دراسة تكشف عن خسارة تقنية المعلومات للمعركة حول أمن السحابة الإلكترونية
تجهل غالبية شركات تقنية المعلومات الكثير عن حماية بيانات الشركات في السحابة الإلكترونية، مما يعرض المعلومات السرية والحساسة للخطر.
كانت هذه واحدة من النتائج التي توصلت إليها دراسة أجرتها “سيف نت” SafeNet، وهي شركة متخصصة في مجال حماية البيانات، مؤخرا بتكليف من معهد “بونيمون” Ponemon.
وقد قامت الدراسة، وعنوانها “تحديات إدارة المعلومات في السحابة الإلكترونية: دراسة عالمية حول أمن البيانات”، بتغطية أكثر من 1800 خبير متخصص في أمن تقنية المعلومات في جميع أنحاء العالم.
ويشير البحث، من بين النتائج الرئيسية، إلى أن الشركات تستخدم وبصورة متزايدة مصادر الحوسبة السحابية، ويواجه العاملون في تقنية المعلومات صعوبة في السيطرة على إدارة وأمن البيانات في السحابة.
ووجدت الدراسة أن 38 بالمئة فقط من الشركات قد حددت بوضوح الأدوار وطريقة المساءلة لحماية المعلومات السرية أو الحساسة في السحابة.
ويضيف إلى هذا الارتباك أن 44 بالمئة من بيانات الشركات المخزنة في البيئات السحابية ليست تحت سيطرة إدارة تقنية المعلومات. وذكر أكثر من ثلثي (71 بالمئة) المشاركين أنه من الصعب حماية البيانات الحساسة في السحابة باستخدام الممارسات الأمنية التقليدية.
ويقول الدكتور لاري “بونيمون”، رئيس ومؤسس معهد “بونيمون”: “تكشف النتائج عن أن الشركات العالمية تبذل جهودا مضنية لتأمين البيانات في سحابة نظرا لعدم تطبيق ممارسات أمنية فاعلة. ولخلق بيئة سحابية أكثر أمنا، يمكن للشركات أن تبدأ بخطوات بسيطة مثل إدماج أمن تقنية المعلومات في وضع السياسات والإجراءات الأمنية؛ وزيادة وضوح استخدام التطبيقات والمنصات والبنية التحتية السحابية، وحماية البيانات بالترميز وضوابط أقوى للتعامل، مثل المصادقة متعددة العوامل”.
ومع تزايد استخدام السحابة تزداد المخاطر على البيانات الحساسة، أكد قرابة الثلاثة أرباع (71 بالمئة) من مهنيي تقنية المعلومات أن الحوسبة السحابية صارت مهمة جدا اليوم، ويعتقد أكثر من ثلاثة أرباعهم (78 بالمئة) أنها ستبقى كذلك على مدى العامين المقبلين. ويقدر المستطلعون أيضا أن 33 بالمئة من مجموع متطلبات تقنية المعلومات ومعالجة البيانات تلبيها السحابة، وأن من المتوقع أن ترتفع النسبة إلى ما متوسطه 41 بالمئة في غضون عامين.
ومع ذلك، فإن غالبية المستطلعين (70 بالمئة) متفقون على مدى تعقيد إدارة لوائح الخصوصية وحماية البيانات في البيئة السحابية، ويتفقون أيضا على أن أنواع بيانات الشركات المخزنة في السحابة، مثل رسائل البريد الإلكتروني، والمعلومات عن المستهلكين و العملاء ومعلومات السداد والتعامل المالي، هي أنواع البيانات الأكثر عرضة للخطر.
ومن حيث أمن السحابة، وأنظمة تقنية المعلومات غير الرسمية والحاجة إلى مزيد من المساءلة، يستخدم في المتوسط نصف الخدمات السحابية من قبل إدارات أخرى خلاف تقنية المعلومات، وقرابة 44 بالمئة من بيانات الشركات المخزنة في البيئة السحابية ليست تحت إدارة ورقابة إدارة تقنية المعلومات.
