الخلط بين الترميز والإخفاء

أكّد مورّد لمعالجة المدفوعات لعملائه من المؤسسات أن جميع أرقام الحسابات الرئيسية مرمّزة، أي أن أرقام بطاقات الدفع استُبدلت برموز مولَّدة عشوائيًا في جميع أنحاء نظامه، وأن أرقام الحسابات الأصلية لا تُخزَّن إلا في خزنة رموز منفصلة. وأكّد تقرير SOC 2 الترميز، وأكّد PCI QSA الترميز. لكن ما لم يكشفه أي من التقييمين هو واقع ضوابط الوصول إلى إلغاء الترميز: كانت API خزنة الرموز متاحة لجميع مطوري التطبيقات تسهيلًا لتصحيح الأخطاء، وكان فريق الدعم يستخدمها للاطلاع على أرقام البطاقات الأصلية عند التحقيق في نزاعات العملاء، وكان لفريق التحليلات وصول جماعي إلى إلغاء الترميز للتحقق من بيانات التقارير، ولم تُراجَع سجلات API إلغاء الترميز قط لأن فريق الأمن لم يربط ضوابط الوصول إلى الخزنة بنطاق PCI. لقد استبدل الترميز أرقام الحسابات في طبقة التطبيق، لكن إلغاء الترميز منح معظم المؤسسة القدرة على استرداد تلك الأرقام متى احتاجت إليها.

ما حقيقة مشكلة الترميز مقابل الإخفاء؟

الترميز وإخفاء البيانات كلاهما تقنيتان لاستبدال قيم البيانات الحساسة ببدائل غير حساسة في الأنظمة التي لا تتطلب وظيفتها الأساسية القيمة الأصلية. فالترميز يستبدل القيمة الحساسة برمز مولَّد عشوائيًا، مع الاحتفاظ بجدول بحث في خزنة رموز منفصلة يتيح استرداد القيمة الأصلية حين تتطلب ذلك حالات استخدام مصرح بها. أما إخفاء البيانات فيستبدل القيم الحساسة بمكافئات معدّلة، كعرض آخر أربعة أرقام فقط من رقم البطاقة، أو استبدال وسط عنوان البريد الإلكتروني بعلامات نجمية، أو وضع قيمة واقعية لكنها وهمية مكانها، بطريقة لا يمكن عكسها عادةً في المخرجات المخفاة. وتعالج التقنيتان حالات استخدام مختلفة وتوفّران خصائص أمنية مختلفة.

يعتمد نموذج أمن الترميز على خاصية معمارية أساسية: يجب أن تكون حوكمة خزنة الرموز أشد إحكامًا من حوكمة الأنظمة التي تستخدم الرموز. فإذا كان التطبيق ونظام التقارير وأدوات الدعم تستخدم رموزًا، أي سلاسل عشوائية لا قيمة جوهرية لها، فلا يمكن الوصول إلى البيانات الحساسة الأصلية إلا عبر خزنة الرموز. وتقلّص هذه البنية نطاق الأنظمة التي يلزمها حماية القيمة الحساسة الأصلية ليقتصر على خزنة الرموز وحدها، مما يتيح لبقية منظومة التطبيقات التعامل مع الرموز دون الخضوع لنطاق PCI أو متطلبات مكافئة للتعامل مع البيانات الحساسة. ولا تحقق البنية هذه الفائدة إلا إذا كانت ضوابط الوصول إلى الخزنة أكثر تقييدًا فعلًا من الضوابط المفروضة على الأنظمة المرمّزة.

نموذج أمن الإخفاء أبسط لكنه أكثر تقييدًا. فلا يمكن عكس البيانات المخفاة: رقم البطاقة المعروض بصيغة 4* ** 1234 لا يمكن استخدامه لاسترداد الرقم الأصلي. ويوفّر عدم قابلية العكس هذا حماية قوية لحالات الاستخدام التي لا تحتاج أبدًا إلى القيمة الأصلية، كالعرض على المستخدمين والإدراج في التقارير والاستخدام في التحليلات. لكنه لا يقدّم أي قيمة لحالات الاستخدام التي تتطلب القيمة الأصلية، كمعالجة المدفوعات الفعلية وتسوية النزاعات التي تتطلب PAN الأصلي، وهي حالات تُعالَج عادةً عبر مسارات منفصلة تصل إلى القيمة غير المخفاة. ويعتمد أمن نهج الإخفاء على ضمان تصنيف كل حالة استخدام تصنيفًا صحيحًا بحسب حاجتها إلى القيمة المخفاة أو غير المخفاة، وعلى حوكمة مسارات الوصول غير المخفي بضوابط تتناسب مع حساسية البيانات الأصلية.

