لماذا تعتبر الشهادات جزءًا واحدًا فقط من برنامج أمان السحابة الخاص بك

تسمح الضوابط بالمرونة في التنفيذ والنمو والابتكار التشغيلي بمرور الوقت. لسوء الحظ، تستخدم بعض المنظمات هذه المرونة لتمرير الأمور دون وجود دفاعات حقيقية في مكانها.

مثال رئيسي على هذه المشكلة هو أنظمة الكشف/الحماية من التسلل (IDS أو IPS). مثل برامج مكافحة الفيروسات، تستثمر معظم المنظمات في IDS/IPS كمسألة من ممارسات الأمان القياسية للحماية من حركة المرور الضارة وتسرب البيانات. تمتلئ الصناعة بمزودين يقدمون أشكالاً مختلفة من أنظمة IDS/IPS. ومع ذلك، تبني بعض المنظمات أنظمة بدلاً من شرائها.

لقد تركت مؤخرًا واحدة من هذه المنظمات التي “بنت” نظام الكشف عن التسلل الخاص بها باستخدام أدوات مفتوحة المصدر. قيل للمراجعين إن النظام كان “أداة رائعة”، وتم إعطاؤهم أمثلة على حركة المرور. عندما بحثت بعمق في معلومات المراقبة التي كانت الأداة تقدمها، أدركت أن حركة المرور لم تُحلل على الإطلاق. بل كانت تمر عبر المستشعر دون أن يتم تكوينه لالتقاط أي حركة مرور أو إصدار تنبيهات على الإطلاق. علاوة على ذلك، تم إعداد بيانات الاعتماد المستخدمة لإدارة الأداة بواسطة موظف سابق ولم يتم تحديثها بعد مغادرته. وبالتالي، كانت الأداة غير نشطة لأشهر دون أي تدخل بشري. لا يقتصر الأمر على أن هذا يعرض الشركة للخطر، بل يعرض أيضًا الأمن الخارجي للخطر.

لن يكتشف المراجع المتمرس هذه المشكلة لأن التصريحات لا تبحث عن معلومات “تشغيلية” في جميع الأنظمة - المعيار هو حرفيًا طبقة واحدة من الأسئلة والأجوبة. في الواقع، تقيس معظم التصريحات ببساطة ما إذا كانت الأداة موجودة، وليس قابليتها التشغيلية. بالإضافة إلى ذلك، فإن معظم المراجعين ليسوا ذو خبرة كافية لتمييز IDS/IPS وظيفية عن تلك غير الوظيفية. تعتمد جوهر التدقيق على الشركة لتقديم أفضل ما لديها بدلاً من الإجابة على الأسئلة الصعبة. يجب أيضًا على المراجعين تغطية مجموعة واسعة من الضوابط أثناء التدقيق، لذا فإن الوقت هو عامل كبير في جودة تحليلهم.

ستخبرك التصريحات وحدها أن الشركة لديها برنامج أمان ناضج به ضوابط. إن مطالبة شريك محتمل بإكمال استبيان المورد لن يمنحك الثقة أيضًا. تقتصر الاستبيانات على نفس المعلومات بصيغة مختلفة. كيف يمكنك تقييم برنامج أمان ناضج؟