ما هو انعدام الثقة؟

انعدام الثقة عبارة عن نموذج أمني يعتمد على مبدأ أن لا يجب الوثوق بأي مستخدم أو جهاز بشكل افتراضي. بدلاً من افتراض أن أي شيء داخل الشبكة آمن، تتطلب سياسة عدم الثقة التحقق المستمر والصريح من جميع المستخدمين والأجهزة، بغض النظر عن موقعهم. بدلاً من التركيز على مكان تسجيل الدخول، يركز نهج عدم الثقة على هوية الشخص وما إذا كان يجب أن يحصل على حق الوصول. يخضع الوصول إلى الأنظمة والبيانات لرقابة صارمة، ولا يُمنح إلا لمن يحتاج إليه وللمدة الضرورية فقط.

المبادئ الأساسية لعدم الثقة

يعتمد Zero Trust على ثلاثة مبادئ أساسية:

افتراض الاختراق. يفترض أن أي مستخدم على شبكتك (سواء كان بشريًا أو آليًا) يمكن أن يتعرض للاختراق في أي وقت.
التحقق بوضوح. يجب على جميع البشر والآلات إثبات أنهم هم من يدعون أنهم عليه قبل الوصول إلى شبكة مؤسستك، بما في ذلك جميع الأنظمة والتطبيقات والبيانات.
التأكد من الحد الأدنى من الامتياز. بمجرد تسجيل الدخول إلى الشبكة، يجب أن يحصل المستخدمون على الحد الأدنى من الوصول إلى الشبكة اللازم لأداء وظائفهم، ولا أكثر من ذلك.

كيف يعمل نموذج انعدام الثقة (Zero Trust)

يفترض انعدام الثقة أن كل اتصال ومستخدم وجهاز يمكن أن يكون تهديدًا محتملاً. لذلك، يجب التحقق من الوصول بشكل مستمر عند كل نقطة. إليك كيفية عملها:

1. لا توجد ثقة ضمنية في أي مكان

في بيئة عدم الثقة، لا يتم الوثوق بأي مستخدم أو جهاز بشكل افتراضي، بغض النظر عما إذا كانوا داخل شبكة الشركة أو خارجها. يتم التعامل مع كل طلب وصول كما لو كان صادرًا من شبكة مفتوحة وغير موثوق بها. هذا يعني أنه يتم فرض المصادقة و التفويض قبل وأثناء الوصول إلى أي مورد.

2. التحقق المستمر

بمجرد أن يتم التحقق من هوية المستخدم، لا يعني ذلك أن لديهم وصولاً غير محدود. يستخدم مفهوم عدم الثقة التحقق المستمر، مما يعني أنه يجب على المستخدمين إثبات هويتهم وحالة أمان أجهزتهم بشكل متكرر أثناء تنقلهم عبر النظام. غالبًا ما يتم ذلك من خلال:

المصادقة متعددة العوامل (MFA)
فحوصات صحة الجهاز
الوصول السياقي (مثل الموقع، الوقت من اليوم، الدور)

3. الوصول بامتيازات أقل

يتم منح المستخدمين والتطبيقات الحد الأدنى من مستوى الوصول المطلوب لأداء مهامهم. هذا المبدأ، المعروف باسم الوصول بأقل قدر من الامتيازات، يقلل من مساحة الهجوم ويحد من الضرر في حالة الاختراق. تفرض عناصر التحكم في الوصول المستندة إلى الأدوار (RBAC) والسياسات المستندة إلى السمات هذه القواعد بشكل ديناميكي.

4. التجزئة الدقيقة

بدلاً من وجود شبكة واحدة مسطحة ومفتوحة، تقوم الثقة الصفرية بتقسيم الشبكة إلى مناطق أصغر، ولكل منها ضوابط الوصول الخاصة بها. تضمن هذه العملية، المعروفة باسم التجزئة الدقيقة، أنه حتى إذا تم اختراق جزء واحد، لا يمكن لمجرم الإنترنت التحرك جانبيًا إلى أجزاء أخرى.

5. الشفافية والتحليلات

تعتمد انعدام الثقة أيضًا على المراقبة الشاملة وتسجيل الدخول. يتم تسجيل وتحليل كل طلب وصول وإجراء لاكتشاف الحالات الشاذة وكشف التهديدات وفرض الامتثال.

