ما المقصود بـ «التوثيق متعدد العوامل التكيفي»؟

بدلاً من تطبيق نفس مجموعة خطوات التحقق على كل مستخدم في كل مرة، تقوم تقنية المصادقة متعددة العوامل التكيفية (MFA) بتقييم الإشارات السياقية مثل موثوقية الجهاز، والموقع، والشبكة، وسلوك المستخدم، وحساسية المورد الذي يتم الوصول إليه، ثم تقوم بضبط مستوى التحقق وفقًا لذلك.

تعد المصادقة متعددة العوامل التكيفية (MFA)، التي تُعرف أحيانًا بالمصادقة متعددة العوامل السياقية أو المصادقة المراعية للسياق، تطورًا عن الطريقة التقليدية مصادقة متعددة العوامل صُمم لتطبيق ضوابط أكثر صرامة عندما يبدو الوصول محفوفًا بالمخاطر، وتطبيق إجراءات تحقق أقل صرامة عندما لا يكون الأمر كذلك.

في الإعداد التقليدي للتوثيق متعدد العوامل (MFA)، يواجه كل مستخدم نفس إجراءات المصادقة عند كل عملية تسجيل دخول، بغض النظر عما إذا كان يسجل الدخول من جهاز كمبيوتر محمول مألوف على شبكة الشركة أو من جهاز غير معروف في بلد جديد. ويغير التوثيق متعدد العوامل التكيفي هذا النمط. يقرأ النظام الإشارات السياقية لحظة الوصول ويقرر مستوى التحقق المناسب، بدءًا من تسجيل الدخول السلس للطلبات التي تنطوي بوضوح على مخاطر منخفضة، وصولًا إلى المصادقة المعززة المقاومة للتصيد الاحتيالي لأي شيء يبدو غير عادي أو ينطوي على مخاطر عالية.

والنتيجة هي اتباع نهج أكثر ديناميكية تجاه أمن الوصول. فلا يتم إعاقة المستخدمين الموثوق بهم الذين يمرون بسير العمل الروتيني دون داعٍ، في حين أن الطلبات المشبوهة أو الحساسة تستلزم إجراء تحقق أكثر صرامة قبل منح حق الوصول.

تواجه سياسات المصادقة الثابتة صعوبة في مواكبة واقع بيئة العمل الحديثة. فالموظفون يصلون إلى التطبيقات السحابية من شبكات منازلهم، والمتعاقدون يتصلون من أجهزة غير خاضعة للإدارة، والمستخدمون ذوو الصلاحيات الخاصة يتعاملون مع الأنظمة الحساسة من مجموعة متنوعة من المواقع والأجهزة. ومعاملة كل حالة من حالات الوصول هذه بنفس الطريقة إما أن تثقل كاهل المستخدمين بطلبات تأكيد غير ضرورية، أو أن تترك الطلبات عالية المخاطر دون الحماية الكافية.

تعالج تقنية المصادقة متعددة العوامل التكيفية (MFA) هاتين المشكلتين في آن واحد. وينص على ما يلي:

• توفير حماية أقوى لمحاولات الوصول عالية المخاطر، حيث قد تؤدي بيانات الاعتماد المخترقة إلى أضرار مادية
• تسهيلات أكبر للمستخدمين الموثوق بهم، الذين يمكنهم إتمام عمليات تسجيل الدخول الروتينية بأقل قدر من المقاطعة
• تحقيق توازن أفضل بين سهولة الاستخدام والأمان، مما يقلل من التنازلات بين تجربة المستخدم والتحكم في الوصول
• دعم الثقة الصفرية استراتيجيات الوصول، التي تتطلب التحقق المستمر بدلاً من الثقة لمرة واحدة عند تسجيل الدخول
• تحسين الرقابة على الوصول إلى الموارد الحساسة، لضمان أن تحظى الأنظمة والبيانات الأكثر قيمة بأقوى إجراءات المصادقة

بالنسبة لقادة الأمن، يمثل التوثيق متعدد العوامل التكيفي تحولاً من مفهوم التحكم في الوصول باعتباره بوابة ثابتة إلى مفهوم التحكم في الوصول باعتباره عملية اتخاذ قرار مستمرة ومراعية للسياق.

