ما هي الثقة الصفرية؟

يحل نموذج «الثقة الصفرية» محل الثقة القائمة على الموقع بالتحقق المستمر. ففي حين كان نموذج الحماية المحيطية يعامل أي شيء داخل الشبكة على أنه جدير بالثقة افتراضيًّا، فإن نموذج «الثقة الصفرية» يقيّم كل طلب كما لو كان مصدره مكانًا غير موثوق به، بغض النظر عن مصدره الفعلي أو عن الصلاحيات التي مُنحت لنفس المستخدم قبل ساعة من ذلك.

هناك ثلاث أفكار تحدد ملامح هذا النموذج في الممارسة العملية:

• لا توجد ثقة ضمنية. لا يمنح الموقع الشبكي أي شيء بحد ذاته، كما أن التواجد داخل جدار الحماية لا يُعد دليلاً على أن الطلب شرعي.
• التحقق المستمر. يتم تقييم الثقة عند كل طلب، بدلاً من تحديدها مرة واحدة عند تسجيل الدخول واستمرارها طوال مدة الجلسة.
• مبدأ أقل الامتيازات. يقتصر نطاق الوصول على ما يتطلبه طلب معين ولا يتجاوزه.

نموذج «الثقة الصفرية» ليس منتجًا يمكن للمؤسسات شراؤه. إنها استراتيجية تشمل الهوية والأجهزة والشبكات والتطبيقات والبيانات، وليست تقنية موجودة في أي طبقة من تلك الطبقات. وعادةً ما يصف الموردون الذين يقدمونها على أنها منتج مكونًا واحدًا فقط من مكونات البنية.

يعود تاريخ هذا المصطلح إلى عام 1994، عندما استخدمه ستيفن بول مارش في أطروحة الدكتوراه التي كتبها حول “الثقة الحاسوبية” في جامعة ستيرلنغ. وقد دخل هذا المصطلح مجال الأمن السائد في عام 2010، عندما نشر جون كيندرفاغ، المحلل في شركة فورستر، مقالًا بعنوان «لا مزيد من نقاط الضعف: تقديم نموذج «الثقة الصفرية» لأمن المعلومات»، وأثبت أن الثقة بحد ذاتها تشكل نقطة ضعف. وكان مشروع «بيوند كورب» (BeyondCorp) التابع لشركة جوجل، الذي بدأ في عام 2009، من بين أولى التطبيقات واسعة النطاق لهذا النموذج.

يحدد معيار NIST SP 800-207 سبعة مبادئ أساسية يجب أن تستوفيها أي بنية قائمة على نهج «الثقة الصفرية».

1. جميع مصادر البيانات وخدمات الحوسبة هي موارد. تتطلب قواعد البيانات والتطبيقات وخدمات SaaS وأجهزة إنترنت الأشياء ومحطات عمل المستخدمين الحماية جميعًا، دون أي استثناءات على أساس الموقع أو الأهمية المتصورة.
2. جميع الاتصالات مؤمنة بغض النظر عن موقع الشبكة. تخضع حركة المرور التي تمر عبر الشبكة الداخلية لعملية المصادقة والتشفير وفقًا لنفس المعايير المطبقة على حركة المرور الواردة من شبكة الإنترنت العامة.
3. يُمنح حق الوصول على أساس كل جلسة على حدة. يتم تقييم الثقة في إطار الجلسة الحالية ولا يتم ترحيلها إلى جلسات لاحقة، لذا فإن الوصول إلى مورد ما لا يعني بالضرورة إمكانية الوصول إلى مورد آخر.
4. يتم تحديد حق الوصول وفقًا لسياسة ديناميكية. وتستند القرارات إلى هوية العميل، وحالة التطبيق، وحالة الأصول، والسمات السلوكية والبيئية، بدلاً من الاعتماد على مجموعة قواعد ثابتة.
5. تقوم المؤسسة بمراقبة حالة جميع الأصول. لا يُعتبر أي أصل موثوقًا به بشكل افتراضي، ويتم قياس سلامة الجهاز بشكل مستمر بحيث يمكن أخذها في الاعتبار عند اتخاذ قرارات الوصول.
6. تُعد عمليات المصادقة والتفويض ديناميكية ويتم تطبيقها بصرامة قبل السماح بالوصول. تعمل عملية التحقق كدورة مستمرة من المانحات، والمسح، والتكييف، وإعادة التقييم، وليس كبوابة واحدة في بداية الجلسة.
7. تقوم المؤسسة بجمع أكبر قدر ممكن من المعلومات وتستخدمها لتحسين أداءها. تُستخدم بيانات القياس عن بُعد التي يتم جمعها من الأصول والبنية التحتية وقنوات الاتصالات في تعديل السياسات التي تحكم الوصول.

