أنهى مهندس أول في شركة استشارات سحابية مهمة طويلة لدى مؤسسة مالية، كان يصل خلالها بانتظام إلى البيئة السحابية للمؤسسة عبر جهاز MacBook شخصي. كانت سياسة الوصول المشروط لدى المؤسسة تشترط MFA، وقد استوفاها المهندس بمفتاح مادي، وتتحقق من أن المصادقة صادرة من نطاق IP غير محظور. لكنها لم تتحقق من حالة إدارة الجهاز، ولا من امتثاله، ولا مما إذا كان مسجلًا في أي نظام لإدارة نقاط النهاية. كان تشفير القرص الكامل مفعّلًا في جهاز MacBook الشخصي للمهندس، إذ ضبطه بنفسه، لكنه لم يحدّث نظام التشغيل منذ ثمانية أشهر، وكان يشغّل عدة إضافات للمتصفح من مصادر غير مدققة، ولم يكن عليه أي برنامج لرصد نقاط النهاية والاستجابة لها، ولم يكن مسجلًا في أي MDM. وتراكمت على الجهاز طوال المهمة بيانات جلسات العميل، وتقارير منزّلة، وإعدادات بيئة مخزنة محليًا. وعندما سُرق الحاسوب المحمول للمهندس من مقهى، أُبلغ الفريق الأمني للمؤسسة. لم تكن لديه أي آلية لمسح الجهاز عن بُعد، ولا أي رؤية للبيانات الموجودة عليه، ولا أي يقين بأن تشفير القرص الكامل كان مفعّلًا أو حديثًا بما يكفي لمقاومة قدرات المهاجم. كانت المصادقة قوية، لكن الجهاز كان خارج السيطرة المؤسسية تمامًا.
ما حقيقة الثقة في الأجهزة لوصول الموردين؟
الثقة في الأجهزة هي مكوّن حوكمة الوصول الذي يقيّم الوضع الأمني لنقطة النهاية التي يُطلب منها الوصول، فيحدد ما إذا كان الجهاز مُدارًا من المؤسسة (أو من مؤسسة موثوقة)، ويستوفي متطلبات امتثال محددة، ولديه حماية حديثة لنقاط النهاية، وقادرًا على الاستجابة للأحداث الأمنية المؤسسية مثل المسح عن بُعد أو إنهاء الجلسة. وتُتخذ قرارات الثقة في الأجهزة عادةً عبر التكامل بين نظام سياسات الوصول (الوصول المشروط) ونظام إدارة الأجهزة (MDM)، الذي يوفر إشارات امتثال فورية عن الحالة الأمنية لكل جهاز.
كون نقطة النهاية هي نقطة الحيازة الفعلية للبيانات هو السبب الجوهري في أن الثقة في الأجهزة لا تقل أهمية عن قوة المصادقة. فعندما يصادق مستخدم على نظام ويُجري جلسة، لا تبقى البيانات التي يصل إليها خلال تلك الجلسة في الخادم وحده، بل تتدفق إلى جهاز العميل في صورة محتوى معروض، واستجابات مخزنة مؤقتًا، وملفات منزّلة، وتخزين المتصفح، ورموز الجلسات. ويتوقف أمن تلك البيانات بعد وصولها إلى جهاز العميل كليًا على الوضع الأمني لذلك الجهاز. فالأمن القوي في جانب الخادم وضوابط المصادقة القوية لا يحكمان ما يحدث للبيانات بعد مغادرتها الخادم ووصولها إلى جهاز العميل، بل يحكمه الوضع الأمني لجهاز العميل.
التمييز بين الأجهزة المُدارة وغير المُدارة هو البُعد الحاسم. فالجهاز المُدار المسجل في MDM يمنح المؤسسة رؤية للوضع الأمني للجهاز، والقدرة على إنفاذ السياسات الأمنية (قفل الشاشة، وتشفير القرص، والترقيعات الحديثة)، والقدرة على مسح الجهاز عن بُعد إذا فُقد أو سُرق، والقدرة على إلغاء الشهادات أو إزالة البيانات الحساسة إذا اختُرق الجهاز. أما الجهاز الشخصي غير المُدار فلا يوفر أيًا من هذه القدرات: فالمؤسسة لا تستطيع معرفة وضعه الأمني، ولا إنفاذ السياسات عليه، ولا مسحه عن بُعد، ولا تملك أي قدرة على الاستجابة إذا اختُرق أو سُرق.
