يتسارع تبني السحابة في الشرق الأوسط وأفريقيا، مدعوماً بمراكز بيانات جديدة داخل المنطقة يطلقها كبار مزودي الخدمات السحابية العالميين، وباستراتيجيات وطنية للسحابة. وفي المقابل، ترتفع التوقعات التنظيمية بالوتيرة نفسها؛ إذ باتت متطلبات توطين البيانات وحماية البيانات الشخصية والقواعد القطاعية والمرونة التشغيلية تحدد كيف وأين يمكن تشغيل أحمال العمل.
مشهد تنظيمي متغير
تحتاج المؤسسات العاملة في المنطقة عادةً إلى التوفيق بين عدة أطر في آن واحد، منها:
- قوانين حماية البيانات الشخصية، مثل القانون المصري رقم 151 لسنة 2020، ونظام حماية البيانات الشخصية في المملكة العربية السعودية، والمرسوم بقانون اتحادي رقم 45 لسنة 2021 في الإمارات، والقانون رقم 13 لسنة 2016 في قطر.
- الضوابط الوطنية للأمن السيبراني، مثل الضوابط الأساسية للأمن السيبراني وضوابط الأمن السيبراني للحوسبة السحابية الصادرة عن الهيئة الوطنية للأمن السيبراني في السعودية.
- المتطلبات القطاعية الصادرة عن البنوك المركزية والجهات الصحية وجهات تنظيم الاتصالات.
وتعتمد الالتزامات المحددة على القطاع ونوع البيانات والدول التي تخدمها، لذا ينبغي إشراك الفرق القانونية وفرق الامتثال منذ البداية.
مسؤولية مشتركة بتوزيع واضح
يتولى مزودو السحابة تأمين البنية التحتية الأساسية، بينما يظل العميل مسؤولاً عن الهويات والإعدادات والبيانات وطريقة تشغيل أحمال العمل. وتعود كثير من الحوادث السحابية إلى أخطاء في الإعدادات أو صلاحيات وصول مفرطة، لا إلى إخفاقات لدى المزود. لذا اجعل توزيع المسؤوليات واضحاً لكل خدمة تستخدمها، وحدد مالكاً لكل ضابط.
صمّم الأمن ضمن البيئة السحابية الأساسية
البيئة السحابية الأساسية الآمنة (Landing Zone) هي الأساس لكل حمل عمل يأتي بعدها، وينبغي أن توفر:
- وصولاً يتمحور حول الهوية مع تسجيل دخول موحد ومصادقة متعددة العوامل ومبدأ الحد الأدنى من الصلاحيات.
- تقسيماً للشبكات واتصالاً خاصاً لأحمال العمل الحساسة.
- تشفيراً للبيانات المخزنة والمنقولة مع ملكية واضحة لإدارة المفاتيح.
- سياسات للمناطق ومواقع البيانات تفرض متطلبات التوطين بشكل افتراضي.
- تسجيلاً ومراقبة وتنبيهات مركزية مرتبطة بعمليات الأمن لديك.
أتمت أدلة الامتثال
لا يمكن لعمليات التدقيق اليدوية مواكبة بيئات تتغير يومياً. لذا اربط كل التزام تنظيمي بضوابط تقنية محددة، وعبّر عن هذه الضوابط في صورة سياسات، واستخدم الإدارة المستمرة للوضع الأمني لاكتشاف أي انحراف. وبذلك تصبح الأدلة نتاجاً طبيعياً للتشغيل بدلاً من سباق ربع سنوي.
اجعل التعافي قدرة قابلة للقياس
المرونة جزء من الامتثال. حدد أهداف زمن التعافي ونقطة التعافي للخدمات الحرجة، واحمِ النسخ الاحتياطية من برمجيات الفدية بجعلها غير قابلة للتعديل ومعزولة، واختبر التعافي بانتظام. فالخطة التي لم تُختبر قط مجرد افتراض وليست ضابطاً.
من أين تبدأ؟
ابدأ بخط أساس لأمن السحابة والامتثال: حصر لأحمال العمل والبيانات، والالتزامات المنطبقة، والوضع الحالي للضوابط، وخارطة طريق مرتبة للمعالجة. وتساعد BIT المؤسسات على تصميم بيئات سحابية آمنة، ومواءمة الضوابط مع التنظيمات الإقليمية، وتشغيلها بملكية واضحة.