده أحدث فحص بشأن سياسات الوصول على الأنظمة التي تحتوي على بياناتنا؟»
«عندما يُعاد تصنيف البيانات المخزنة في أنظمتكم إلى مستوى حساسية أعلى، هل تستدعي إعادة التصنيف تلك تلقائيًا مراجعة لسياسات الوصول التي تحكم تلك البيانات، أم أن سياسات الوصول تُراجَع بمعزل عن تغييرات تصنيف البيانات؟»
ما تتوقعه دليلًا
- أداة CSPM وأحدث نتائج الفحص
- عملية ربط إعادة تصنيف البيانات بمراجعة السياسات
- وثائق وتيرة مراجعة سياسات الوصول
- تطبيق السياسة كرمز لإدارة تغييرات سياسات الوصول
ينبغي سؤال المورّد الذي يؤكد أن سياسات الوصول مُهيَّأة بشكل صحيح عند النشر متى رُوجعت تلك السياسات آخر مرة، وما إذا كانت أي تغييرات في البيانات أو الأنظمة منذ النشر قد استدعت مراجعة للسياسات. فالصحة عند النشر تصف لحظة زمنية واحدة. والسؤال هو ما إذا كانت هذه الصحة قد حوفظ عليها.
كيف تُثبت ذلك
- سجلات فحص CSPM لامتثال سياسات الوصول
- ربط إعادة تصنيف البيانات بمراجعة السياسات
- سجلات وتيرة مراجعة سياسات الوصول
- عملية مراجعة تغييرات البنية التحتية كرمز لسياسات الوصول
الخلاصة الرئيسية
كانت السياسة صحيحة حين كُتبت للبيانات التي كُتبت من أجلها. ثم تغيرت البيانات. ولم تتغير السياسة. أحد عشر شهرًا من الوصول المتساهل أكثر من اللازم إلى PII العملاء في حساب تخزين تحول تصنيفه من مقاييس مجمّعة إلى سجلات فردية: لم تكن السياسة خاطئة بالتصميم قط، بل بالتقادم فحسب. الإعدادات الخاطئة لسياسات الوصول ليست أخطاء دائمًا. فهي غالبًا إعدادات صحيحة جعلها الزمن غير صحيحة. ومتطلب الحوكمة ليس مجرد ضبطها بشكل صحيح عند النشر، بل الإبقاء عليها صحيحة مع تطور الأنظمة والبيانات التي تحكمها السياسات. يراقب CSPM حالات عدم التطابق باستمرار. وتلتقط المراجعة الدورية ما تفوته عتبات CSPM. وتلتقط المراجعة المستندة إلى الأحداث ما ستبلغه الوتيرة الدورية بعد فوات الأوان.