كما ينتشر على نطاق واسع إطار عمل أقصر يتألف من ثلاثة أجزاء: التحقق بشكل صريح، وافتراض حدوث خرق، وتطبيق مبدأ «أقل امتياز ممكن». تعود هذه الصيغة إلى مبادرة Microsoft، وهي تعمل بشكل معقول كملخص، لكنها ليست ما تنص عليه المواصفة SP 800-207 فعليًّا؛ لذا، يجب على المؤسسات التي تعمل وفقًا لمعايير NIST أن تلتزم بالمبادئ السبعة المذكورة أعلاه.

يتم اعتراض كل طلب وصول واتخاذ قرار بشأنه في الوقت الفعلي، وفقًا لتسلسل يظل ثابتًا بغض النظر عمن قام ببناء البنية الأساسية:

1. طلب من أحد الأشخاص الحصول على حق الوصول إلى مورد، حيث قد يكون هذا الموضوع شخصًا أو حساب خدمة أو حمل عمل أو وكيل ذكاء اصطناعي.
2. يتم جمع الإشارات, ، بما في ذلك الهوية، وحالة الجهاز، والموقع، والوقت، والسلوك السابق، ومعلومات الاستخبارات المتعلقة بالتهديدات.
3. يقوم محرك السياسات بتقييم الطلب بما يتعارض مع سياسة المؤسسة ونتيجة تقييم المخاطر المحسوبة.
4. يُصدر القرار ويُنفَّذ, ، سواء كان ذلك بالسماح بالوصول أو رفضه أو تعزيزه باستخدام عامل مصادقة إضافي.
5. تخضع الجلسة للمراقبة, ، بحيث تؤدي التغيرات في مستوى المخاطر إلى إعادة التقييم، ويمكن إلغاء حق الوصول بينما لا تزال الجلسة مفتوحة.

تلك الخطوة الأخيرة هي ما يميز نموذج «الثقة الصفرية» عن النماذج التي سبقته، حيث إن أمن المحيط يتخذ قرارًا واحدًا عند الحدود ثم يتحمل عواقبه، في حين أن نموذج «الثقة الصفرية» يواصل التقييم طوال مدة الجلسة.

أوضح طريقة لفهم الفرق هي أن شبكة VPN توسع نطاق الحماية، بينما نهج «الصفر ثقة» يلغي هذا النطاق تمامًا.

عندما يتصل المستخدم عبر شبكة VPN تقليدية، يتم وضعه ضمن شبكة الشركة ويحصل على صلاحيات وصول واسعة النطاق على مستوى الشبكة بناءً على عملية تحقق واحدة تُجرى عند الاتصال. وأي شيء يمكن الوصول إليه من هذا الموقع داخل الشبكة يصبح في متناول ذلك المستخدم، وكذلك في متناول أي شخص يتمكن من سرقة بيانات اعتماده.

تمنح نموذج «الثقة الصفرية» حق الوصول إلى الموارد الفردية بدلاً من الشبكات، لذا فإن الإذن بالوصول إلى أحد التطبيقات لا يمتد ليشمل الموارد الأخرى. ويتم إعادة تقييم كل طلب في ضوء ظروف المخاطر الحالية.

