مفاتيح المرور: هل هي جاهزة للاستخدام المؤسسي؟

نُشرت هذه المدونة لأول مرة في عام 2024 وتم تحديثها. 

أصبحت مفاتيح المرور شائعة بشكل متزايد بفضل الخدمات الاستهلاكية مثل Google وApple وFacebook وMeta وغيرها. ويؤدي استخدام مفاتيح المرور إلى تعزيز الأمان بشكل كبير مقارنةً بعمليات تسجيل الدخول التقليدية القائمة على كلمات المرور أو المصادقة متعددة العوامل (MFA) التي لا تعتمد على كلمات المرور.

من الطبيعي أن تنتقل بعض الحلول الاستهلاكية إلى الاستخدام المهني - فكر في القدرة على إرسال ردود فعل الرموز التعبيرية إلى رسائل البريد الإلكتروني. ولكن لمجرد أن إنستغرام يتيح لي تسجيل الدخول باستخدام مفتاح مرور، فهل هذا يعني أن الشركات يجب أن تفعل ذلك؟

باختصار: هل مفاتيح المرور جاهزة للاستخدام المؤسسي؟

إن تحالف FIDO تأسست في عام 2013 من قبل العديد من الشركات لتطوير معيار مصادقة من شأنه أن يكون بمثابة عامل ثانٍ؛ واليوم، يمكن أن يكون FIDO بمثابة طريقة مصادقة قوية بدون كلمة مرور.

منذ عام 2013، أصبحت تقنية FIDO إحدى أكثر طرق تسجيل الدخول بدون كلمة مرور شيوعًا، ويرجع ذلك إلى حد كبير إلى أنها تفي بما يوحي به الاختصار الذي يشكل اسمها: فهي توفر «هوية سريعة عبر الإنترنت». ويركز تحالف FIDO بشكل كبير على بيئة المستهلك. ولا عجب في ذلك، فأكبر أعضائها ينشطون في هذا المجال: Apple وGoogle وPayPal وMicrosoft. RSA هي عضو في تحالف FIDO كما يشارك في رئاسة «فريق العمل المعني بنشر الحلول المؤسسية» التابع لها.

تستخدم بيانات اعتماد FIDO أزواج مفاتيح غير متماثلة للمصادقة على الخدمة. عندما يتم تسجيل بيانات اعتماد FIDO في إحدى الخدمات، يتم إنشاء زوج مفاتيح جديد على مصادقة FIDO، ثم تثق الخدمة بزوج المفاتيح هذا - وزوج المفاتيح هذا وحده. يرتبط زوج المفاتيح باسم المجال المحدد للخدمة.

هذا الارتباط الصارم بين الخدمة وبيانات الاعتماد FIDO هو ما يوفر درجة عالية من المقاومة لعمليات التصيد الاحتيالي: فإذا حاول مستخدم ما تسجيل الدخول إلى موقع تصيد احتيالي مزيف باستخدام مفتاح المرور الذي تم إنشاؤه للموقع الحقيقي، فسوف يفشل في ذلك لأن اسم النطاق المحدد لن يتطابق مع بيانات الاعتماد.

في عام 2022، أطلقت آبل وجوجل ومايكروسوفت دعم نوع جديد من بيانات اعتماد FIDO، والتي أطلقوا عليها اسم مفتاح المرور. في عام 2023، اعتمد تحالف FIDO مصطلح "مفتاح المرور" لأي نوع من أنواع بيانات اعتماد FIDO، مما يؤدي إلى التباس محتمل في ما تعنيه المؤسسة بالضبط عندما تذكر "مفاتيح المرور".

وقد تم معالجة هذا الغموض المحتمل من قبل تحالف FIDO (انظر أدناه) ولكن قد يظل هذا الغموض موجودًا في المؤسسات. من المهم معالجة هذا الغموض، لأنه ليست كل مفاتيح المرور متساوية أو مناسبة للاستخدام المؤسسي.