تعمل المصادقة متعددة العوامل التكيفية (MFA) من خلال جمع معلومات سياقية حول كل طلب وصول، وتقييم ما إذا كان هذا السياق ينطوي على مخاطر مرتفعة، ثم تطبيق المستوى المناسب من المصادقة. وتتم هذه العملية في الوقت الفعلي، وغالبًا دون أن يلاحظ المستخدم ذلك.

يقوم بتقييم سياق تسجيل الدخول

عندما يبدأ المستخدم عملية تسجيل الدخول، يقوم النظام بجمع معلومات حول الطلب. وتشمل هذه المعلومات الجهاز المستخدم، والشبكة وعنوان IP، وموقع المستخدم ووقت الوصول، والتطبيق أو المورد المطلوب، وسجل المصادقة الأخير. وتشكل هذه الإشارات مجتمعةً صورةً لسياق الوصول.

يحدد المستوى المناسب من الضمان

يقوم النظام بمقارنة هذا السياق مع الأنماط المتوقعة والحدود المحددة في السياسات. فعادةً ما يتطلب المستخدم المعروف الذي يستخدم جهازًا خاضعًا للإدارة للوصول إلى تطبيق ذي حساسية منخفضة مستوى ضمان أقل. أما المستخدم ذو الامتيازات الذي يصل إلى نظام خاضع للتنظيم من موقع غير مألوف، فيتطلب مستوى ضمان أعلى. وتستخدم حلول المصادقة متعددة العوامل (MFA) التكيفية الحديثة التعلم الآلي وتحليلات السلوك لتحسين هذه التقييمات بمرور الوقت.

يؤدي إلى تفعيل المصادقة المعززة

عندما يستدعي السياق إجراء تحقق إضافي، يطلب النظام من المستخدم تقديم عامل مصادقة أقوى أو إضافي. وقد يكون ذلك في شكل إشعار فوري يُرسل إلى جهاز مسجل، أو رمز مرور لمرة واحدة، أو فحص بيومتري، أو أداة مصادقة مادية مقاومة للتصيد الاحتيالي تُستخدم في مصادقة بدون كلمة مرور عمليات النشر. ولا يتم التوسع إلا عندما يضيف ذلك قيمة أمنية ملموسة.

يساعد على تقليل المطالبات غير الضرورية

بالنسبة للطلبات التي تستوفي بوضوح عتبة التأكيد، تسمح المصادقة متعددة العوامل التكيفية (MFA) بمواصلة عملية الوصول دون الحاجة إلى خطوات إضافية. وهذا يقلل من إرهاق المستخدمين الناتج عن المطالبات المتكررة، ويخفض حجم الطلبات الواردة إلى مكتب الدعم الفني، ويحافظ على إنتاجية المستخدمين، مع الاستمرار في فرض المصادقة القوية في الحالات التي تتطلب ذلك.

يمكن لنظام المصادقة متعددة العوامل التكيفي (MFA) الاستفادة من مجموعة واسعة من الإشارات السياقية. وتشمل العوامل الأكثر شيوعًا التي تستدعي إجراء عملية تحقق أكثر صرامة ما يلي:

