لماذا تعتمد عدم الثقة على حل مشكلة انتشار الهوية

مفهوم انعدام الثقة ليس جديدًا – المصطلح صاغه جون كيندرفاغ في شركة Forrester منذ أكثر من عقد من الزمان. ولكن حتى وقت قريب ، كان يُنظر إلى انعدام الثقة على أنه نهج متطور لم يتعامل معه سوى عدد قليل من المنظمات.

في عالم اليوم الذي تهيمن عليه السحابة والموجه عن بُعد ، تحولت الثقة الصفرية بسرعة من الهامش إلى الطريقة الأكثر فعالية لتأمين الوصول في مشهد رقمي موسع.

يعتمد النهج على مفهوم “لا تثق أبدًا ، تحقق دائمًا”. يأخذ قرار منح حق الوصول في الاعتبار مجموعة متنوعة من العوامل – أو السمات – التي ، مجتمعة ، تتحقق من أن المستخدم لديه الحق في اتخاذ إجراءات محددة.

بدلاً من منح الوصول على مستوى النظام لمجرد الحصول على بيانات الاعتماد الصحيحة ، يتخذ النظام نهجًا قائمًا على المخاطر لتقييم المستخدمين. يتم تحديد خطوات التحقق من خلال إشارات سياقية مثل الموقع والجهاز ، بالإضافة إلى أهمية الأصول التي يتم الوصول إليها.

ومن المفارقات أن انعدام الثقة يعتمد على الوصول إلى معلومات الهوية الموثوقة. الهوية هي العمود الفقري الذي يجمع نهج عدم الثقة معًا ، وتتطلب الإستراتيجية الناجحة الوصول إلى بيانات عالية الجودة وغنية بالسياق حول كل هوية داخل المؤسسة. يمكن للبيانات غير الدقيقة أن تمنع المستخدمين الشرعيين من القيام بعملهم ، ولكن الأسوأ من ذلك ، أنها تخلق فرصًا للجهات الفاعلة في التهديد للتسلل إلى الشبكة.

تحديد بيانات الهوية

بيانات الهوية هي جوهر أي منظمة رقمية حديثة. ومع ذلك ، لا يزال لدى العديد من الشركات فهم هش بشكل مدهش للهويات التي يقوم عليها كل ما يفعلونه. قد يكون لدى أي مستخدم عشرات الحسابات المختلفة أو الشخصيات المنتشرة عبر أنظمة متعددة غير متصلة.

يمكن أن تكون الهوية أيضًا مزيجًا من هوية المستخدم والجهاز – ومن المرجح أن تنفجر هويات الجهاز مع نمو التكنولوجيا التشغيلية وإنترنت الأشياء. ليس من غير المألوف أن تمتلك سيارة واحدة أو رافعة رفع مئات من أجهزة الاستشعار المتصلة ، وكلها بهوية واحدة.

لا تمتلك معظم الشركات آليات لتتبع كل هذه الملفات الشخصية وربطها معًا لتشكيل هوية متسقة. بدون صورة واضحة للمستخدمين وكيفية اتصالهم بأصول وأجهزة مختلفة ، يكون تصميم إستراتيجية فعالة لإدارة بيانات انعدام الثقة أمرًا صعبًا.

أحد أهم جوانب انعدام الثقة هو تنفيذ سياسة عالمية أقل امتيازات. يجب أن يكون جميع المستخدمين قادرين فقط على الوصول إلى البيانات والأنظمة التي يحتاجون إليها لأداء عملهم ، وبالتالي التخفيف من مخاطر حساب مخترق أو مستخدم ضار من الداخل. كلما زادت معرفة المنظمة بمستخدميها ، زادت فعاليتها في تنفيذ أقل الامتيازات. إن دور المستخدم وموقعه الحالي والموارد المطلوبة والإجراءات المقصودة كلها أجزاء مهمة في لغز هويتهم.

ستجعل الصورة الكاملة من السهل تأكيد ما إذا كانت إجراءات الهوية طبيعية وتسليط الضوء على السلوك الضار المحتمل. من ناحية أخرى ، ستجعل كل قطعة مفقودة من الصعب السماح أو رفض الوصول إلى النظام بدقة.

إذن ، ما الذي يمنع المنظمات من إدارة هوياتها بفعالية؟

لماذا تعتبر الهوية مثل هذا العائق أمام انعدام الثقة؟

تمتلك معظم الشركات ثروة من المعرفة حول مستخدميها ، وهي معلومات تحتوي على كل ما تحتاجه لاتخاذ قرارات وصول شاملة. المشكلة هي أنهم لا يستطيعون الاستفادة بسهولة من كل هذه البيانات.

