أخطاء ضوابط الوصول التي تكسر امتثال ECC

نادرًا ما تبدأ إخفاقات ضوابط الوصول في الأمن السيبراني بهجوم متطور. غالبًا ما تبدأ بموظف لديه صلاحيات أكثر مما يحتاج، أو حساب مقاول لا يزال نشطًا، أو مسؤول يستخدم حسابًا ذا امتيازات لكل مهمة، أو تسجيل دخول عن بُعد محمي بكلمة مرور فقط.

تخلق هذه النقاط الضعيفة تعرضًا مباشرًا للوصول غير المصرح به، وإساءة استخدام البيانات، وتغييرات الأنظمة، والاحتيال، واختراق الحسابات. كما تجعل من الصعب على المنظمة إثبات الامتثال لضوابط الأمن السيبراني الأساسية الصادرة عن الهيئة الوطنية للأمن السيبراني في السعودية.

يتعامل ECC 2-2024 مع إدارة الهوية والوصول باعتبارها مجالًا رقابيًا منظمًا. يجب على المنظمات تحديد متطلبات الوصول واعتمادها، وتطبيقها عبر أصول المعلومات والتقنية، ومراجعة فعاليتها بشكل دوري. لذلك يعتمد الامتثال على أكثر من وجود سياسة وصول. يجب أن تُظهر المنظمة أن الصلاحيات مبررة، ومعتمدة، ومراقبة، ومحدثة، وملغاة عند الحاجة.

صلاحيات المستخدمين المفرطة التي تخالف مبدأ أقل صلاحية

أحد أكثر أخطاء ضوابط الوصول ضررًا هو منح المستخدمين صلاحيات أكبر مما تتطلبه مسؤولياتهم.

غالبًا ما تتراكم الصلاحيات المفرطة تدريجيًا. يحصل موظف على وصول مؤقت لمشروع، ثم ينتقل إلى دور آخر، ويحتفظ بالصلاحيات القديمة. يوافق مدير على حزمة وصول واسعة لأن اختيار الصلاحيات الفردية يستغرق وقتًا أطول. يحصل مقاول على وصول إلى عدة أنظمة رغم أنه لا يحتاج إلا إلى تطبيق واحد.

مع مرور الوقت، تفقد المنظمة السيطرة على من يستطيع عرض المعلومات الحساسة، أو تغيير إعدادات الأنظمة، أو اعتماد المعاملات، أو الوصول إلى الخدمات الحرجة.

يربط دليل تطبيق ضوابط الأمن السيبراني الأساسية الصادر عن NCA تفويض المستخدمين بمبادئ الحاجة إلى المعرفة، والحاجة إلى الاستخدام، وأقل صلاحية، والفصل بين المهام. كما يتوقع من المنظمات توثيق متطلبات الأعمال، والاعتمادات المطلوبة، والأصول المتأثرة، ومدة الوصول حيثما ينطبق.

يعني مبدأ أقل صلاحية أن يحصل المستخدمون فقط على الصلاحيات اللازمة لأداء المهام المعتمدة. وتحد الحاجة إلى المعرفة الوصول إلى المعلومات المطلوبة للدور. ويمنع الفصل بين المهام أن يتحكم شخص واحد في أنشطة غير متوافقة قد تمكّن الخطأ أو سوء الاستخدام أو الاحتيال.

يمكن أن تجعل ضوابط الوصول القائمة على الأدوار ذلك أسهل من خلال إسناد مجموعات صلاحيات قياسية إلى أدوار محددة. لكن الأدوار المصممة بشكل ضعيف قد تخلق وصولًا مفرطًا أيضًا. يجب على المنظمات التحقق مما يحتاجه كل دور فعليًا، وفصل المسؤوليات الحساسة، وتوثيق الاستثناءات بدلًا من إضافة الصلاحيات بصورة غير رسمية.