تتركز إخفاقات حوكمة الترميز والإخفاء حول خمس فجوات تنفيذ محددة:

• وصول واسع إلى إلغاء الترميز: واجهات إلغاء الترميز في خزنة الرموز متاحة لفئات واسعة من المستخدمين والتطبيقات، مما يُلغي تقليص نطاق الوصول الذي صُمم الترميز لتحقيقه
• إلغاء الترميز دون سجلات تدقيق: عدم تسجيل الوصول إلى خزنة الرموز أو عدم مراجعة السجلات، مما يجعل كشف أي نشاط غير مصرح به أو شاذ لإلغاء الترميز مستحيلًا
• عدم اتساق الإخفاء: بيانات حساسة مخفاة في بعض السياقات (التقارير وشاشات العرض) وغير مخفاة في سياقات أخرى (السجلات والتصدير وأدوات الدعم) دون سياسة متسقة تحدد أي السياقات تتلقى قيمًا مخفاة وأيها غير مخفاة
• إساءة فهم الترميز المحافظ على الصيغة على أنه إخفاء: استخدام رموز محافظة على الصيغة تبدو كقيم حقيقية في سياقات كان الإخفاء غير القابل للعكس سيوفّر فيها منفعة مكافئة، مما يُنشئ تعرّضًا غير ضروري لعمليات البحث عن القيمة الأصلية المقابلة للرمز
• فجوات في إدارة مفاتيح خزنة الرموز: خزائن رموز محمية بمفاتيح تشفير تُدار في البيئة نفسها التي توجد فيها الخزنة، مما يُلغي الفصل التشفيري الذي يجعل أمن الخزنة ذا معنى

لماذا يهم هذا

كثيرًا ما يُستشهد بتأكيد الترميز والإخفاء دليلًا على حماية البيانات الحساسة في تقييمات مورّدي المدفوعات والرعاية الصحية والخدمات المالية. وبالنسبة إلى ممارسي TPRM، تكمن المخاطرة في أن تأكيد التقنية، أي وجود الترميز وتنفيذ الإخفاء، يمنح طمأنينة بأن القيم الحساسة الأصلية غير قابلة للوصول، في حين تعتمد الحماية الفعلية كليًا على ضوابط الوصول التي تحكم مسار إلغاء الترميز والوصول إلى البيانات غير المخفاة. فالمورّد الذي رمّز أرقام بطاقات الدفع لكنه يسمح بإلغاء ترميز واسع قد نقل تخزين PAN إلى خزنة مع إبقاء الوصول إلى PAN دون تغيير يُذكر.

الأثر على PCI-DSS مباشر ويُساء فهمه على نطاق واسع. فتقليص نطاق PCI-DSS عبر الترميز يعتمد على أن تكون خزنة الرموز خارج نطاق معظم الأنظمة؛ فإذا كانت الخزنة متاحة لأنظمة ومستخدمين كان سيلزم إدراجهم في نطاق PCI لولا ذلك، تضيع فائدة تقليص النطاق. والمؤسسة التي طبّقت الترميز لتقليص نطاق PCI ثم أتاحت API إلغاء الترميز على نطاق واسع ربما أبقت على تعرّضها لنطاق PCI عبر منظومة أنظمتها بأكملها وهي تعتقد أنها حققت تقليص النطاق. وقد لا يكون تقييم QSA الذي أكّد الترميز قد قيّم ضوابط الوصول إلى إلغاء الترميز بالتفصيل.