أكبر مشكلة هي مزيج من توسع الهوية والأنظمة القديمة غير المرنة. تنتشر بيانات المستخدم بشكل شائع عبر أنظمة وتطبيقات منعزلة متعددة. هل هذا توم سميث على SharePoint هو نفسه توم سميث في Salesforce؟ بدون وجود مستودع واحد لهذه المعلومات ، يمكن أن يكون الاكتشاف بطيئًا ومضنيًا. إن مزامنة هذه الهويات المتباينة أمر معقد من خلال تضمين الأنظمة القديمة التي غالبًا ما تكون متوافقة مع الحلول الرقمية الحديثة.

تصبح هذه المشكلات حاجزًا خطيرًا أمام انعدام الثقة ، مما يؤثر على التصميم والتنفيذ والجدول الزمني لنشر أي جهود عدم ثقة. سيؤدي فك كل خيوط الهوية هذه يدويًا إلى زيادة العبء على الموارد الداخلية وتضخيم تكلفة المشروع.

علاوة على ذلك ، فإن أي ثغرات في الهوية ستعيق بشكل كبير استراتيجية انعدام الثقة بمجرد إنشائها وتشغيلها. لا يمكن التحقق باستمرار من إمكانية الوثوق بالمستخدمين للوصول إلى النظام إلا من خلال بيانات عالية الجودة وغنية بالسياق حول هوياتهم.

تدرك المعامل في NIST هذا التحدي. لمعالجة الصعوبات المتعلقة بانتشار الهوية على وجه التحديد ، فقد سلطوا الضوء على الحاجة إلى ارتباط الهوية لمكافحة التجزئة ونقص بيانات الهوية الكاملة حول كل مستخدم.

تعزيز إدارة بيانات الهوية لتسريع انعدام الثقة

قد تشعر المنظمات ذات البنى التحتية المعقدة والهويات المتناثرة بأنها عالقة بين المطرقة والسندان. إنهم بحاجة إلى المضي قدمًا دون ثقة ، لكن تكلفة وتعقيد الحصول على بيانات الهوية تحت السيطرة باهظة.

لحسن الحظ ، هناك طرق لتبسيط تكامل وتوحيد وجودة بيانات الهوية دون كسر البنك. يُعرف أحد أكثر الأساليب فاعلية بنسيج بيانات الهوية. ينسج هذا الإعداد خيوط الهوية الفردية في طبقة واحدة ، مما يخلق نقطة واحدة للتحكم والرؤية. هذا يجعل من الممكن مطابقة أي هوية رقمية على الفور مع مستخدم معين – وما يمكنهم الوصول إليه.

مع وجود الآلاف أو حتى الملايين من الهويات التي تراكمت لدى معظم الشركات على مر السنين ، فإن الوصول إلى هذه النقطة يتطلب الكثير من الأتمتة. يمكن للأدوات المتخصصة البحث في جميع أجزاء الهوية المجزأة المنتشرة عبر أنظمة مختلفة وتجميعها في كل متماسك عن طريق تعيينها في طبقة تجريدية.

بمجرد اكتمالها ، يوفر نسيج بيانات الهوية موردًا مرنًا وقابل للتوسيع لعمليات الهوية في ظل عدم الثقة. يمكن للمؤسسات أن تثق في أنه يتم التحقق من المستخدمين بناءً على بيانات دقيقة وأن سياسات الامتياز الأقل التي تحكم الوصول سيتم تنفيذها دائمًا بناءً على معلومات موثوقة وحديثة. يمكن لطبقة البيانات المفردة هذه أيضًا أن تبسط إلى حد كبير عناصر تحكم وأنشطة فريق الامتثال للهوية.

على الرغم من أن الأمر قد يبدو مثيرًا للسخرية ، فكلما زادت معرفتك بمستخدميك ، كان وضعك الأمني ​​أفضل – لأنه كلما كانت قراراتك أكثر دقة. يوفر نهج الهوية الموحدة أسرع طريقة لتوحيد جميع بيانات الهوية المتاحة وجعلها قابلة للاستهلاك بواسطة مكونات الأمان الخاصة بك.

الثقة الصفرية لم تعد المستقبل – باتباع النهج الصحيح ، يمكن تحقيقها الآن.

كريس لوفجوي هو قائد ممارسات الأمن والمرونة العالمية في Kyndryl وعضو مجلس إدارة Radiant LogicBoard.