# أمن الخدمات السحابية آيزو 27001: الوثائق الأربع للتأمين السيبراني
عندما تتقدم المؤسسات السعودية التي تستخدم البنية السحابية العامة بطلبات التأمين السيبراني أو تجديده، يواجه مسؤولو أمن المعلومات ومديرو تقنية المعلومات تدقيقًا متزايدًا من مكتتبي التأمين حول ضوابط أمن سحابي آيزو 27001 تحديدًا. السبب واضح: اختراقات البيئات متعددة المستأجرين في السحابة العامة تسبب أكبر المطالبات التي تواجهها شركات التأمين في السنوات الأخيرة، وبالتالي أصبح الملحق أ 5.23 من آيزو 27001:2022 الخاص بأمن الخدمات السحابية نقطة تدقيق أساسية في عملية الاكتتاب.
هذا المقال يحدد الوثائق الأربع التي يطلبها ضامنو التأمين للتأكد من أن ضوابط البيئات السحابية متعددة المستأجرين تُرضي توقعات الاكتتاب وتقلل الاستثناءات في عقود التأمين، مع توضيح صيغ الملفات وتكرار المراجعة الذي تقبله شركات التأمين.
لماذا يركز مكتتبو التأمين على الملحق أ 5.23 الآن
الملحق أ 5.23 من معيار آيزو 27001:2022 يتناول أمن الخدمات السحابية بشكل مباشر، ويتطلب من المؤسسات وضع ضوابط لتأمين استخدام الخدمات السحابية وإدارتها ومراقبتها. هذا الضابط يشمل عدة جوانب: اختيار مزودي الخدمات السحابية، تحديد المسؤوليات الأمنية بين المؤسسة والمزود، إدارة الهوية والوصول، حماية البيانات في السحابة، ومراقبة الأنشطة والحوادث.
في السنوات الأخيرة، شهدت شركات التأمين ارتفاعًا في المطالبات الناتجة عن اختراقات البيئات السحابية متعددة المستأجرين. هذه الاختراقات تحدث عندما يستغل مهاجم ثغرة في عزل المستأجرين للوصول إلى بيانات مؤسسات أخرى تشارك نفس البنية التحتية السحابية، أو عندما تُخترق بيانات مؤسسة بسبب ضعف في ضوابط الوصول أو التشفير أو إدارة المفاتيح.
نتيجة لذلك، أصبح مكتتبو التأمين يطلبون أدلة ملموسة على أن المؤسسة تفهم مسؤولياتها الأمنية في نموذج المسؤولية المشتركة مع مزود الخدمة السحابية، وأنها تطبق ضوابط فعّالة لحماية بياناتها وأنظمتها في البيئة السحابية. الإجابة العامة بأن المؤسسة "تستخدم AWS" أو "لديها حساب Azure" لم تعد كافية؛ المكتتبون يريدون وثائق محددة تثبت أن الضوابط موجودة ومُختبرة ومُراجعة بانتظام.
متى تحتاج المؤسسة إلى تجهيز هذه الوثائق
هناك علامات واضحة تشير إلى أن الوقت قد حان لتجهيز وثائق أمن الخدمات السحابية قبل التقدم لطلب التأمين السيبراني أو تجديده:
عند استخدام البنية السحابية العامة لأنظمة حرجة أو بيانات حساسة: إذا كانت المؤسسة تستضيف أنظمة تحتوي على بيانات عملاء، بيانات مالية، أو معلومات شخصية في بيئات سحابية عامة مثل AWS أو Azure أو Google Cloud، فإن مكتتبي التأمين سيطلبون أدلة على ضوابط الأمن السحابي.
عند التقدم لطلب تأمين سيبراني لأول مرة: المؤسسات التي تتقدم لأول مرة للحصول على تغطية تأمين سيبراني ستواجه استبيانات تفصيلية حول البنية التحتية التقنية، وسيكون للأسئلة المتعلقة بالسحابة وزن كبير في قرار الاكتتاب.
عند تجديد التأمين بعد حادث أو تغيير في البنية التحتية: إذا شهدت المؤسسة حادثًا أمنيًا أو قامت بترحيل أنظمة إلى السحابة منذ آخر تجديد، فإن المكتتبين سيدققون في الضوابط الجديدة بشكل أكبر.