أنواع مفاتيح المرور

يوجد الآن نوعان من مفاتيح المرور، على النحو الذي حدده تحالف FIDO: مرتبطة بالأجهزة ومتزامنة.

مفاتيح المرور المرتبطة بالجهاز مقابل مفاتيح المرور المتزامنة

عادةً ما يتم تخزين مفاتيح المرور المرتبطة بالأجهزة على أجهزة “مفاتيح أمان” محددة. ويُعتبر هذا النوع من مفاتيح المرور أكثر أمانًا بشكل عام لأن المفتاح الخاص لا يغادر الجهاز أبدًا، مما يجعله مقاومًا للاستخراج أو الاختراق عن بُعد.

ومع ذلك، فإن هذا يعني أيضًا أنه في حالة فقدان الجهاز أو تلفه، سيتعين على المستخدم تسجيل مفتاح مرور جديد على جهاز جديد. وتحظى مفاتيح المرور المرتبطة بالأجهزة بشعبية خاصة في البيئات عالية الأمان وحالات الاستخدام المؤسسي، حيث تُستخدم غالبًا أجهزة مثل مفاتيح الأمان أو وحدات المنصات الموثوقة (TPM).

كما أصبح الآن من الممكن استخدام مفاتيح المرور المرتبطة بالأجهزة في بعض تطبيقات الهواتف المحمولة، مثل تطبيق RSA Authenticator لنظامي iOS وAndroid.

مفاتيح المرور المزامنة

في حالة مفاتيح المرور المتزامنة، يتم حفظ مادة المفتاح عبر ما يُعرف بـ«بنية المزامنة عن بُعد»، ومن ثم يمكن استعادة مادة المفتاح على أي أجهزة أخرى يملكها المستخدم نفسه. أهم أنظمة المزامنة الحالية هي Microsoft وGoogle وApple. وهذا يعني أنه إذا قمت بتسجيل هاتفك الذي يعمل بنظام Android كمفتاح مرور، فسيتم تخزين مادة المفتاح المقابلة لدى Google، وبالتالي ستصبح متاحة على جميع أجهزتك الأخرى التي تعمل بنظام Android بعد فترة وجيزة.

تُعد مفاتيح المرور المتزامنة - بالإضافة إلى دعم الخدمات المستخدمة على نطاق واسع مثل واتساب أو فيسبوك - السبب الرئيسي للزيادة الحادة في الاستخدام العام لمفاتيح المرور. من السهل معرفة السبب: يمكن لمستخدم واحد لديه الكثير من الحسابات والكثير من الأجهزة استخدام نفس مفتاح المرور المتزامن بين جميع هذه الحسابات.

تحل «مفاتيح المرور» محل كلمات المرور التقليدية بأزواج من المفاتيح التشفيرية، مما يوفر مصادقة قوية ومقاومة لعمليات التصيد الاحتيالي. عندما يقوم المستخدم بالتسجيل في إحدى الخدمات، يقوم جهازه بإنشاء زوج فريد من المفاتيح الخاصة والعامة. ويبقى المفتاح الخاص مخزّنًا بأمان على جهاز المستخدم، بينما يتم مشاركة المفتاح العام مع الخدمة. أثناء عملية المصادقة، يثبت الجهاز حيازته للمفتاح الخاص من خلال التوقيع على تحدي صادر عن الخدمة، ويتم التحقق من التوقيع باستخدام المفتاح العام المخزّن. لا يتم نقل أي أسرار مشتركة، ولا يتم إنشاء أو تخزين أي كلمات مرور، مما يقلل بشكل كبير من مخاطر سرقة بيانات الاعتماد أو هجمات إعادة التشغيل.

تعتمد كلمات المرور التقليدية على الأسرار المشتركة التي يمكن تخمينها أو سرقتها أو تصيدها، مما يجعلها نقطة دخول شائعة للمهاجمين. وغالبًا ما يُعاد استخدامها عبر الحسابات، ويتم تخزينها بشكل غير آمن، وتكون عرضة لهجمات القوة الغاشمة أو هجمات حشو بيانات الاعتماد.