يجب أن يحدد طلب الوصول المستخدم، والغرض التجاري، والنظام المطلوب، ومستوى الصلاحية، والمدة، واعتماد المدير، واعتماد مالك النظام. ومن دون هذه الأدلة، قد تواجه المنظمة صعوبة في شرح سبب منح الوصول أثناء تدقيق NCA ECC.

ضعف ضوابط وصول المنضمين والمنتقلين والمغادرين

يجب أن يتغير الوصول كلما تغيرت علاقة الشخص بالمنظمة.

يحتاج المنضمون الجدد إلى وصول معتمد قبل بدء العمل. ويحتاج المنتقلون إلى تعديل الصلاحيات عندما تتغير واجباتهم. ويحتاج المغادرون إلى تعليق الوصول أو إلغائه بسرعة عند انتهاء علاقة العمل، أو التعاقد، أو التكليف المؤقت.

يمكن أن يؤدي ضعف التنسيق بين الموارد البشرية، والمديرين المباشرين، وتقنية المعلومات، والمشتريات، والأمن السيبراني إلى كسر هذه الدورة. قد يحصل موظف جديد على وصول منسوخ من مستخدم آخر. وقد يحتفظ موظف منتقل بصلاحيات من الدورين. وقد يبقى مقاول سابق نشطًا لأن تاريخ انتهاء العقد لم يُبلّغ إلى تقنية المعلومات.

يتطلب ECC 2-2024 من المنظمات إدارة متطلبات الأمن السيبراني للموظفين والمقاولين قبل علاقة العمل وأثناءها وعند نهايتها. كما يتطلب تحديدًا مراجعة صلاحيات الأفراد وإلغائها فورًا عند انتهاء العمل أو إنهائه.

يصف قالب سياسة إدارة الهوية والوصول الرسمي الصادر عن NCA أيضًا التنسيق بين الموارد البشرية وتقنية المعلومات عندما ينتقل المستخدمون، أو يتسلمون واجبات جديدة، أو يغادرون المنظمة. ويوصي بأتمتة هذه التغييرات في الوصول قدر الإمكان.

يجب أن تربط العملية القوية سجلات الموارد البشرية والمقاولين بأنظمة الهوية. يجب أن تؤدي تواريخ البدء، وتغييرات الأدوار، وتواريخ انتهاء العقود، وحالات الإجازة، وأحداث الإنهاء إلى إجراءات وصول معتمدة. وقد تتطلب حالات الإنهاء الطارئة تعليق الحساب فورًا قبل بدء مهام الخروج العادية.

يجب على المنظمة أيضًا التحقق من الإغلاق. تعطيل حساب البريد الإلكتروني لا يكفي إذا كان المستخدم لا يزال يمتلك وصول VPN، أو حسابات سحابية، أو بيانات اعتماد للتطبيقات، أو رموزًا مادية، أو أسرارًا مشتركة، أو وصولًا إلى منصات المورّدين.

الحسابات وبيانات الاعتماد المشتركة التي تلغي مساءلة المستخدمين

تمنع الحسابات المشتركة المنظمات من إثبات من نفذ إجراءً حساسًا.

عندما يستخدم عدة موظفين اسم مستخدم إداريًا واحدًا، أو تسجيل دخول واحدًا إلى قاعدة بيانات، أو بيانات اعتماد خدمة، أو حسابًا تشغيليًا، فإن سجلات النشاط تحدد الحساب لكنها لا تحدد الفرد. وهذا يضعف التحقيق، والمراقبة، والمساءلة التأديبية، وأدلة التدقيق.

تتوقع إرشادات تطبيق ECC أن يمتلك الموظفون معرفات فريدة حتى يمكن ربط الإجراءات بالمستخدمين الأفراد. تسمح الحسابات الفريدة للمنظمة بتتبع عمليات تسجيل الدخول، والاعتمادات، وتغييرات الإعدادات، والتنزيلات، ومحاولات المصادقة الفاشلة إلى الشخص المسؤول.