يُعد المنشور الخاص رقم 800-207 الصادر عن المعهد الوطني للمعايير والتقنية (NIST) في أغسطس 2020، البنية المرجعية التي تستند إليها معظم المؤسسات في بناء أنظمتها. وهو يرسم خطاً فاصلاً واضحاً بين المكونات التي تتخذ قرارات الوصول وتنفذها، ومصادر البيانات التي تُستند إليها هذه القرارات.

ثلاثة مكونات منطقية أساسية

محرك السياسات (PE). يتخذ قرار الوصول من خلال تقييم سياسة المؤسسة في ضوء المعطيات الموضحة أدناه، وتطبيق خوارزمية الثقة، ثم منح حق الوصول أو رفضه أو إلغاؤه.

مسؤول السياسات (PA). ويُنفذ هذا القرار عن طريق فتح مسار الاتصال أو إغلاقه، وإصدار بيانات الاعتماد أو الرمز الذي يستخدمه «الطرف المعني» للوصول إلى المورد. ويشكل كل من «PE» و«PA» معًا ما يسميه المعهد الوطني للمعايير والتقنية (NIST) «نقطة اتخاذ القرار المتعلق بالسياسة».

نقطة إنفاذ السياسة (PEP). يعمل على تمكين الاتصال بين الطرف المعني والمورد ومراقبته وإنهائه، حيث يتم وضعه في مسار الطلب وتطبيق ما تحدده نقطة اتخاذ القرار المتعلقة بالسياسة.

مصادر البيانات التي تغذي محرك السياسات

فيما يلي الإشارات التي يقوم محرك السياسات بتقييمها، دون أن يتخذ قرارات بنفسه:

• نظام إدارة الهوية. الحسابات، وسجلات الهوية، والأدوار، والسمات، والصلاحيات.
• سياسات الوصول إلى البيانات. القواعد التي تحدد من يحق له الوصول إلى أي موارد وتحت أي شروط.
• التشخيص والتخفيف المستمران. جرد الأصول وحالة الأجهزة.
• معلومات الاستخبارات المتعلقة بالتهديدات. المؤشرات الداخلية والخارجية للهجمات ونقاط الضعف المكتشفة حديثًا.
• سجلات الأنشطة ونظام SIEM. تُستخدم البيانات المجمعة المستقراء عن بُعد لتحسين السياسة بمرور الوقت.
• أنظمة الامتثال في القطاع الصناعي. المتطلبات التنظيمية التي يتعين على المؤسسة الالتزام بتطبيقها.
• PKI. إصدار الشهادات والتحقق من صحتها بالنسبة للموضوعات والموارد.

غالبًا ما تخلط الفرق بين هذين المفهومين أثناء التنفيذ، حيث تعامل نظام الهوية أو مصدر معلومات التهديدات كما لو كانا يتخذان قرارات الوصول، في حين أن هذه الأنظمة، وفقًا لنموذج NIST، لا تقوم سوى بتزويد محرك السياسات بالمدخلات اللازمة، وهو الذي يتخذ القرار فعليًّا. ويكتسب هذا التمييز أهمية قصوى عند تقييم أجزاء البنية التي يغطيها المورد فعليًّا.

كمفهوم، فإن «الثقة الصفرية» (Zero Trust) بسيطة بما فيه الكفاية: لا تثق بأحد ولا توافق على أي إجراء حتى تتحقق من هوية الشخص وتصرح بالطلب. ويكمن التحدي في التنفيذ، حيث تتعثر معظم المؤسسات، لأن نهج «الثقة الصفرية» يمس الهوية والشبكة ونقاط النهاية والتطبيقات والبيانات في آن واحد، وقليل من فرق الأمن لديها الميزانية أو الرصيد السياسي اللازم لمعالجة هذه العناصر الخمسة جميعها في وقت واحد. وهذا يطرح السؤال العملي حول من أين تبدأ، والجواب يكمن دائمًا تقريبًا في الهوية.