تقضي «مفاتيح المرور» على هذه المخاطر من خلال استبدال كلمات المرور بتقنية التشفير القائمة على المفاتيح العامة والخاصة. وتتم عملية المصادقة من خلال إثبات حيازة ذلك المفتاح — دون الحاجة إلى إرساله. ويجعل هذا النهج معظم وسائل الهجوم الشائعة عديمة الفائدة، بما في ذلك التصيد الاحتيالي وسرقة بيانات الاعتماد وإعادة استخدام كلمات المرور. وبالنسبة للمؤسسات، تمثل مفاتيح المرور قفزة نوعية في مجال المصادقة الآمنة، مع تقليل عبء إعادة تعيين كلمات المرور وطلبات الدعم الفني.

• مقاومة التصيّد الاحتيالي: تم تصميم مفاتيح المرور لمنع هجمات التصيد الاحتيالي التقليدية. نظرًا لعدم وجود كلمة مرور، فلا يوجد شيء يمكن سرقته أو إعادة استخدامه.
• سريع ومريح: غالباً ما يكون تسجيل الدخول باستخدام مفتاح مرور بسيطاً مثل استخدام القياسات الحيوية (مثل Face ID أو بصمة الإصبع)، مما يجعل التجربة أكثر سلاسة للمستخدمين.
• تجربة المستخدم المألوفة: تشبه عمليات تسجيل الدخول بمفاتيح المرور أنماط المصادقة الشائعة على الهاتف المحمول، لذلك لا يوجد منحنى تعليمي يذكر.
• أمان مطابقة النطاقات: توفر مفاتيح المرور طبقة إضافية من الحماية من خلال ضمان أن مادة المفتاح لا تعمل إلا مع نطاق الخدمة الأصلي فقط - وهي ميزة لا توفرها جميع طرق MFA.
• معتمدة من الحكومة: في الولايات المتحدة، تُعد مقاومة التصيد الاحتيالي محركًا رئيسيًا وراء التفويضات الفيدرالية. الأمر التنفيذي 14028 يتطلب مصادقة بدون كلمة مرور ومقاومة للتصيد الاحتيالي لحماية البنية التحتية الحيوية.

على الرغم من أن مفاتيح المرور توفر مزايا هامة، إلا أنها تنطوي أيضاً على بعض التحديات والمشاكل الكبيرة.

