يواجه مسؤولو أمن المعلومات في الجهات الخاضعة لإشراف الهيئة الوطنية للأمن السيبراني تحدياً متكرراً عند تقييم مزودي الخدمات السحابية: تستهلك استبيانات الموردين أسابيع من المتابعة، وتنتج إجابات عامة غالباً ما تكون مصاغة بعبارات تسويقية لا تتوافق مع متطلبات منهجية تقييم أمن الحوسبة السحابية ضوابط الهيئة الوطنية المحددة. عندما يصل الاستبيان أخيراً، يجد فريق الأمن نفسه أمام مجموعة من الشهادات الدولية والوعود التعاقدية دون أدلة فنية قابلة للقياس تدعم قرار الانتقال أو التوقف.
تفرض ضوابط الأمن السيبراني للحوسبة السحابية الصادرة عن الهيئة الوطنية للأمن السيبراني على الجهات الخاضعة لها تقييم مزودي الخدمات السحابية قبل الانتقال، والتحقق من توطين البيانات، وتوثيق نموذج المسؤولية المشتركة، وإدارة المخاطر المتبقية بوضوح. هذه المتطلبات لا تُستوفى بإجابات عامة، بل تحتاج إلى أدلة فنية محددة: إعدادات فعلية، بنود تعاقدية مراجعة، وسجل مخاطر موثّق يمكن عرضه على مجلس الإدارة.
يشرح هذا المقال منهجيتنا من ثلاث مراحل لتقييم مزودي الخدمات السحابية وفق ضوابط الحوسبة السحابية، موضحاً بالتحديد الأدلة التي يتلقاها العميل في كل مرحلة وكيف يدعم سجل المخاطر النهائي قرارات المتابعة أو التوقف دون انتظار ردود الموردين.
لماذا تفشل استبيانات الموردين في تلبية متطلبات ضوابط الحوسبة السحابية
تعتمد معظم الجهات على إرسال استبيان موحد إلى مزود الخدمة السحابية يتضمن أسئلة عامة حول الأمن والامتثال. المشكلة الأولى هي أن الإجابات تأتي من فريق المبيعات أو الامتثال لدى المزود، وليس من الفريق الفني الذي يدير البنية التحتية الفعلية. المشكلة الثانية هي أن الإجابات تصف ما يمكن للمنصة أن تفعله، وليس ما هو مُفعّل بالفعل في البيئة التي ستستخدمها الجهة.
عندما تطلب الهيئة الوطنية للأمن السيبراني توثيق نموذج المسؤولية المشتركة، فإنها تتوقع جدولاً محدداً يوضح من يتحمل مسؤولية كل ضابط أمني في كل خدمة سحابية مستخدمة. استبيان عام لا ينتج هذا المستوى من التفصيل. وعندما تطلب الضوابط التحقق من توطين البيانات، فإن الإجابة "نعم، نوفر مراكز بيانات في المملكة" لا تكفي؛ يجب التحقق من إعدادات الموقع الجغرافي الفعلية وقيود النسخ الاحتياطي وسياسات الدعم الفني.
المرحلة الأولى: المراجعة الآلية للإعدادات عبر واجهة برمجية
تبدأ المنهجية بجمع أدلة فنية مباشرة من البيئة السحابية المرشحة، بدلاً من الاعتماد على ما يقوله المزود عن نفسه. نطلب من العميل منح وصول محدود للقراءة فقط إلى واجهة برمجة التطبيقات الخاصة بالمنصة السحابية، ثم نستخدم أدوات مراجعة آلية لفحص الإعدادات الفعلية مقابل متطلبات ضوابط الحوسبة السحابية.
تستغرق هذه المرحلة أسبوعاً واحداً وتشمل:
فحص إعدادات الهوية والوصول: مراجعة سياسات المصادقة متعددة العوامل، صلاحيات الحسابات المميزة، سياسات كلمات المرور، وإعدادات الوصول المشروط. تتطلب ضوابط الحوسبة السحابية تطبيق مبدأ الصلاحيات الدنيا وتوثيق جميع الوصولات المميزة؛ نوثق الإعدادات الفعلية ونحدد الفجوات.
فحص إعدادات الشبكة والعزل: مراجعة تقسيم الشبكات الافتراضية، قواعد جدران الحماية، إعدادات نقاط النهاية العامة، وسياسات الاتصال بين الخدمات. نتحقق من أن البيئة لا تسمح بوصول غير مقيد من الإنترنت العام وأن الخدمات الحساسة معزولة.