النتيجة العملية هي أن تقييمات الترميز والإخفاء يجب أن تتجاوز تأكيد التنفيذ إلى تقييم حوكمة الوصول. فالسؤال ليس فقط ما إذا كانت أرقام البطاقات مرمّزة، بل من يمكنه استدعاء API إلغاء الترميز، وكم مرة يُستدعى، وهل تُسجَّل هذه الاستدعاءات وتُراجع، وما المبرر التجاري المطلوب لإلغاء الترميز. هذه الأسئلة تحدد ما إذا كان الترميز يوفّر تقييد الوصول الذي يجعله ضابطًا أمنيًا ذا معنى، أم أنه مجرد بنية تخزين لم تقيّد الوصول إلى البيانات الحساسة تقييدًا فعليًا.

أين تخطئ معظم الفرق

الإخفاق الأكثر تكرارًا هو تأكيد التقنية دون تقييم ضوابط الوصول على المسار المؤدي إلى القيمة الأصلية. فتأكيد الترميز يخبرك بأن القيم الأصلية غير مخزّنة في الأنظمة المرمّزة، لكنه لا يخبرك بمن يمكنه الوصول إلى خزنة الرموز واستردادها. وتأكيد الإخفاء يخبرك بأن بعض سياقات العرض تُظهر قيمًا مخفاة، لكنه لا يخبرك بما إذا كان كل سياق ينبغي أن يُظهر قيمًا مخفاة يفعل ذلك، ولا بما إذا كانت مسارات الوصول غير المخفي محكومة على النحو المناسب.

الإخفاق الثاني هو عدم السؤال عن تسجيل عمليات إلغاء الترميز ومراجعتها. فخزنة الرموز التي تسجّل كل طلب لإلغاء الترميز، أي من طلبه ومتى ولأي رمز ومن أي تطبيق، توفّر مسار التدقيق الذي يتيح كشف الوصول الشاذ. أما الخزنة التي لا تسجيل فيها أو التي لا تُراجع سجلاتها فتعمل دون أي رؤية لإلغاء الترميز غير المصرح به أو المفرط. ولأغراض نطاق PCI، تُعدّ سجلات تدقيق إلغاء الترميز الدليل الأساسي على أن ضوابط الوصول إلى الخزنة تُنفَّذ ولا يُتحايل عليها.

• تأكيد تقنية الترميز دون تقييم ضوابط الوصول إلى إلغاء الترميز: من يمكنه استدعاء API إلغاء الترميز وبأي تصريح
• لا مراجعة لسجلات تدقيق إلغاء الترميز: الوصول إلى الخزنة غير مسجَّل أو سجلاته غير مُراجَعة، مما يجعل الوصول غير المصرح به غير قابل للكشف
• عدم تقييم اتساق الإخفاء: هل تتلقى جميع السياقات التي ينبغي أن تتلقى قيمًا مخفاة تلك القيم فعلًا، وهل مسارات الوصول غير المخفي محكومة
• عدم التحقق من ادعاء تقليص نطاق PCI: هل ألغى الوصول الواسع إلى إلغاء الترميز تقليص النطاق الذي كان الترميز يهدف إلى تحقيقه
• عدم تقييم إدارة مفاتيح خزنة الرموز: التشفير الذي يحمي الخزنة يتقوّض حين تُدار المفاتيح في البيئة نفسها

كيف تبدو الممارسة الجيدة

تتعامل برامج الترميز الناضجة مع ضوابط الوصول إلى الخزنة بالصرامة نفسها التي تتعامل بها مع البيانات الحساسة الأصلية: وصول مقصور تمامًا على حالات الاستخدام التجارية المصرح بها، وتسجيل كل وصول، ومراجعة دورية للتأكد من أن الوصول يظل متناسبًا مع الحاجة. فمسار إلغاء الترميز هو مسار الوصول إلى البيانات الحساسة، وحوكمته تعكس هذا الواقع.