- أجهزة شخصية غير مُدارة لوصول الموردين: نقاط نهاية خارج MDM المؤسسية دون رؤية أو إنفاذ للسياسات أو قدرة على المسح عن بُعد
- غياب فحص امتثال الجهاز في الوصول المشروط: التحقق من المصادقة دون تقييم امتثال الجهاز قبل منح الوصول
- بيانات الجلسات المخزنة مؤقتًا على الأجهزة الشخصية: تراكم بيانات العملاء على نقاط نهاية غير مُدارة خارج أي حوكمة
- غياب القدرة على المسح عن بُعد لأجهزة المورّد المفقودة أو المسروقة: بيانات جلسات العميل على نقاط نهاية لا يمكن استردادها
- وصول المورّد عبر BYOD دون ضوابط تعويضية: وصول من أجهزة شخصية دون حاويات للتطبيقات أو ضوابط للجلسات تحدّ من إقامة البيانات
لماذا يهم هذا
تهم الثقة في الأجهزة ممارسي TPRM لأن وصول الموردين إلى بيئات العملاء يعني أن بيانات الجلسات والملفات المنزّلة والمحتوى المخزن مؤقتًا من أنظمة العملاء تقيم على أجهزة مهندسي المورّد، ويتوقف أمن تلك البيانات بعد وصولها إلى نقطة نهاية المورّد كليًا على الوضع الأمني لنقاط النهاية لديه. فمهندس المورّد الذي يصل إلى المنصة المالية لعميل من جهاز شخصي غير مُدار يُنشئ نقطة حيازة لبيانات العميل خارج أي سيطرة مؤسسية: لا حماية لنقاط النهاية لرصد البرمجيات الخبيثة، ولا سياسة لتشفير القرص لحماية البيانات المخزنة، ولا قدرة على المسح عن بُعد إذا فُقد الجهاز.
سيناريو السرقة والفقدان هو البُعد الأكثر أثرًا بصورة فورية. فالحواسيب المحمولة تُسرق، والأجهزة تُنسى في القطارات، والأقراص الصلبة تتعطل وتُرسل إلى خدمات الاستعادة. وفي كل من هذه السيناريوهات، تصبح البيانات المتراكمة على الجهاز خلال جلسات وصول المورّد، من إعدادات وتفاصيل البيئة ورموز المصادقة والتقارير المنزّلة، متاحة لكل من يملك وصولًا ماديًا أو جنائيًا إلى الجهاز. وتوفر الأجهزة المُدارة المسح عن بُعد وإنفاذ التشفير بما يحدّ من الضرر في هذه السيناريوهات، ولا توفر الأجهزة غير المُدارة أي حماية مكافئة.
أين تخطئ معظم الفرق
الإخفاق الأكثر تكرارًا هو التعامل مع قوة المصادقة باعتبارها مكافئة لأمن الوصول. فـMFA قوية من جهاز غير مُدار تنتج حدث مصادقة عالي الضمان يوجّه الجلسة إلى نقطة نهاية لا تخضع لأي ضوابط أمنية مؤسسية. كانت المصادقة جديرة بالثقة، أما نقطة النهاية فليست كذلك. وهاتان خاصيتان أمنيتان مستقلتان تتطلبان ضوابط مستقلة.
- التعامل مع قوة المصادقة باعتبارها مكافئة لأمن نقاط النهاية
- غياب فحص امتثال الجهاز في سياسة الوصول
- عدم معالجة استخدام الأجهزة الشخصية صراحةً في متطلبات وصول الموردين
- غياب القدرة على المسح عن بُعد لأجهزة المورّد التي تصل إلى بيانات العملاء
- عدم حوكمة إقامة بيانات الجلسات على نقاط نهاية المورّد
كيف تبدو الممارسة الجيدة
تشترط برامج الثقة في الأجهزة الناضجة لوصول الموردين أن يتم كل وصول إلى بيئات العملاء الحساسة من أجهزة مُدارة ومسجلة في MDM تستوفي معايير امتثال محددة، من ترقيعات حديثة وحماية نشطة لنقاط النهاية وتشفير للقرص وقفل للشاشة، مع تسجيل القدرة على المسح عن بُعد قبل منح الوصول.
