قضاء أي فترة من الوقت التسكع مع اوكتا فريق الأمن السيبراني الداخلي، وعاجلاً أم آجلاً سوف تسمع زملاءك يحيون بعضهم البعض بكلمة مبتهجة “يومًا سعيدًا يا صديقي”، وهو شعور سريالي عندما تجلس داخل مركز مؤتمرات مكيف في لاس فيغاس ولم ترى ضوء الشمس منذ 26 ساعة.
على الرغم من أنه يعتبر سان فرانسيسكو موطنه الآن، فإن الرجل المسؤول عن تجميع هذا العدد الكبير من الأستراليين في مكان واحد هو ديفيد برادبري، كبير مسؤولي الأمن في شركة Okta، الذي وصل إلى قائد إدارة الهوية والوصول في عام 2020 قادمًا من شركة Symantec، بعد أن شغل سابقًا أدوارًا أمنية في بنك الكومنولث الأسترالي وشركة شبكة النطاق العريض الوطنية (NBN) المدعومة من الحكومة.
في حين أن أي قائد أعمال جديد سيسعى بطبيعة الحال إلى وضع بصمته الخاصة على الشركة، في حالة برادبري، تم تحديد الفترة التي قضاها في Okta جزئيًا بالنسبة له من خلال سلسلة من الحوادث البارزة – استهدف أحدها بشكل مباشر منتجات الشركة وخدماتها – والتي رفعت Okta من اسم معروف فقط لمحترفي الإنترنت إلى اسم في مركز الأخبار الوطنية العاجلة الرئيسية.
وكانت النتيجة الأكثر وضوحًا على المدى الطويل هي إنشاء التزام Okta بالهوية الآمنة (SIC)، خطة طويلة المدى للتحسين السيبراني. وتتمثل الركائز الأربع الأساسية لهذا التعهد في توفير منتجات وخدمات الهوية الرائدة في السوق؛ نؤيد أفضل ممارسات العملاء في كل ما يتعلق بالهوية؛ رفع مستوى الصناعة لتكون محمية بشكل أفضل ضد الهجمات السيبرانية؛ وتقوية البنية التحتية للشركات الخاصة بها.
الجلوس مع الكمبيوتر الأسبوعية في مؤتمر أوكتا 2025 أوكتان، يفكر برادبري في نجاح الالتزامات التي تعهدت بها شركة Okta لإعادة اختراع نفسها بعد تجربتها المؤسفة. ويقول إن الاختراق دفع شركة Okta ككل إلى التوقف والتفكير في الشركة التي كانت عليها، وفي الخدمات التي تقدمها لعملائها.
يقول برادبري: “كان من الواضح لنا أن بيئة التهديد قد تغيرت من حولنا، ولم نتغير معها إلى الحد الذي كنا بحاجة إليه”.
[The 2023 breach made it] ومن الواضح لنا أن بيئة التهديد قد تغيرت من حولنا، ولم نتغير معها بالقدر الذي كنا بحاجة إليه ديفيد برادبري، أوكتا
“يعتمد العديد من عملائنا علينا من أجل الأمان، ويتوقعون منا أن نكون آمنين دائمًا، ومتصلين دائمًا وكالمرافق تقريبًا، وقد أثبتنا أنه من الصعب جدًا التأكد من أن هذا هو الحال دائمًا.”
إنتل التهديد: حدود جديدة
ويتمثل جزء من هذا التحدي في تحقيق التوازن الصحيح بين التركيز على بناء الميزات والمنتجات التي تجعل مهمة “القيام” بالأمن أسهل، ولكن أيضًا التركيز على مشهد التهديدات الأوسع والتأكد من قدرة Okta على حماية عملائها أولاً وقبل كل شيء.
عندما أطلقت الشركة التزام الهوية الآمنة، كما يقول برادبري، كان ذلك يعكس تغييرًا كبيرًا داخل شركة Okta لإعادة التفكير في كيفية إعطاء الأولوية لبناء المنتجات والميزات الأمنية التي تعتمد على كيفية فهمها لاحتياجات عملائها، بناءً على فهمها المتزايد لمشهد التهديدات.
قامت شركة Okta مؤخرًا بتعزيز قدراتها البحثية واستخبارات التهديدات الخاصة بها، حيث عملت مع المعلومات الاستخبارية التي تستمدها من منتجاتها وخدماتها الخاصة – باعتبارها متخصصة في الهوية، تتعرض تقنيتها لهجوم شديد كأمر طبيعي، لذلك فمن المنطقي الاعتماد على هذه البيانات – والعمل مع خبراء الإنترنت الآخرين الذين يقودهم التهديد.
“نود أن نعتقد أن لدينا منظورًا فريدًا حول من يمكنه الوصول إلى أي تطبيق وما هو [are able] لقيادة الدفاع الاستباقي. لقد قمنا بإعادة توجيه الشركة بالكامل لتكون موجهة نحو التهديدات عندما يتعلق الأمر بإنشاء منتجات أمنية وميزات أمنية.