عند مواجهة استثناءات أو أقساط مرتفعة: إذا تلقت المؤسسة عرض تأمين يحتوي على استثناءات تتعلق بالبيئات السحابية أو أقساط أعلى من المتوقع بسبب "مخاطر سحابية غير موثقة"، فهذا يعني أن المكتتبين لم يقتنعوا بالضوابط الموجودة.
عند الامتثال لمتطلبات الجهات التنظيمية السعودية: الهيئة الوطنية للأمن السيبراني في المملكة العربية السعودية تضع متطلبات محددة لأمن البيئات السحابية، ومؤسسة النقد العربي السعودي لديها ضوابط إضافية للمؤسسات المالية. إظهار الامتثال لهذه المتطلبات يعزز موقف المؤسسة أمام مكتتبي التأمين.
الوثائق الأربع التي يطلبها ضامنو التأمين
الوثيقة الأولى: مخطط عزل المستأجرين
مخطط عزل المستأجرين هو وثيقة تقنية توضح كيف تفصل المؤسسة بيئتها السحابية عن بيئات المستأجرين الآخرين في نفس البنية التحتية السحابية، وكيف تعزل الموارد والبيانات داخل بيئتها الخاصة.
يجب أن يتضمن هذا المخطط:
- الحسابات والاشتراكات: توضيح كيفية فصل الحسابات السحابية حسب البيئة (إنتاج، اختبار، تطوير) أو حسب وحدة العمل.
- الشبكات الافتراضية: رسم توضيحي للشبكات الافتراضية (VPCs أو VNets) وكيفية عزلها عن بعضها وعن الإنترنت العام.
- ضوابط الوصول: توضيح سياسات IAM (Identity and Access Management) التي تحدد من يمكنه الوصول إلى أي موارد، وكيف يتم تطبيق مبدأ الحد الأدنى من الصلاحيات.
- فصل البيانات: كيفية تخزين البيانات في حاويات أو قواعد بيانات منفصلة، وكيف يتم منع الوصول غير المصرح به بين البيئات.
الصيغة المقبولة: ملف PDF يحتوي على رسوم معمارية واضحة مع شرح نصي، أو ملف Visio أو Draw.io مرفق بوثيقة نصية. يجب أن يكون المخطط محدثًا ومراجعًا من قبل فريق الهندسة السحابية.
تكرار المراجعة: يتوقع مكتتبو التأمين أن يُراجع هذا المخطط على الأقل مرة كل ستة أشهر أو عند أي تغيير جوهري في البنية السحابية. يجب أن تحمل الوثيقة تاريخ آخر مراجعة وتوقيع المسؤول عنها.
الوثيقة الثانية: تقارير مراجعة مزود الخدمة السحابية
مكتتبو التأمين يريدون التأكد من أن مزود الخدمة السحابية الذي تستخدمه المؤسسة يطبق ضوابط أمنية قوية. أفضل طريقة لإثبات ذلك هي تقديم تقارير مراجعة مستقلة للمزود.
التقارير المقبولة تشمل:
- SOC 2 Type II: تقرير يغطي ضوابط الأمن والسرية والتوافر لدى مزود الخدمة السحابية على مدى فترة زمنية (عادة ستة أشهر أو سنة). يجب أن يكون التقرير حديثًا (لا يزيد عمره عن سنة).
- ISO 27017: شهادة امتثال لمعيار آيزو 27017 الخاص بضوابط أمن المعلومات للخدمات السحابية. هذا المعيار يكمل آيزو 27001 بضوابط إضافية خاصة بالسحابة.
- ISO 27001: شهادة امتثال عامة لمعيار آيزو 27001، وإن كانت أقل تحديدًا من 27017، إلا أنها مقبولة كحد أدنى.
معظم مزودي الخدمات السحابية الكبار (AWS وAzure وGoogle Cloud) يوفرون هذه التقارير والشهادات عبر بوابات الامتثال الخاصة بهم. يجب على المؤسسة تحميل أحدث نسخة من هذه التقارير والاحتفاظ بها ضمن حزمة الأدلة المقدمة لشركة التأمين.