فوائد الثقة الصفرية

توفر سياسة انعدام الثقة مجموعة واسعة من الفوائد، ولهذا السبب أصبحت نموذج الأمان المفضل للمؤسسات الحديثة.

رؤية أوضح لفرق تكنولوجيا المعلومات والأمن: توفر سياسة عدم الثقة للمسؤولين رؤية كاملة للمستخدمين والأنظمة والأجهزة في جميع أنحاء بيئة البيانات. يمكنهم رؤية من يتصل بالشبكة، ومن أين، وما الذي يقومون بالوصول إليه.
وصول آمن ومرن للمستخدمين: حيث إن مبدأ انعدام الثقة يمكن الأشخاص والتطبيقات والخدمات من التواصل بأمان، حتى وإن كان عبر شبكات مختلفة، يحصل المستخدمون على المزيد من الحرية والمرونة. حيث يمكنهم الاتصال بأمان من منازلهم أو أي مواقع بعيدة أخرى، حتى وإن كانوا يستخدمون أجهزتهم الخاصة.
حماية أقوى ضد الهجمات: يقلل نهج انعدام الثقة من خطر اختراق البيانات من خلال طلب المصادقة المستمرة والتحقق من الأجهزة. يعمل كل من RBAC و إدارة الوصول المتميز (PAM) على تقليل مخاطر تصعيد الامتيازات في حالة حدوث خرق.
امتثال أسهل ومشكلات تدقيق أقل: تدعم سياسة عدم الثقة الامتثال للوائح التنظيمية من خلال فرض ضوابط وصول صارمة وتقسيم البيانات الحساسة. تدعم RBAC وتجزئة الشبكة/التجزئة الدقيقة مبادرات الامتثال وتؤدي إلى تقليل عدد النتائج أثناء عمليات تدقيق الامتثال

كيفية تنفيذ مبدأ انعدام الثقة

أحد أكبر التحديات في تنفيذ استراتيجية الأمان القائمة على مبدأ انعدام الثقة هو عدم وجود معايير تنفيذ عالمية. تلجأ العديد من المؤسسات إلى العملية المكونة من سبع خطوات الموضحة في المنشور الخاص رقم 800-207 الصادر عن المعهد الوطني للمعايير والتكنولوجيا (NIST):

1. التعرف على المستخدمين

يشمل هذا المستخدمين البشر والهويات غير البشرية، مثل حسابات الخدمة. يشير NIST إلى أن المستخدمين المتميزين، بما في ذلك مسؤولو تكنولوجيا المعلومات والمطورون، يحتاجون إلى مراقبة خاصة، حيث قد يتمتع هؤلاء المستخدمون بوصول غير مقيد إلى الموارد الرقمية. في إطار عمل عدم الثقة، يجب أن تكون الحسابات المميزة بأقل امتيازات، ويجب مراقبة نشاط الحساب وتسجيله.

2. تحديد وإدارة كافة الأصول المتصلة بالشبكة.

يُعتبر تحديد وإدارة جميع الأصول التي تتصل بشبكة المؤسسة أمراً جوهرياً لنجاح تنفيذ استراتيجية عدم الثقة. يتضمن هذا:

أجهزة الكمبيوتر المحمول، وأجهزة الجوال، وأجهزة إنترنت الأشياء، وعناصر الأجهزة الأخرى.
الأدوات الرقمية مثل التطبيقات والشهادات الرقمية.
الأجهزة التي لا تملكها المؤسسة ولكن يمكنها الاتصال بالبنية التحتية لشبكتها أو الوصول إلى موارد الشبكة.

يعترف المعهد الوطني للمعايير والتقنية أن مخزون الأصول الشامل قد لا يكون ممكناً، لذا يجب على المنظمات ضمان أنها تستطيع "التعرف بسرعة على الأصول المكتشفة حديثاً والموجودة في البنية التحتية المملوكة للمؤسسة وتصنيفها وتقييمها."

فضلاً عن فهرسة الأصول تتضمن هذه الخطوة إدارة ومراقبة للتهيئة، حيث إن القدرة على مراقبة الحالة الحالية للأصل هي جزء من عملية المصادقة القائمة على مبدأ انعدام الثقة.

