أمن السحابة هو ممارسة حماية البيانات والتطبيقات والبنية التحتية القائمة على السحابة من الوصول غير المصرح به والهجمات الإلكترونية والتهديدات الداخلية والخارجية. ويشمل تأمين البيئات السحابية ضد هجمات الحرمان من الخدمة الموزعة (DDoS) والمخترقين والبرمجيات الخبيثة وغيرها من المخاطر.
سعياً إلى تعزيز التعاون والابتكار، يتزايد عدد الشركات التي تضع التطبيقات والبيانات الهامة في السحابة. تشمل مزايا نقل العمليات إلى السحابة النشر السريع والمرونة وانخفاض التكاليف الأولية وقابلية التوسع. وبينما يستخدم معظم مزودي الخدمات السحابية أدوات قياسية لمراقبة الاستخدام والإبلاغ عن الأنشطة المشبوهة، قد يجد خبراء أمن تكنولوجيا المعلومات الداخليون أن هذه الأدوات غير متوفرة. كما تتحمل الفرق الداخلية عادةً عبء تكوين وإدارة الأمن لأحمال العمل السحابية. عند نقل الأصول إلى السحابة، يجب على كل مؤسسة أن توازن بين الفوائد والمخاطر، بما في ذلك زيادة تعرض البيانات والتطبيقات للخطر.
تم تصميم أمن السحابة لحماية البيانات والتطبيقات الموجودة في السحابة؛ ودعم الامتثال التنظيمي؛ وحماية خصوصية العملاء. بدءاً من مصادقة الوصول للأفراد والأجهزة إلى الموازنة بين سهولة الوصول والأمان التنظيمي، يجب أن يتناسب الأمن السحابي مع الاحتياجات الخاصة لكل مؤسسة. ستستفيد الشركات من العمل مع مستشارين موثوق بهم للحصول على المساعدة في إدارة هذه العوامل وزيادة العائد على الاستثمار إلى أقصى حد. يمكن لموردي الأمن السحابي مساعدة الشركات على تكوين أعباء العمل السحابية وإدارتها بشكل مركزي، مما يقلل من النفقات العامة ويحرر فرق تكنولوجيا المعلومات للتركيز على مجالات أخرى من الأعمال.
يتم تقاسم المسؤولية عن أمن السحابة من قبل مقدمي الخدمات السحابية والعملاء. يقسم نموذج المسؤولية المشتركة المسؤوليات إلى ثلاث فئات: المسؤوليات التي دائمًا مقدم الخدمة، تلك التي دائمًا العميل، وتلك التي تختلف باختلاف نموذج الخدمة, مثل البنية التحتية كخدمة (IaaS) أو المنصة كخدمة (PaaS) أو البرمجيات كخدمة (SaaS).
المزودون (مثل أمازون أو جوجل أو مايكروسوفت أو أوراكل) مسؤولة عن حماية البنية التحتية - بما في ذلك الوصول إلى الشبكة الفعلية التي يعمل عليها الكمبيوتر والتخزين ويوجد عليها الترقيع والتكوين.
العملاء مسؤولة عن إدارة المستخدمين وامتيازات وصول المستخدم (بما في ذلك إدارة الهوية والوصول)، وحماية الحسابات السحابية من الوصول غير المصرح به، وتشفير وحماية أصول البيانات المستندة إلى السحابة وإدارة الوضع الأمني للسحابة (الامتثال)، واكتشاف التهديدات وكذلك الاستجابة للحوادث في بيئات السحابة الخاصة بهم.
كما تنشأ العديد من تحديات الأمن السيبراني التقليدية في السحابة، بما في ذلك:
- الهجمات السيبرانية. يمكن الوصول إلى البنى التحتية المستندة إلى السحابة مباشرة من الإنترنت العام، وغالباً ما تكون مهيأة بشكل غير صحيح، مما يجعلها غير آمنة. يحتوي الكثير منها على بيانات حساسة أو قيّمة - مما يجعل عمليات النشر السحابية هدفاً شائعاً (ومربحاً) لمجرمي الإنترنت.
- دخول غير مصرح به. على عكس البنية التحتية المحلية، تعيش عمليات النشر المستندة إلى السحابة خارج محيط شبكة المؤسسة، مما يجعل الوصول إليها أسهل بكثير من الإنترنت العام. وهذا يجعلها ملائمة للموظفين والعملاء - ولكن أيضاً يسهل على مجرمي الإنترنت الوصول إليها.
- اختطاف الحساب تؤدي كلمات المرور الضعيفة أو المعاد استخدامها إلى تفاقم تأثير عمليات الاختطاف والتصيد الاحتيالي واختراق البيانات، مما يجعل من الممكن للمهاجم فتح حسابات متعددة باستخدام كلمة مرور واحدة مسروقة للموظف.
