نقلنا البيانات إلى السحابة — ما الذي يقع على عاتقنا بعد ذلك لحماية وأمن السحابة؟

الخط الفاصل واضح جداً في نموذج المسؤولية المشتركة: أمان السحابة على المزود، وأمان ما بداخل السحابة عليكم. راجعوا مجموعات الأمان (Security Groups) فوراً؛ ولا تفتحوا أبداً المنافذ 22 (SSH) و3389 (RDP) لجميع عناوين الإنترنت (0.0.0.0/0). اسمحوا فقط لعنوان IP الثابت الخاص بمكتب الشركة، وامنعوا الدخول إلى لوحة التحكم بدون VPN.

بعد شهرين من انتقالنا، تم اختراق البريد الإلكتروني لأحد موظفينا عبر هجوم تصيد احتيالي. وبسبب عدم تفعيل التحقق بخطوتين، تسلل المهاجم إلى لوحة التحكم السحابية وحذف النسخة الاحتياطية لقاعدة البيانات. وقال لنا المزود وبكل حق "الدخول تم باسم مستخدم وكلمة مرور صالحين"، واضطررنا لدفع فدية قدرها 80 bin TL.

رغبة مجلس الإدارة في تقليص ميزانية الأمان تنذر بكارثة حقيقية. الأمر أشبه باستئجار شقة في مجمع سكني فاخر بأبواب فولاذية محكمة، ثم ترك باب الشقة مفتوحاً على مصراعيه؛ فإذا دخل لص، لا يمكنك لوم أمن المجمع لأنك تركت الباب مفتوحاً.

هناك أمران يجب تنفيذهما صباح الغد فوراً: 1) ادخلوا إلى لوحة الإدارة وافرضوا التحقق بخطوتين عبر التطبيقات لجميع المستخدمين بدلاً من رسائل SMS. 2) احذفوا جميع حسابات الاختبار غير المستخدمة ومفاتيح API القديمة الخاصة بالاستشاريين السابقين.

يحمي مزودو السحابة سلامة البيانات من الأعطال العتادية، لكن إذا قام شخص من الداخل بحذف جدول العملاء عمداً أو عن طريق الخطأ، فسيتعامل المزود مع هذا كأمر شرعي وليس كهجوم سيبراني. لهذا السبب، يُعتبر وجود سياسة نسخ احتياطي غير قابلة للتعديل ومحفوظة في حساب منفصل داخل السحابة أمراً لا غنى عنه.

افحصوا وحدات تخزين الـ buckets ضروري، الشركات أغلب مصايبها بتيجي من هنا... بيفتحوها عامة وقت التجربة وبينسوها وبعدين تلاقي بيانات العملاء كلها اتأرشفت في جوجل.

ما دمتم تديرون عمليات بيع بالجملة وإدارة وكلاء، فإن صفتكم كـ "مسؤول بيانات" وفقاً لقانون KVKK تظل قائمة بالكامل؛ فحفظ البيانات في السحابة لا يسقط عنكم المسؤولية القانونية. وعليكم الالتزام بالاحتفاظ بسجلات الوصول بأختام زمنية وغير قابلة للتعديل بأثر رجعي لمدة سنتين على الأقل.

أنت محق.

نادرًا ما تجد مقالاً يشرح الأمر بهذه الوضوح.

أود طرح سؤال. محاولة فعل هذا بمفردك هي أغلى الطرق.

أتمنى أن يفيدك هذا.

أحسنت، بارك الله في جهدك. عند اتخاذ القرار، اكتب أسوأ سيناريو أيضًا، وليس الأفضل فقط.

لو كنت مكانك، لسلك هذا المسار.

هناك نقطة أثارت فضولي. كل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا.

مثبت بالتجربة.

عانيت من نفس الشيء.

ما كُتب هنا يطابق تماماً ما عشناه. كلما كان التراجع عن القرار أصعب، كان يجب اتخاذه ببطء أكبر.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

صحيح. إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

لهذا النهج ثمن، لكنه لا يُناقش. معظم إضاعة الوقت تتراكم في المهام المنتظرة للموافقة.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

أتفق مع هذا. طيب أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار.

معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة. صححوا لي إن أخطأت.

أحسنت، بارك الله في جهدك. إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.