قد توجد حالات تقنية محدودة تكون فيها حسابات الخدمة أو الحسابات التشغيلية المشتركة غير قابلة للتجنب. يجب اعتماد هذه الحسابات رسميًا، وتوثيقها، وتقييدها، وإدارتها بأمان، ومراقبتها. ولا ينبغي تداول كلمات المرور عبر البريد الإلكتروني، أو تطبيقات المراسلة، أو جداول البيانات، أو مستندات الفريق غير الرسمية.

تحتاج حسابات الخدمة أيضًا إلى ملكية. يجب أن تعرف المنظمة أي تطبيق يستخدم الحساب، وما الصلاحيات التي يحملها، وأين تُخزن بيانات اعتماده، وكم مرة تُدوّر الأسرار، وما الذي سيحدث عند إيقاف النظام المرتبط به.

قد تبدو بيانات الاعتماد المشتركة مريحة في العمليات اليومية، لكنها تلغي المساءلة التي يتطلبها امتثال ضوابط الوصول الفعال.

غياب المصادقة متعددة العوامل للوصول عالي المخاطر

توفر كلمات المرور وحدها حماية ضعيفة للوصول عالي المخاطر.

يمكن سرقة بيانات الاعتماد من خلال التصيد، أو البرمجيات الخبيثة، أو إعادة استخدام كلمات المرور، أو الهندسة الاجتماعية، أو اختراقات البيانات. وبمجرد أن يحصل المهاجم على كلمة مرور صالحة، قد يبدو تسجيل الدخول مشروعًا ما لم تكن هناك حاجة إلى عامل تحقق آخر.

تتطلب إرشادات تطبيق ECC تحديدًا المصادقة متعددة العوامل للوصول عن بُعد. كما يتضمن قالب سياسة إدارة الهوية والوصول الصادر عن NCA المصادقة متعددة العوامل للحسابات ذات الامتيازات والوصول إلى الأنظمة الحرجة، مما يعكس مستوى المخاطر الأعلى المرتبط بالوصول الإداري والحساس.

يجب أن تعطي المنظمات الأولوية للمصادقة متعددة العوامل في الاتصال عن بُعد، وحسابات المسؤولين، ولوحات إدارة السحابة، والتطبيقات الحساسة، والأنظمة الحرجة، والحسابات القادرة على تغيير ضوابط الأمن. ويجب اختيار الطريقة وفقًا للمخاطر والأثر المحتمل لفشل المصادقة أو تجاوزها.

كما يحتاج تطبيق المصادقة متعددة العوامل إلى أدلة. أثناء تدقيق ضوابط الوصول، قد تحتاج المنظمة إلى إظهار المتطلبات المعتمدة، وإعدادات الأنظمة، وسجلات التسجيل، واعتمادات الاستثناءات، وإثبات أن المصادقة عن بُعد أو المصادقة ذات الامتيازات تفعل فعلًا العامل الإضافي.

لا تثبت السياسة التي تنص على أن المصادقة متعددة العوامل مطلوبة أن كل نظام ذي صلة يفرضها. فالتطبيقات القديمة، والحسابات الطارئة، وبوابات المورّدين، والخدمات السحابية التي تم تجاهلها كثيرًا ما تخلق فجوات.

ضعف إدارة الوصول ذي الامتيازات لحسابات المسؤولين

تستطيع الحسابات ذات الامتيازات تغيير الإعدادات، وإنشاء المستخدمين، وتعطيل ضوابط الأمن، والوصول إلى البيانات الحساسة، والتأثير في أنظمة كاملة. ويمكن أن يحول ضعف التحكم في هذه الحسابات بيانات اعتماد واحدة مخترقة إلى حادث كبير.

يجب أن يمتلك المسؤولون هويات منفصلة للعمل العادي والمهام ذات الامتيازات. إن استخدام حساب مرتفع الصلاحيات للبريد الإلكتروني، أو تصفح الإنترنت، أو النشاط اليومي الروتيني يزيد التعرض ويجعل المراقبة أقل معنى.

