مفهوم أمان الـ Zero Trust هو ما نحتاجه اليوم لمنتجات وخدمات محمية بشكل محكم. فما الذي يعنيه ذلك في الواقع؟
ما هو الـ Zero trust ؟
الـ Zero Trust هو نموذج أمان للتعامل مع الثغرات الأمنية التي نتجت عن النقلات العملاقة التي فرضها التحول الرقمي. يتضمن ذلك و لا يقتصر على السحابة الحاسوبية والبنية التحتية اللامركزية وتقنيات الـ container. على الرغم من أن هذه الإنجازات قد مكنت فرق تكنولوجيا المعلومات من تقديم المنتجات والخدمات بكفاءة ، إلا أن نماذج الأمان التقليدية لم تعد كافية للسيطرة على تلك الخدمات و ضمان حمايتها بالمستوى المطلوب.
يتمثل جوهر نموذج أمان Zero- trust في عدم الثقة بأحد Trust no one و إنما التحقق دائماً. يؤسس هذا النهج قاعدة صارمة للتحقق دائماً من صحة كل ما يجري في النظم المعلوماتية. يفترض إطار عمل Zero Trust أن أمان شبكة المؤسسة معرض دائماً لخطر التهديدات الخارجية والداخلية. يساعد Zero Trust في وضع استراتيجية لمواجهة تلك التهديدات.
لماذا يعتبر نموذج الـ Zero trust مهماً؟
على الرغم من الصعوبات الفنية و الإدارية لتطبيق نموذج zero trust إلا أن هناك أسباب كافية ليكون تطبيقه مهماً جداً. نتابع مع dzone بعضاً من أهم هذه الأسباب.
الدفاع عن المحيط لم يعد كافياً: على الرغم من افتراض المؤسسات في خططها الأمنية أن التهديد دائماً مصدره الخارج و أن العدو خارج الأسوار. إلا أن الحقيقة عكس ذلك. يمكننا دائماً الرجوع لقصة حصان طروادة للتأكد من ذلك.
ضعف السحابة الحاسوبية: نقلت منظمات الأعمال برامجها و تطبيقاتها إلى الـ Cloud computing لتمكين عملائها من الوصول لخدماتها من أي مكان في العالم وعلى أي جهاز. عندما تنشر مؤسسة ما تطبيقها على سحابة عامة مثل Google أو Amazon أو Azure ، تصبح بياناتها خارج (أسوار) أمان خوادمها المحلية. لا يخلو الأمر من خطر إضافي تجلبه هذه الحالة، رغم كل الجهود التي تبذلها الشركات الكبرى بهذا الخصوص إلا أن حالة solarwinds أثبتت أنه لا شيء كامل في موضوع الحماية و خصوصاً عبر طرف ثالث.
نموذج العمل عن بعد: عللى الرغم من عودة أغلب الشركات الكبرى للعمل من مكاتبها إلا أن العمل من المنزل يبقى خياراً ضمن حزمة الاجراءات للإستجابة لأي جائحة مشابهة لـ كوفيد-19. حيث تبنت المنظمات نموذج عمل يسمح لموظفيها بالعمل عن بعد من مواقع مختلفة. مع قيام العملاء والموظفين بتسجيل الدخول إلى شبكة تكنولوجيا المعلومات عبر الـ IP address ، أصبح من الصعب الحفاظ على سلامة وأمن الاتصال. فبيئة العمل في المنزل هي حكماً أقل أماناً من مكاتب الشركة.
المبادئ الرئيسية
نعرض فيما يلي وبشكل مختصر بعضاً من المبادئ التي تحكم نموذج الأمان Zero trust.
- التأكد من أن كل موارد المؤسسة متصلة و آمنة بغض النظر عن موقعها داخل أو خارج الشبكة. انتهت ذلك الزمن الذي كانت فيه كل البنية التحتية لتكنولوجيا المعلومات موجودة ضمن مباني المؤسسة. الأن بوجود الحوسبة السحابية و الـ BYOD و الـ IoT أصبح الموضوع أكثر تعقيداً. و خصوصاً أن الاستخدام المتسارع لتلك التقنيات زاد أيضاً من نقاط الضعف التي يمكن لمجرمي الانترنت استغلالها على أمل أن تكون كعب أخيل في نظام الحماية.
- منح الأجهزة و المستخدمين الحد الأدنى من السماحيات الذي يكفيهم فقط لأداء المهام المسندة لهم. يستند منح تلك السماحيات لمبدأي need-to-know و least privilege.
- تسجيل نشاطات الأجهزة و المستخدمين و فحصها بشكل دوري للتأكد من عدم وجود ما يريب في تلك النشاطات. حيث سيتعين على جميع الأجهزة المرور بنفس سلسلة سياسات الوصول والأمان من أجل منح الجهاز حق الوصول إلى الشبكة. و كذلك يتم تعزيز الثقة من خلال التحقق المستمر و تطبيق حلول أمنية مثل (SSO) والمصادقة متعددة العوامل (MFA) -التي تضيف طبقات أمان أكبر.
سيعود روبودين لمقاربة هذا الموضوع في مقالات لاحقة وذلك لبيان مدى أهمية التشدد بمعايير الأمان للحفاظ على سلامة الأعمال و استقرارها.
