في الآونة الأخيرة، أصدر مكتب الإدارة والميزانية الأمريكي (OMB) المذكرة M-22-09 الذي يُلزم الوكالات بتحقيق أهداف أمنية محددة في إطار نهج «الثقة الصفرية» بحلول نهاية السنة المالية 2024. ويُعد التقدم نحو نهج «الثقة الصفرية» أحد الأهداف الرئيسية لتحديث الأمن السيبراني الحكومي، على النحو المبين في... الأمر التنفيذي لعام 2021 بشأن تحسين الأمن السيبراني في البلاد.
كما هو موضح في “البنية المرجعية لنموذج الثقة الصفرية» الصادرة عن وزارة الدفاع، «المبدأ الأساسي لـ نموذج «الثقة الصفرية» ”وهو أنه لا يُعتبر أي طرف أو نظام أو شبكة أو خدمة تعمل خارج نطاق الحماية أو داخله موثوقًا به." وبدلاً من ذلك، يجب التحقق من كل شيء يحاول الوصول إلى النظام.
يؤكد التحول إلى نموذج “الثقة الصفرية» على «تشديد ضوابط الهوية والوصول على مستوى المؤسسة، بما في ذلك المصادقة متعددة العوامل (MFA)”لأنه بدون “أنظمة هوية آمنة تديرها المؤسسات”، يمكن للمهاجمين الاستيلاء على حسابات المستخدمين وإحداث ثغرة أمنية داخل الوكالة لسرقة البيانات أو شن هجمات.“ ويجب أن تكون عمليات المصادقة قادرة على ”الكشف عن أسرار المصادقة ونتائجها ومنع تسريبها إلى موقع إلكتروني أو تطبيق يتنكر في صورة نظام شرعي». وتنص المذكرة أيضًا على أنه ينبغي دمج المصادقة متعددة العوامل (MFA) على مستوى طبقة التطبيقات، مثلًا من خلال خدمة هوية مؤسسية، بدلاً من المصادقة عبر الشبكة، مثل الشبكة الخاصة الافتراضية (VPN).
تدعم RSA الانتقال إلى نموذج «الثقة الصفرية». ونحن نساعد المؤسسات والهيئات في جميع أنحاء العالم على مواجهة هذا التحدي الجديد من خلال نهج شامل وحديث لإدارة الهوية والوصول (IAM). وتقدم RSA مجموعة متنوعة من أساليب المصادقة متعددة العوامل (MFA) لتلبية احتياجات مختلف المستخدمين وحالات الاستخدام. تعمل RSA على إعادة تأسيس هويات المستخدمين الموثوق بها، مع استخدام التعلم الآلي والتحليلات القائمة على المخاطر في الوقت نفسه للكشف عن الأنشطة الشاذة، بما في ذلك هجمات التصيد الاحتيالي المحتملة. كما نقدم قدرات الحوكمة الذكية وإدارة دورة الحياة التي صُممت لتقليل نطاق التعرض للهجمات في المؤسسة. ولحماية المؤسسة من التهديدات الخارجية والداخلية على حد سواء، تعمل منتجاتنا على إزالة الصلاحيات الزائدة التي قد يستغلها مرتكبو التهديدات.
في إطار مساعدتنا للوكالات الحكومية على الانتقال إلى نموذج «الثقة الصفرية» (Zero Trust) والاستعداد لتطبيق المعيار M-22-09 والأمر التنفيذي، ساعدنا عملاءنا في الإجابة عن مجموعة متنوعة من الأسئلة حول كيفية الاستجابة لهذه المتطلبات الجديدة:
تقدم RSA مجموعة واسعة من خيارات المصادقة متعددة العوامل (MFA) القوية للمساعدة في الوكالات الفيدرالية المصادقة الآمنة للمستخدمين من أي مكان وإلى أي نظام، بما في ذلك أنظمة الوكالات من الجيل الجديد والأنظمة القديمة على حد سواء. وقد أدى الانتقال إلى السحابة، والعمل عن بُعد، والمبادرات الرقمية إلى تغيير الشبكات، كما أن الحدود الخارجية التي كانت تحمي الموارد تاريخياً تستمر في التلاشي. والآن، يحتاج الموظفون في كل وكالة إلى الاتصال من مواقع مختلفة عديدة؛ بل إن بعضهم يحتاج إلى تسجيل الدخول دون اتصال بالإنترنت. ويطرح هذا التنوع في البيئات والمستخدمين مجموعة من التحديات المتعلقة بالمصادقة، ومع ذلك، يتعين على الوكالات الحكومية أن تكون قادرة على توفير مصادقة آمنة ومريحة بشكل موثوق به، بغض النظر عن مكان وجود الأشخاص أو الأجهزة.
