نقلنا الشركة بالكامل إلى السحابة لكن من أين نبدأ لتقييم الأمن السحابي؟

أول شيء تفعله هو التحقق من صلاحيات التخزين. في كثير من مزوّدي السحابة تأتي مساحات الملفات مغلقة افتراضيًا، لكن أثناء الانتقال قد تُمنح صلاحية قراءة عامة لأجل العمل العملي. كذلك تحقق مما إذا كانت منافذ إدارة الخوادم الافتراضية المستخدمة (خاصة منافذ SSH أو RDP) قد بقيت مفتوحة للإنترنت العام. قيّدها على عنوان IP الثابت لمكتبك فقط.

لدينا مكتب وساطة مالية بحجم مشابه. العام الماضي عندما تلقينا نموذج موردين مشابهًا تعاقدنا مع خبير أمني مستقل من الخارج. أصدرت لنا فاتورة 2.200 GBP مقابل مراجعة إعدادات استغرقت أربعة أيام. في التقرير الناتج وُجدت ثماني ثغرات حرجة، ست منها كانت مجرد صلاحيات مستخدمين مُعدّة بشكل خاطئ. إذا قمت بالتنظيف الأساسي بنفسك قبل التدقيق الخارجي تنخفض التكلفة بشكل كبير.

قول للزميل التقني فورًا يفرض على كل حسابات المديرين مفتاح U2F أو تطبيق authenticator... يعني التحقق عبر SMS صار يُعتبر غير كافٍ الآن... وأول شي يبحثون عنه في نماذج تدقيق العملاء عادة هو سياسة MFA.

التقارير الداخلية المعدّة من قوائم تحقق جاهزة تنزّلها من الإنترنت ما تقنع معظم العملاء من الشركات. كثير من القوائم تسأل عن سياسات موجودة على الورق بس ما تكشف الثغرة الحقيقية في النظام. إذا كان عميلك رح يعتمد نموذج التدقيق من إدارة المخاطر، فبدون تقرير تقييم خارجي موقّع ممكن يكون توقيعك على العقد صعب جدًا.

الأشياء اللي لازم تخلّصها أول يوم في التدقيق الداخلي هي: 1) خلّي التحقق بخطوتين إلزامي على جلسات كل الموظفين. 2) ألغِ مفاتيح API القديمة غير المستخدمة وحسابات الخدمة اللي انفتحت وقت الترحيل. 3) افتح لوحة تنبيهات الأمان المدمجة اللي يوفّرها مزوّد السحابة وعالج المخاطر عالية الأولوية واحدة واحدة. 4) تأكد إن نسخ البيانات الاحتياطية محفوظة معزولة في منطقة ثانية.

المتعهد اللي نفّذ الترحيل ما ترك لكم مستند تسليم واستلام؟ المفروض يكون مكتوب في ذاك المستند أي موارد افتراضية انتركبت، وين محفوظة مفاتيح التشفير، وكيف محمية قاعدة البيانات. إذا ما فيه مستند زي هذا، ما المفروض ترجع للمتعهد أول شي وتطلب منه جرد النظام؟

نماذج الأمان اللي ترسلها العملاء من الشركات عادة تكون مبنية على معايير أمن المعلومات الدولية. في هذي النماذج يسألونك إذا نظامك خضع لاختبار اختراق وإذا عندك خطة استجابة للحوادث. زميلك التقني داخل الشركة يقدر يسدّ ثغرات الإعدادات الأساسية، بس الحصول على تقرير مستقل للالتزامات القانونية اللي رح تعطيها للعميل يحميك من مسؤوليات مستقبلية.

أسرع شي تقدر تسويه بكرة الصبح هو إنك تفتح مركز الأمان والامتثال المدمج في لوحة السحابة عندك. المزوّدون عادة يعطونك تقييم أمان مجاني وقائمة تبيّن النواقص. حتى لو بس تسكّر التنبيهات الحمراء هناك وتاخذ سكرين شوت، هذي خطوة أولى كويسة تبيّن للعميل إن العملية بدأت.

سأكون ممتنًا لو شاركت النتيجة. عند اتخاذ القرار، اكتب أسوأ سيناريو أيضًا، وليس الأفضل فقط.

هذا كل شيء، أرجو المعذرة إذا أطالت.

دعوني ألخص ما قيل حتى الآن. كلما كان التراجع عن القرار أصعب، كان يجب اتخاذه ببطء أكبر.

بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية. اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

سمعنا هذا كثيراً، لكنه لم يحدث معنا أبداً. فعل الجميع لشيء ما لا يعني أنه صحيح.

إذا لم تقم بصياغة هذا كتابيًا من البداية، فستنشأ خلافات لاحقًا. يعني بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

ارتحت لقراءة هذه الإجابة، يبدو أن المشكلة ليست عندي وحدي. انظروا أولاً إلى البيانات المتاحة لديكم عند اتخاذ القرار.

أنا أيضًا متحمس لمعرفة ذلك. تسير الأمور على ما يرام في الأشهر الثلاثة الأولى، وتظهر المشاكل في الشهر الرابع.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

لدي سؤال، ولا أريد الخروج عن صلب الموضوع. معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

مثبت بالتجربة.

هناك شيء يجب الانتباه إليه. إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

هناك فخ هنا، لا أريد المرور عليه دون ذكره. المسألة ليست الرقم، بل الأساس الذي بُني عليه.

بالتوفيق.

إذا دخلنا في التفاصيل: أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار.

لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

وكيف حللتم هذه النقطة؟ انظروا أولاً إلى البيانات المتاحة لديكم عند اتخاذ القرار.

لو كنت مكانك، لسلك هذا المسار.