الصيغة المقبولة: ملف PDF رسمي من المزود أو من جهة المراجعة المستقلة.
تكرار المراجعة: يجب تحديث هذه التقارير سنويًا على الأقل. إذا كان التقرير المتاح أقدم من سنة، يجب على المؤسسة طلب النسخة الأحدث من المزود أو تقديم تفسير مكتوب لسبب التأخير.
الوثيقة الثالثة: سياسة إدارة مفاتيح التشفير
التشفير هو ضابط أساسي لحماية البيانات في البيئات السحابية، لكن مكتتبي التأمين يركزون بشكل خاص على إدارة مفاتيح التشفير. السؤال الذي يطرحونه: من يملك مفاتيح التشفير ومن يمكنه الوصول إليها؟
المؤسسات التي تعتمد على مفاتيح يديرها مزود الخدمة السحابية بالكامل (Provider-Managed Keys) تواجه تدقيقًا أكبر، لأن هذا يعني أن المزود نظريًا يمكنه الوصول إلى البيانات المشفرة. الممارسة الأفضل هي استخدام مفاتيح يديرها العميل (Customer-Managed Keys أو CMK) حيث تحتفظ المؤسسة بالسيطرة الكاملة على المفاتيح.
يجب أن تتضمن سياسة إدارة مفاتيح التشفير ما يلي:
- نوع المفاتيح المستخدمة: توضيح ما إذا كانت المؤسسة تستخدم مفاتيح يديرها العميل أو المزود، ولماذا.
- مكان تخزين المفاتيح: هل تُخزن المفاتيح في خدمة إدارة مفاتيح سحابية (مثل AWS KMS أو Azure Key Vault) أم في وحدة أمن أجهزة (HSM) مخصصة؟
- ضوابط الوصول إلى المفاتيح: من يمكنه إنشاء المفاتيح أو استخدامها أو حذفها؟ كيف يتم تطبيق مبدأ الحد الأدنى من الصلاحيات؟
- دورة حياة المفاتيح: كيف يتم إنشاء المفاتيح، تدويرها، أرشفتها، وإتلافها بشكل آمن؟
- المراجعة والتدقيق: كيف يتم تسجيل ومراقبة جميع العمليات المتعلقة بالمفاتيح؟
الصيغة المقبولة: وثيقة سياسة رسمية بصيغة PDF، معتمدة من الإدارة التنفيذية أو لجنة أمن المعلومات، تحمل تاريخ الإصدار ورقم النسخة.
تكرار المراجعة: يجب مراجعة السياسة سنويًا على الأقل أو عند أي تغيير جوهري في البنية السحابية أو متطلبات التشفير. مكتتبو التأمين يفضلون رؤية سجل بالمراجعات السابقة.
الوثيقة الرابعة: دليل الاستجابة للحوادث الخاصة بالسحابة
الحوادث الأمنية في البيئات السحابية تختلف عن الحوادث في البيئات التقليدية، لذلك يطلب مكتتبو التأمين دليل استجابة للحوادث يتناول السيناريوهات السحابية بشكل محدد.
يجب أن يتضمن هذا الدليل:
- سيناريوهات الحوادث السحابية: مثل اختراق حساب سحابي، تسريب بيانات من حاوية تخزين، هجوم حجب خدمة على موارد سحابية، أو اكتشاف موارد غير مصرح بها (Shadow IT).
- أدوار ومسؤوليات: من المسؤول عن اكتشاف الحوادث السحابية؟ من يتواصل مع مزود الخدمة السحابية؟ من يقرر عزل الموارد المخترقة أو إيقافها؟
- إجراءات التصعيد: متى يتم إبلاغ الإدارة العليا أو الجهات التنظيمية أو شركة التأمين؟
- أدوات الكشف والاستجابة: ما هي الأدوات المستخدمة لمراقبة الأنشطة السحابية (مثل CloudTrail أو Azure Monitor) وكيف يتم تحليل السجلات للكشف عن الحوادث؟
- التنسيق مع المزود: كيف تتواصل المؤسسة مع فريق دعم أمن مزود الخدمة السحابية؟ ما هي اتفاقيات مستوى الخدمة للاستجابة للحوادث؟
- الاحتفاظ بالأدلة: كيف يتم جمع وحفظ الأدلة الرقمية من البيئة السحابية للتحقيق أو لأغراض قانونية أو للمطالبة بالتأمين؟
الصيغة المقبولة: وثيقة دليل بصيغة PDF أو Word، معتمدة من الإدارة، تحتوي على إجراءات تفصيلية ومخططات تدفق وجداول اتصال.
