تلقى مورد لمنصة سحابية استبيان TPRM يسأل عن تشفير بيانات العملاء أثناء التخزين. فأكمل CISO لديه الاستبيان بثقة: جميع بيانات العملاء مشفرة أثناء التخزين باستخدام AES-256. وكان هذا هو معيار المؤسسة، وقد طُبق باتساق عبر بنيتها التحتية. وما لم يكن CISO يعرفه هو أنه قبل ستة أشهر جهّز مهندس بنية تحتية جديد قاعدة بيانات لعبء عمل تحليلي خاص بأحد العملاء. وكان المهندس قد اختار الإعدادات الافتراضية في وحدة التحكم السحابية، وهي إعدادات فعّلت التشفير لكنها استخدمت إدارة المفاتيح الافتراضية لدى مزود الخدمة السحابية بدلاً من إعدادات المفتاح الذي يديره العميل (CMK) لدى المؤسسة التي يشترطها المعيار. ولم يكن الفرق بين AES-256 وشفرة بديلة، فالإعداد السحابي الافتراضي كان أيضاً AES-256. بل كان الفرق في إدارة المفاتيح: إذ منحت إعدادات CMK المؤسسة التحكم في تدوير المفاتيح والوصول إليها، بينما تركت الإعدادات الافتراضية إدارة المفاتيح لمزود الخدمة السحابية. وكان الإقرار «جميع البيانات مشفرة أثناء التخزين باستخدام AES-256» دقيقاً. أما ما يُفهم منه، أي أن كل التشفير مطبق وفق معيار المؤسسة بمفاتيح يديرها العميل، فلم يكن دقيقاً بالنسبة لقاعدة بيانات واحدة. لقد عكس إقرار CISO اعتقاده الصادق. لكنه لم يعكس الإعدادات الفعلية لجميع الأنظمة ذات الصلة.
ما حقيقة مشكلة الأدلة مقابل الإقرار؟
الإقرار بيان يصدره شخص مخوّل يؤكد فيه أن شرطاً ما متحقق، ويستند عادةً إلى معرفته أو اعتقاده أو فهمه لسياسات المؤسسة ومعاييرها وممارساتها. أما الدليل فهو الوثائق وسجلات الإعدادات ومخرجات الأنظمة والمواد التي تثبت أن الشرط متحقق، بصرف النظر عن اعتقاد المُقِر. والفرق بينهما هو الفرق بين ما يعتقد شخص ما أنه صحيح بشأن مؤسسته وما يمكن التحقق من صحته بشأن أنظمة وإعدادات وممارسات محددة.
تكون الإقرارات دقيقة عندما تكون لدى المُقِر معرفة كاملة وحديثة بجميع الأنظمة والإعدادات ذات الصلة. ففي المؤسسات البسيطة والصغيرة، يمكن أن تكون الإقرارات دقيقة للغاية. أما في المؤسسات المعقدة والموزعة التي تضم فرق بنية تحتية متعددة وعمليات نشر متكررة وإدارة إعدادات لا مركزية، فتكون الإقرارات دقيقة ضمن نطاق معرفة المُقِر، لكنها قد لا تعكس واقع إعدادات الأنظمة الواقعة خارج ذلك النطاق أو التي جهزتها فرق أخرى مؤخراً. فإقرار CISO بأن جميع البيانات مشفرة وفق المعيار يعكس معرفته بمعيار المؤسسة واعتقاده بأن جميع الأنظمة ممتثلة له، لا سجلات الإعدادات الفعلية لكل نظام على حدة.