• تجربة المستخدم: تختلف مظهر مطالبات مفتاح الأمان — مثل طلبات إدخال مفتاح الأمان في منفذ USB أو إدخال رقم التعريف الشخصي (PIN)، على سبيل المثال — باختلاف نظام التشغيل والمتصفح. ومن المرجح أن تؤدي هذه المطالبات إلى زيادة صعوبة تدريب المستخدمين وزيادة عدد مكالمات الدعم الفني.
• تشتيت الانتباه عن هجمات أخرى: أي شخص يعتقد أن استخدام «مفاتيح المرور» يجعله فجأة في مأمن من تجاوز المصادقة متعددة العوامل (MFA)، مثل هجمات الهندسة الاجتماعية، فهو مخطئ تمامًا. تساعد مفاتيح المرور في التصدي لنوع واحد من هجمات الهندسة الاجتماعية، ألا وهو التصيد الاحتيالي. وللأسف، هناك أنواع أخرى من هذه الهجمات. فقد تضمنت الهجمات التي استهدفت «إم جي إم ريزورتس» أو «سيزارز بالاس» في لاس فيغاس عنصرًا من عناصر الهندسة الاجتماعية، وهو استغلال مكتب الدعم الفني للسماح للمهاجم بتسجيل أداة مصادقة MFA بنفسه.
• تحديات فقدان الجهاز أو تحديثه: إذا فقد المستخدمون إمكانية الوصول إلى جهاز يدعم مفاتيح المرور المرتبطة بالجهاز، فلن يكون بالإمكان استعادتها.
• دعم محدود في جميع الخدمات: على الرغم من تزايد استخدامها، إلا أن جميع المواقع الإلكترونية أو أنظمة المؤسسات لا تدعم «مفاتيح المرور» حتى الآن، مما قد يحد من إمكانية استخدامها في الأنشطة اليومية.
• ارتباك المستخدم أو عدم الوعي: لا يزال مفهوم «مفاتيح المرور» جديدًا على العديد من المستخدمين، مما قد يؤدي إلى حدوث ارتباك بشأن الإعداد أو المزامنة أو ما يحدث خلف الكواليس. وقد تؤدي الاختلافات في المصطلحات (مفاتيح المرور، ومفاتيح الأمان، ومفاتيح FIDO) والمعايير المتطورة في جميع أنحاء القطاع إلى زيادة هذا الارتباك، مما يجعل من الصعب على المستخدمين والمؤسسات فهم أفضل الممارسات بوضوح وتنفيذ مفاتيح المرور واعتمادها بشكل متسق. وقد يؤدي ذلك أيضًا إلى ارتكاب أخطاء أثناء الإعداد والاستخدام، وزيادة مكالمات الدعم الفني، وظهور ثغرات أمنية محتملة.
• جاهزية البنية التحتية: قد يتطلب نشر مفاتيح المرور من المؤسسات إجراء تحديثات على منصات الهوية وسياسات إدارة الأجهزة وبرامج التدريب — لا سيما عند التخلي عن طرق المصادقة القديمة. وقد تجد المؤسسات أن الموارد القديمة أو المحلية قد لا تكون متوافقة مع مفاتيح المرور بسبب اعتماد المصادقة عبر الويب حصريًّا. وفي تلك الحالات، ينبغي على المؤسسات تحديث نظام المصادقة متعددة العوامل (MFA) لديها من خلال بدون كلمة مرور قدرات يمكنها أن تشمل بيئات متعددة وتحافظ على البنية التحتية القديمة.

نظرًا للتحديات التي تطرحها مفاتيح المرور اليوم عندما يتعلق الأمر بتقديم سير عمل موحد عبر مختلف المتصفحات والأجهزة وأنظمة التشغيل، ما الذي يمكن أن تفعله الصناعة لضمان تجربة سلسة حقًا عبر المنصات؟ كيف يمكننا تحديد أفضل السبل لحل التناقضات التي قد تربك المستخدمين وتعيق انتشارها على نطاق واسع؟

في RSA، تشارك قيادة تجربة المستخدم لدينا بنشاط في مجموعات عمل تحالف FIDO للدعوة إلى تجارب مستخدمين متسقة. ومن خلال المساهمة برؤانا، نهدف إلى المساعدة في صياغة المعايير التي تؤدي إلى تقليل التشتت وتقليل الاحتكاك والمزيد من الاتساق للمستخدمين النهائيين.

يعد التنقل جانباً آخر من جوانب إنشاء تجربة سلسة عبر البيئات. يتوقع مستخدمو القوى العاملة بشكل متزايد راحة سير العمل عبر الأجهزة المحمولة أولاً. إذا كان الوصول إلى موارد الشركة على الهاتف الذكي يبدو بديهيًا مثل فتح نفس الجهاز، فإن اعتماد أساليب المصادقة الجديدة - مثل مفاتيح المرور - يصبح أسهل بكثير. تساعد تجربة الهاتف المحمول الخالية من الاحتكاك على كسر مقاومة المستخدم، مما يقلل من منحنى التعلم ويجعل الانتقال بعيداً عن كلمات المرور أكثر سلاسة. من خلال تقديم واجهة مألوفة وشفافة بشأن الأذونات ومتسقة بغض النظر عن جهاز المستخدم أو النظام الأساسي، يمكن للمؤسسات تقليل الارتباك وتحسين الثقة. يعمل حل RSA FIDO للأجهزة المحمولة كمثال على كيفية تنفيذ مفتاح المرور بطريقة لا تعتمد على الجهاز.