• الأجهزة الجديدة أو غير المعروفة: عندما يقوم مستخدم بتسجيل الدخول من جهاز لم يسبق للنظام أن رآه من قبل، فإن هذا التغيير في الوضع قد يزيد من المخاطر ويستدعي إجراء تحقق إضافي قبل اعتبار الجهاز الجديد موثوقًا به.
• المواقع غير المعتادة أو أنماط السفر غير المعتادة: تعد عمليات تسجيل الدخول من بلدان غير مألوفة، أو حالات السفر المستحيلة التي يظهر فيها المستخدم في موقعين متباعدين خلال فترة زمنية قصيرة، مؤشرات قوية على تعرض بيانات اعتماد المستخدم للاختراق.
• الشبكات غير الموثوق بها أو عناوين IP المشبوهة: قد يؤدي الوصول من شبكات إخفاء الهوية، أو نطاقات عناوين IP المعروفة بخطورتها، أو شبكات Wi-Fi غير الخاضعة للإدارة إلى فرض متطلبات مصادقة أكثر صرامة.
• سلوك غير طبيعي عند تسجيل الدخول: قد تشير أي انحرافات عن النمط المعتاد لتسجيل دخول المستخدم — مثل أوقات غير معتادة من اليوم، أو تسلسلات غير معتادة من الإجراءات، أو سرعة وصول غير متوقعة — إلى وجود خلل ما.
• الوصول إلى التطبيقات أو البيانات الحساسة: تعد حساسية المورد المطلوب عاملاً لا يقل أهمية عن هوية المستخدم الذي يطلبه. فالأنظمة المالية وبيانات الموارد البشرية ومستودعات الكود المصدري والمعلومات الخاضعة للتنظيم تستلزم إجراءات تحقق أكثر صرامة، بغض النظر عن مدى المصداقية التي يبدو عليها المستخدم في الظاهر.
• الحسابات ذات الامتيازات أو أدوار المستخدمين ذات الصلاحيات الموسعة: يمثل المسؤولون والمديرون التنفيذيون والمستخدمون الآخرون الذين يتمتعون بصلاحيات عالية خطرًا أكبر في حالة تعرض حساباتهم للاختراق، لذا قد تتطلب المصادقة متعددة العوامل التكيفية مصادقة أقوى لهذه الأدوار بشكل افتراضي.

يكمن الفرق بين المصادقة متعددة العوامل (MFA) التقليدية والمصادقة متعددة العوامل التكيفية (adaptive MFA) في السياق.

تطبق طريقة المصادقة متعددة العوامل (MFA) التقليدية نفس عملية المصادقة في كل عملية تسجيل دخول. وسواء كان المستخدم يسجل الدخول من جهاز كمبيوتر محمول تابع للشركة وخاضع للإدارة عبر شبكة مألوفة في الساعة 10:00 صباحًا، أو من جهاز غير معروف في بلد آخر في الساعة 3:00 صباحًا، فإن خطوات التحقق تكون متطابقة. هذا الاتساق سهل التنفيذ والتوضيح، لكنه ينطوي على عيبين عمليين. فالمستخدمون ذوو المخاطر المنخفضة يواجهون عوائق لا داعي لها، في حين أن الطلبات عالية المخاطر لا تخضع لأي تدقيق إضافي.

التوثيق متعدد العوامل التكيفي مثل الذكاء الاصطناعي للمخاطر RSA تقوم بتعديل المتطلبات بناءً على السياق في الوقت الفعلي. فقد يتمكن المستخدم نفسه من إتمام عملية تسجيل دخول منخفضة المخاطر بسهولة في الصباح، ثم يواجه مصادقة معززة في وقت لاحق من اليوم نفسه عند وصوله إلى تطبيق حساس من جهاز جديد. وبذلك تصبح سياسة المصادقة قادرة على الاستجابة للمخاطر الفعلية لكل عملية وصول.

وتتمثل الفائدة العملية في تحكم أقوى دون نفس المستوى من الإرهاق السريع. يواجه المستخدمون عددًا أقل من التحديات بشكل عام، لكن التحديات التي يواجهونها تكون أكثر فاعلية وأصعب على المهاجمين تجاوزها. ويُعد هذا النهج القائم على السياق أيضًا أساسًا لـ المصادقة القائمة على المخاطر, ، والذي يستخدم نفس أنواع الإشارات لتوجيه قرارات الوصول على نطاق أوسع في إطار برنامج الهوية.

توضح بعض السيناريوهات القصيرة كيف تعمل تقنية MFA التكيفية في الواقع العملي.

يقوم موظف موثوق به بتسجيل الدخول من جهاز خاضع للإدارة

يقوم المستخدم بتسجيل الدخول من جهاز كمبيوتر محمول معروف، عبر شبكة معترف بها، خلال ساعات العمل المعتادة. ونظرًا لأن السياق يبدو منخفض المخاطر، فقد يسمح النظام بالوصول بأقل قدر ممكن من العوائق الإضافية.