مشكلة انحراف الإعدادات هي المصدر الأكثر شيوعاً للفجوات بين الإقرار والواقع. فالمعايير تُوضع ويُعمم العمل بها. ثم يأتي تجهيز الأنظمة الفردية ليتبع تلك المعايير، أو يخفق في اتباعها، وقت التجهيز. ومع نمو الفرق وتسارع وتيرة التجهيز وتوسع البيئات السحابية، تتسع الفجوة بين المعيار كما هو مُقَر به والإعدادات الفردية كما نُشرت فعلاً. فالإقرار الصادر حين كانت لدى المؤسسة عشرون قاعدة بيانات وثلاثة مهندسي بنية تحتية كان يصف بدقة الإعدادات المعروفة. أما الإقرار نفسه بعد عامين، مع ستين قاعدة بيانات وخمسة عشر مهندساً، عُيّن بعضهم بعد وضع المعيار وربما لم يتلقوا تدريباً كافياً على تفاصيله، فقد يصف المعيار بدقة لكنه لا يصف المشهد الكامل للإعدادات.
- إقرار يعكس المعيار المقصود لا الإعدادات الفعلية: CISO يؤكد معيار التشفير لدى المؤسسة بدلاً من إعدادات التشفير الفعلية لكل نظام
- انحراف الإعدادات بين المعيار وتطبيقاته على الأنظمة الفردية: عمليات تجهيز حديثة لا تتبع المعيار بسبب الإعدادات الافتراضية أو فجوات التدريب أو السهو
- فجوة في معرفة المُقِر: إقرار كبار الموظفين لا يعكس الإعدادات التي تديرها فرق أخرى
- لا يوجد تحقق مستقل من الإعدادات: قبول الإقرار دون تحقق تقني من الإعدادات الفعلية للأنظمة
- غموض نطاق الإقرار: هل يشمل الإقرار جميع الأنظمة ذات الصلة أم الأنظمة التي يعرفها المُقِر
لماذا يهم هذا
تكتسب مسألة الأدلة مقابل الإقرار أهميتها في TPRM لأن المخاطر الأمنية الناشئة عن علاقة مع مورد تحددها الإعدادات الفعلية للأنظمة التي تتعامل مع بيانات العملاء، لا معيار المؤسسة ولا اعتقاد CISO بشأن الامتثال لذلك المعيار. فالمورد الذي يشترط معياره AES-256 مع CMK لكن لديه قاعدة بيانات واحدة تستخدم إدارة المفاتيح الافتراضية لدى المزود يمثل مخاطر مختلفة عن مورد لديه المعيار نفسه مع امتثال كامل. الإقرار يؤكد المعيار. والأدلة تكشف معدل الامتثال.
البُعد التنظيمي صريح. فمبدأ المساءلة في GDPR يشترط أن تكون حماية البيانات قابلة للإثبات، لا مجرد موضوع إقرار. والمؤسسة التي تستطيع الإقرار بمعيار التشفير لديها لكنها لا تستطيع إثبات أن كل نظام ذي صلة يطبق ذلك المعيار قد استوفت متطلب الإقرار لا متطلب الإثبات. والجهات التنظيمية التي تفحص الأدلة بدلاً من قبول الإقرار ستجد قاعدة البيانات المضبوطة على إدارة المفاتيح الافتراضية، والإقرار الذي كان دقيقاً بالنسبة لثلثي الأنظمة لن يفي بمتطلبات الفحص بالنسبة للثلث الذي كان مختلفاً.
أين تخطئ معظم الفرق
الإخفاق الأكثر اتساقاً هو قبول إقرارات كبار موظفي الأمن أو الامتثال دليلاً على إعدادات الأنظمة، بدلاً من اعتبارها بيانات تعبر عن معايير المؤسسة ومعتقداتها. فإقرارات CISO قيّمة بوصفها تأكيدات للسياسات والمعايير. لكنها ليست أدلة تقنية على إعدادات الأنظمة. ويتطلب التحقق من كل منهما نوعاً مختلفاً من الوثائق.
- قبول إقرار كبار الموظفين دليلاً على الإعدادات
- لا توجد طلبات لأدلة تقنية: لم تُطلب سجلات الإعدادات لأنظمة محددة
- عدم توضيح نطاق الإقرار: هل يشمل جميع الأنظمة ذات الصلة أم ما يعرفه المُقِر فقط
- عدم تقييم انحراف الإعدادات: هل تمتثل الأنظمة التي جُهزت مؤخراً للمعيار المعلن
- فجوة التحقق من الأدلة: قبول الإقرار دون تحقق مستقل
كيف تبدو الممارسة الجيدة
تطلب برامج الأدلة الناضجة أدلة تقنية على الإعدادات للأنظمة المحددة ذات الصلة بعلاقة العميل: ليس إقرارات من كبار الموظفين، بل سجلات إعدادات ومخرجات أدوات وتحقق على مستوى النظام لكل نظام يتعامل مع بيانات العملاء.
