اتجاهات الثقة الصفرية التي يجب على الشركات اتخاذ إجراءات بشأنها

لم تعد الشبكة المكتبية الموثوقة الوحيدة هي مركز أمان الأعمال. يعمل الموظفون عن بُعد، ويتصل الموردون بالنظم، ويستخدم العملاء التطبيقات المحمولة، وتحتفظ منصات السحابة بالبيانات الأساسية. هذه التحولات تفسر سبب انتقال اتجاهات الثقة الصفرية من مناقشات الأمان إلى أولويات غرفة الاجتماعات. بالنسبة لقادة الأعمال، لم يعد السؤال هو ما إذا كان يجب التحكم في الوصول بعناية أكبر. إنه كيفية تطبيق تلك الضوابط دون إبطاء الفرق والعملاء والنمو. لا تعد الثقة الصفرية منتجًا واحدًا أو مربعًا للتحقق من الامتثال. إنها نهج أمان مبني على مبدأ بسيط: عدم افتراض أن المستخدم أو الجهاز أو التطبيق أو الاتصال آمن ببساطة لأنه داخل الشبكة. يجب التحقق من كل طلب، والسماح له لغرض محدد، وتقييمه باستمرار ضد المخاطر. بالنسبة للشركات الصغيرة والمتوسطة والمنظمات الكبيرة على حد سواء، يصبح هذا النهج عمليًا بدلاً من النظري. تبدأ أقوى البرامج بالنظم الأكثر أهمية، ثم تتوسع من خلال خطة واضحة للهوية والأجهزة والتطبيقات والبيانات ووصول الجهات الخارجية. # اتجاهات الثقة الصفرية التي تشكل أمان الأعمال ## الهوية تصبح السياج الأمني الأساسي لا يمكن لكلمات المرور وحدها تحمل عبء أمان المنظمة الحديثة. تظل بيانات الاعتماد المسروقة واحدة من أسهل الطرق للمهاجمين للدخول إلى حسابات البريد الإلكتروني، ولوحات معلومات السحابة، وقواعد بيانات العملاء، والنظم الإدارية. نتيجة لذلك، يعد أمان الهوية أحد أهم اتجاهات الثقة الصفرية. تعد المصادقة متعددة العوامل الآن خط أساس، ولكن التنفيذ الفعال يذهب إلى أبعد من ذلك. تعتمد الشركات طرقًا لمصادقة مقاومة للتصيد، وضوابط أقوى للحسابات المميزة، وسياسات وصول مشروطة تستجيب للسياق. قد يحصل مدير مالي يقوم بتسجيل الدخول من جهاز معروف أثناء ساعات العمل العادية على وصول روتيني. قد يتطلب الحساب نفسه الذي يحاول تنزيل تقارير حساسة من موقع غير مألوف تحققًا إضافيًا أو قد يتم حظره. هذا لا يعني أن يواجه كل موظف احتكاكًا مستمرًا. الهدف هو التحقق الذكي. تحتاج فرق الأمان إلى التمييز بين النشاط الروتيني المنخفض المخاطر والإجراءات التي قد تعرض المعلومات القيمة أو تعطل العمليات. ## الوصول يصبح أكثر دقة ومؤقتًا غالباً ما تمنح نماذج الوصول التقليدية المستخدمين أذونات واسعة لأنها مريحة في بداية المشروع. مع مرور الوقت، يتغير دور الموظفين، ويبقى المتعاقدون في النظم بعد انتهاء المشاركة، وتجعل الحسابات المشتركة المساءلة صعبة. هذه الثغرات تخلق تعرضًا غير ضروري. تحل الثقة الصفرية محل الوصول الدائم الواسع النطاق بالوصول الأقل امتيازًا. يتلقى المستخدمون فقط الأذونات المطلوبة لدورهم ومهمتهم. بالنسبة للوظائف الإدارية الحساسة، يمكن منح الوصول في الوقت المناسب، لفترة محدودة، مع الموافقات وسجلات النشاط. هذا النموذج مهم بشكل خاص للشركات التي تعمل مع مطوري الجهات الخارجية، والوكالات الرقمية، ومقدمي الخدمات السحابية، والمحاسبين، أو شركاء الدعم. قد يحتاج شريك إلى الوصول إلى لوحة تحكم استضافة الموقع أو بيئة التطبيق، ولكن ليس إلى كل ملفات الشركة، أو الحسابات الداخلية للمستخدم، أو الأنظمة المالية. يحمي تجزئة الوصول كلا الطرفين ويجعل علاقات الدعم أسهل في الإدارة. ## صحة الجهاز تؤثر