بالنسبة للمرافق الآمنة والبيئات عالية الأمان التي لا يُسمح فيها بالمصادقة عبر الهاتف المحمول، فإن RSA iShield Key 2 Series يوفر أداة مصادقة للأجهزة معتمدة من FIPS 140-3 المستوى 3 و FIDO2 توفر أمانًا مقاومًا للتصيد الاحتيالي وعبر الأنظمة الأساسية بدون كلمات مرور.

يقولون أنه عندما يكون لديك مطرقة، يمكن أن يبدو كل شيء كمسمار. يمكن أن يؤدي تحويل حل - حتى لو كان حلاً رائعًا - كان مخصصًا في الأصل لاستخدام المستهلكين إلى تطبيق مؤسسي إلى مخاطر كبيرة.

أثناء قراءة هذا المقال، ربما انتابك شعور بالغثيان عند ذكر "نسيج المزامنة". حدسك كان على حق.

إن ظهور مفاتيح المرور المتزامنة، وكأنها سحر، على جميع الأجهزة التي قام المستخدم بتسجيل الدخول إليها عبر Apple أو Google، يمثل علامة تحذير كبيرة في بيئة الشركات، وينبغي أن يثير بعض التساؤلات المهمة:

• هل يجب أن يُسمح للمستخدمين باستخدام عدة أجهزة (ربما تستخدم أيضًا بشكل خاص) للمصادقة على الإطلاق؟ إذا كان الأمر كذلك ... فكم عددها؟
• مفاتيح المرور المتزامنة تجعل استعادة مفتاح المرور "المفقود" ممكنًا من خلال عمليات استرداد الحساب، على سبيل المثال، جوجل أو أبل. هذا رائع... ولكن هل هذه العمليات آمنة بما يكفي بالنسبة لك؟
• إن ميزة Apple التي تسمح للمستخدمين بمشاركة مفاتيح المرور مع الأصدقاء أو العائلة لطيفة جدًا... ولكن هل ينطبق هذا أيضًا على مفاتيح المرور المستخدمة لتسجيل الدخول إلى تطبيقات المؤسسات؟

عند استخدام مفاتيح المرور المتزامنة، يعتمد أمن شركتك فجأة على الأمن التقني والتنظيمي لشركة Apple وGoogle إلى حد كبير. بالتأكيد، هناك تبعية معينة على أي حال بسبب استخدام iOS وأندرويد-لكن مفاتيح المرور المتزامنة تزيد من هذه التبعية بشكل كبير.

هذه ليست نقطة ضعف نظرية أيضاً. إعادة التجهيز ناقشت كيف استخدمتها جهات التهديد للوصول إلى أنظمتها، مشيرةً إلى أن الوظيفة تعني أنه “إذا تم اختراق حسابك على Google، فقد تم اختراق رموز MFA الخاصة بك الآن”.”

لا يمكن الإجابة عما إذا كان ينبغي استخدام مفاتيح المرور في الشركة بطريقة عامة. فكل مؤسسة تختلف عن الأخرى ويجب أن توازن بين أولوياتها الأمنية والتشغيلية الفريدة من نوعها.

وعلاوة على ذلك، لا ينبغي أن يكون استخدام مفاتيح المرور من عدمه سؤالاً بنعم/لا. يجب استخدام إدخال مفاتيح المرور أو عمليات تسجيل الدخول بدون كلمة مرور بشكل عام لمراجعة عمليات المصادقة المتعددة المزايا بالكامل في المؤسسة بشكل أساسي. ما كان جيدًا بالنسبة لرموز OTP للأجهزة لمدة 15 عامًا ربما لم يعد صحيحًا تمامًا بالنسبة لمفاتيح المرور أو غيرها من أساليب المصادقة المتعددة المصادقة اليوم.