- أدلة إعدادات خاصة بكل نظام: إعدادات التشفير لكل قاعدة بيانات أو نظام تخزين يحتفظ ببيانات العملاء
- مخرجات الأدوات التقنية: نتائج فحص CSPM أو سجلات إدارة الإعدادات أو مخرجات مراقبة الامتثال بدلاً من إقرار الموظفين
- التحقق من التغطية: تأكيد الأنظمة المحددة التي قُيّمت في الإقرار
- مراجعة عمليات التجهيز الحديثة: هل جرى التحقق من الأنظمة التي جُهزت خلال الستة إلى الاثني عشر شهراً الماضية مقابل المعيار المعلن
- توثيق الاستثناءات: أي أنظمة تُعد استثناءات من المعيار المعلن وسبب ذلك
الأدوات
أدلة الإعدادات: AWS Config، وAzure Policy، وGCP Security Command Center
تنتج أدوات إدارة الإعدادات السحابية أدلة تقنية على إعدادات الموارد، مثل إعدادات التشفير وإعدادات إدارة المفاتيح والامتثال للسياسات الأمنية، وهي أدلة على الإعدادات مستقلة عن إقرار الموظفين. وبالنسبة لممارسي TPRM، فإن السؤال عما إذا كان بإمكان الموردين تقديم تقارير امتثال للإعدادات السحابية من أدوات CSPM أو أدوات إدارة الإعدادات السحابية لديهم يمثل طلباً لأدلة تقنية بدلاً من الإقرار.
الامتثال المؤتمت: Drata، وVanta
تجمع منصات الامتثال المؤتمت أدلة الإعدادات باستمرار، ويمكنها إصدار تقارير امتثال على مستوى الأنظمة تبيّن أي الأنظمة المحددة تمتثل للضوابط المعرّفة وأيها لا يمتثل، فتكشف مباشرةً انحراف الإعدادات الذي يجعل الإقرارات غير دقيقة. وبالنسبة لممارسي TPRM، فإن طلب تقرير امتثال مؤتمت بدلاً من رد على استبيان يوفر الأدلة التقنية التي لا يستطيع الإقرار توفيرها.
تحديات الحوكمة
إن تحدي الحوكمة في مسألة الأدلة مقابل الإقرار هو التفاوت في الجهد. فالإقرارات سهلة الإنتاج: يؤكد أحد كبار الموظفين ما يعتقده. أما الأدلة التقنية على الإعدادات فتتطلب الاستعلام من الأنظمة وإعداد التقارير ومراجعة سجلات الإعدادات الفعلية. ويولّد هذا الفارق في الجهد ضغطاً نحو قبول الإقرارات لأنها أكثر كفاءة. أما الفارق في المخاطر فيجعل قبول الإقرارات دون أدلة تقنية فجوة في الحوكمة.
- اطلب أدلة تقنية على الإعدادات بدلاً من قبول إقرار الموظفين
- حدد الأنظمة في طلبات الأدلة: أي قواعد البيانات وحسابات التخزين والأنظمة التي تحتفظ ببيانات العملاء
- اطلب التحقق من عمليات التجهيز الحديثة: هل جرى التحقق من الأنظمة التي جُهزت خلال العام الماضي مقابل المعيار المعلن
- اسأل عن الاستثناءات: أي أنظمة لا تمتثل للمعيار المعلن
- اطلب مخرجات CSPM أو أداة الامتثال بدلاً من توثيق الإعدادات يدوياً
إذا كنت فريقًا صغيرًا
لكل إقرار في تقييمات الموردين الأعلى خطورة لديك، أضف سؤال متابعة واحداً يحوّل الإقرار إلى طلب أدلة: «بالنسبة للبيان القائل إن جميع بيانات العملاء مشفرة أثناء التخزين باستخدام AES-256، هل يمكنكم تقديم سجلات الإعدادات أو مخرجات CSPM التي تؤكد أن كل نظام محدد يحتفظ ببياناتنا يطبق هذه الإعدادات، وتحديداً ما إذا كان قد جرى التحقق من أي أنظمة جُهزت خلال الاثني عشر شهراً الماضية؟» فسؤال المتابعة هذا يحوّل الإقرار من بيان بالمعيار إلى بيان بالتطبيق.