فحص إعدادات التشفير وحماية البيانات: مراجعة تفعيل التشفير أثناء النقل والتخزين، إدارة المفاتيح، إعدادات النسخ الاحتياطي، وسياسات الاحتفاظ. نتحقق من أن جميع البيانات المصنفة وفق نظام حماية البيانات الشخصية محمية بالتشفير المناسب.
فحص إعدادات السجلات والمراقبة: مراجعة تفعيل سجلات المراجعة، مدة الاحتفاظ بها، إعدادات التنبيهات، وتكامل أدوات المراقبة. تتطلب الضوابط الاحتفاظ بسجلات الأحداث الأمنية لمدة محددة؛ نوثق الإعدادات الحالية ونحدد ما يحتاج إلى تعديل.
فحص إعدادات الموقع الجغرافي: مراجعة مواقع الموارد الفعلية، قيود النسخ الاحتياطي الجغرافية، وإعدادات خدمات الشبكة العالمية. هذا الفحص حاسم للامتثال لمتطلبات توطين البيانات التي تفرضها الهيئة الوطنية للأمن السيبراني على الجهات الحكومية والبنية التحتية الحرجة.
يشارك في هذه المرحلة من جانب العميل مهندس الحوسبة السحابية أو مسؤول النظام الذي يمنح الوصول المحدود، ومسؤول أمن المعلومات الذي يراجع النتائج الأولية. في نهاية الأسبوع الأول، يتلقى العميل تقريراً فنياً يتضمن لقطات شاشة للإعدادات الفعلية، قائمة بالفجوات مقابل كل ضابط من ضوابط الحوسبة السحابية، وتصنيف أولي للمخاطر.
المرحلة الثانية: تحليل فجوات بنود العقد ونموذج المسؤولية المشتركة
الإعدادات الفنية وحدها لا تكفي. تتطلب ضوابط الحوسبة السحابية توثيق المسؤوليات التعاقدية بوضوح: من يتحمل مسؤولية كل ضابط أمني، وماذا يحدث عند حادثة أمنية، وكيف يتم التعامل مع طلبات الجهات التنظيمية، وما هي حقوق المراجعة المتاحة للعميل.
تستغرق هذه المرحلة أسبوعاً إلى أسبوعين وتشمل:
مراجعة اتفاقية مستوى الخدمة: تحليل التزامات المزود بشأن وقت التشغيل، وقت الاستجابة للحوادث، إجراءات الإخطار، والتعويضات. نقارن هذه الالتزامات بمتطلبات استمرارية الأعمال الخاصة بالعميل ونحدد الفجوات.
مراجعة بنود الأمن والخصوصية: تحليل التزامات المزود بحماية البيانات، إجراءات الإخطار عند الاختراق، حقوق المراجعة، والامتثال للأنظمة المحلية. نتحقق من أن العقد يتضمن بنوداً صريحة حول الامتثال لنظام حماية البيانات الشخصية وضوابط الحوسبة السحابية.
مراجعة بنود توطين البيانات والسيادة: تحليل الالتزامات التعاقدية بشأن موقع البيانات، قيود النقل عبر الحدود، وإجراءات التعامل مع طلبات الجهات الأجنبية. هذا البند حاسم للجهات الخاضعة لمتطلبات التوطين الصارمة.
مراجعة بنود إنهاء الخدمة واسترجاع البيانات: تحليل إجراءات استرجاع البيانات عند إنهاء العقد، مدة الاحتفاظ بالبيانات بعد الإنهاء، وضمانات الحذف الآمن. تتطلب الضوابط توثيق هذه الإجراءات قبل الانتقال.
بناء مصفوفة المسؤولية المشتركة: بناءً على الإعدادات الفنية والبنود التعاقدية، نبني جدولاً محدداً يوضح لكل ضابط من ضوابط الحوسبة السحابية من يتحمل المسؤولية: المزود، العميل، أو مسؤولية مشتركة. هذه المصفوفة هي الوثيقة المحورية التي تطلبها الهيئة الوطنية للأمن السيبراني عند مراجعة الامتثال.
يشارك في هذه المرحلة من جانب العميل مدير تقنية المعلومات أو مدير العقود الذي يوفر نسخة من اتفاقية الخدمة، المستشار القانوني الذي يراجع التحليل التعاقدي، ومسؤول أمن المعلومات الذي يوافق على مصفوفة المسؤولية المشتركة. في نهاية هذه المرحلة، يتلقى العميل تقرير تحليل العقد مع الفجوات المحددة، ومصفوفة المسؤولية المشتركة الموثقة، وقائمة بالبنود التعاقدية التي يجب التفاوض عليها قبل التوقيع.