وردت محاولة تسجيل دخول من بلد جديد

يحاول أحد المستخدمين الوصول إلى تطبيق عمل من موقع لم يسبق له تسجيل الدخول منه من قبل. وقد تتطلب المصادقة متعددة العوامل التكيفية (MFA) إجراء تحقق أكثر صرامة، مثل عامل مقاوم للتصيد الاحتيالي أو فحص بيومتري، قبل منح حق الوصول.

يطلب مسؤول يتمتع بصلاحيات خاصة الوصول إلى نظام حساس

حتى في حالة معرفة الجهاز والشبكة، قد يتطلب النظام مصادقة معززة لأن المورد المطلوب ينطوي على مخاطر أكبر. ويؤدي كل من الدور والمورد معًا إلى رفع عتبة الضمان.

يُظهر أحد المستخدمين سلوكًا غير معتاد أثناء تسجيل الدخول

إذا اختلفت طريقة تسجيل الدخول عن النمط المعتاد، مثل وجود تسلسل غير معتاد لمحاولات الوصول أو توقيت غير معتاد، فإن المصادقة متعددة العوامل التكيفية (MFA) يمكنها رفع متطلبات التأكيد أو وضع علامة على الجلسة لإخضاعها لمراجعة إضافية.

يقوم أحد المقاولين بالوصول إلى تطبيق سحابي حيوي من جهاز غير خاضع للإدارة

يمكن للنظام تطبيق قواعد مصادقة أكثر صرامة لأن سياق الجهاز والمستخدم لا يستوفيان نفس عتبة الثقة التي تستوفيها نقطة النهاية الخاصة بالقوى العاملة الخاضعة للإدارة. وغالبًا ما يستلزم وصول الأطراف الخارجية سياسات تكيفية متميزة.

• يقلل من الاحتكاك للمستخدمين ذوي المخاطر المنخفضة: تتم عمليات تسجيل الدخول الروتينية دون الحاجة إلى خطوات إضافية تذكر، مما يحافظ على الإنتاجية ويقلل من إحباط المستخدمين.
• يعزز الإجراءات الدفاعية عندما يبدو النشاط مريبًا: يتم تطبيق المصادقة المتدرجة في الأماكن الحيوية، مما يجعل تنفيذ الهجمات التي تستهدف بيانات الاعتماد أكثر صعوبة بشكل ملحوظ.
• يدعم سياسات وصول أكثر كفاءة: يمكن لفرق الأمن تجاوز القواعد الموحدة التي تنطبق على الجميع، وتصميم سياسات تتناسب مع الملامح الفعلية للمخاطر التي تواجه المستخدمين والأجهزة والموارد.
• يساعد في حماية الأنظمة والبيانات الحساسة: تخضع الموارد عالية القيمة لعملية تحقق أكثر صرامة بغض النظر عن مستوى الثقة السابق للمستخدم، مما يقلل من تأثير بيانات الاعتماد المخترقة.
• يحسّن تجربة المستخدم دون المساس بالأمن: يلاحظ المستخدمون عددًا أقل من المطالبات بشكل عام، كما أن المطالبات التي يراها المستخدمون ترتبط ارتباطًا واضحًا بالمخاطر المرتفعة، مما يسهم في تحسين معدل تبني النظام ومستوى الأمان على حد سواء.

يوفر نظام المصادقة متعددة العوامل التكيفي (MFA) مزايا كبيرة، لكن نجاح تطبيقه يتطلب التخطيط. وينبغي على مسؤولي الأمن توقع التحديات التالية.