- تابع جميع الإقرارات عالية الخطورة بطلبات لأدلة إعدادات خاصة بكل نظام
- اسأل تحديداً عن الأنظمة التي جُهزت مؤخراً، حيث يكون انحراف الإعدادات أكثر شيوعاً
- اطلب مخرجات CSPM أو أداة الامتثال بدلاً من الإقرار اليدوي
- اسأل عن الاستثناءات: الأنظمة غير الممتثلة للمعيار المعلن
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«بالنسبة للبيان القائل إن جميع بيانات العملاء مشفرة أثناء التخزين باستخدام AES-256 ومفاتيح يديرها العميل، هل يمكنكم تقديم سجلات الإعدادات أو مخرجات CSPM لكل قاعدة بيانات أو نظام تخزين محدد يحتفظ ببياناتنا، بما يؤكد إعدادات التشفير لكل منها؟»
«هل جُهّزت أي أنظمة تخزين أو قواعد بيانات خلال الاثني عشر شهراً الماضية تحتفظ ببياناتنا؟ وهل جرى التحقق من تلك الأنظمة تحديداً مقابل معيار التشفير لديكم بدلاً من الاعتماد على الإعدادات السحابية الافتراضية؟»
ما تتوقعه دليلًا
- سجلات إعدادات التشفير على مستوى النظام أو مخرجات CSPM
- قائمة بجميع الأنظمة التي تحتفظ ببيانات العملاء مع إعدادات التشفير الخاصة بكل منها
- تأكيد التحقق من عمليات التجهيز الحديثة
- توثيق الاستثناءات: أي أنظمة لا تطابق المعيار المعلن
المورد الذي يُقر CISO لديه بتطبيق تشفير AES-256 لجميع بيانات العملاء ينبغي أن يُطلب منه تقديم سجل الإعدادات لكل قاعدة بيانات محددة تحتفظ ببيانات العميل. فالإقرار يعكس المعيار. وسجلات الإعدادات تعكس الواقع. وعندما يختلفان في نظام واحد، تكشف الأدلة ما لا يستطيع الإقرار كشفه.
كيف تُثبت ذلك
- سجلات الأدلة التقنية على الإعدادات لضوابط الموردين الرئيسية
- أدلة خاصة بكل نظام بدلاً من إقرار كبار الموظفين
- سجلات التحقق من عمليات التجهيز الحديثة
- سجلات مخرجات CSPM للضوابط التقنية
الخلاصة الرئيسية
الإقرار يصف ما يعتقده المُقِر. والدليل يصف ما هو قائم. واعتقاد CISO بأن جميع الأنظمة مشفرة وفق المعيار هو انعكاس للمعيار ولمعرفة CISO. أما الإعدادات الفعلية لقاعدة بيانات جهزها مهندس آخر قبل ستة أشهر باستخدام الإعدادات الافتراضية فهي حقيقة تخص ذلك النظام بعينه. ويفترق الاعتقاد عن الحقيقة عندما يعني التعقيد والسرعة وتوزيع المسؤوليات أن ليست كل عملية تجهيز يتحقق منها مقابل المعيار شخص يعرف ما يشترطه المعيار. اطلب أدلة لأنظمة محددة. واقبل الإقرار بوصفه بياناً بالمعيار، لا دليلاً على امتثال شامل. والنظام الوحيد المختلف عن النظامين الآخرين هو النظام الذي يكشف الفجوة بين المعيار المُقَر به والإعدادات الفعلية.