3. التعرف على العمليات الرئيسية وتقييم مخاطرها وتحديد "المرشحين" لمبدأ انعدام الثقة

تحديد وتصنيف وتقييم مخاطر عمليات الأعمال وتدفق البيانات بمنظمتك، بما في ذلك أهميتها لمهمة منظمتك. وسيساعد ذلك في تقديم معلومات عن العمليات التي تعتبر مرشحة أولية جيدة لنشر مبدأ انعدام الثقة. يوصي المعهد الوطني للمعايير والتقنية بالبدء بعمليات تستند إلى موارد قائمة على السحابة و/أو يستخدمها عاملون عن بُعد، حيث ستولد هذه العمليات التحسينات الأمنية الفورية على النحو الأكبر.

4. صياغة سياسات مبدأ انعدام الثقة للـ"مرشحين"

هذه تكملة للخطوة رقم 3. بعد التعرف على أصل أو مسار عمل للترحيل إلى مبدأ انعدام الثقة، لتحديد كل موارد المراحل التمهيدية والمراحل النهائية التي تستخدمها أو تؤثر عليها الأصول أو مسار العمل. ويساعد هذا في إنهاء ترحيل "مرشحي" مبدأ انعدام الثقة الأوليين ويضمن تطبيق الحد الأدنى من التميز والسياسات الأخرى لتحقيق أقصى مستوى من الأمن من دون إعاقة مسار العمل.

5. التعرف على مجموعات الأدوات/الحلول وتحديدها

هناك العديد من الحلول المتوافقة مع نهج عدم الثقة في السوق، ولكن ليست جميعها مناسبة لبيئة البيانات الخاصة بكم واحتياجات عملكم. يوصي NIST بالنظر في ما يلي عند اختيار أدوات انعدام الثقة:

هل يتطلب الحل تثبيت العناصر على أصل العميل؟ قد يحد هذا من عمليات الأعمال.
هل يعمل الحل في الحالات التي تكون موارد عمليات الأعمال متاحة في أماكن العمل؟ تفترض بعض الحلول أن الموارد المطلوبة موجودة في السحابة (ما يُطلق عليه حركة المرور بين الشمال والجنوب) وليس بداخل محيط مؤسسة ما (مرور بين الشرق والغرب). ويشكل ذلك مشكلة في البيئات السحابية المختلطة، حيث قد يتم تشغيل تطبيقات سلسلة الأعمال القديمة التي تقوم بالوظائف الحيوية في أماكن العمل بسبب عدم إمكانية ترحيلها إلى السحابة.
هل يوفر الحل طرقاً لتسجيل المعاملات لأغراض التحليل؟ تستند قرارات الوصول في مبدأ انعدام الثقة بشكل أساسي إلى جمع واستخدام البيانات المتعلقة بمسار العمليات.
هل يوفر الحل دعماً واسعاً للتطبيقات والخدمات والبروتوكولات المختلفة؟ قد تدعم بعض الحلول مجموعة واسعة من البروتوكولات (SSH، الويب، إلخ) ووسائل النقل (IPv4 و IPv6)، ولكن قد تعمل حلول أخرى فقط مع الويب أو البريد الإلكتروني.
هل يتطلب الحل تغييرات على مسارات العمل الحالية؟ قد تتطلب بعض الحلول خطوات إضافية لأداء مسار العمل المطلوب، وهو ما قد يتطلب إجراء المنظمة لتغييرات في مسار العمل.

6. بدء عمليات النشر والمراقبة الأولية

يوصي المعهد الوطني للمعايير والتقنية أن تفكر المؤسسات في تنفيذ مبدأ انعدام الثقة بشكل مبدئي في "نمط المراقبة" لتتأكد فرق تكنولوجيا المعلومات والأمن من أن السياسات والعمليات فعالة وقابلة للتطبيق. فضلاً عن ذلك، فور إنشاء خط أساس نشاط المستخدم والشبكة، ستتمكن فرق الأمن من تحديد السلوك غير الطبيعي الموجود بشكل أفضل.

7. التوسع في بنية مبدأ انعدام الثقة لديك

بعد الإطلاق الأولي لمفهوم انعدام الثقة (Zero Trust)، حان الوقت لترحيل المجموعة التالية من المرشحين. هذه الخطوة مستمرة: كلما حدثت تغييرات في بيئة بيانات المؤسسة أو سير العمل، يجب إعادة تقييم بنية الثقة الصفرية وتعديلها بما يتناسب مع ذلك.