تنص إرشادات تطبيق ECC الصادرة عن NCA على ضرورة تحديد الوصول ذي الامتيازات عبر البنية التحتية، والشبكات، والتطبيقات. كما تدعو إلى تحديد الأفراد ذوي الامتيازات، ومنح الوصول المرتفع وفقًا للواجبات الوظيفية والاعتمادات، وفصل الحسابات ذات الامتيازات عن الحسابات العادية، وتعطيل الحسابات الافتراضية، ومراقبة سجلات أحداث الحسابات ذات الامتيازات بشكل مستمر.

يجب أن تشمل الإدارة الفعالة للوصول ذي الامتيازات طلبات رسمية، وملكية محددة بالاسم، وتخزينًا آمنًا لبيانات الاعتماد، ورفع صلاحيات محدودًا بالوقت حيثما كان عمليًا، ومراقبة الجلسات، وتسجيل النشاط، ومراجعة منتظمة للصلاحيات. كما يجب تعطيل الحسابات الإدارية الافتراضية أو غير المستخدمة أو إزالتها.

يجب على المنظمات أيضًا التحقيق في النشاط غير الطبيعي للحسابات ذات الامتيازات. قد تشير عمليات تسجيل الدخول غير المتوقعة، أو الوصول خارج الساعات المعتمدة، أو تغييرات الإعدادات، أو تعطيل التسجيل، أو إنشاء مسؤولين جدد، أو الوصول من مواقع غير مألوفة إلى سوء استخدام أو اختراق.

يمكن أن تساعد دورة الضوابط الأساسية للأمن السيبراني وفق متطلبات الهيئة الوطنية للأمن السيبراني (NCA ECC) فرق الأمن السيبراني، وتقنية المعلومات، والامتثال، والمخاطر، والتدقيق على فهم كيفية ارتباط اعتماد الوصول، والمصادقة متعددة العوامل، والوصول ذي الامتيازات، وضوابط دورة حياة المستخدمين، والمراجعات، والأدلة ببرنامج امتثال ECC الأوسع.

عدم اتساق ضوابط الوصول عبر السحابة وتطبيقات SaaS والأنظمة الداخلية

تصبح ضوابط الوصول غير موثوقة عندما تتبع كل منصة قواعد مختلفة.

قد يستخدم الموظف هوية واحدة للشبكة المؤسسية، وهوية أخرى لخدمة سحابية، وحسابات منفصلة لتطبيقات المالية، أو الموارد البشرية، أو العملاء، أو العمليات. وقد تفرض بعض الأنظمة المصادقة متعددة العوامل وضوابط الوصول القائمة على الأدوار، بينما تعتمد أنظمة أخرى على كلمات المرور والصلاحيات الممنوحة يدويًا.

يخلق هذا التجزؤ حسابات غير مُدارة، وأدوارًا متعارضة، وتأخرًا في إلغاء الوصول، ومراقبة غير مكتملة. كما يجعل تدقيق ضوابط الوصول أكثر صعوبة لأن الأدلة يجب جمعها من أنظمة متعددة لها ملاك مختلفون وعمليات مراجعة مختلفة.

يجب على المنظمات وضع متطلبات مشتركة للهوية والوصول عبر المنصات السحابية، وتطبيقات SaaS، وقواعد البيانات، والشبكات، والأنظمة المحلية. ويجب أن تغطي هذه المتطلبات الهويات الفريدة، وسير عمل الاعتماد، وأقل صلاحية، والمصادقة متعددة العوامل، والوصول ذي الامتيازات، والحسابات غير النشطة، وتسجيل الوصول، وإلغاء الصلاحيات.

تتطلب البيئات السحابية أيضًا تقسيمًا واضحًا للمسؤوليات. قد يؤمّن المزود أجزاء من المنصة، لكن العميل قد يظل مسؤولًا عن هويات المستخدمين، وإعدادات الصلاحيات، وأدوار المسؤولين، وسياسات المصادقة، ومراجعات الوصول. وتمتد ضوابط الأمن السيبراني للحوسبة السحابية الصادرة عن NCA بمتطلبات الأمن السيبراني إلى مزودي الخدمات السحابية ومشتركي الخدمات السحابية، مما يجعل فهم الطرف المسؤول عن كل ضابط وصول أمرًا مهمًا.