تعتقد RSA أنه يمكن استخدام مفاتيح المرور في المؤسسات شريطة أن تتوافق مع استراتيجية المؤسسة، وأن تقوم المؤسسات بالتفكير مليًّا في إجاباتها على الأسئلة التالية. وقد شهدنا مؤسسات تستخدم مفاتيح المرور بنجاح مع RSA^® آي دي بلس, نظامنا الشامل لإدارة الهوية والوصول (IAM) الذي يوفر مجموعة من الخيارات بدون كلمة مرور.

نظرًا لأننا مؤسسة تركز على الأمان أولاً ونستخدم مبادئ Secure by Design / Secure by Default، فإننا نمنع استخدام مفاتيح المرور المتزامنة افتراضيًا. تتوفر مفاتيح المرور المرتبطة بالجهاز فقط بشكل افتراضي في بيئات RSA لتوفير أقصى مستوى من الأمان خارج الصندوق، وبدون أي عمل إضافي من قبل المسؤولين.

عند تقييم ما إذا كان سيتم إدخال مفاتيح المرور من عدمه، يجب على المؤسسات أن تسأل: كيف يتم تسجيل المصادقات لدينا؟ هل هناك عمليات تتعامل بأمان مع سيناريو "فقدت المصادقة"؟ ماذا عن تصنيف المستخدمين والتطبيقات والبيانات؟

مفاتيح المرور هي واحدة طريقة MFA من بين أمور أخرى كثيرة. نعم، إن قدرتها على مقاومة التصيد الاحتيالي رائعة، لكن هل يمكن للمستخدمين تسجيل الدخول باستخدامها إلى جميع الموارد المحمية التي يحتاجون إلى الوصول إليها؟.

ولهذه الأسباب وغيرها الكثير، من المهم ألا يكون نظام المصادقة الآلية الخاص بك محدّثاً من الناحية التقنية فحسب، بل أن يدعم أيضاً مجموعة واسعة من أساليب المصادقة الآلية، مثل رموز الاستجابة السريعة، والقياسات الحيوية، وميزة OTP، والرسائل الفورية، ومفاتيح المرور.

من المهم أيضاً أن يتم تكييف العمليات المتعلقة بنظام المصادقة المالية MFA مع التهديدات الجديدة. ويتجاوز هذا الأمر نظام المصادقة المصغرة الفعلي: هل مكتب المساعدة الخاص بك آمن أيضاً من هجمات الهندسة الاجتماعية؟

إذا كانت مفاتيح المرور منطقية بالنسبة لك، فنحن نريد مساعدتك. اتصل بنا لمعرفة المزيد أو بدء نسخة تجريبية مجانية لمدة 45 يوماً من ID Plus.

يُعد اتخاذ قرار نشر «مفاتيح المرور» هو الجزء السهل. يتناول هذا الدليل المراحل الثلاث لعملية نشر ناجحة — التقييم، والتجربة التجريبية، والنشر على نطاق المؤسسة — مع أمثلة واقعية من مؤسسات خاضت هذه التجربة بالفعل. للحصول على نظرة عامة كاملة على إمكانيات RSA في مجال العمل بدون كلمات مرور، تفضل بزيارة صفحة حلول RSA التي لا تتطلب كلمة مرور.

المرحلة الأولى: التقييم والتخطيط (من أربعة إلى ثمانية أسابيع)