ديفيد برادبري، أوكتا
يقول برادبري: “لقد رأينا قاعدة عملاء Okta تنمو بالفعل في قطاعات معينة، وهي قطاعات مستهدفة للغاية، بدءًا من الحكومة الفيدرالية الأمريكية إلى القطاع المصرفي والرعاية الصحية. نرى مجموعات تهديد مثيرة للاهتمام للغاية تستهدف هؤلاء العملاء على أساس روتيني”.
ويضيف: “نود أن نعتقد أن لدينا منظورًا فريدًا حول من يمكنه الوصول إلى أي تطبيق، ومن خلال الشراكة بشكل كبير مع أصدقائنا في CrowdStrike وMandiant وآخرين، فإن ذلك يضعنا في وضع جيد حقًا لقيادة الدفاع الاستباقي”. “لقد قمنا بإعادة توجيه الشركة بالكامل لتكون موجهة نحو التهديدات عندما يتعلق الأمر بإنشاء منتجات أمنية وميزات أمنية.”
خلال الصيف، حدد فريق الاستخبارات الخاص بالتهديدات في Okta حملة هندسة اجتماعية جديدة حاول فيها ممثل التهديد إقناع مستخدمي Okta قم بإيقاف تشغيل ميزة المصادقة بدون كلمة مرور FastPass في Okta تحقق للوصول إلى رسالة Slack مهمة. ادعى ممثل التهديد أن هذا يرجع إلى عدم عمل FastPass بشكل صحيح مع تكامل Slack الخاص بالهدف. لقد علمت شركة Okta بهذا الأمر بفضل ميزات إعداد التقارير التي دمجتها فرق المنتجات في التكنولوجيا ونشرتها على الهواء مباشرة.
“عندما يتعلق الأمر بالتقنيات المقاومة للتصيد الاحتيالي، فهي رائعة حقًا في منعك من القدرة على وضع اسم المستخدم وكلمة المرور الخاصة بك في موقع مزيف، لكنها لا تسجل ذلك، ولا ترسل تلك المعلومات إلى أي مكان، بل تمنع حدوث ذلك فحسب”، يوضح برادبري.
“باستخدام منتجنا، يقوم فعليًا بالتسجيل، ويرسل ذلك إلى العميل، وينبه أيضًا ذكائنا، حتى نتمكن من رؤية أحداث التصيد الاحتيالي هذه، ويمكننا بعد ذلك البدء في استخلاص المعلومات والبدء في تحديد المزيد من الأسباب الجذرية.
“نحن أنفسنا بدأنا للتو في إطلاق العنان لقوة منتجاتنا الخاصة، والقدرة على العثور على الجهات الفاعلة التي تشكل تهديدًا وإرسال ذلك إلى مجتمع الأمان الأوسع لحماية أنفسنا بشكل أفضل.”
السيبرانية بشكل افتراضي والمسؤولية المشتركة
مدعومة بفهمها المتزايد لبيئة التهديدات، تحافظ Okta على إيقاع ثابت من الميزات والتحديثات الجديدة المماثلة وتقوم بإدخالها بالتنقيط في منتجاتها لمدة 18 شهرًا تقريبًا في هذه المرحلة.
الأهم من ذلك، كما يقول برادبري، أنه في جميع الحالات تقريبًا، لا يتم منح العملاء خيار تشغيل هذه الميزات أم لا. أوكتا لا يخفي هذا. ويقول: “لن ننتظر العملاء ليكتشفوا ماهية هذه الأشياء. بل سنقوم بتشغيلها لك، لأن هذا في مصلحتك الفضلى”.
للوهلة الأولى، قد يبدو هذا طريقة تفكير أبوية إلى حد ما، وبدون شك، هناك العديد من قادة الأمن في مؤسسات المستخدم النهائي الذين قد يحجمون عن عدم وجود خيار بشأن ميزات الأمان التي يتم تمكينها – ففي نهاية المطاف، هم يدفعون مقابل المنتج.
لكن برادبري واثق من أن أوكتا يسير على الطريق الصحيح هنا، وأن حجته لها وزنها. خذ السلامة على الطرق كمثال. لم يطلب السائقون قط أحزمة الأمان بشكل جماعي – كان البريطانيون بحاجة إلى أفلام إعلامية عامة في السبعينيات لحملهم على ربطها – ومع ذلك فإن فكرة شراء سيارة دون ميزات السلامة الأساسية كمعيار لا يمكن تصورها اليوم.
عندما يشتري العملاء سيارة Okta الآن، فإنهم لا يحصلون على أحزمة الأمان السيبرانية فحسب، بل يحصلون أيضًا على وسائد هوائية، ومكابح مانعة للانغلاق، ومراقبة النقاط العمياء، والتحكم الإلكتروني في الثبات، ومساعدة الحفاظ على المسار – وكما هو الحال في سياراتهم، فإنهم لا يحصلون على خيار في هذا الشأن.