يمكن أن تحسن حوكمة الهوية المركزية الاتساق، لكن التقنية وحدها لا تكفي. لا تزال المنظمة بحاجة إلى معايير وصول معتمدة، وملاك أنظمة مسؤولين، وتكاملات موثوقة، وإجراءات للتعامل مع الأنظمة التي لا يمكن ربطها بالمنصة المركزية.

الفشل في مراجعة وصول المستخدمين وإعادة اعتماده بانتظام

تصبح الصلاحيات قديمة عندما يُمنح الوصول مرة واحدة ولا يُراجع أبدًا.

يتغير الموظفون في أدوارهم، وتنتهي المشاريع، ويكمل المقاولون مهامهم، وتتغير الأنظمة. ومن دون إعادة اعتماد دورية للوصول، قد يحتفظ المستخدمون بصلاحيات لم تعد تتوافق مع واجباتهم.

يجب أن تتطلب مراجعات الوصول من المديرين وملاك الأنظمة تأكيد أن كل حساب لا يزال صالحًا وأن كل صلاحية لا تزال ضرورية. ويجب أن تغطي المراجعات المستخدمين العاديين، والمقاولين، وحسابات الخدمة، وحسابات الوصول عن بُعد، والمسؤولين، والحسابات الطارئة، والحسابات التي تملك وصولًا إلى أنظمة حرجة أو حساسة.

يتضمن قالب سياسة إدارة الهوية والوصول الرسمي الصادر عن NCA مراجعات دورية لهويات المستخدمين وحقوق الوصول. ويجب أن تؤدي هذه المراجعة إلى إجراء فعلي، لا مجرد اعتماد جدول بيانات.

يجب على المنظمات إزالة الحسابات غير النشطة، والتحقيق في الصلاحيات غير المفسرة، والتحقق من إسناد الأدوار، وتتبع الاستثناءات، والاحتفاظ بأدلة الاعتماد. ويجب أن يخضع الوصول ذو الامتيازات لمراجعة أكثر تكرارًا وتفصيلًا بسبب قدرته على التأثير في الأنظمة الحرجة وضوابط الأمن.

يجب أن تُظهر أدلة المراجعة من أجرى المراجعة، وما الذي تم تقييمه، وما التغييرات المطلوبة، ومتى اكتملت تلك التغييرات، ومن تحقق من الإغلاق. إن وضع علامة على المراجعة بأنها مكتملة بينما لا يزال الوصول غير الضروري نشطًا لا يقدم قيمة امتثال حقيقية.

تجاهل سجلات الوصول وأنشطة المصادقة المشبوهة

لا تنتهي ضوابط الوصول عندما تنجح المصادقة.

تحتاج المنظمات إلى مراقبة ما يحدث قبل تسجيل الدخول وبعده. قد تشير المحاولات الفاشلة، وتكرار فشل كلمات المرور، وأوقات الوصول غير المعتادة، وإنشاء مسؤول جديد، ورفع الصلاحيات، والوصول من مواقع غير مألوفة، والتنزيلات غير الطبيعية إلى سوء استخدام أو اختراق حساب.

يشمل ECC 2-2024 متطلبات تسجيل أحداث الأمن السيبراني ومراقبتها إلى جانب ضوابط إدارة الهوية والوصول. كما توفر NCA قوالب لتسجيل أحداث الأمن السيبراني ومراقبتها من خلال مجموعات أدوات الأمن السيبراني الرسمية، مما يساعد المنظمات على هيكلة السياسات والمعايير الخاصة بجمع الأحداث الأمنية ومراجعتها.

يجب مركزية السجلات حيثما كان ذلك عمليًا، وحمايتها من التعديل غير المصرح به، والاحتفاظ بها وفقًا للمتطلبات المعتمدة، ومراجعتها من خلال إجراءات مراقبة محددة. ويجب أن تؤدي الأحداث عالية المخاطر إلى تنبيهات وتحقيقات بدلًا من بقائها داخل لوحة مؤشرات.