1. إجراء تدقيق لعملية المصادقة. قم بتحديد كل تطبيق وبنية تحتية ونظام يتطلب المصادقة أو يرتبط بها، مع الإشارة إلى تلك التي لا تدعم معيار FIDO2 حتى الآن.
2. تحديد فئات المستخدمين المعرضين لمخاطر عالية. فكل من المسؤولين ذوي الصلاحيات الخاصة، وموظفي الشؤون المالية، والعاملين عن بُعد، ومستخدمي الأجهزة المشتركة يحتاجون إلى أساليب مختلفة — لذا قم بتقسيم القوى العاملة لديك حسب مستوى المخاطر قبل التخطيط لعملية النشر.
3. حدد سياسة مفاتيح المرور الخاصة بك. حدد الفئات التي ينبغي أن تستخدم مفاتيح المرور المرتبطة بالأجهزة، أو مفاتيح المرور المتزامنة، أو مزيجًا من الاثنين. توصي RSA باستخدام مفاتيح المرور المرتبطة بالأجهزة كإعداد افتراضي، مع الاحتفاظ بمفاتيح المرور المتزامنة للحالات التي يكون فيها التنازل عن الأمان مبررًا.
4. مراجعة السياسات الداخلية التي قد تؤثر على استخدام مفاتيح المرور، مثل القيود المفروضة على استخدام منافذ USB أو تقنية BLE أو الأجهزة المحمولة. وضع جدول زمني للنشر على مراحل. تحديد المعالم الرئيسية، وتعيين المسؤولين، وتحديد معايير الموافقة أو الرفض. الحصول على موافقة الإدارة التنفيذية في مرحلة مبكرة.

المرحلة الثانية: النشر التجريبي (من ستة إلى عشرة أسابيع)

1. اختر المجموعة التجريبية بعناية. يُعد موظفو تكنولوجيا المعلومات والأمن المستخدمين الأوائل المثاليين. وتساعد إضافة مجموعة صغيرة من مساعدي المديرين التنفيذيين في الكشف عن الحالات الاستثنائية العملية، مثل أجهزة الكمبيوتر المشتركة وسيناريوهات تفويض المهام.
2. اعتمادًا على حالات الاستخدام الخاصة بك، قم باختبار كلا نوعي مفاتيح المرور في بيئتك. وتحقق من صحة عمليات التسجيل، وتسجيل الدخول، وإعادة المصادقة بعد دخول الجهاز في وضع السكون، والدخول الموحد (SSO) عبر أنواع الأجهزة وأنظمة التشغيل التي تستخدمها مؤسستك.
3. وضع إجراءات مكتب الدعم الفني واختبارها. تجربة سيناريوهات فقدان الأجهزة، ونسيان رقم التعريف الشخصي (PIN)، وعمليات انضمام الموظفين ومغادرتهم قبل حدوثها في بيئة التشغيل الفعلية. يجب أن يكون موظفو مكتب الدعم الفني قادرين على تنفيذ إجراءات الاستعادة بأمان دون التعرض للهندسة الاجتماعية.
4. حدد مؤشرات قياس النجاح. قم بتتبع معدلات التسجيل، ومعدلات نجاح/فشل المصادقة، وحجم تذاكر الدعم الفني كمعايير أساسية قبل التوسع.
5. اجمع تعليقات منظمة. قم بإجراء استطلاع رأي للمستخدمين المشاركين في المرحلة التجريبية بعد مرور أسبوعين وستة أسابيع. استخدم ما توصلت إليه من نتائج لتحديث المواد التدريبية والإعدادات قبل البدء في النشر على نطاق أوسع.

المرحلة الثالثة: النشر على نطاق المؤسسة (من شهرين إلى ستة أشهر)