• ضوابط صارمة للوصول إلى إلغاء الترميز: وصول إلى API مقصور على تطبيقات ومستخدمين مصرح لهم تحديدًا، مع مبرر تجاري موثّق لكل منحة وصول
• سجلات تدقيق إلغاء الترميز: تسجيل كل استدعاء لـAPI الخزنة مع هوية الطالب والطابع الزمني والرمز المشار إليه وسياق التطبيق، ومراجعتها بحثًا عن أنماط شاذة
• اتساق الإخفاء في جميع السياقات: إخفاء مُنفَّذ وفق السياسة ومطبَّق باتساق في سياقات العرض والتقارير والتصدير والتسجيل، مع استثناءات موثّقة للسياقات التي تتطلب وصولًا غير مخفى
• خزنة الرموز ضمن نطاق PCI مخصص: إدارة البنية التحتية للخزنة وفق ضوابط PCI مع مراجعات وصول ربع سنوية وتقييم سنوي
• إدارة منفصلة لمفاتيح الخزنة: إدارة مفاتيح تشفير الخزنة في خدمة لإدارة المفاتيح بضوابط وصول منفصلة تمامًا عن الوصول إلى بيانات الخزنة
• مراجعة دورية للوصول إلى إلغاء الترميز: مراجعة من يمكنه استدعاء API إلغاء الترميز بالوتيرة نفسها لمراجعات الوصول المميز

الأدوات

تتطلب حوكمة الترميز والإخفاء كلًّا من تنفيذ التقنية والبنية التحتية للتحكم في الوصول التي تجعل التقنية ذات معنى.

ترميز المدفوعات: Spreedly وBasis Theory وStripe وBraintree

توفّر منصات ترميز المدفوعات المصممة لهذا الغرض بنية تحتية للترميز بنماذج محددة للتحكم في الوصول، إذ تُدار API الخزنة من قِبل المنصة، ويُتحكم في الوصول عبر إدارة مفاتيح API بنطاق محدد. وتوفّر Spreedly وBasis Theory تحديدًا خزائن رموز مصممة لترميز الشبكات وتقليص نطاق PCI، مع تسجيل التدقيق وضوابط الوصول بوصفها ميزات أساسية في المنصة. وبالنسبة إلى ممارسي TPRM، فإن السؤال عمّا إذا كان المورّد يستخدم منصة ترميز مصممة لهذا الغرض أم بنى خزنته بنفسه يحدد ما إذا كانت البنية التحتية للتحكم في الوصول وتسجيل التدقيق قد صُممت خصيصًا لهذا الغرض.

إخفاء البيانات المؤسسي: Informatica Dynamic Data Masking وIBM InfoSphere Optim وDelphix

توفّر منصات إخفاء البيانات المؤسسية إنفاذًا متسقًا لسياسة الإخفاء عبر سياقات بيانات متعددة، فتطبّق قواعد الإخفاء على استعلامات قواعد البيانات واستجابات API ومخرجات التقارير وعمليات التصدير وفق السياسة. ويعترض Informatica Dynamic Data Masking استعلامات قواعد البيانات ويطبّق قواعد الإخفاء على مجموعات النتائج قبل إعادتها إلى التطبيق الطالب، مما يتيح إخفاءً متسقًا دون تغييرات في طبقة التطبيق. وبالنسبة إلى ممارسي TPRM، فإن السؤال عمّا إذا كان المورّد يستخدم منصة إخفاء تحقق الاتساق وفق السياسات، أم يعتمد على إخفاء في طبقة التطبيق يجب تنفيذه في كل سياق على حدة، يكشف مخاطر عدم الاتساق.

التحكم في الوصول إلى الخزنة وتدقيقه: HashiCorp Vault وCyberArk Conjur

توفّر منصات إدارة الأسرار البنية التحتية للتحكم في الوصول والتدقيق لخزائن الرموز: سياسات دقيقة تحدد التطبيقات والمستخدمين الذين يمكنهم الوصول إلى كل مسار في الخزنة، مع تسجيل تدقيق شامل لكل حدث وصول. ويوفّر HashiCorp Vault خزنة مفتوحة المصدر واسعة الاعتماد مع تحكم في الوصول قائم على السياسات بوصفها شيفرة وتسجيل تدقيق مفصّل. وبالنسبة إلى ممارسي TPRM، فإن السؤال عمّا إذا كانت خزنة الرموز لدى المورّد تستخدم منصة لإدارة الأسرار بسياسات وصول دقيقة وتسجيل تدقيق يكشف مدى النضج التشغيلي لحوكمة الخزنة لديه.