تربط حلول RSA أي مستخدم، من أي مكان، بأي شيء. نحن نقدم خيارات مصادقة متعددة لتلبية متطلبات الوكالات المختلفة وتفضيلات المستخدمين، بما في ذلك دعم FIDO. وبصفتنا عضوًا في مجلس إدارة تحالف FIDO ورئيسًا مشاركًا لمجموعة عمل المؤسسات، فقد كنا ندفع باتجاه إزالة كلمات المرور قبل أن تكون عصرية بوقت طويل، ونحن سعداء لأن بعض المنصات تتخذ الآن خطوات مماثلة. تدعم منصتنا للهوية مصادقة بدون كلمة مرور مع توافر 99.95%، بما في ذلك إمكانية عدم الفشل التي تتيح المصادقة دون اتصال بالشبكة، بحيث يمكن للمستخدمين المصادقة بأمان حتى في حالة انقطاع الاتصال, أو إذا كانوا بدون خدمة الإنترنت.
تقدم RSA مجموعة متنوعة من إمكانات إدارة عمليات الوصول الآمن (IAM) لدعم المتطلبات الفيدرالية المتعلقة بنموذج «الثقة الصفرية» (Zero Trust) وأمن السحابة والمصادقة، ونحن حائزون على ترخيص FedRAMP ونحظى بثقة أكثر الوكالات الحكومية حساسية. في الوقت الحالي، قد تمتلك بعض الوكالات تطبيقات لا تدعم معيار FIDO، ونحن نعمل على مساعدة العملاء والشركات في تحويل بنيتها التحتية وتطبيقاتها لدعم معيار FIDO. وفي غضون ذلك، قد تظل الوكالات بحاجة إلى حلول كلمة المرور لمرة واحدة (OTP)، ولكن من المهم إدراك أن حلول OTP ليست جميعها متماثلة.
يستخدم SecurID OTP المطبق بأمان عناصر تحكم متعددة لمنع المهاجم من الوصول إلى كلمة مرور لمرة واحدة (TOTP). كما أنه يمنع استخدام TOTP في الحالات النادرة التي يتمكن فيها المهاجم من الوصول. على عكس TOTP عبر الرسائل النصية القصيرة، والتي عادةً ما تكون نافذة زمنية تتراوح بين 10 و15 دقيقة، فإن النافذة الزمنية لدينا هي 60 ثانية فقط. بالإضافة إلى ذلك، يتم إرسال الرسائل النصية القصيرة لمرة واحدة عبر قناة غير آمنة تكون هدفًا لإساءة استخدام الاحتيال بشكل منتظم - على عكس TOTP.
من خلال تحديد عمر كلمة مرور لمرة واحدة لمرة واحدة لمرة واحدة فقط لدقيقة واحدة، تمنع RSA الجهات الفاعلة السيئة من تخزين عوامل المصادقة لاستخدامها لاحقاً. وحتى عندما يحاول أحد الفاعلين السيئين إعادة استخدام كلمة مرور لمرة واحدة خلال فترة ال 60 ثانية تلك، لن يقبل خادم المصادقة لدينا كلمة مرور لمرة واحدة سبق أن رآها. يخلق هذا الرفض حدثاً قابلاً للتدقيق لأنه يجب على المستخدم الحقيقي بعد ذلك المصادقة مرة ثانية للحصول على حق الوصول، أو ببساطة يتم رفض وصول المستخدم. إن القدرة على استخدام كلمة مرور لمرة واحدة فقط للمصادقة تمنع المخادع من نسخ أو تخزين محاولة مصادقة مستخدم شرعي. يمكن استخدام كلمات مرور OTPs SecurID مرة واحدة فقط، وعمرها الافتراضي قصير للغاية.
