أساسيات أمن السحابة

يتقاسم مزوّد السحابة والعميل المسؤولية الأمنية – وكيفية ذلك بالتحديد تتوقف على نموذج الخدمة. ففي IaaS يتولى العميل مسؤولية نظام التشغيل وضوابط الشبكة والتطبيقات؛ وفي PaaS يتولى المزوّد نظام التشغيل، بينما تبقى إعدادات التطبيقات والشبكة مشتركة؛ وفي SaaS يقع معظم المكدّس لدى المزوّد. وبغض النظر عن النموذج، تبقى وفق مصفوفة المسؤوليات من Microsoft أربعة مجالات دائمًا لدى العميل: البيانات والأجهزة الطرفية والحسابات وإدارة الوصول – وكذلك الإعدادات والتهيئات. وأكثر سوء فهم شيوعًا هو «المزوّد يتولى الأمن»: ففي SaaS تحديدًا يُستهان بانتظام بمسؤولية الوصول والإعدادات، وتبقى المسؤوليات المشتركة دون إسناد صريح شاغرة فعليًا.

في السحابة يكون مستوى الإدارة وواجهات API متاحين عبر الإنترنت – ومن يملك بيانات دخول صالحة لا يقف أمام جدار الحماية، بل في قلب البيئة. وتبعًا لذلك تضع Cloud Security Alliance ‏Identity and Access Management في المرتبة 2 من Top Threats 2024. ومن التدابير المضادة الفعالة: المصادقة متعددة العوامل الشاملة والمقاومة للتصيّد قدر الإمكان، وأدوار الحد الأدنى من الصلاحيات بدلًا من صلاحيات المسؤول الدائمة، وحسابات مميزة منفصلة ومراقبة بشكل خاص، وبيانات اعتماد قصيرة العمر. وتنتمي الهويات غير البشرية – حسابات الخدمة ومفاتيح API وهويات أحمال العمل – إلى الحوكمة ذاتها، لأنها كثيرًا ما تُغفل في مراجعات الصلاحيات ونادرًا ما يُعاد اعتمادها.

يحتل «Misconfiguration and Inadequate Change Control» المرتبة 1 في CSA Top Threats to Cloud Computing 2024. ومن الأنماط النموذجية: حاويات تخزين متاحة للعموم، وأدوار IAM واسعة النطاق أكثر من اللازم، ومنافذ إدارة مفتوحة، وتسجيل معطّل، وموارد اختبار وموارد ظل منسية. ونادرًا ما يكون السبب نقص المعرفة، بل السرعة: فالخدمة الذاتية وInfrastructure as Code تولّدان يوميًا تغييرات لا يفحصها أحد باتساق دون ضوابط توجيهية. ويكون العلاج بسياسات معرّفة كشيفرة (Policy as Code)، وCloud Security Posture Management ‏(CSPM) للكشف المستمر عن الانحرافات، وعملية تغيير تسري صراحةً على الموارد السحابية أيضًا.

تستطلع Cloud Security Alliance بانتظام آراء الخبراء لسلسلتها «Top Threats to Cloud Computing»؛ وفي إصدار 2024 (المنشور في أغسطس 2024) حدّد أكثر من 500 خبير وخبيرة أولويات أحد عشر تهديدًا. وتحتل المراتب الثلاث الأولى: الإعدادات الخاطئة وقصور ضبط التغييرات، وIdentity and Access Management، والواجهات وواجهات API غير الآمنة – وجميعها موضوعات ضمن نطاق مسؤولية العميل. ويحلّل التقرير المكمّل «Top Threats to Cloud Computing - Deep Dive 2025» ‏(أبريل 2025) ثمانية حوادث أمنية حقيقية على امتداد شبكة التهديدات هذه، ويستخلص منها توصيات للضوابط؛ وفي محورها الأخطاء البشرية ونقاط الضعف في الهويات والإعدادات ومخاطر سلسلة التوريد.

Landing Zone هي بيئة سحابية مُهيكلة مسبقًا تُرسَّخ فيها الحوكمة والشبكة والهوية والتسجيل قبل انتقال أول حمل عمل إليها. ويميّز Cloud Adoption Framework من Microsoft في ذلك بين Landing Zone مركزية للمنصة وLanding Zones خاصة بالتطبيقات لكل حمل عمل، ترث السياسات الأمنية تلقائيًا عبر تسلسل Management Groups. وقد ترسّخت CIS Benchmarks القائمة على التوافق كخط أساس للإعدادات – أكثر من 100 معيار لأكثر من 25 عائلة منتجات، منها AWS وAzure وGoogle Cloud وOracle Cloud. ولتقييم المزوّدين في السوق الألمانية يكتسب كتالوج معايير BSI ‏C5 أهمية أيضًا، وقد نُقّح جذريًا في 2025/26 ‏(C5:2026). وفي البيئات متعددة السحابات لا تحسم الأداة المنفردة الأمر بقدر ما يحسمه الاتساق: سياسات موحّدة وحوكمة هويات مركزية وتسجيل مجمّع عبر جميع المنصات.

تبدأ الانطلاقة بالشفافية: ما الحسابات والخدمات والبيانات السحابية الموجودة – بما في ذلك البيئات التي لم تخضع قط لمراجعة معمارية؟ يلي ذلك توضيح المسؤوليات لكل نموذج خدمة وتأمين الرافعتين الأكبر: الهويات (MFA، والوصول المميز) والتسجيل المركزي. بعد ذلك يُجعل خط أساس مثل CIS Benchmarks ملزمًا، ويُقاس الالتزام به باستمرار باستخدام أدوات CSPM بدلًا من تدقيقه على نحو متقطع فقط. وأمن السحابة في ذلك برنامج بتشغيل منتظم – بأدوار ومؤشرات وعمليات تغيير محددة – وليس مشروع تقوية لمرة واحدة.