عندما تقوم المنظمات بتخزين البيانات ومعالجتها في سحاب، هناك مخاوف متزايدة من المسؤولين ومالكي البيانات ومديري أمن المعلومات بشأن احتمالية التكوين الخاطئ أو الحوادث المؤسفة التي تؤدي إلى تسرب البيانات الحساسة – خاصة إلى الخدمات السحابية العامة التي تقع خارج المنطقة الجغرافية المقصودة.
في عام 2019، جارتنر توقعت أنه بحلول عام 2025، ستشارك 90% من المؤسسات التي تفشل في التحكم في استخدام السحابة العامة البيانات الحساسة بشكل غير لائق.
إذًا كيف يمكن بناء حلول قوية باستخدام الإمكانات الكاملة للخدمات السحابية لحماية بياناتك الحساسة بشكل أفضل؟
احصل على الأساسيات الصحيحة
تتبنى المؤسسات السحابة للاستفادة من انخفاض التكاليف وتحقيق وصول أكبر للأعمال ومعالجة البيانات بشكل أسرع والنمو بشكل أسرع. تعد استراتيجية التحول السحابية العملية ذات الأهداف الواضحة أمرًا بالغ الأهمية في وضع المؤسسة على مسار آمن ومرن لاعتماد السحابة. يتمثل جزء كبير من هذه الإستراتيجية في قيام المؤسسات بتبني ثقافات أمنية جديدة تدعم كيفية عملها في البيئات السحابية.
يجب أن يتضمن هذا النوع من التغيير الثقافي التركيز على أصول البيانات ووضع علامات عليها ومعالجتها ومعالجتها في الخدمات السحابية. يعد التدريب على الوعي الأمني أمرًا مهمًا لتثقيف الموظفين، وخاصة موظفي تكنولوجيا المعلومات، حول أفضل ممارسات الأمان السحابي، وأهمية التكوينات الصحيحة وعواقب أخطاء الأخطاء البشرية. يجب على المؤسسات أيضًا إجراء محاكاة هجومية لخرق البيانات مثل هجمات التصيد الاحتيالي، لتكون جاهزة للرد على أي تهديدات وهجمات حقيقية.
علاوة على ذلك، فإن الأطر القوية (على سبيل المثال سابسا, نيست CSF) يجب أن يكون موجودًا لدعم بيانات المؤسسة ومتطلبات الأمان والامتثال التنظيمي وموضوعات البيانات. يجب أن تشمل الاعتبارات الرئيسية ما يلي: ما هي قوانين سيادة البيانات، إن وجدت؟ هل تعالج أطري هذه الأمور؟ ما هي التهديدات؟
من الأفضل للمؤسسات تنفيذ إدارة دورة حياة جيدة التنظيم وبنية الخدمة، والتي تضمن وجود الهياكل والإجراءات المناسبة لحماية بيانات الأعمال بما يتماشى مع المتطلبات القانونية/التنظيمية. تقنيات مثل آمن حسب التصميم ساعد في دمج الأمان في متطلبات الحل وليس فقط تثبيته في النهاية.
DevSecOps يضمن أن يصبح الأمن عامل تمكين؛ فهو يبني القدرة الأمنية في قلب تطوير البرامج ويتحقق باستمرار من المشكلات بدءًا من التعليمات البرمجية وحتى وقت التشغيل. النهج الذي يركز على البيانات (حيث يتم إعطاء الأولوية لحماية البيانات وطرق الوصول إليها، بغض النظر عن مكان تخزينها أو استخدامها) إلى DevSecOps يمكّن المطورين والمسؤولين والمشغلين من تحسين بيانات الهوية واستخداماتها وكيفية صنعها المتاحة للخدمات التي تعالجها. الاستفادة من بيئات المعالجة، مثل جيوب AWS نيترويحمي البيانات التي تتم معالجتها في السحابة ويجب اعتمادها عند الضرورة.
