تلقت شركة مالية رقمية في الرياض ثمانية وعشرين ملاحظة من الهيئة الوطنية للأمن السيبراني للضابطين 3-1-2 (تصنيف البيانات في السحابة) و3-1-3 (إدارة مفاتيح التشفير) خلال تقييم ضوابط الأمن السيبراني للحوسبة السحابية. لم تكن المشكلة في البنية التقنية — فقد كانت خدمات أمازون السحابية مهيأة بشكل صحيح — بل في التوثيق. كانت الضوابط موثقة في شروط المزود وليس في سياسات الشركة الخاصة، مما جعل المقيّمين غير قادرين على تتبع مصفوفة المسؤولية المشتركة ضوابط السحابة الهيئة الوطنية بوضوح.
في ورشة يومين، بنينا مصفوفة مسؤولية مشتركة تربط كل ضابط فرعي للهيئة بخدمات أمازون الأصلية والإعدادات المهيأة من العميل ومصنوعات الإثبات التي تثبت الطرفين. أُغلقت جميع الملاحظات دون تغيير واحد في البنية التقنية.
تشرح دراسة الحالة هذه بنية المصفوفة وفئات خدمات أمازون الست التي غطتها وصيغة مستودع أدلة الامتثال التي حولت ضوابط أمازون الأصلية إلى أدلة إثبات مقبولة للهيئة.
متى تحتاج إلى مصفوفة مسؤولية مشتركة
تظهر الحاجة إلى مصفوفة مسؤولية مشتركة واضحة عندما تواجه جهة منظمة في المملكة تقييم ضوابط الأمن السيبراني للحوسبة السحابية الصادرة عن الهيئة الوطنية للأمن السيبراني. تتطلب هذه الضوابط من الجهة إثبات أنها تتحكم في أمن بياناتها وتطبيقاتها في السحابة، لكن نموذج الحوسبة السحابية يقسم المسؤوليات بين المزود والعميل بطريقة لا تتطابق دائماً مع بنية الضوابط.
العلامات التي تشير إلى أن الوقت قد حان:
- تلقيتم ملاحظات من المقيّمين تطلب "إثبات التحكم" في ضوابط تعتمدون فيها على خدمات السحابة الأصلية.
- سياساتكم تشير إلى "التزام المزود" أو "وفقاً لشروط الخدمة" دون تحديد أي ضابط تغطيه أي خدمة.
- مهندسو السحابة لديكم يقولون "هذا موجود في أمازون" لكن مسؤولي الامتثال لا يستطيعون ترجمة ذلك إلى أدلة إثبات.
- تواجهون ضوابط فرعية متعددة لضابط واحد (مثل 3-1-2-1 حتى 3-1-2-8) وتحتاجون إلى تحديد أي منها يغطيه المزود وأي منها يغطيه العميل.
- لديكم بنية سحابية معقدة تستخدم خدمات متعددة (تخزين، قواعد بيانات، شبكات، هوية) ولا توجد وثيقة واحدة تربط كل خدمة بالضوابط ذات الصلة.
النتيجة الجيدة تبدو كالتالي: وثيقة واحدة — عادة جدول بيانات أو مصفوفة — تسرد كل ضابط فرعي للهيئة في عمود، وفي الأعمدة المجاورة تحدد أي خدمة سحابية أصلية تغطيه، وأي إعداد أو سياسة يجب على العميل تهيئتها، وأي مصنوع إثبات (لقطة شاشة، تقرير تدقيق، سجل إعدادات) يثبت كلا الطرفين. عندما يطلب المقيّم دليلاً على ضابط معين، يفتح مسؤول الامتثال المصفوفة، يجد الصف المقابل، ويقدم المصنوعات المدرجة — دون الحاجة إلى سؤال مهندس السحابة في كل مرة.
الضابطان 3-1-2 و3-1-3: أين تكمن الصعوبة
الضابط 3-1-2 من ضوابط الأمن السيبراني للحوسبة السحابية يتطلب من الجهة تصنيف البيانات المخزنة في السحابة وفقاً لحساسيتها وتطبيق ضوابط حماية مناسبة. الضابط 3-1-3 يتطلب إدارة مفاتيح التشفير بطريقة تضمن أن الجهة — وليس المزود فقط — تتحكم في الوصول إلى البيانات المشفرة.
في الحالة التي نناقشها، كانت الشركة المالية الرقمية تستخدم ست فئات من خدمات أمازون السحابية:
- Amazon S3 لتخزين الكائنات (ملفات العملاء، السجلات، النسخ الاحتياطية).
- Amazon RDS لقواعد البيانات العلائقية (بيانات المعاملات).
- AWS KMS لإدارة مفاتيح التشفير.