- اشتراط الأجهزة المُدارة للوصول الحساس: اشتراط التسجيل في MDM وشهادة الامتثال
- فحص امتثال الجهاز في الوصول المشروط: التحقق الفوري من الامتثال قبل إنشاء الجلسة
- تسجيل القدرة على المسح عن بُعد لجميع الأجهزة التي تصل إلى بيئة العميل
- حظر الأجهزة الشخصية للوصول الحساس: سياسة صريحة تحظر وصول الأجهزة غير المُدارة إلى بيئات العملاء
- ضوابط الجلسات في سيناريوهات BYOD: حاويات التطبيقات أو البنية التحتية لسطح المكتب الافتراضي التي تحدّ من إقامة البيانات على نقاط النهاية غير المُدارة
الأدوات
إدارة الأجهزة المحمولة: Microsoft Intune وJamf وVMware Workspace ONE
توفر منصات MDM شهادات امتثال للأجهزة تستطيع أنظمة الوصول المشروط التحقق منها فوريًا، للتأكد من أن الجهاز الذي يطلب الوصول مسجّل، ويستوفي متطلبات الترقيع، ولديه حماية نشطة لنقاط النهاية، وتشفير القرص مفعّل فيه. وبالنسبة لممارسي TPRM، فإن السؤال عمّا إذا كان مهندسو المورّد ملزمين باستخدام أجهزة مسجلة في MDM للوصول إلى بيئة العميل هو السؤال الأكثر مباشرة عن حوكمة الثقة في الأجهزة.
البنية التحتية لسطح المكتب الافتراضي: Citrix وVMware Horizon وAzure Virtual Desktop
توفر حلول VDI ضابطًا تعويضيًا للسيناريوهات التي يتعذر فيها تطبيق متطلبات الأجهزة المُدارة، إذ توجّه وصول المورّد عبر بيئة سطح مكتب افتراضي خاضعة للتحكم بدلًا من نقطة النهاية المادية للمورّد، مما يمنع إقامة البيانات على جهاز المورّد. وبالنسبة لممارسي TPRM، فإن السؤال عمّا إذا كانت VDI متاحة ضابطًا تعويضيًا للثقة في الأجهزة في وصول الموردين يقدّم بديلًا متوافقًا مع BYOD عن متطلبات الأجهزة المُدارة.
تحديات الحوكمة
يتمثل تحدي الحوكمة في الثقة في الأجهزة لوصول الموردين في مشكلة آلية الإنفاذ. فالعميل لا يستطيع فرض التسجيل في MDM مباشرةً على أجهزة المورّد، إذ يدير المورّد أسطول أجهزته بنفسه. وآلية الإنفاذ تعاقدية: اشتراط أن يستخدم موظفو المورّد الذين يصلون إلى بيئات العملاء أجهزة مُدارة وممتثلة شرطًا للوصول، والتحقق من الامتثال عبر سياسة وصول مشروط تفحص شهادات امتثال الأجهزة.
- أضف اشتراط الأجهزة المُدارة إلى عقود وصول الموردين
- طبّق فحص امتثال الجهاز في الوصول المشروط، لا المصادقة وحدها
- اطلب من الموردين تأكيد التسجيل في MDM للموظفين الذين يصلون إلى بيئة العميل
- فكّر في VDI كضابط تعويضي للموردين الذين لا يستطيعون استيفاء متطلبات الأجهزة المُدارة
- تأكّد من القدرة على المسح عن بُعد للأجهزة التي تصل إلى بيئة العميل
إذا كنت فريقًا صغيرًا
أضف سؤالًا واحدًا إلى متطلبات وصول الموردين لديك: هل الأجهزة التي يستخدمها مهندسوكم للوصول إلى بيئتنا مسجلة في MDM لديكم وخاضعة لسياسة امتثال نقاط النهاية لديكم؟ وتحديدًا، هل يمكنكم مسح تلك الأجهزة عن بُعد إذا فُقدت أو سُرقت وهي تحتوي على بيانات جلسات من بيئتنا؟ يكشف هذا السؤال فورًا ما إذا كان وصول المورّد يُنشئ نقطة حيازة لبيانات العميل خارج أي سيطرة مؤسسية، ويجعل سؤال القدرة على المسح عن بُعد عاقبة الفجوة ملموسة.