تحديات الحوكمة

يتمثل تحدي الحوكمة في الترميز في ضغط الملاءمة على الوصول إلى إلغاء الترميز. فمستخدمو الأعمال، من فرق الدعم وفرق التحليلات والمطورين، يحتاجون كثيرًا إلى الوصول إلى القيم الأصلية لأسباب تشغيلية مشروعة، وكل منحة وصول من هذه توسّع الفئة القادرة على إلغاء الترميز. ومع مرور الوقت، تكبر قائمة الوصول إلى إلغاء الترميز بإضافات مبررة كلٌّ على حدة، حتى تصبح فئة الوصول إلى الخزنة مساوية تقريبًا لفئة الوصول إلى البيانات الأصلية غير المشفرة، فتزول فائدة تقليص النطاق مع بقاء بنية الترميز.

بالنسبة إلى برامج TPRM، فإن سؤال الحوكمة العملي هو ما إذا كان الوصول إلى إلغاء الترميز يخضع لعملية المراجعة الدورية والتبرير نفسها التي يخضع لها الوصول المميز إلى البيانات الحساسة الأصلية، وما إذا كان هناك جهد فعلي لتقليص عدد من يملكون الوصول إلى إلغاء الترميز بدلًا من تراكمهم عبر منح وصول لدواعي الملاءمة. فالمورّد الذي يراجع قائمة الوصول إلى إلغاء الترميز كل ربع سنة ويزيل الوصول الذي لم يعد مبررًا قد فعّل حوكمة الترميز. أما المورّد الذي لم تُراجَع قائمة الوصول إلى إلغاء الترميز لديه منذ تجهيز الخزنة، فقد أنشأ نقطة وصول شاملة إلى البيانات الحساسة بوصول متراكم وغير مُراجَع.

• تطبيق عملية مراجعة الوصول المميز على الوصول إلى إلغاء الترميز: مراجعة ربع سنوية، ومبرر موثّق، وإزالة الوصول حين لا تعود الحاجة إليه قائمة
• اشتراط تسجيل عمليات إلغاء الترميز ومراجعة السجلات دوريًا، مع الإشارة إلى أنماط إلغاء الترميز الشاذة والتحقيق فيها
• تحديد سياسة لاتساق الإخفاء وإنفاذها: أي السياقات تتلقى قيمًا مخفاة وأيها غير مخفاة، مع اشتراط مبرر موثّق لأي سياق غير مخفى
• تقييم ادعاء تقليص نطاق PCI تحديدًا: هل تؤكد فئة الوصول إلى إلغاء الترميز تقليص النطاق المُدّعى أم تنفيه
• إدراج ضوابط الوصول إلى الخزنة في نطاق التقييم الأمني: لا تأكيد الترميز فحسب، بل حوكمة إلغاء الترميز أيضًا

إذا كنت فريقًا صغيرًا

غيّر سؤالك عن الترميز من تأكيد وجوده إلى حوكمة الوصول. فبدلًا من «هل ترمّزون أرقام بطاقات الدفع؟»، اسأل: من المصرح له باستدعاء API إلغاء الترميز لديكم لاسترداد أرقام البطاقات الأصلية، ومتى رُوجعت قائمة الوصول تلك آخر مرة؟ هذا السؤال الواحد يعيد صياغة التقييم من تأكيد التقنية إلى تقييم حوكمة الوصول. وأي مورّد تكون فئة الوصول إلى إلغاء الترميز لديه كبيرة أو غير مُراجَعة أو تشمل فئات من المستخدمين تتجاوز الحد الأدنى اللازم للوظائف التجارية المشروعة، تكون قد حددت لديه تطبيقًا للترميز يوفّر حماية للتخزين دون تقييد للوصول.