الآن على قرارات الوصول يمكن للمستخدم المثبت على جهاز غير مدارة أو جهاز تم اختراقه أن يخلق مشكلة أمنية خطيرة. أحد اتجاهات الثقة الصفرية الأكثر عملية هو استخدام وضع الجهاز في قرارات الوصول. قبل منح الوصول، يمكن للنظم تقييم ما إذا كان الجهاز مشفرًا، ومحدثًا، ومحميًا بأمان نقطة النهاية، ومسجلًا تحت إدارة الشركة. بالنسبة للمنظمات التي لديها سياسات جلب جهازك الخاص، فإن الإجابة ليست دائمًا حظر الأجهزة الشخصية. يعتمد ذلك على طبيعة العمل والبيانات المعنية. قد يكون الهاتف الشخصي مناسبًا للوصول إلى التقويم أو أداة الاتصالات المعتمدة. قد لا يكون مناسبًا لتصدير سجلات العملاء، والموافقة على المدفوعات، أو إدارة البنية التحتية السحابية. تطبق السياسة المصممة جيدًا متطلبات مختلفة لمستويات مختلفة من المخاطر. كما توفر للموظفين توقعات واضحة وبدائل قابلة للتطبيق. تفشل ضوابط الأمان عندما يتجاوزها الفرق لإكمال العمل العاجل. ## تحل التجزئة الدقيقة محل الشبكات المسطحة لا تزال العديد من المنظمات تعمل بشبكات يمكن للمهاجم الذي يكتسب موطئ قدم فيها أن يتحرك بحرية كبيرة بين الأنظمة. تقلل التجزئة الدقيقة من هذا التحرك الأفقي عن طريق تقسيم البنية التحتية إلى مناطق أصغر وأكثر تحكمًا. يجب ألا يوفر جهاز عمل تسويقي مخترق مسارًا إلى قاعدة بيانات مالية. يجب ألا يكون خادم الويب المواجه للجمهور لديه اتصال غير مقيد مع الأنظمة الداخلية. هذا مهم للبيئات السحابية والهجينة بقدر ما هو مهم للمكاتب التقليدية. يتم توزيع التطبيقات عبر بيئات الاستضافة، ومنصات البرامج كخدمة، وواجهات برمجة التطبيقات، والأجهزة البعيدة. يجب أن تتبع سياسات الأمان أعباء العمل والبيانات، بدلاً من الاعتماد فقط على جدار حماية المكتب. يتطلب التنفيذ التخطيط. يمكن أن يؤدي التجزئة الصارمة للغاية إلى تعطيل اتصالات التطبيقات المشروعة وإنشاء مشكلات في الدعم. يجب على الشركات أولاً رسم خرائط لتدفقات البيانات الحرجة، وتحديد التبعيات، وتطبيق الضوابط على مراحل. عادة ما يؤدي البدء بـ بوابات العملاء، والخدمات ذات الصلة بالدفع، والمنصات الإدارية، وبيئات النسخ الاحتياطي إلى تقليل المخاطر بشكل كبير دون محاولة تحويل غير واقعي بين عشية وضحاها. ## حماية البيانات تصبح مدفوعة بالسياسة في كثير من الأحيان، لا تكون الشبكة نفسها هي الأصل الأكثر قيمة، ولكن المعلومات التي تمر عبرها. تحتاج تفاصيل العملاء، والعقود، والممتلكات الفكرية، والسجلات المالية، ووثائق الاستراتيجية الداخلية إلى الحماية أينما تم تخزينها أو مشاركتها. تركز ضوابط بيانات الثقة الصفرية على التصنيف، والتشفير، والمرئية، وقواعد التعامل المناسبة. قد يكون المستند السري قابلًا للعرض فقط من قبل فرق معينة، ومقيدًا من المشاركة الخارجية، ومنعًا من نسخه إلى جهاز غير مدارة. على النقيض من ذلك، يجب أن يظل الأصل التسويقي العام سهلًا للفرق المصرح لها لتوزيعه. هذه المسألة مهمة. إذا تلقى كل مستند نفس المستوى العالي من التقييد، فإن الإنتاجية تعاني ويخلق الموظفون حلولًا غير رسمية للالتفاف حولها. النهج الفعال هو تصنيف المعلومات عالية القيمة والمنظمة أولاً، ثم مطابقة الضوابط للتأثير الفعلي للتعرض على الأعمال. ## المراقبة المستمرة تتجاوز تقارير الامتثال تفترض الثقة الصفرية أن ظروف الوصول يمكن أن تتغير بعد تسجيل الدخول. قد يظهر حساب