- AWS Secrets Manager لتخزين بيانات الاعتماد والأسرار.
- Amazon CloudWatch Logs لتخزين سجلات التطبيقات والنظام.
- AWS IAM لإدارة الهوية والوصول.
كل خدمة من هذه الخدمات تقدم ضوابط أمان أصلية — التشفير في حالة السكون، التشفير أثناء النقل، التحكم في الوصول، التدقيق — لكن المزود لا يوثق هذه الضوابط بلغة ضوابط الهيئة. وثائق أمازون السحابية تشرح كيف تعمل الخدمة، لكنها لا تقول "هذه الميزة تغطي الضابط 3-1-2-4 من الهيئة الوطنية للأمن السيبراني".
الصعوبة الثانية: بعض الضوابط تتطلب إعدادات من العميل. على سبيل المثال، AWS KMS يوفر خدمة إدارة مفاتيح، لكن العميل يجب أن يهيئ سياسات المفاتيح، ويحدد من يستطيع استخدامها، ويفعّل التدوير التلقائي، ويسجل كل عملية وصول. إذا لم تكن هذه الإعدادات موثقة في سياسة الشركة، يعتبر المقيّم أن الضابط غير مغطى — حتى لو كانت البنية التقنية صحيحة.
ورشة بناء المصفوفة: يومان، ثمانية وعشرون ملاحظة
بدأنا بجمع ثلاث مجموعات من الوثائق:
- قائمة الضوابط الفرعية للضابطين 3-1-2 و3-1-3 من إطار الهيئة.
- قائمة خدمات أمازون السحابية المستخدمة في البنية، مع وثائق الأمان الخاصة بكل خدمة من أمازون.
- قائمة الملاحظات الثمانية والعشرين التي تلقتها الشركة، مع الصياغة الدقيقة لكل ملاحظة.
في اليوم الأول، أجرينا جلسة تخطيط مع مهندسي السحابة ومسؤولي الامتثال. فتحنا كل ضابط فرعي وسألنا ثلاثة أسئلة:
- ما الخدمة السحابية الأصلية التي تغطي هذا الضابط؟
- ما الإعدادات أو السياسات التي يجب على العميل تهيئتها؟
- ما المصنوع الذي يثبت أن كلا الطرفين موجود؟
على سبيل المثال، الضابط الفرعي الذي يتطلب "تشفير البيانات الحساسة في حالة السكون":
- الخدمة الأصلية: Amazon S3 Server-Side Encryption و Amazon RDS Encryption at Rest.
- الإعداد المطلوب من العميل: تفعيل التشفير الافتراضي على كل دلو S3، واختيار مفتاح KMS مُدار من العميل (وليس مفتاح أمازون الافتراضي)، وتهيئة RDS لاستخدام نفس المفتاح.
- المصنوع: لقطة شاشة من إعدادات دلو S3 تظهر "Default encryption: Enabled, AWS KMS key: arn:aws:kms:…"، ولقطة شاشة من إعدادات RDS تظهر "Encryption: Enabled, KMS key ID: …".
في اليوم الثاني، ملأنا المصفوفة. أنشأنا جدول بيانات بالأعمدة التالية:
- رقم الضابط الفرعي (مثل 3-1-2-4).
- نص الضابط الفرعي.
- الخدمة السحابية الأصلية.
- الإعداد المطلوب من العميل.
- المصنوع (نوع الدليل).
- مرجع المصنوع (اسم الملف أو رابط في مستودع الأدلة).
- الحالة (مغطى / جزئي / غير مغطى).
بعد ملء المصفوفة، راجعنا كل ملاحظة من الملاحظات الثمانية والعشرين. في كل حالة، كانت الملاحظة تشير إلى ضابط فرعي معين وتطلب "إثبات التحكم". فتحنا الصف المقابل في المصفوفة، وتحققنا من أن الإعداد موجود في البنية، والتقطنا لقطة الشاشة أو صدّرنا التقرير، وأضفنا المصنوع إلى مستودع الأدلة.
مستودع أدلة الامتثال: الصيغة التي أغلقت الملاحظات
المصفوفة وحدها لا تكفي. المقيّمون يريدون رؤية الأدلة الفعلية. أنشأنا مستودع أدلة الامتثال — مجلد منظم يحتوي على جميع المصنوعات، مع تسمية واضحة تربط كل ملف بالضابط الفرعي المقابل.