يعود كل قرار يتعلق بنموذج «الثقة الصفرية» إلى سؤال واحد، وهو ما إذا كان هذا الكيان هو بالفعل من يدعي أنه هو، وما إذا كان ينبغي أن يتمتع بهذا الحق في الوصول في الوقت الحالي. لا يمكن للتجزئة والتشفير الإجابة عن هذا السؤال، كما أن حالة الجهاز تضيق نطاقه دون حسمه، مما يجعل الهوية هي وسيلة التحكم الوحيدة القادرة على حله. وعندما تكون الهوية ضعيفة، فإن كل وسيلة تحكم لاحقة تنفذ بأمانة قرارًا مبنيًا على فرضية غير مؤكدة.

تتحمل «الهوية» العبء في ثلاثة مجالات:

• المصادقة. التحقق من هوية الشخص من خلال طرق مقاومة التصيد الاحتيالي بدلاً من الأسرار المشتركة التي يمكن سرقتها أو إعادة استخدامها أو استغلالها عبر الهندسة الاجتماعية.
• التفويض. تحديد ما يحق للشخص الذي تم التحقق من هويته الوصول إليه، استنادًا إلى الأدوار الخاضعة للتنظيم بدلاً من الخبرة التي تراكمت على مدى سنوات من التغييرات في الأدوار.
• التقييم المستمر. إعادة تقييم كليهما مع تغير مؤشرات المخاطر، وإلغاء حق الوصول عندما تستدعي المؤشرات ذلك.

هناك نتيجة غير سارة تكمن في هذا الأمر، وهي أنه لا يمكنك تطبيق معيار «أدنى امتياز» لم تقم بتعريفه من قبل، ولا يمكنك تعريف معيار «أدنى امتياز» دون معرفة من لديه حق الوصول إلى ماذا في الوقت الحالي. ولا تستطيع معظم المؤسسات الإجابة على هذا السؤال بثقة، ولهذا السبب حوكمة الهوية ينبغي أن يكون ذلك في بداية برنامج «الثقة الصفرية» وليس في مرحلة لاحقة.

إدارة الهوية والوصول توفر المكونات التي تعتمد عليها بنية «الثقة الصفرية».

هناك متطلبان يُميل الناس إلى التقليل من شأنهما أكثر من أي متطلبين آخرين.

يجب أن تكون عملية المصادقة مقاومة لعمليات التصيد الاحتيالي. تطبيق MFA الذي يعتمد على رموز المرور لمرة واحدة إن إرسالها عبر الرسائل القصيرة أو البريد الإلكتروني يرفع مستوى الأمان دون سد الثغرة، حيث إن هجمات «المهاجم في الوسط» وحملات «إرهاق المصادقة متعددة العوامل» تتغلب على طرق الإشعارات الفورية ورموز OTP بانتظام إلى حد ما. FIDO2 ومفاتيح المرور المرتبطة بالأجهزة ربط بيانات الاعتماد بكل من الجهاز والمصدر، وهي الآلية التي توقف الهجوم فعليًّا بدلاً من مجرد إبطائه. وقد دأبت شركة RSA على طرح هذا الرأي منذ فترة طويلة قبل أن يصبح موقفًا إجماعيًّا، بصفتها عضوًا في مجلس إدارة تحالف FIDO ورئيسًا مشاركًا لمجموعة العمل المعنية بالمؤسسات.

يجب أن يستمر عمل Access حتى في حالة تعطل الخدمة السحابية. إن البنية التي توجه كل قرار وصول عبر محرك سياسات سحابي قد أدت، بحكم تصميمها، إلى ظهور نقطة فشل واحدة؛ وعندما تصبح تلك الخدمة غير قابلة للوصول، لا يستطيع أحد العمل. وبالنسبة للمؤسسات التي تعمل في بيئات محلية أو مختلطة أو معزولة شبكيًا أو ذات توفر مستمر — حيث يؤدي انقطاع الخدمة إلى عواقب تشغيلية وليس مجرد إزعاج — فإن هذه المقايضة تعتبر سيئة. ينبغي أن يقلل نموذج «الثقة الصفرية» من عدد العوامل القادرة على تعطيل عمل المؤسسة بدلاً من تركيزها، ولهذا السبب فإن مسارات التنفيذ في وضع عدم الاتصال وداخل المؤسسة هي ما يجعل هذا النموذج قابلاً للبقاء في هذه البيئات.