• قد يكون ضبط السياسات أمرًا معقدًا: يستغرق تحديد العتبات والإشارات ومتطلبات التدرج المناسبة وقتًا وعمليات تكرارية، لا سيما في البيئات الكبيرة أو المتنوعة.
• قد تؤدي رداءة جودة الإشارة إلى ظهور نتائج إيجابية خاطئة: إذا كانت البيانات السياقية غير مكتملة أو غير موثوقة، فقد يقوم النظام بتوجيه تحذيرات غير ضرورية للمستخدمين أو يتجاهل تهديدات حقيقية.
• قد تؤدي التجارب المتباينة للمستخدمين إلى إحداث ارتباك: عندما يواجه المستخدمون مطالبات مختلفة في أوقات مختلفة، فإن التواصل الواضح أمر ضروري لتجنب زيادة حجم الطلبات الواردة إلى مكتب الدعم وإحباط المستخدمين.
• لا تزال طرق المصادقة الضعيفة تشكل خطرًا: لا تضيف المصادقة متعددة العوامل التكيفية (MFA) قيمة إلا عندما تكون العوامل الأساسية قوية. أما العوامل المعرضة للتصيد الاحتيالي، مثل رمز التوثيق لمرة واحدة (OTP) المرسل عبر الرسائل القصيرة، فلا يزال من الممكن التحايل عليها بغض النظر عن مدى ذكاء تطبيقها.
• تعد الشفافية والحوكمة عاملين أساسيين لتحقيق النجاح على المدى الطويل: وبدون إمكانية التدقيق، وتوثيق السياسات، والمراجعة المستمرة، قد تنحرف السياسات التكيفية عن مسارها، مما يترك ثغرات يمكن للمهاجمين استغلالها.

لا يقتصر تطبيق المصادقة متعددة العوامل التكيفية (MFA) على مجرد تفعيل المزيد من مطالبات تسجيل الدخول فحسب. بل يتعين على قادة الأمن تحديد المجالات التي تحقق فيها السياسات التكيفية أكبر قيمة، والإشارات التي يمكن الاعتماد عليها، وكيفية تحقيق التوازن بين توفير حماية أقوى وتجربة المستخدم. وتستند عمليات النشر الأكثر نجاحًا إلى اتخاذ القرارات التشغيلية، والتصميم الدقيق للسياسات، والتطبيق المُدار بدلاً من التفعيل الشامل.

ابدأ بالمستخدمين والموارد الأكثر عرضة للمخاطر

ابدأ بالحسابات ذات الصلاحيات المتميزة، وسير عمل الوصول عن بُعد، والتطبيقات التجارية الحساسة، والبيانات عالية القيمة. إن التركيز أولاً على المجموعات والموارد التي قد يتسبب اختراقها في أكبر قدر من الضرر يجعل تبرير تنفيذ الإجراءات أسهل، ويقلل من احتمال الإفراط في تعقيد السياسات في السيناريوهات منخفضة المخاطر.

حدد الإشارات الأكثر أهمية في بيئتك

ركز على المؤشرات العملية مثل الأجهزة الخاضعة للإدارة مقابل الأجهزة غير الخاضعة للإدارة، والموظفين مقابل مستخدمي الأطراف الثالثة، والمواقع الجغرافية غير المعتادة، وعناوين IP المشبوهة، ورحلات السفر غير المعقولة، والوصول إلى الموارد الخاضعة للتنظيم أو الحساسة. لا تتمتع كل مؤشر بنفس الدرجة من الموثوقية في كل بيئة، لذا من المفيد التحقق من جودة المؤشر قبل وضع سياسة بناءً عليه.

ضع السياسات بناءً على المخاطر التجارية، وليس فقط بناءً على أحداث تسجيل الدخول

لا يقتصر الهدف من تقنية المصادقة متعددة العوامل التكيفية (MFA) على مجرد زيادة عدد المرات التي يُطلب فيها من المستخدمين إثبات هويتهم. بل يتمثل الهدف في تطبيق إجراءات رقابة أكثر صرامة في الحالات التي قد يؤدي فيها اختراق الجلسة إلى مخاطر جوهرية على مستوى الأعمال أو العمليات أو الامتثال. لذا، يجب صياغة قرارات السياسة بناءً على ما يتم حمايته، وليس فقط على ما يتم تسجيل الدخول إليه.

