السياق
يحمل التبني السحابي في المملكة اليوم قيداً لم يكن حاضراً في عمليات الترحيل السابقة: متطلبات موطن البيانات والسيادة عليها تحدد أين يمكن أن تستقر أحمال العمل، والتوقعات التنظيمية تفترض قدرة الجهة على إثبات ما تشغّله وأين تشغّله. ومعظم البيئات السحابية عاجزة عن تلبية الشرط الثاني، لأنها بُنيت مشروعاً بعد مشروع لا وفق تصميم.
نقلت إحدى مجموعات الخدمات جزءاً معتبراً من أحمال عملها إلى بنية سحابية خلال عامين، ولكل مشروع فريق تنفيذ خاص به. طُبّق الأمن على مستوى المشروع. والنتيجة بيئتان ونموذجان أمنيان لا رابط بينهما، دون أي وسيلة للإجابة عن سؤال يخص البيئة ككل.
لم تكن الشرارة حادثاً أمنياً بل ملاحظة تدقيق داخلي. سأل المدقق عن الخدمات المتاحة للإنترنت التي تشغّلها الجهة. استغرق إنتاج الإجابة تسعة أيام، وكان مفهوماً أن الرقم النهائي تقريبي.
هذا الغموض هو المخاطرة الحقيقية. فالبيئات السحابية نادراً ما تنهار بسبب ضبط خاطئ لعنصر تحكم. تنهار لأن مورداً كان موجوداً ولا يعلم به أحد، أنشأه شخص يملك صلاحية مشروعة، خارج أي مراجعة.
المنهج
بدأت ITBuilders بتقييم الوضع الأمني عبر جميع الحسابات السحابية، بما فيها عدة حسابات أُنشئت لمشاريع قصيرة الأجل ولم تُغلق. شملت النتائج تخزيناً مكشوفاً للعموم بسبب إعداد افتراضي، وبيانات اعتماد مضمّنة في قوالب النشر، ومجموعات صلاحيات تمنح حقوقاً إدارية تتجاوز الاستخدام الفعلي بكثير.
رُتّبت المعالجة وفق قابلية الاستغلال لا وفق درجة الخطورة، وهو ترتيب يختلف جوهرياً ويغلق الانكشاف الحقيقي بوتيرة أسرع.
تلا ذلك بناء المعمارية. والمبدأ الحاكم كان نموذجاً أمنياً واحداً يُعبَّر عنه في البيئتين — تجزئة وفحص وهوية وتسجيل تُصمم مرة واحدة وتُطبق باتساق داخل المنشأة وفي السحابة، بدل تأمين كل بيئة بلغتها الخاصة. فالاتساق هو ما يجعل البيئة الهجينة قابلة للتدقيق؛ ونموذجان صحيحان لكن مختلفان ينتجان إجابة التسعة أيام. وصُممت متطلبات موطن البيانات ضمن توزيع أحمال العمل لا كاستثناء يُعالج لاحقاً.
ووُحّدت الهوية. كان الوصول السحابي يُمنح عبر هياكل حسابات منفصلة وعدة بيانات اعتماد إدارية دائمة مشتركة بين المهندسين. وانتقل ذلك إلى هوية موحّدة مع رفع صلاحيات قائم على الأدوار ومحدد زمنياً وتسجيل كامل للجلسات.
وحلّت الضوابط الوقائية محل المراجعة. تمنع السياسات المكتوبة كشيفرة اليوم إنشاء موارد غير ممتثلة — تخزين عام، ووحدات تخزين غير مشفرة، ومجموعات أمان غير مقيدة — بدل اكتشافها بعد وقوعها. فالضوابط الوقائية تصمد أمام ضغط التسليم بصورة لا تصمدها عمليات المراجعة.
ومُركّز التسجيل عبر البيئتين في مسار واحد، بحيث يصبح التحقيق الممتد بين المنشأة والسحابة استعلاماً واحداً لا إعادة تركيب مرتين.
تحمل ITBuilders اعتماد Fortinet Engage Partner Specialization — Cloud Security. والعمل الهجين هو الموضع الذي ينهار فيه الأمن عملياً في أغلب الأحيان، لأنه يتطلب كفاءة في بيئتين وتصميماً يصمد في كلتيهما. والاعتماد يشير إلى قدرة مُقيَّمة لا إلى ادعاء خبرة سحابية.
ما الذي تغير
تستطيع المجموعة اليوم إنتاج جرد محدث ودقيق لخدماتها المتاحة للإنترنت عند الطلب. وتُمنع الموارد غير الممتثلة عند الإنشاء. وسؤال التدقيق الذي استغرق تسعة أيام يُجاب عنه من لوحة معلومات، والإجابة دقيقة.
استمرارية التشغيل
وتواصل ITBuilders تشغيل مراقبة الوضع الأمني، وصيانة مجموعة السياسات الوقائية مع تبني خدمات جديدة، وإنتاج الأدلة التي تقدمها المجموعة عند التدقيق. البيئات السحابية تتغير أسبوعياً. وتقييم الوضع يصف لحظة؛ أما التشغيل المستمر فيصف موقفاً.