تحتاج فرق المراقبة أيضًا إلى سياق. قد يكون تسجيل الدخول خارج ساعات العمل العادية مشروعًا لدور معين ومشبوهًا لدور آخر. لذلك يجب ربط النشاط ذي الامتيازات بالتغييرات المعتمدة، أو طلبات الدعم، أو الواجبات التشغيلية.

عند تحديد نشاط غير معتاد، يجب على المنظمة توثيق التحقيق، والقرار، وتدابير الاحتواء، والإجراء التصحيحي. تساعد هذه الأدلة على إثبات أن التسجيل يعمل كضابط أمني، لا كمجرد جمع سلبي للبيانات.

تصحيح فجوات ضوابط الوصول قبل تدقيق ECC

لا ينبغي للمنظمات انتظار التدقيق لاكتشاف أن سجلات الوصول غير مكتملة.

يجب أن تقارن مراجعة مركزة لضوابط الوصول الممارسات الحالية بمتطلبات ECC وتحدد الصلاحيات غير المدعومة، وحسابات المستخدمين السابقين النشطة، وبيانات الاعتماد المشتركة، وغياب المصادقة متعددة العوامل، والحسابات ذات الامتيازات غير المُدارة، والمراجعات غير المكتملة، وفجوات التسجيل.

يجب أن يكون لكل قصور مالك محدد بالاسم، وتصنيف مخاطر، وإجراء تصحيحي، وموعد نهائي، ومتطلب دليل. ويجب التحقق من الإغلاق بدلًا من قبوله فقط لأن مالك الضابط أفاد بأن المهمة اكتملت.

قد تشمل الأدلة المفيدة طلبات الوصول المعتمدة، وقوائم الحسابات، وتعريفات الأدوار، وإعدادات المصادقة متعددة العوامل، وسجلات الجلسات ذات الامتيازات، ونتائج مراجعات الوصول، وتذاكر إنهاء الخدمة، واعتمادات الاستثناءات، وسجلات المصادقة، وتحقيقات التنبيهات، وسجلات المعالجة.

تساعد دورة الضوابط الأساسية للأمن السيبراني وفق متطلبات الهيئة الوطنية للأمن السيبراني (NCA ECC) فرق الأمن السيبراني، وتقنية المعلومات، والامتثال، والمخاطر، والتدقيق الداخلي على فهم كيفية ارتباط هذه الضوابط وما الأدلة المطلوبة لدعم التطبيق. ويُعد الفهم المشترك مهمًا بشكل خاص عندما تكون مسؤوليات الوصول موزعة بين الموارد البشرية، وملاك الأنظمة، وفرق التقنية، والأمن السيبراني، والمورّدين، والمديرين.

الخاتمة

تكسر أخطاء ضوابط الوصول في الأمن السيبراني امتثال ECC عندما تكون الصلاحيات أوسع، أو أطول مدة، أو أقل وضوحًا مما تستطيع المنظمة تبريره.

يؤدي الوصول المفرط، وضعف عمليات المنضمين والمنتقلين والمغادرين، وبيانات الاعتماد المشتركة، وغياب المصادقة متعددة العوامل، والحسابات الإدارية غير المُدارة، والصلاحيات السحابية غير المتسقة، والمراجعات المهملة، وسجلات المصادقة المتجاهلة، كلها إلى إضعاف المساءلة.

تتطلب ضوابط الوصول القوية هويات فريدة، وصلاحيات معتمدة، وأقل صلاحية، وفصلًا بين المهام، ووصولًا آمنًا ذا امتيازات، وإعادة اعتماد دورية، وحوكمة سحابية متسقة، ومراقبة نشطة.

الهدف ليس مجرد إثبات وجود سياسة وصول. بل إثبات أن الوصول يُمنح لسبب صحيح، ويُراقب أثناء نشاطه، ويتغير عندما تتغير المسؤوليات، ويُزال عندما لا يعود مطلوبًا.