• السؤال عمّن يمكنه استدعاء API إلغاء الترميز ومتى رُوجع الوصول آخر مرة
• السؤال عمّا إذا كانت أحداث إلغاء الترميز تُسجَّل ومن يراجع السجلات
• السؤال عن اتساق الإخفاء: هل تعرض جميع السياقات التي ينبغي أن تعرض قيمًا مخفاة تلك القيم فعلًا
• بالنسبة إلى المورّدين المعتمدين على PCI، اسأل عمّا إذا كان QSA لديهم قد قيّم ضوابط الوصول إلى إلغاء الترميز بالتفصيل

ما الذي ينبغي اشتراطه

اسأل مباشرةً:

«من المصرح له باستدعاء API إلغاء الترميز لديكم لاسترداد أرقام بطاقات الدفع الأصلية أو ما يعادلها من القيم الحساسة، ومتى رُوجعت قائمة الوصول تلك آخر مرة وقُلّصت لتقتصر على المستخدمين الذين ثبتت حاجتهم إلى المعرفة؟»

«هل تُسجَّل جميع استدعاءات API إلغاء الترميز مع هوية الطالب والطابع الزمني والرمز المشار إليه، وكم مرة تُراجَع تلك السجلات بحثًا عن نشاط إلغاء ترميز شاذ أو غير مصرح به؟»

«هل يُطبَّق إخفاء البيانات لديكم باتساق في جميع السياقات، أي العرض والتقارير والتصدير والسجلات وأدوات الدعم، أم أن هناك سياقات يمكن فيها الوصول إلى القيمة الأصلية غير المخفاة دون تصريح محدد؟»

ما تتوقعه دليلًا

• قائمة الوصول إلى إلغاء الترميز مع سجل المراجعة: من يملك الوصول، وتاريخ آخر مراجعة، والمبرر الموثّق
• تأكيد سجلات تدقيق إلغاء الترميز: التسجيل قائم وعملية المراجعة محددة
• سياسة اتساق الإخفاء: توثيق السياقات التي تتلقى قيمًا مخفاة وتلك التي تتلقى قيمًا غير مخفاة
• تقييم نطاق PCI يؤكد أن QSA قيّم ضوابط الوصول إلى إلغاء الترميز

المورّد الذي يجيب عن سؤال الوصول إلى إلغاء الترميز بعبارة «الوصول إلى خزنة الرموز خاضع للتحكم» قد وصف نيّة. اسأل تحديدًا عن عدد المستخدمين أو التطبيقات التي يمكنها استدعاء API إلغاء الترميز، ومتى رُوجعت هذه الفئة آخر مرة. فالعدد يصف واقع الوصول الفعلي. وإذا فاجأ العدد المورّد نفسه، فإن حوكمة الوصول إلى الخزنة لم تُفعَّل.

كيف تُثبت ذلك

تتناول متطلبات الترميز في PCI-DSS تحديدًا أمن خزنة الرموز وضوابط الوصول إليها بوصفها شروطًا لتقليص نطاق PCI. وتَعُدّ متطلبات الترميز الاسمي المستعار في GDPR مسارات إعادة التعرّف هي المحددة لما إذا كانت البيانات المرمّزة باسم مستعار تظل بيانات شخصية. ويتطلب إثبات العناية الواجبة أدلة على أن حوكمة الوصول إلى إلغاء الترميز قد قُيّمت، لا مجرد تأكيد تنفيذ الترميز.

• سجلات تقييم المورّدين التي توثّق أسئلة حوكمة الوصول إلى إلغاء الترميز
• أدلة مراجعة قائمة الوصول إلى إلغاء الترميز لمورّدي المدفوعات والبيانات الحساسة الأعلى مخاطر
• وثائق تقييم اتساق الإخفاء
• نطاق تقييم QSA لـPCI يؤكد إدراج ضوابط الوصول إلى الخزنة

الخلاصة الرئيسية

الترميز يحمي القيمة المخزّنة، وAPI إلغاء الترميز يستردها. والحماية التي يوفّرها الترميز تتحدد كليًا بمن يمكنه استدعاء تلك API وبأي ضوابط. فخزنة رموز متاحة لأربعين شخصًا، من مطورين ووكلاء دعم ومحللين، هي مخزن بيانات حساسة له أربعون صاحب وصول مصرح به، وله الملف التشغيلي لنظام متاح على نطاق واسع. التقنية سليمة، لكن حوكمة الوصول هي التي تحدد ما إذا كانت التقنية تحقق ما تَعِد به. وتأكيد الترميز دون تقييم الوصول إلى إلغاء الترميز هو تأكيد للقفل على الخزنة مع ترك سؤال من يحمل المفتاح دون طرح على الإطلاق.