المرحلة الثالثة: قياس المخاطر المتبقية وبناء سجل المخاطر
بعد جمع الأدلة الفنية والتعاقدية، تأتي المرحلة الأخيرة: قياس المخاطر التي ستبقى بعد الانتقال إلى المزود السحابي، وتوثيقها في سجل مخاطر جاهز لعرضه على مجلس الإدارة أو اللجنة التنفيذية.
تستغرق هذه المرحلة أسبوعاً إلى أسبوعين وتشمل:
تحديد المخاطر المتبقية: لكل فجوة محددة في المرحلتين السابقتين، نقيّم المخاطرة المحتملة على العميل. نأخذ في الاعتبار طبيعة البيانات التي ستُخزن في السحابة، تصنيفها وفق نظام حماية البيانات الشخصية، والأنظمة الحرجة التي ستعتمد على المنصة السحابية.
تقييم احتمالية المخاطر وأثرها: نستخدم منهجية تقييم المخاطر المعتمدة لدى العميل، أو نطبق إطار عمل ISO 27005 إذا لم يكن لدى العميل منهجية محددة. نقيّم كل مخاطرة من حيث الاحتمالية والأثر المالي والتشغيلي والتنظيمي.
تحديد خيارات المعالجة: لكل مخاطرة، نقترح خيارات المعالجة المتاحة: ضوابط تقنية إضافية يمكن تطبيقها، بنود تعاقدية يجب التفاوض عليها، إجراءات تشغيلية يجب توثيقها، أو قبول المخاطرة مع التوثيق. نحدد المسؤول عن كل إجراء والإطار الزمني المتوقع.
بناء سجل المخاطر: نوثق جميع المخاطر المحددة في سجل موحد يتضمن: وصف المخاطرة، الضابط المرتبط من ضوابط الحوسبة السحابية، التقييم الكمي، خيارات المعالجة، المسؤول، والحالة. هذا السجل يصبح الوثيقة الحية التي تُراجع دورياً بعد الانتقال.
إعداد خارطة المعالجة: نبني جدولاً زمنياً واضحاً يوضح الإجراءات المطلوبة قبل الانتقال، والإجراءات التي يمكن تأجيلها إلى ما بعد الانتقال مع قبول المخاطرة المؤقتة، والإجراءات المستمرة التي يجب دمجها في العمليات اليومية.
يشارك في هذه المرحلة من جانب العميل مسؤول أمن المعلومات الذي يراجع تقييم المخاطر، مدير تقنية المعلومات الذي يوافق على خارطة المعالجة، ومدير المخاطر أو الامتثال الذي يتحقق من توافق السجل مع إطار إدارة المخاطر المؤسسية. في نهاية هذه المرحلة، يتلقى العميل سجل المخاطر الكامل، خارطة المعالجة الموثقة، وتقرير تقييم أمن الحوسبة السحابية النهائي الجاهز لعرضه على مجلس الإدارة.
ما يتلقاه العميل في نهاية المنهجية
تستغرق المنهجية الكاملة من أربعة إلى ثمانية أسابيع حسب عدد المنصات السحابية المُقيّمة وتعقيد البيئة. يتلقى العميل في النهاية:
تقرير تقييم أمن الحوسبة السحابية: وثيقة شاملة توثق جميع الأدلة الفنية والتعاقدية المجمعة، الفجوات المحددة مقابل ضوابط الحوسبة السحابية، وتقييم المخاطر الكامل. هذا التقرير يُقدم إلى مجلس الإدارة أو اللجنة التنفيذية لدعم قرار الانتقال أو التوقف.
مصفوفة المسؤوليات المشتركة: جدول محدد لكل خدمة سحابية مستخدمة يوضح من يتحمل مسؤولية كل ضابط أمني. هذه الوثيقة تُستخدم عند مراجعات الامتثال التي تجريها الهيئة الوطنية للأمن السيبراني.
سياسة أمن الحوسبة السحابية ومعايير الإعدادات الأساسية: وثيقة سياسة جاهزة للاعتماد توثق المتطلبات الأمنية للاستخدام الآمن للخدمات السحابية، ومعايير فنية محددة للإعدادات الأساسية التي يجب تطبيقها على جميع الموارد السحابية.
خارطة المعالجة: جدول زمني واضح يوضح الإجراءات المطلوبة، المسؤول عن كل إجراء، والإطار الزمني المتوقع. هذه الخارطة تتحول إلى خطة عمل تنفيذية بعد الموافقة على الانتقال.
سجل المخاطر الحي: وثيقة قابلة للتحديث توثق جميع المخاطر المحددة وحالة معالجتها. هذا السجل يُراجع دورياً ويُحدّث عند أي تغيير في البيئة السحابية أو في ضوابط الهيئة الوطنية للأمن السيبراني.