تكرار المراجعة: يجب مراجعة الدليل سنويًا على الأقل، ويُفضل اختباره من خلال تمارين محاكاة (Tabletop Exercises) مرة واحدة على الأقل في السنة. مكتتبو التأمين يطلبون أحيانًا تقريرًا عن آخر تمرين محاكاة وما تم تعلمه منه.
كيف تؤثر هذه الوثائق على شروط التأمين
عندما تقدم المؤسسة هذه الوثائق الأربع بشكل كامل ومحدث، فإن مكتتبي التأمين يرون أن المؤسسة:
- تفهم مسؤولياتها الأمنية في نموذج المسؤولية المشتركة مع مزود الخدمة السحابية.
- تطبق ضوابط فعّالة لحماية البيانات والأنظمة في البيئة السحابية.
- تراقب وتراجع هذه الضوابط بانتظام.
- مستعدة للاستجابة لحوادث أمنية في البيئة السحابية.
هذا الفهم ينعكس مباشرة على شروط التأمين:
تقليل الاستثناءات: بدون هذه الوثائق، قد يضيف المكتتبون استثناءات تستبعد الحوادث الناتجة عن "سوء تكوين البيئة السحابية" أو "فشل ضوابط الوصول السحابية"، مما يقلل من قيمة التغطية بشكل كبير. وجود الوثائق يقلل احتمالية هذه الاستثناءات.
خفض الأقساط: المؤسسات التي تثبت أن لديها ضوابط قوية للأمن السحابي تُعتبر أقل خطورة، وبالتالي تحصل على أقساط أقل مقارنة بالمؤسسات التي لا تقدم أدلة كافية.
زيادة حدود التغطية: مكتتبو التأمين قد يكونون أكثر استعدادًا لتقديم حدود تغطية أعلى للمؤسسات التي تظهر نضجًا في إدارة المخاطر السحابية.
تسريع عملية الاكتتاب: تقديم الوثائق الكاملة منذ البداية يقلل من عدد الأسئلة التكميلية والطلبات الإضافية من المكتتبين، مما يسرع عملية الحصول على العرض النهائي.
علامات أن الوثائق الحالية غير كافية
حتى المؤسسات التي لديها بعض الوثائق قد تجد أنها لا تلبي توقعات مكتتبي التأمين. العلامات التحذيرية تشمل:
- وثائق عامة أو قديمة: مخططات معمارية لم تُحدث منذ أكثر من سنة، أو سياسات عامة لا تتناول البيئة السحابية بشكل محدد.
- عدم وجود أدلة على المراجعة: وثائق بدون تاريخ آخر مراجعة أو بدون توقيع المسؤول عنها.
- غياب التفاصيل التقنية: وثائق تحتوي على عبارات عامة مثل "نستخدم أفضل الممارسات" دون توضيح ما هي هذه الممارسات بالضبط.
- عدم التنسيق بين الوثائق: تناقضات بين ما يُذكر في مخطط العزل وما يُذكر في سياسة إدارة المفاتيح، مما يثير شكوك المكتتبين.
- عدم وجود أدلة على الاختبار: دليل استجابة للحوادث لم يُختبر أبدًا، أو سياسة تشفير لا يوجد دليل على تطبيقها فعليًا.
إذا واجهت المؤسسة أيًا من هذه العلامات، فمن المرجح أن مكتتبي التأمين سيطلبون توضيحات إضافية أو سيضيفون استثناءات أو سيرفعون الأقساط.
كيف تجهز المؤسسة هذه الوثائق بشكل صحيح
تجهيز هذه الوثائق الأربع يتطلب تنسيقًا بين عدة فرق: فريق الأمن السيبراني، فريق الهندسة السحابية، فريق الامتثال، وأحيانًا الاستشاريون الخارجيون. الخطوات العملية تشمل:
جرد البيئة السحابية الحالية: تحديد جميع الحسابات والاشتراكات والموارد السحابية المستخدمة، وفهم كيفية تكوينها حاليًا.