الاستفادة من الذكاء الاصطناعي والتعلم الآلي
الذكاء الاصطناعي (AI) والتعلم الآلي (ML) يمكن أن تعمل على نطاق واسع، وذلك باستخدام التعلم، ويمكن أن تتكيف مع احتياجات حماية البيانات الخاصة بك. ومن خلال زيادة الأتمتة، يمكن تسريع عملية اتخاذ القرار وربط البيانات بالسحابة أو نشرها بالفعل. ويمكن تقييمها وحمايتها بشكل مناسب بسرعة أكبر. الأدوات السحابية مثل جوجل بيج كويري و أوس ماسي استخدم تعلم الآلة والذكاء الاصطناعي لتوفير إمكانات لمساعدة المؤسسات على إدارة بياناتها بشكل أفضل في السحابة العامة وتخفيف التعرض للبيانات الحساسة.
تكوين أوس, سياسة أزور، أو مركز الأمن والقيادة في Google Cloud تساعد أيضًا في أتمتة مراقبة وتنفيذ السياسات الأمنية. سيؤدي تنفيذ حلول المراقبة المستمرة إلى اكتشاف التكوينات الخاطئة وطلبات الوصول المشبوهة والحوادث الأمنية الأخرى في الوقت الفعلي والتنبيه بها.
بالإضافة إلى المراقبة والتنفيذ الآلي، فإن تنفيذ إدارة التهديدات المُدارة بشكل جيد والمراجعة بانتظام يسمح للمؤسسات بأن تكون أكثر استباقية ومرونة في الاستجابة للتهديدات.
بفضل قدرة موفري الخدمات السحابية على تقييم كميات هائلة من البيانات والتهديدات، تتفوق الخدمات السحابية العامة حاليًا في الاستفادة من الذكاء الاصطناعي مقارنة بأدوات الأمان المحلية الأبسط.
استخدم الثقة المعدومة وهندسة IAM
ومع تضاؤل الحدود التقليدية، إدارة الهوية والوصول مطلوب (IAM) الذي يغطي أعباء العمل والمستخدمين والأجهزة والمؤسسات. تحديد استراتيجية واضحة لانعدام الثقة يتم تنفيذه بأقل امتيازات التحكم في الوصول مما يوفر مساءلة أفضل في العمليات والوصول إلى البيانات المركزية ويقلل بشكل أكبر من الأخطاء البشرية التي تؤدي إلى تسرب البيانات العرضي أو المتعمد. فهو يعمل على تحسين المراقبة الدقيقة واكتشاف التهديدات أثناء الاستفادة من قواعد وسياسات الوصول المشروط.
يجب أن يتم تحسين البيانات وتنفيذ حلول IAM القوية بالتعاون مع الصيانة الأمنية المنتظمة بما في ذلك عمليات تدقيق الامتثال المنتظمة وتقييمات الأمان وإدارة الثغرات الأمنية والاختبار الأمني والوظيفي، مع إدارة النتائج والتصرف بناءً عليها.
تعد الثقة المعدومة بمثابة نهج استراتيجي يمكن أن يعزز أمانك بشكل كبير، ولكنه يتطلب تخطيطًا دقيقًا ونهجًا متكررًا للتحسين المستمر. على الرغم من التحديات، فإن تنفيذ هذا الأمر بشكل صحيح سيكون خطوة مهمة في رحلتك السحابية المختلطة حيث أنها تتبنى نهجًا أمنيًا يركز على البيانات مما يعمل على تحسين حماية البيانات بشكل كبير.
يجب أن يكون التحدي الذي يواجهه CISOs والشركات الصغيرة والمتوسطة الأمنية لتحسين أمن بيانات المؤسسة وإدارة البيانات الحساسة في الخدمات السحابية مدفوعًا بالأعمال التجارية، ويتطلب تغييرًا ثقافيًا، واعتماد البيانات السحابية وقدرات الأمان لتحقيق النجاح. تسمح لنا السحابة بإعادة النظر في نهجنا تجاه الأمن – وإذا أردنا أن ننجح في استخدام الخدمات السحابية، فنحن بحاجة إلى استغلال الابتكار الأمني السريع الذي يحدث بسببها.
سكوت سوالنج هو خبير في أمن البيانات والسحابة في استشارات السلطة الفلسطينية. وهو مساهم جديد في Think Tank هذا الشهر، وهو مهندس أمني يتمتع بخبرة تزيد عن 20 عامًا في هذا المجال، حيث عمل في الحكومتين الأسترالية والبريطانية، وفي الخدمات المالية والتعدين والصناعات الدوائية والفضاء.