- انخفاض الرؤية. تعمل الموارد المستندة إلى السحابة على بنية تحتية تابعة لجهة خارجية، مما يحد من قدرة المؤسسة على مراقبتها وحمايتها، ويبطئ من عملية اكتشاف التهديدات والاستجابة لها. يجب على فرق تكنولوجيا المعلومات أن تطلب من بائعي السحابة الاطلاع على أكبر قدر ممكن من بيانات التطبيقات "كخدمة" لإبلاغ عملياتهم الأمنية.
- فقدان البيانات أو تسربها. تجعل البيئات المستندة إلى السحابة من السهل مشاركة البيانات - ويصعب الحفاظ عليها آمنة. إن إتاحة الوصول إلى المعلومات لأي شخص لديه رابط يمكن أن يفتح الباب أمام فقدان البيانات أو تسريبها.
- المطلعون الخبيثون في السحابة، تكون العديد من الحلول الأمنية التقليدية أقل فعالية في اكتشاف التهديدات الداخلية الخبيثة.
- هجمات DoS. يمكن أن تؤدي هجمات الحرمان من الخدمة - التي تقترن في كثير من الأحيان بطلبات الفدية - إلى إبطاء أو إيقاف الأنظمة المستهدفة، مما يؤدي إلى تأثير كبير على العمليات اليومية أو أنظمة الأعمال الحيوية أو التطبيقات التي تواجه العملاء.
- خصوصية البيانات وسريتها. تنطبق لوائح حماية البيانات، بما في ذلك اللائحة العامة لحماية البيانات في الاتحاد الأوروبي (GDPR)، وقانون قابلية التأمين الصحي وإمكانية الوصول (HIPAA)، ومعيار أمن بيانات صناعة بطاقات الدفع (PCI DSS) على البيانات المخزنة في السحابة، على الرغم من أن العديد من المؤسسات تفتقر إلى وسائل تأمين وصول الموظفين إلى هذه البيانات.
يعتمد الحل الأفضل لأمن السحابة على نوع البيانات وحساسيتها، وعدد المستخدمين ونوعهم، وبنية السحابة، وتوافر الأدوات المدمجة. بعض أفضل الممارسات:
- التحكم في الوصول والاستخدام. استخدم إدارة الهوية والوصول (IAM) المفصلة والقائمة على السياسات. منح الحد الأدنى من امتيازات الوصول إلى الأصول وواجهات برمجة التطبيقات. استخدم المصادقة الثنائية (2FA) أو المصادقة متعددة العوامل (MFA) للتحقق من هوية المستخدم. تسجيل جميع عمليات الوصول إلى البيانات والتحديثات ومراقبتها. احتضان الثقة الصفرية موقف أمني للتحقق باستمرار من جميع المستخدمين والموارد والتطبيقات.
- كشف التهديدات عند حدوثها. استخدام القواعد والتنبيهات ومعلومات التهديدات لاكتشاف التهديدات المعروفة وغير المعروفة ومعالجتها في الوقت الفعلي، من خلال مقارنة البيانات الداخلية (أنظمة إدارة الأصول والتهيئة وعمليات مسح الثغرات الأمنية) بالبيانات الخارجية (موجزات معلومات التهديدات العامة، وتحديد الموقع الجغرافي).
- تعزيز حماية البيانات. تشفير البيانات أثناء السكون، وأثناء الاستخدام، وأثناء النقل. تأمين مشاركات الملفات والاتصالات. استخدام إدارة المعلومات الأمنية والأحداث الأمنية (SIEM) و الكشف والاستجابة الموسعة (XDR) أدوات لتحليل المصادقة والحدث والأداء واستخدام البيانات والحالات الشاذة والإبلاغ عنها. الحفاظ على الممارسات الجيدة لتخزين البيانات، بما في ذلك الكشف عن المجموعات التي تمت تهيئتها بشكل خاطئ وإنهاء الموارد اليتيمة.
- حماية التطبيقات باستخدام جدران الحماية. استخدم وسائل حماية أمان حافة السحابة، بما في ذلك جدران حماية تطبيقات الويب من الجيل التالي، لفحص جميع حركات المرور من خوادم التطبيقات وإليها والتحكم فيها.
- ضمان رؤية موقع البيانات والتحكم فيه. استخدم الموقع لتحديد ما إذا كان يمكن نسخ أي بيانات معينة إلى مواقع داخل السحابة أو خارجها.
يمكن للمؤسسات تأمين البيانات المستندة إلى السحابة باستخدام أدوات الأمن السيبراني من أجل إدارة الهوية والوصول (بما في ذلك المصادقة متعددة العوامل) و الكشف عن التهديدات والاستجابة لها. بالنسبة لأولئك الذين لديهم إدارة فعالة للهوية والوصول في أماكن العمل وعناصر التحكم في التهديدات داخل الشركة، فإن الخطوة التالية هي توسيع نطاق هذه الحلول لتشمل السحابة. يجب على الشركات الجديدة، أو تلك التي تحتاج إلى ترقية، البحث عن أدوات أمنية تحمي البيانات أينما كانت، سواء كانت في أماكن العمل أو في السحابة.