كما يكتشف محرك المخاطر الخاص بنا، القائم على التعلم الآلي، الحالات الشاذة في السلوك. المصادقة القائمة على المخاطر (RSA) تستخدم تقنيات وتكنولوجيات لتقييم المخاطر التي يشكلها طلب الوصول على المنظمة. وباستخدام التعلم الآلي، تتعلم عملية المصادقة القائمة على المخاطر من تقييماتها وتطبق تلك المعرفة على الطلبات المستقبلية.
لا تقوم RSA بتأمين المصادقة فحسب، بل تقوم بتأمين دورة حياة الهوية بأكملها من خلال إدارة كلمات مرور الخدمة الذاتية، وإصدار شهادات الوصول السهلة، وعمليات الانضمام والانتقال والمغادرة (JML) الآلية، والتي تضمن الوصول المناسب والمتوافق طوال دورة حياة المستخدم. تدير RSA عملية توفير المصادقات وإلغاء توفيرها وتوفر أدوات مكتب المساعدة للمساعدة في التعامل مع حالات مثل الرموز المفقودة والوصول في حالات الطوارئ.
تستخدم RSA أيضاً أساليب تشفير قائمة على المعايير لحماية جميع الاتصالات المطلوبة لمعالجة محاولة المصادقة. نحن نستخدم التشفير من طرف إلى طرف لكل من رقم التعريف الشخصي ومرة مرور OTP، وهو ما يتجاوز تشفير طبقة النقل، بحيث لا يمكن فك تشفير كلمة المرور لمرة واحدة من قبل وكيل. لا تقتصر هذه الأساليب على حماية كلمة المرور لمرة واحدة ورقم التعريف الشخصي أثناء نقلهما داخل الشبكات وخارجها وعبرها فحسب، بل تضمن أيضاً قدرة مكونات البرنامج المختلفة على المصادقة بنفسها.
التصيّد الاحتيالي مشكلة لن تنتهي, ولكن من المهم أن نتذكر أن التكنولوجيا لا تعمل بمعزل عن التكنولوجيا. فنجاح هجوم التصيد الاحتيالي يمكن أن يتعلق بعلم النفس البشري بقدر ما يتعلق بالتكنولوجيا. يجب أن تكون القوى العاملة المتعلمة هي خط الدفاع الأول. الموظفون الذين يبحثون عن رسائل التصيد الاحتيالي لن ينقروا على الروابط المشبوهة التي تمنح المهاجمين موطئ قدم.
من خلال توفير مجموعة من خيارات المصادقة وبناء نماذج سلوكية، يمكن للوكالات الحكومية تحقيق حل مصادقة مقاوم للتصيد الاحتيالي يوفر دفاعًا متعمقًا يتجاوز أي عامل مصادقة معين.
من المهم أيضاً أن تتذكر أن أي تقنية تكون جيدة بقدر جودة تطبيقها. يجب أن يقوم حل المصادقة الجيد بأكثر من مجرد التعامل مع تهديدات التصيد الاحتيالي المحتملة. التزويد السليم و إدارة دورة حياة بيانات الاعتماد يجب أن تكون أجزاء شاملة من حل المصادقة. لقد كانت RSA رائدة ووضعت ممارسات قياسية في هذا المجال من أجل تحقيق هذه الأهداف للمصادقة المستندة إلى OTP.
تقدم RSA ابتكارات وحلول مصادقة عملية منذ عقود. تحظى تقنيتنا التي أثبتت جدارتها بثقة العملاء الحكوميين والتجاريين الأكثر حساسية من الناحية الأمنية حول العالم. توفر حلولنا الخاصة بالمصادقة والمصادقة IAM القدرات التي تحتاجها مؤسستك لتحقيق أهداف الأمن السيبراني الوطنية الهامة. لقد تم اختبار حلول المصادقة لدينا على مدار الوقت، ونحن نواصل الابتكار وتحسين تطبيقاتنا مع تطور مشهد التهديدات.