1. ابدأ برنامجًا لإدارة التغيير. تُعد مقاطع الفيديو القصيرة التي تشرح الخطوات التفصيلية والأدلة الإرشادية المكتوبة أكثر فاعلية من الوثائق المطولة. قم بتخصيص المحتوى وفقًا لفئات المستخدمين — فتجربة المطور الذي يعمل عن بُعد تختلف عن تجربة المستخدم الذي يعمل في مكتب به محطات عمل مشتركة.
2. التنفيذ على مراحل. قم بالنشر حسب القسم أو المنطقة الجغرافية أو فئة المخاطر. عادةً ما يبدأ المستخدمون المعرضون لمخاطر عالية أولاً؛ بينما يأتي المستخدمون الذين يعتمدون على الأجهزة المشتركة أو الأنظمة القديمة في النهاية.
3. احرص على إتاحة طرق المصادقة الاحتياطية. لا تقم بإزالة طرق المصادقة متعددة العوامل (MFA) القديمة على الفور. احتفظ بخدمة إرسال رموز OTP عبر الإشعارات الفورية، أو رموز QR، أو أجهزة المصادقة كخيارات احتياطية حتى يصل عدد المسجلين إلى الحد المستهدف (عادةً 90%+ لكل قسم).
4. مراقبة حالة التبني والمصادقة. استخدم لوحات معلومات المنصة لتتبع إتمام التسجيل ومعدلات الفشل واتجاهات مكتب الدعم الفني. قم بتعيين تنبيهات مبكرة في حالة حدوث أي حالات شاذة.
5. أكمل الحلقة من الناحية الأمنية. بعد الانتهاء من النشر الكامل، قم بتحديث وثائق سياسة المصادقة متعددة العوامل (MFA) وقم بإجراء مراجعة بعد النشر. تعمل «Passkeys» على القضاء على عمليات التصيد الاحتيالي للحصول على بيانات الاعتماد — لكن الهندسة الاجتماعية في مكتب الدعم الفني تظل تشكل خطرًا حقيقيًّا.

فيما يلي أمثلة توضيحية تستند إلى أنماط النشر الشائعة.

السيناريو 1: الخدمات المالية — بنك إقليمي، 5,000 موظف
قام بنك إقليمي متوسط الحجم بتطبيق مفاتيح مرور مرتبطة بالأجهزة عبر RSA ID Plus مع مفاتيح أمان الأجهزة الحاصلة على شهادة FIPS 140-3 للمستخدمين ذوي الصلاحيات الخاصة وموظفي الفروع.

• التحدي الرئيسي: كان تطبيق الصراف القديم يتطلب طبقة وكيلة من نوع FIDO2؛ وكان موظفو مكتب الدعم الفني بحاجة إلى تدريب على مقاومة الهندسة الاجتماعية قبل بدء التشغيل.
• نوع مفتاح المرور: مفاتيح الأمان المادية المرتبطة بالأجهزة
• الجدول الزمني: ستة أشهر
• النتائج: خفض عدد تذاكر الدعم الفني بمقدار 43%؛ عدم حدوث أي خروقات متعلقة بكلمات المرور بعد النشر

السيناريو 2: الحكومة — وكالة اتحادية، 12,000 موظف
كان على وكالة مدنية اتحادية الامتثال لمتطلبات الأمر التنفيذي رقم 14028 وتوجيهات مكتب إدارة الميزانية (OMB) رقم M-22-09 بشأن المصادقة متعددة العوامل (MFA) المقاومة لعمليات التصيد الاحتيالي، وذلك في بيئة هجينة تضم أجزاءً من الشبكة السرية المعزولة عن الشبكة العامة.

• التحديات الرئيسية: كانت الشرائح المعزولة عن الإنترنت بحاجة إلى مصادقة لا تعتمد على الإنترنت؛ وكان نظام إدارة القضايا القديم يتطلب طبقة وكيل FIDO2؛ وكان أكثر من 30 مكتبًا ميدانيًا بحاجة إلى دعم للتسجيل عن بُعد.
• نوع مفتاح المرور: FIPS 140-3 المستوى 3 RSA iShield Key 2 لجميع الموظفين؛ أجهزة RSA DS100 OTP لأجزاء الشبكة المعزولة عن الإنترنت
• الجدول الزمني: عشرة أشهر
• النتائج: تم التصديق على الامتثال الكامل للأمر التنفيذي رقم 14028 / M-22-09؛ وانخفض معدل تسجيل بيانات الاعتماد من 18% إلى أقل من 1%؛ وتقلص عدد تذاكر الدعم الفني بمقدار 38%