صدر مؤخرا CISA ووكالة الأمن القومي سلسلة من عشر استراتيجيات لتوجيه المؤسسات في تطوير ممارسات الأمن السيبراني السليمة لبيئاتها السحابية. وقد وصفت وكالة الأمن القومي هذا الدليل الذي يضم استراتيجيات “العشرة الأوائل” بأنه “أهم الممارسات لتحسين الوضع الأمني لبيئاتها السحابية”.
يأتي هذا التوجيه في أعقاب تقرير من CISA حول كيفية القيام بذلك تتكيف أجهزة المخابرات الروسية مع التحول المتزايد باستمرار من الشبكات المحلية إلى السحابة. ومع ذلك، فإن حالة الأمن السحابي كانت تحت المجهر لعدة أشهر، حيث تتراوح الأحداث السحابية رفيعة المستوى من هجوم سلسلة التوريد يؤثر على MOVEit وعملائها تستمر الجهات الفاعلة التي تهدد الدولة القومية والتي تستهدف Microsoft في الظهور. قادت وتيرة الأحداث والمخاوف ذات الصلة الحكومة الفيدرالية مجلس مراجعة الأمن السيبراني (CSRB) فتح التحقيق في حالة الأمن السحابي في أغسطس.
“بينما تقوم المؤسسات بتحويل بياناتها إلى السحابة لتسهيل المعالجة والتخزين والمشاركة، يجب عليها اتخاذ الاحتياطات اللازمة للحفاظ على التكافؤ مع الأمان المحلي والتخفيف من التهديدات الإضافية الخاصة بالسحابة،” ذكرت وكالة الأمن القومي في الملخص التنفيذي.
تشير الاستراتيجيات بحق إلى بعض المخاوف المتعلقة بالمخاطر التي تجعل عملية البناء والنشر في السحابة فريدة من نوعها، مثل إدارة نموذج المسؤولية المشتركة. تنص الإستراتيجية على أن “العملاء غالبًا ما يفترضون بشكل خاطئ أن مزود الخدمة السحابية (CSP) يدير الجوانب المهمة لحماية الموارد في السحابة التي لا تقع ضمن مسؤولية مزود الخدمة السحابية”. “يعد التكوين الخاطئ ونقص الضوابط الأمنية من المخاطر الكبيرة في البيئات السحابية.”
تتضمن الاستراتيجيات أيضًا مجالات مهمة أخرى يجب على جميع قادة تكنولوجيا المعلومات في القطاعين العام والخاص الذين يستخدمون السحابة أخذها في الاعتبار، بما في ذلك، أفضل ممارسات إدارة الهوية والوصول, تأمين البيانات الحساسة و إدارة CI/CD. القائمة الكاملة هي كما يلي:
-
دعم نموذج المسؤولية السحابية المشتركة
-
استخدم الهوية السحابية الآمنة وممارسات إدارة الوصول (بالاشتراك مع CISA)
-
استخدم ممارسات إدارة المفاتيح السحابية الآمنة (بالاشتراك مع CISA)
-
تنفيذ تجزئة الشبكة والتشفير في البيئات السحابية (بالاشتراك مع CISA)
-
تأمين البيانات في السحابة (بالاشتراك مع CISA)
-
الدفاع عن التكامل المستمر / بيئات التسليم المستمر (بالاشتراك مع CISA)
-
فرض ممارسات النشر الآلي الآمنة من خلال البنية التحتية كرمز
-
مراعاة التعقيدات التي تقدمها السحابة المختلطة والبيئات السحابية المتعددة
-
تخفيف المخاطر من مقدمي الخدمات المدارة في البيئات السحابية(بالاشتراك مع CISA)
-
إدارة السجلات السحابية للبحث عن التهديدات بشكل فعال
يمكن أن تكون الآثار المترتبة على هذه الاستراتيجيات، خاصة عندما يلزم تنفيذها عبر بيئات سحابية متعددة و/أو هجينة متزايدة التعقيد، أمرًا شاقًا. ولهذا السبب، من المهم جدًا أن يقترن التنفيذ بالاتصالات والحوكمة الداخلية الفعالة، بالإضافة إلى الرؤية والمراقبة المستمرة.
وقال روب جويس، مدير الأمن السيبراني في وكالة الأمن القومي، في البيان الصحفي: “إن استخدام السحابة يمكن أن يجعل تكنولوجيا المعلومات أكثر كفاءة وأكثر أمانًا، ولكن فقط إذا تم تنفيذها بشكل صحيح”. “لسوء الحظ، فإن تجميع البيانات المهمة يجعل الخدمات السحابية هدفًا جذابًا للخصوم. توفر هذه السلسلة نصائح أساسية يجب على كل عميل سحابي اتباعها لضمان عدم تحوله إلى ضحية.”
تتيح البيئات السحابية إنشاء التطبيقات ونشرها بسرعة، مما يمكّن المؤسسات من تحقيق أهدافها بسرعة وفعالية. ومع ذلك، فإن نقل الأعمال إلى السحابة يمثل تحولًا جذريًا في مجال أمن المعلومات، مما يجبر فرق الأمن على التطور وتبني نموذج تشغيل جديد لحماية بيئاتهم والقضاء على المخاطر الحرجة. على الرغم من عدم ذكره صراحة في قائمة “العشرة الأوائل” لوكالة الأمن القومي، فإن التبني الهائل للذكاء الاصطناعي يقدم طبقة إضافية من التعقيد ويؤكد الحاجة إلى الشفافية والتعاون والرؤية. الرئيس بايدن الأمر التنفيذي بشأن تطوير واستخدام الذكاء الاصطناعي بطريقة آمنة ومأمونة وجديرة بالثقةتدرك هذه المخاوف وستؤدي إلى إصدار مبادئ توجيهية جديدة لدفع التطوير الآمن واعتماد الذكاء الاصطناعي.
تعتبر الاستراتيجيات التي حددتها CISA ووكالة الأمن القومي بمثابة خط أساس بالغ الأهمية. بنفس القدر من الأهمية هي الحاجة إلى فرق الأمن والمطورين,وأصحاب الأعمال للعمل وفق نفس القواعد، مما يضمن أن بيئاتهم السحابية تحافظ على وضع أمني قوي في مواجهة التغيير المستمر.
تعرف على المزيد حول كيفية مساعدة Wiz لكليهما القطاع الخاصو حكومةالمنظمات تعالج هذه الأولويات. إذا كنت تفضل أعرض حي,نحن نحب التواصل معك.