بمجرد أن تلتزم مؤسسة ما بنموذج «الثقة الصفرية»، يبدأ العمل الحقيقي. ويُنفَّذ هذا النموذج كبرنامج يمتد لعدة سنوات، وتميل المؤسسات التي تحقق تقدماً في هذا المجال إلى تنظيم مراحل العمل بدلاً من محاولة تنفيذ كل شيء في آن واحد.

1. هويات المخزون، والموارد، وحالة الوصول الحالية. لا يمكن تطبيق مبدأ «أدنى مستوى من الصلاحيات» في ظل عدم وجود خط أساس معروف، لذا ابدأ بتحديد من وماذا يمكنه الوصول إلى أي موارد في الوقت الحالي، بما في ذلك حسابات الخدمات والمتعاقدين وهويات الأجهزة.

2. تعزيز المصادقة أولاً. إن نشر نظام المصادقة متعددة العوامل (MFA) المقاوم للتصيد الاحتيالي على مسارات الوصول الأكثر أهمية يحقق أكبر قدر من تقليل المخاطر لكل وحدة جهد، وهو شرط أساسي لمعظم ما سيأتي بعد ذلك.

3. تحديد سياسات الوصول وتطبيقها. تحويل الأدوار واحتياجات العمل إلى سياسة واضحة، ثم إلغاء حقوق الوصول العامة الدائمة واستبدالها بحقوق محددة النطاق وقابلة للمراجعة.

4. إضافة سياق لاتخاذ القرارات المتعلقة بالوصول. إن تطبيق المصادقة القائمة على المخاطر يسمح للطلبات منخفضة المخاطر بالمرور دون عوائق، بينما يتم التحقق من الطلبات الشاذة أو حظرها، وهذه هي الطريقة التي تمنع بها المستخدمين من إيجاد طرق للتحايل على البرنامج.

5. موارد القطاع. إن تقييد نطاق الوصول الذي يمكن لجلسة مخترقة الوصول إليه يحد من نطاق التأثير في اللحظة التي يفشل فيها أحد عناصر التحكم — وليس «إذا» فشل —.

6. المراقبة والمراجعة والإلغاء. يجب إجراء مراجعات الصلاحيات وفق جدول زمني محدد، لأن الصلاحيات التي تتراكم دون مراجعة تتحول في نهاية المطاف إلى «توسع الصلاحيات» الذي كان البرنامج يهدف إلى منعه.

التسلسل هنا أكثر أهمية من السرعة، لأن التقسيم الذي يُطبق دون وجود هوية منظمة في الأساس ينتج شبكات مقسمة جيدًا، لكنها لا تزال تحمي الحسابات التي تتمتع بامتيازات مفرطة.

لا تحقق المنظمات أبدًا نموذج «الثقة الصفرية» (Zero Trust). بل يتعين عليها تقييم وضعها الأمني باستمرار ومراجعة كل قرار يتعلق بالوصول.

صعوبات المستخدم. إن إجراءات التحقق المفرطة في صرامتها تؤدي إلى ظهور حلول بديلة، و«تكنولوجيا المعلومات غير الرسمية»، وزيادة حجم الطلبات الواردة إلى مكتب الدعم الفني، على الرغم من أنه ليس من الضروري في الواقع المفاضلة بين سهولة الوصول والأمن. فالمصادقة القائمة على المخاطر تكيّف مستوى التحدي مع المخاطر التي يمثلها كل طلب فردي، بدلاً من فرض عوائق موحدة على الجميع.