مراجعة الضوابط الموجودة: تقييم ما إذا كانت ضوابط العزل والتشفير والوصول والمراقبة تلبي متطلبات الملحق أ 5.23 من آيزو 27001 وتوقعات مكتتبي التأمين.
سد الفجوات: إذا كانت هناك فجوات (مثل عدم استخدام مفاتيح يديرها العميل أو عدم وجود مراقبة كافية)، يجب معالجتها قبل التقدم لطلب التأمين.
توثيق الضوابط: إنشاء أو تحديث الوثائق الأربع بحيث تعكس الوضع الحالي بدقة، مع التأكد من أنها واضحة ومفصلة وحديثة.
المراجعة والاعتماد: مراجعة الوثائق من قبل الفرق المعنية والحصول على اعتماد رسمي من الإدارة.
الاختبار: اختبار دليل الاستجابة للحوادث من خلال تمرين محاكاة، والتأكد من أن ضوابط العزل والتشفير تعمل كما هو موثق.
تجهيز حزمة الأدلة: جمع الوثائق الأربع مع أي أدلة إضافية (مثل تقارير اختبار الاختراق للبيئة السحابية، سجلات المراجعة، شهادات التدريب لفريق الأمن) في حزمة منظمة جاهزة لتقديمها لشركة التأمين.
المؤسسات التي تقوم بهذا العمل قبل التوجه لسوق التأمين بثلاثة إلى أربعة أشهر تحصل على نتائج أفضل من تلك التي تحاول تجهيز الوثائق في اللحظة الأخيرة.
الجاهزية للتأمين السيبراني: تقييم شامل قبل التقدم للسوق
تجهيز الوثائق الأربع الخاصة بالملحق أ 5.23 هو جزء من جهد أوسع لضمان جاهزية المؤسسة للحصول على تأمين سيبراني بشروط مواتية. مكتتبو التأمين لا يقيّمون فقط ضوابط الأمن السحابي، بل ينظرون إلى الوضع الأمني الشامل للمؤسسة: النسخ الاحتياطي، المصادقة متعددة العوامل، إدارة الثغرات، التدريب الأمني، وغيرها.
تقييم الجاهزية للتأمين السيبراني يساعد المؤسسات على فهم كيف سينظر مكتتبو التأمين إلى ضوابطها، وتحديد الفجوات التي قد ترفع الأقساط أو تضيف استثناءات، ومعالجة هذه الفجوات قبل التقدم للسوق.
نقيّم ضوابطكم كما يقيّمها مكتتبو التأمين، ونسد الفجوات التي ترفع الأقساط وتضيف الاستثناءات، ونجهّز الأدلة قبل التوجه للسوق. العملية تشمل التعرف على الأعمال والأنظمة والتغطية الحالية أو المخطط لها، ثم التقييم من خلال اختبار ضوابط الاكتتاب لا السؤال عنها فقط، ثم المعالجة عبر تحديد مكاسب سريعة وإصلاحات حسب الأولوية، وأخيرًا التجهيز بإعداد حزمة الأدلة والإجابات للسوق.
المخرجات تشمل تقرير الجاهزية والدرجة، حزمة الأدلة، وخطة معالجة مرتبة حسب أثرها على الاكتتاب. التقييم يستغرق ٣–٤ أسابيع، ويغطي الأطر المرجعية ذات الصلة بما في ذلك الإطار السيبراني لمؤسسة النقد العربي السعودي، الضوابط الأساسية للأمن السيبراني للهيئة الوطنية للأمن السيبراني، وآيزو 27001.
إذا كنتم تستعدون لطلب تأمين سيبراني أو تجديده، وتستخدمون البنية السحابية العامة، فإن البدء بتقييم الجاهزية قبل التوجه للسوق بثلاثة إلى أربعة أشهر يمنحكم الوقت الكافي لسد الفجوات وتجهيز الوثائق الأربع التي يطلبها مكتتبو التأمين، مما يحسن شروط التغطية ويقلل التكلفة الإجمالية.