عندما تكون إحدى ميزات الأمان التي نقوم بإنشائها ذات قيمة للعميل ولا تتطلب تكوينًا شاملاً، فإننا نقوم بتمكينها بشكل افتراضي
ديفيد برادبري، أوكتا
يقول برادبري إن هذا يشير إلى تغيير واضح في العقلية في أوكتا. ويقول: “عندما تكون هناك ميزة أمان نقوم بإنشائها وتكون ذات قيمة للعميل ولا تتطلب تكوينًا مكثفًا، فإننا نقوم بتمكينها افتراضيًا، وندفعها للخارج”.
“هذا ما كنا نفعله الآن لعدد من الأرباع – الاستمرار في دفع التحسينات والتحسينات الأمنية المتزايدة، بعضها كبير، وبعضها صغير، وكلها مرتبطة بالتهديدات التي نشهدها. هذه العقلية الموجهة نحو التهديد أساسية تمامًا لكيفية تقديمنا الخدمة على مدار العام ونصف العام الماضيين.”
لا يقتصر دور برادبري على توفير الأمان الافتراضي للعملاء فحسب، بل إنه أيضًا مثال يحتذى به. في الآونة الأخيرة، وجدت شركة Okta نفسها بين عدد كبير من الشركات التي تتعرض للهجوم من قبل جهات التهديد التي اخترقت Drift، وهي منصة خدمات تسويقية طورتها شركة Salesloft. على مدى أسبوع كامل في أغسطس 2025، استخدم المتسللون بيانات اعتماد OAuth لسرقة البيانات من مثيلات Salesforce الخاصة بالعملاء.
ومع ذلك، أفلت Okta من العقاب لأنه قام بتشغيل كل ميزات الأمان الممكنة. بالنسبة لبرادبري، يثير هذا أسئلة مثيرة للاهتمام حول المسؤولية.
“ما هو مقدار الأمان الذي يجب أن يتمتع به العملاء، مقابل البائعين؟ هل كان يجب على Salesforce تشغيل مجموعة كاملة من ميزات الأمان التي كان من شأنها إيقاف هذا الحادث، أم يجب أن يظل الأمر كما هو اليوم، حيث يعتمد على العملاء لتهيئة الأشياء؟” يقول. “كنا محظوظين للغاية. لقد أنجزنا العمل. وقمنا بتشغيل الميزات الأمنية التي لم تقم بها مئات الشركات الأخرى، وأصيبت مئات الشركات الأخرى”.
يقول برادبري أنه بينما يستمر الآخرون في التمسك بـ نموذج المسؤولية المشتركةوهو الآن يقترب من فكرة مفادها أن مقدمي الخدمات أو البائعين أو الموردين – أطلق عليهم ما شئت – يجب أن يتحملوا نصيب الأسد من المسؤولية السيبرانية.
وهو يعترف بأن هذا طلب صعب. ويقول: “إن تحفيز اعتماد الميزات الجديدة بين عملائك يتطلب الكثير من الجهد والتركيز بالنسبة لنا جميعًا الذين يواجهون بالفعل تحديات تتعلق بالحصول على الكثير من الأشياء التي نحتاج إلى تحقيقها”.
“ولكن في الواقع، يتعلق الأمر بتحديد الأولويات، وللأسف، ما أعتقد أننا وصلنا إليه من خلال نموذج المسؤولية المشتركة هو أن هناك توقعًا كبيرًا كجزء من ذلك، وهو أن العميل يجب أن يتحمل قدرًا كبيرًا من المسؤولية – الفكرة هي أننا نقوم بتأمين السحابة وأنت تقوم بتأمين التطبيقات.
ويتابع: “ومع ذلك، شهدنا على مدى العامين الماضيين عددًا كبيرًا جدًا من الحوادث التي تقع حول المنطقة الوسطى، نقطة التقاطع”.
يدعو برادبري الآن – ويقول إن العديد من قادة الأمن الآخرين بدأوا يشعرون بنفس الطريقة – إلى إعادة النظر في أساسيات نموذج المسؤولية المشتركة وإعادة رسم الخطوط.
يقول: “سواء كان الأمر يتعلق بحادثة Snowflake أو حادثة Salesloft Drift، فهذه أمثلة على المناطق التي توجد فيها ضوابط أمنية، ولكن لم يتم اعتمادها من قبل العميل النهائي. لذا فإن السؤال هو، ما هو الدور الذي نلعبه جميعًا في مجتمع أمن البائعين في مساعدتهم؟ أعتقد أن هذا هو النقاش الصحيح الذي يجب إجراؤه، ونحن بحاجة إلى إعادة النظر في هذه المسؤولية المشتركة”.