المستخدم الذي يبدو شرعيًا في الساعة 9:00 ص سلوكًا مشبوهًا في وقت لاحق من اليوم. تساعد المراقبة المستمرة على تحديد مواقع تسجيل الدخول غير العادية، وأنماط السفر المستحيلة، وعمليات التنزيل الجماعية، والتغييرات في الامتيازات، والاتصال غير المتوقع بين الأنظمة. بالنسبة للعديد من المنظمات، لا يتمثل التحدي في عدم وجود تنبيهات. إنه الكثير من التنبيهات دون عملية استجابة واضحة. يجب ربط مراقبة الأمان بالإجراءات المسؤولة: من يحقق، ومدى سرعة استجابتهم، وأي أنظمة يمكن عزلها، ومتى يجب إخطار الإدارة. يمكن أن يساعد التشغيل الآلي في احتواء التهديدات الشائعة، ولكن يجب تقديمه بعناية. من المنطقي حظر تسجيل الدخول الخبيث الواضح تلقائيًا. قد يؤدي تعطيل حساب تجاري رئيسي بناءً على إشارة غير مكتملة إلى مقاطعة العمليات. تجمع برامج الأمان الناضجة بين التشغيل الآلي والتصعيد الموثق والحكم البشري. # كيفية تحويل الثقة الصفرية إلى خطة عمل يجب أن تبدأ برامج الثقة الصفرية بأولويات الأعمال، وليس بقائمة شراء طويلة. أولاً، حدد النظم والبيانات التي ستتسبب في أكبر ضرر تشغيلي أو مالي أو سمعي إذا تم اختراقها. بالنسبة للعديد من الشركات، تشمل هذه البريد الإلكتروني، وإدارة السحابة، والمواقع التي تواجه العملاء، وتدفقات العمل المتعلقة بالدفع، ومنصات CRM، ومستودعات الملفات المشتركة. ثانيًا، قم بمراجعة من لديه حق الوصول إلى هذه الأصول، ومن أين، وعلى أي أجهزة، وبأي مستوى من الامتيازات. غالبًا ما يكشف هذا التمرين عن حسابات غير نشطة، وبيانات اعتماد مشتركة، وامتيازات مسؤول واسعة، ووصول الجهات الخارجية التي لم يتم مراجعتها منذ سنوات. ثم قم بإنشاء مرحلة أولى عملية. غالبًا ما تكون المصادقة متعددة العوامل القوية، وتنظيف الحساب، والأذونات القائمة على الأدوار، والأجهزة المدارة للأدوار الحساسة، والنسخ الاحتياطي الآمن، وتحسين الرؤية إلى النظم الحرجة نقاط بداية ذات قيمة أعلى من استبدال البنية التحتية على نطاق واسع. يعتمد التسلسل المناسب على التكنولوجيا الحالية للمنظمة، والقدرات الداخلية، والتزامات الامتثال، والتسامح مع التغيير التشغيلي. مشاركة القيادة ضرورية. تؤثر الثقة الصفرية على تكنولوجيا المعلومات، والموارد البشرية، والمالية، والعمليات، والشؤون القانونية، ومقدمي الخدمات الخارجية. سيتم التعامل مع السياسة التي لا يفهمها أصحاب العمليات كعائق أمام تكنولوجيا المعلومات بدلاً من ضمانة للأعمال. الملكية الواضحة، وتوجيه الموظفين، ومتطلبات البائعين، ومراجعة الوصول المنتظمة تحول الاستراتيجية إلى ممارسة تشغيلية مستدامة. بالنسبة للمنظمات التي تبني مواقع ويب جديدة أو تطبيقات جوال أو منصات أعمال مخصصة، يجب تصميم الأمان في المشروع من البداية. تدفقات المصادقة، وأدوار المستخدم، وأذونات واجهة برمجة التطبيقات، والوصول الإداري، والسجلات، وتكوينات الاستضافة أسهل بكثير في التعريف الصحيح قبل الإطلاق من إصلاحها بعد حادث. DATA يتعامل مع التحول الرقمي بهذه الرؤية طويلة الأجل، ومواءمة تسليم التكنولوجيا المخصصة مع الضوابط اللازمة لحمايتها. الشركات التي تستفيد أكثر من الثقة الصفرية لن تكون تلك التي تنشر أكبر عدد من الأدوات. سيكونون أولئك الذين يجعلون قرارات الوصول متعمدة، ويحمون أصولهم ذات القيمة العالية أولاً، ويحسنون الضوابط مع تطور الأشخاص والمنصات والشراكات.