الأنظمة القديمة. غالبًا ما يتعذر على التطبيقات التي سبقت معايير المصادقة الحديثة المشاركة دون استخدام بوابة أو وكيل أو استبدالها تمامًا، مما يجعل هذا الجانب هو الأكثر تعقيدًا في معظم البرامج والأكثر تعرضًا للتقليل من شأنه في مرحلة التخطيط.

التبعية على التوافر. إن تركيز قرارات الوصول في خدمة سحابية واحدة يخلق تبعية حرجة جديدة، فإذا تعذر الوصول إلى محرك السياسات، فسيُحرم الجميع من الوصول إلى كل شيء. ومن الجدير أن نسأل أي مزود مباشرةً عما يحدث لعملية المصادقة في حالة تعطل خدمته.

النطاق التنظيمي. ونظرًا لأن نهج «الثقة الصفرية» يشمل فرق العمل المعنية بالهوية والشبكة ونقاط النهاية والتطبيقات والبيانات، فإن البرامج التي تُدار بالكامل من قسم واحد تميل إلى التعثر عند حدود ذلك القسم.

الخلط بين الموردين. لا يوجد منتج واحد يوفر نموذج “الثقة الصفرية” (Zero Trust)، لذا فإن أفضل طريقة لتقييم الموردين هي النظر إلى المكونات المعمارية التي يقدمونها فعليًّا، ومن الأفضل التعامل مع مصطلح «منصة الثقة الصفرية» باعتباره ادعاءً يجب التحقق منه، وليس فئةً يمكن شراؤها.

توسع بيانات الهوية. تُعد الهوية مشكلة متنامية في مجال البيانات وليست مشكلة ثابتة، وتتراكم الصلاحيات بوتيرة أسرع من قدرة معظم الفرق على مراجعتها يدويًّا، وهو ما يجعل الأتمتة والتحليلات أمراً لا غنى عنه.

لقد تحولت «نموذج الثقة الصفرية» من مجرد ممارسة موصى بها إلى متطلب أساسي في العديد من البيئات الخاضعة للتنظيم.

• الأمر التنفيذي 14028 يوجه الوكالات المدنية الفيدرالية الأمريكية نحو بنية «الثقة الصفرية».
• نموذج النضج «صفر الثقة» التابع لوكالة الأمن السيبراني والبنية التحتية (CISA) يوفر الإطار الذي تُقيَّم الوكالات الفيدرالية مدى نضجها وفقًا له، وهو منظم حول خمسة ركائز: الهوية، والأجهزة، والشبكات، والتطبيقات وأحمال العمل، والبيانات.
• استراتيجية «الثقة الصفرية» لوزارة الدفاع الأمريكية يحدد أنشطة نهج «الثقة الصفرية» الخاصة بمكونات الدفاع.
• CMMC 2.0 يفرض ضوابط على الوصول ومتطلبات المصادقة متعددة العوامل (MFA) على نطاق القاعدة الصناعية الدفاعية.
• DORA و NIS2 فرض متطلبات التحكم في الوصول، والمرونة، واستمرارية التشغيل على الخدمات المالية في الاتحاد الأوروبي والبنية التحتية الحيوية التي تتوافق مع مبادئ «الثقة الصفرية»، سواء ورد هذا المصطلح في النص أم لا.

تظهر «الهوية» كأحد الركائز أو فئة من عناصر الرقابة في كل واحدة من هذه الحالات، وهي أيضًا المجال الذي يميل المراجعون إلى طلب الأدلة بشأنه أولاً، والمجال الذي تكون فيه المؤسسات أقل استعدادًا لتقديم تلك الأدلة.

كما أن متطلبات المرونة والبنى الهندسية القائمة على السحابة وحدها تتعارض مع بعضها البعض بطرق تستحق الدراسة في مرحلة مبكرة. فمن الصعب تلبية توقعات استمرارية العمليات بموجب قانون DORA، إلى جانب متطلبات التوافر المستمر في قطاعي الدفاع والبنية التحتية الحيوية، باستخدام نموذج وصول يتوقف عن العمل كلما أصبحت خدمة أحد الموردين غير قابلة للوصول.