انتهى عصر النموذج الأمني التقليدي القائم على "القلعة والخندق". ففي عالم العمل عن بُعد والتطبيقات السحابية وهجمات التصيّد المتطورة، لم يعد الاعتماد على جدار ناري لحماية شبكة داخلية مكشوفة كافياً. وهنا يأتي دور الثقة الصفرية (Zero Trust).
ما هي الثقة الصفرية؟
الثقة الصفرية إطار أمني يقوم على مبدأ: "لا تثق أبداً، وتحقّق دائماً."
وهو يفترض أن التهديدات موجودة خارج الشبكة وداخلها معاً؛ لذلك لا ينبغي منح الثقة لأي مستخدم أو جهاز تلقائياً، أياً كان موقعه.
لماذا تحتاجها الشركات الصغيرة والمتوسطة الآن؟
يعتقد كثير من أصحاب الشركات الصغيرة في ليبيا: "شركتي أصغر من أن تكون هدفاً." والواقع عكس ذلك تماماً؛ فالمهاجمون يستهدفون الشركات الصغيرة والمتوسطة لأنها غالباً الهدف الأسهل، بدفاعات أضعف من المؤسسات الكبيرة.
- الحماية من برمجيات الفدية: تحدّ من انتشار البرمجيات الخبيثة إذا أُصيب جهاز واحد.
- الامتثال لحماية البيانات: ضرورية للالتزام بلوائح الخصوصية الصارمة.
- أمن العمل عن بُعد: تربط الموظفين بأمان من أي مكان دون شبكة افتراضية خاصة (VPN) معقّدة.
خارطة تطبيق من أربع مراحل
لا يتطلب تطبيق الثقة الصفرية شراء أدوات جديدة باهظة بين ليلة وضحاها؛ يمكنك البدء بما لديك.
المرحلة الأولى: الهوية (من يصل إلى الأنظمة؟)
أصبحت الهوية هي المحيط الأمني الجديد، ويجب التأكد من أن من يسجّل الدخول هو فعلاً من يدّعي أنه هو.
- الإجراء: فعّل المصادقة متعددة العوامل (MFA) على كل شيء: Microsoft 365 وGoogle Workspace وبرنامجك المحاسبي، كل شيء.
- الإجراء: طبّق تسجيل الدخول الموحّد (SSO) لإدارة المستخدمين مركزياً.
المرحلة الثانية: سلامة الأجهزة (ماذا يستخدمون؟)
حتى المستخدم الموثوق قد يشكّل خطراً إذا كان يستخدم حاسوباً مصاباً.
- الإجراء: استخدم أدوات الرصد والاستجابة على الأجهزة الطرفية (EDR) بدلاً من مضادات الفيروسات التقليدية.
- الإجراء: طبّق سياسات "الوصول المشروط"؛ كأن تمنع الوصول إذا لم يكن الجهاز محدّثاً بآخر ترقيع أمني لنظام Windows أو كان جداره الناري معطّلاً.
المرحلة الثالثة: تقسيم الشبكة (إلى أين يمكنهم الوصول؟)
أوقف التنقّل الجانبي داخل الشبكة. فإذا اخترق مهاجم حاسوب موظف الاستقبال، يجب ألا يتمكن من الوصول إلى ملفات المدير العام أو خادم النسخ الاحتياطي.
- الإجراء: قسّم شبكتك إلى شبكات VLAN منفصلة (المستخدمون، الضيوف، إنترنت الأشياء، الخوادم).
- الإجراء: اضبط الجدران النارية لمنع الحركة بين الأقسام افتراضياً، مع السماح فقط بالمنافذ الضرورية تحديداً.
المرحلة الرابعة: أقل الصلاحيات (ماذا يمكنهم أن يفعلوا؟)
امنح المستخدمين الصلاحيات التي يحتاجونها لأداء عملهم فقط، لا أكثر.
- الإجراء: أزِل صلاحيات المسؤول المحلي من حواسيب المستخدمين.
- الإجراء: راجع صلاحيات خادم الملفات بانتظام. هل يحتاج متدرّب التسويق إلى صلاحية القراءة والكتابة في مجلد الموارد البشرية؟ بالطبع لا.
أدوات مقترحة للشركات الصغيرة والمتوسطة
لا تحتاج إلى منظومات مراقبة بحجم المؤسسات الكبرى لتبدأ. إليك مجموعة متينة تناسب الشركات الصغيرة والمتوسطة:
- الهوية: Azure Active Directory (Entra ID)
- الأجهزة الطرفية: Microsoft Defender for Business أو SentinelOne
- الشبكة: Fortinet FortiGate (جدار ناري من الجيل التالي)
كيف يساعدك النظام الذكي
الانتقال إلى الثقة الصفرية رحلة، وليس زراً تضغطه مرة واحدة. نساعد المؤسسات الليبية على تقييم مستوى نضجها الأمني وتطبيق هذه الضوابط خطوة بخطوة.
لا تنتظر وقوع الاختراق لتأخذ الأمن على محمل الجد. اطّلع على خدمات الأمن السيبراني لتعرف كيف نؤمّن أصول أعمالك.
هل تخطط لخطواتك الأولى نحو الثقة الصفرية؟ أخبرنا بما تحتاجه وسيعود إليك أحد مهندسينا بخطة.