الفرق بين الأدلة الفعلية والإجابات العامة
الفارق الأساسي في هذه المنهجية هو أن العميل يحصل على أدلة فنية قابلة للقياس بدلاً من إجابات عامة. عندما يُسأل المزود "هل تطبقون التشفير؟"، الإجابة دائماً "نعم". عندما نفحص الإعدادات الفعلية، نوثق أن خدمة التخزين الفلانية لديها التشفير مُفعّلاً باستخدام خوارزمية AES-256 مع إدارة المفاتيح عبر خدمة محلية، بينما خدمة قواعد البيانات الفلانية لديها التشفير مُعطّلاً افتراضياً ويحتاج إلى تفعيل يدوي.
هذا المستوى من التفصيل هو ما تحتاجه لجان المخاطر ومجالس الإدارة لاتخاذ قرارات مستنيرة، وهو ما تتوقعه الهيئة الوطنية للأمن السيبراني عند مراجعة امتثال الجهات الخاضعة لضوابط الحوسبة السحابية.
كيف تدعم المنهجية قرارات المتابعة أو التوقف
في نهاية التقييم، يواجه العميل أحد ثلاثة سيناريوهات:
السيناريو الأول: المزود السحابي يستوفي معظم الضوابط، والفجوات المحددة يمكن معالجتها بإعدادات إضافية أو إجراءات تشغيلية. سجل المخاطر يوثق مخاطر متبقية منخفضة إلى متوسطة يمكن قبولها. القرار: المتابعة مع تطبيق خارطة المعالجة.
السيناريو الثاني: المزود السحابي لديه فجوات جوهرية في مجالات حرجة مثل توطين البيانات أو حقوق المراجعة، لكن هذه الفجوات يمكن معالجتها بتعديلات تعاقدية أو باختيار خدمات محددة من المزود بدلاً من أخرى. القرار: المتابعة المشروطة بالتفاوض على بنود محددة أو تعديل نطاق الاستخدام.
السيناريو الثالث: المزود السحابي لديه فجوات جوهرية لا يمكن معالجتها، أو المخاطر المتبقية تتجاوز قدرة العميل على القبول، أو البنود التعاقدية تتعارض مع متطلبات تنظيمية إلزامية. القرار: التوقف والبحث عن مزود بديل.
في جميع الحالات، القرار مبني على أدلة موثقة وقياس واضح للمخاطر، وليس على انطباعات عامة أو وعود تسويقية.
متى تحتاج جهتك إلى هذه المنهجية
تحتاج الجهات الخاضعة لإشراف الهيئة الوطنية للأمن السيبراني إلى تقييم رسمي لمزودي الخدمات السحابية في الحالات التالية:
عند التخطيط لنقل أنظمة حرجة أو بيانات حساسة إلى منصة سحابية جديدة، وتحتاج إلى توثيق الامتثال لضوابط الحوسبة السحابية قبل الموافقة على المشروع.
عند تلقي ملاحظة من الهيئة الوطنية للأمن السيبراني تطلب توثيق نموذج المسؤولية المشتركة للخدمات السحابية الحالية، ولا تملك الجهة هذه الوثائق.
عند تجديد عقد مع مزود سحابي حالي، وتريد التحقق من أن الإعدادات والبنود التعاقدية لا تزال متوافقة مع الضوابط المحدثة.
عند المقارنة بين عدة مزودين سحابيين، وتحتاج إلى معايير موضوعية قابلة للقياس لاتخاذ القرار بدلاً من الاعتماد على العروض التجارية.
عند إعداد الجهة لمراجعة امتثال شاملة من الهيئة الوطنية للأمن السيبراني، وتحتاج إلى التحقق من أن جميع الخدمات السحابية المستخدمة موثقة ومُقيّمة.
الخطوة التالية
نقدم خدمة حوكمة أمن الحوسبة السحابية وتقييمها وفق ضوابط الأمن السيبراني للحوسبة السحابية. نقيّم المنصات السحابية العامة الرئيسية ومقدمي الخدمات السحابية المحليين، وفق ضوابط الهيئة ونموذج الأمن الخاص بكل مقدّم. تستغرق الخدمة من أربعة إلى ثمانية أسابيع، وتنتج تقرير تقييم أمن الحوسبة السحابية، مصفوفة المسؤوليات المشتركة، سياسة أمن الحوسبة السحابية ومعايير الإعدادات الأساسية، وخارطة المعالجة الواضحة.
إذا كانت جهتك تخطط للانتقال إلى السحابة أو تحتاج إلى توثيق الامتثال لضوابط الحوسبة السحابية، تواصل معنا لمناقشة كيف يمكن تطبيق هذه المنهجية على بيئتك المحددة.