- اسأل عمّا إذا كانت أجهزة وصول المورّد مسجلة في MDM وممتثلة لسياسة نقاط النهاية
- اسأل عمّا إذا كان المورّد قادرًا على المسح عن بُعد للأجهزة التي تحتوي على بيانات جلسات العميل
- أضف اشتراط الأجهزة المُدارة إلى عقود وصول الموردين
- فكّر في VDI للموردين الذين لا يستطيعون استيفاء متطلبات الأجهزة المُدارة
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«هل الأجهزة التي يستخدمها مهندسوكم للوصول إلى بيئتنا مسجلة في منصة إدارة الأجهزة المحمولة لديكم وخاضعة لسياسة امتثال نقاط النهاية لديكم، بما في ذلك الترقيعات الحديثة والحماية النشطة لنقاط النهاية وتشفير القرص؟»
«إذا فُقد جهاز مستخدم للوصول إلى بيئتنا أو سُرق وهو يحتوي على بيانات جلسات أو بيانات اعتماد مخزنة مؤقتًا من بيئتنا، فهل لديكم القدرة على مسح ذلك الجهاز عن بُعد؟ وما مدى سرعتكم في تنفيذ المسح عن بُعد؟»
ما تتوقعه دليلًا
- تأكيد التسجيل في MDM للأجهزة المستخدمة في الوصول إلى بيئة العميل
- توثيق سياسة امتثال الأجهزة: مستوى الترقيع، وحماية نقاط النهاية، والتشفير
- تأكيد القدرة على المسح عن بُعد وزمن الاستجابة
- سياسة حظر الأجهزة الشخصية أو VDI كضابط تعويضي
المورّد الذي يؤكد وجود MFA قوية ينبغي أن يُسأل عمّا إذا كانت سياسة الوصول المشروط لديه تفحص أيضًا امتثال الجهاز، وتحديدًا ما إذا كانت تتحقق من التسجيل في MDM ومن حداثة حماية نقاط النهاية قبل إنشاء الجلسة. فالمصادقة تؤكد هوية الشخص، والثقة في الجهاز تؤكد سلامة نقطة النهاية، وكلاهما مطلوب.
كيف تُثبت ذلك
- اشتراط الأجهزة المُدارة في عقود وصول الموردين
- فحص امتثال الجهاز في سياسة الوصول المشروط
- تأكيد التسجيل في MDM لأجهزة وصول المورّد
- توثيق القدرة على المسح عن بُعد
الخلاصة الرئيسية
المصادقة تؤكد الهوية، والثقة في الجهاز تؤكد سلامة نقطة النهاية. فالمصادقة القوية من جهاز غير مُدار توجّه تحققًا عالي الضمان من الهوية إلى نقطة نهاية منخفضة الضمان تتراكم فيها بيانات جلسات العميل دون أي حوكمة مؤسسية. والبيانات التي تصل إلى الجهاز غير المُدار تقع خارج نطاق المسح عن بُعد، وخارج حماية نقاط النهاية، وخارج إنفاذ تشفير القرص، وخارج أي استجابة مؤسسية إذا فُقد الجهاز أو سُرق أو اختُرق. كانت بوابة المصادقة قوية، لكن جانب الجهاز من البوابة لم يكن موجودًا. اشترط الأجهزة المُدارة، وتحقّق من الامتثال في سياسة الوصول، وتأكّد من القدرة على المسح عن بُعد قبل أن تُنشئ الجلسة الأولى إقامةً لبيانات العميل على جهاز لا تستطيع التحكم فيه.