استخدم المصادقة المتدرجة بشكل استراتيجي

احتفظ بعمليات التحقق الأكثر صرامة للحالات التي يتطلبها السياق. فهذا يساعد على تقليل إجهاد المستخدم من المطالبات، ويحافظ على ثقة المستخدم في النظام، ويتجنب تكرار نفس التجربة المزعجة لكل مستخدم وكل تطبيق.

تنسيق جهود فرق الأمن وإدارة الهوية والوصول (IAM) والامتثال في مرحلة مبكرة

غالبًا ما يفشل التنفيذ عندما تُوضع السياسات في إطار منعزل. ويحتاج قادة الأمن إلى مدخلات من أقسام إدارة الهوية والوصول (IAM) وعمليات تكنولوجيا المعلومات ومالكي التطبيقات وأصحاب المصلحة المعنيين بالامتثال، من أجل تحديد عتبات المخاطر المقبولة ومسارات التصعيد وكيفية التعامل مع الاستثناءات قبل التنفيذ على نطاق واسع.

تحديد الأماكن التي يتطلب فيها الوصول درجة عالية من الأمان

تحديد المستخدمين والأنظمة وسير العمل التي تحتاج إلى تدابير تحقق أكثر صرامة بناءً على التأثير على الأعمال، ودرجة الحساسية، ومتطلبات الامتثال. وينبغي تقييم الحسابات ذات الصلاحيات الخاصة، وأنظمة الإنتاج، والتطبيقات الحساسة، والبيانات الخاضعة للتنظيم، والبنية التحتية الحيوية، للتأكد من استيفائها لمتطلبات الضمان المعززة كجزء من استراتيجية المصادقة متعددة العوامل (MFA) التكيفية.

تجربة النظام وقياسه وضبطه قبل طرحه على نطاق واسع

يقلل النشر التدريجي من المخاطر. ابدأ بمجموعة محدودة من المستخدمين، وراجع حالات الإيجابية الكاذبة، وراقب الصعوبات التي يواجهها المستخدمون، وقم بتعديل السياسات قبل توسيع نطاق التطبيق ليشمل المؤسسة بأكملها. توقع الحاجة إلى صقل السياسات مرارًا وتكرارًا خلال الأشهر الأولى بعد الإطلاق.

خطة الرؤية والحوكمة

تعد قابلية التدقيق والرقابة التشغيلية أمرين لا يقلان أهمية عن السياسات نفسها. لذا، يجب توثيق السياسات، وتحديد المسؤوليات، ووضع جداول زمنية لتقديم التقارير، وبناء عملية للتعامل مع الاستثناءات والمراجعة المستمرة. وتكون المصادقة متعددة العوامل التكيفية (MFA) في أقصى درجات فعاليتها عندما تُدار كبرنامج متطور ومتجدد، وليس كإعداد يتم مرة واحدة فقط.

لا تُعد المصادقة متعددة العوامل التكيفية (MFA) مجرد طريقة أكثر ذكاءً لطلب المصادقة فحسب، بل هي طريقة عملية لتعزيز أمن الهوية دون إثارة أي عقبات في كل طلب وصول. ومن خلال الاستجابة للسياق في الوقت الفعلي، تساعد هذه التقنية المؤسسات على تطبيق المستوى المناسب من التحقق على كل عملية وصول على حدة، وتحسين التحكم في الأنظمة الحساسة، ومواءمة عملية المصادقة مع أهداف «نموذج الثقة الصفرية» (Zero Trust) وأهداف الوصول الآمن الأوسع نطاقاً.

تكون تقنية المصادقة متعددة العوامل التكيفية (MFA) أكثر فعالية عندما تعمل كجزء من استراتيجية هوية أوسع نطاقًا. تساعد RSA المؤسسات على ربط الوصول الآمن بإدارة الهوية وضوابط دورة الحياة، بهدف تحسين الرؤية، وفرض السياسات، ودعم حماية أكثر اتساقًا عبر البيئات السحابية والمختلطة. اكتشف المزيد حل RSA للحوكمة ودورة الحياة لمعرفة كيفية تضافر كل من الوصول الآمن وإدارة الهوية.