الصيغة:
``` /أدلة-الامتثال-السحابة/ /3-1-2-تصنيف-البيانات/ 3-1-2-1_سياسة-تصنيف-البيانات.pdf 3-1-2-2_تقرير-S3-Bucket-Tagging.xlsx 3-1-2-3_لقطة-شاشة-S3-Default-Encryption.png 3-1-2-4_تقرير-RDS-Encryption-Status.pdf ... /3-1-3-إدارة-مفاتيح-التشفير/ 3-1-3-1_سياسة-إدارة-المفاتيح.pdf 3-1-3-2_لقطة-شاشة-KMS-Key-Policy.png 3-1-3-3_تقرير-KMS-Key-Rotation.xlsx 3-1-3-4_سجل-CloudTrail-KMS-API-Calls.json ... ```
كل ملف يحمل اسماً يبدأ برقم الضابط الفرعي، متبوعاً بوصف مختصر. عندما يطلب المقيّم دليلاً على ضابط معين، يفتح مسؤول الامتثال المجلد المقابل ويقدم الملفات ذات الصلة.
الأنواع الأربعة من المصنوعات التي استخدمناها:
- السياسات والإجراءات: وثائق PDF تصف كيف تدير الشركة تصنيف البيانات ومفاتيح التشفير، مع إشارات واضحة إلى خدمات أمازون المستخدمة.
- لقطات الشاشة: صور من وحدة تحكم أمازون السحابية تظهر الإعدادات المهيأة (التشفير، سياسات المفاتيح، علامات التصنيف).
- التقارير المصدّرة: ملفات Excel أو CSV من AWS Config أو AWS Security Hub تسرد حالة الموارد (مثل "جميع دلاء S3 مشفرة").
- سجلات التدقيق: سجلات CloudTrail التي تثبت أن عمليات إدارة المفاتيح (الإنشاء، التدوير، الحذف) مسجلة ومراقبة.
النقطة الحاسمة: كل مصنوع يحمل طابع تاريخ ووقت، ويشير إلى رقم حساب أمازون السحابية (مع إخفاء الأرقام الحساسة)، ويتضمن توقيع المسؤول الذي صدّره. هذا يثبت للمقيّم أن الدليل حقيقي وحديث.
النتيجة: إغلاق ثمانية وعشرين ملاحظة دون تغيير البنية
بعد أسبوعين من الورشة، قدمت الشركة المصفوفة ومستودع الأدلة إلى المقيّمين. أُغلقت جميع الملاحظات الثمانية والعشرين. لم يتغير شيء في البنية التقنية — لم تُضف خدمة جديدة، ولم يُعدّل إعداد واحد. كل ما تغير هو التوثيق: أصبح واضحاً للمقيّمين أن الشركة تتحكم في أمن بياناتها، وأن هذا التحكم موثق ومثبت.
الدروس المستفادة من هذه الحالة:
- المصفوفة أداة تواصل: تربط لغة المهندسين (خدمات أمازون، إعدادات، واجهات برمجة التطبيقات) بلغة المقيّمين (ضوابط، أدلة، امتثال).
- المسؤولية المشتركة تتطلب إثباتاً مزدوجاً: لا يكفي أن تقول "أمازون توفر التشفير"؛ يجب أن تثبت أنك فعّلته وهيأته بشكل صحيح.
- التوثيق المسبق يوفر الوقت: بناء المصفوفة قبل التقييم يحول عملية الامتثال من رد فعل (الإجابة على الملاحظات واحدة تلو الأخرى) إلى استباقية (تقديم جميع الأدلة مقدماً).
خدمة أمن الحوسبة السحابية والتطبيقات
إذا كنتم تستخدمون الحوسبة السحابية العامة — سواء أمازون أو غيرها — وتواجهون تقييم ضوابط الأمن السيبراني للحوسبة السحابية من الهيئة الوطنية للأمن السيبراني، فإن خدمة أمن الحوسبة السحابية والتطبيقات تساعدكم على بناء الحوكمة والأدلة التي تحتاجونها.
تشمل الخدمة تقييم البيئات السحابية وفق ضوابط الهيئة، وبناء نموذج مسؤولية مشتركة محدد لكل خدمة، ومعالجة توطين البيانات والموافقات قبل الانتقال، ودمج الأمن في تصميم التطبيقات وتسليمها.
المخرجات تشمل تقرير تقييم أمن الحوسبة السحابية، ومصفوفة المسؤوليات المشتركة، وسياسة أمن الحوسبة السحابية ومعايير الإعدادات الأساسية، ومعيار التطوير الآمن ونماذج التهديدات، وخارطة المعالجة.
المدة من أربعة إلى ثمانية أسابيع، حسب تعقيد البيئة السحابية وعدد الخدمات المستخدمة.
نقيّم المنصات السحابية العامة الرئيسية ومقدمي الخدمات السحابية المحليين، وفق ضوابط الهيئة ونموذج الأمن الخاص بكل مقدّم.