ونتيجة لذلك، يثق 19 بالمئة فقط ممن شملهم الاستطلاع في أنهم يعرفون جميع تطبيقات ومنصات وخدمات البنية التحتية للحوسبة السحابية المستخدمة في شركاتهم اليوم.
جنبا إلى جنب مع هذا الافتقار إلى السيطرة على مصادر الخدمات السحابية، فإن وجهات النظر حول من هو المسؤول في الواقع عن أمن بيانات السحابة متضاربة. ويذكر 35 بالمئة من المستطلعين أن المسؤولية مشتركة بين مستخدم ومزود السحابة، بينما ذكر 33 بالمئة أنها مسؤولية مستخدم السحابة و32 بالمئة أنها مسؤولية مزود السحابة.
وفيما يتعلق بالترميز والمصادقة متعددة العوامل بديلان قويان لتدابير حماية البيانات التقليدية، يقول أكثر من ثلثي المستطلعين (71 بالمئة) أن من الصعب حماية البيانات الحساسة في السحابة باستخدام الممارسات الأمنية التقليدية، ويذكر ما يقرب من النصف (48 بالمئة) أن من الصعب السيطرة عليها أو تقييد وصول المستخدم النهائي إلى بيانات السحابة.
ونتيجة لذلك، يقول أكثر من الثلث (34 بالمئة) من مهنيي تقنية المعلومات ممن شملهم الاستطلاع أن لدى شركاتهم بالفعل سياسة تتطلب استخدام الضمانات الأمنية مثل الترميز كشرط لاستخدام بعض موارد الحوسبة السحابية. وذكر 71 بالمئة من المستطلعين أن القدرة على ترميز البيانات الحساسة أو السرية أمر مهم، وقال 79 بالمئة أن هذا الأمر سوف يصبح أكثر أهمية على مدى العامين المقبلين.
ومن جهة ما تقوم به الشركات في الواقع لتأمين البيانات في السحابة، يقول 43 بالمئة من المستطلعين أن شركاتهم تستخدم اتصال خاص بشبكة البيانات. وذكر ما يقرب من 39 بالمئة من المستطلعين أن شركاتهم تستخدم الترميز أو إحلال البيانات أو أدوات الترميز الأخرى لحماية البيانات في السحابة.
ويقول 33 بالمئة إنهم لا يعرفون ما هي الحلول الأمنية التي يستخدمونها و29 بالمئة يقولون أنهم يستخدمون الخدمات الأمنية المتميزة التي يوفرها مزود السحابة الذي يتعاملون معه.
وأشار المشاركون أيضا إلى أن إدارة مفاتيح الترميز أمر مهم لتأمين البيانات في السحابة، نظرا للعدد المتزايد لإدارة المفاتيح ومنصات الترميز التي تستخدمها شركاتهم. وقال أربعة وخمسون بالمئة من المستطلعين أن شركاتهم تتحكم في مفاتيح الترميز عندما يتم تخزين البيانات في السحابة.
ومع ذلك، يقول 45 بالمئة إنهم يقومون بتخزين مفاتيح الترميز في البرنامج الذي يخنون فيه بياناتهم، في حين أن 27 بالمئة يقولون أنهم يقومون بتخزين مفاتيحهم في بيئات أكثر أمنا مثل الأجهزة.
وفيما يتعلق بالوصول على البيانات في السحابة، يذكر 68 بالمئة من المستطلعين أيضا أن إدارة هويات المستخدمين تزداد صعوبة في السحابة، وقال 62 بالمئة من المستطلعين إن لدى شركاتهم دخول إلى سحابة عبر طرف ثالث.
ويذكر ما يقرب من النصف (46 بالمئة) أن شركاتهم تستخدم المصادقة متعددة العوامل لتأمين وصول الطرف الثالث إلى البيانات في السحابة. وقالت نفس النسبة تقريبا (48 بالمئة) من المستطلعين أن شركاتهم تستخدم المصادقة متعددة العوامل لوصول الموظفين للسحابة.
وتعليقا على هذه النتائج، يقول سيباستيان بافييه، مدير مبيعات منطقة الشرق الأوسط وأفريقيا في شركة “سيف نت”: “في حين أن السحابة الإلكترونية قد أحدثت ثورة في طريقة التعامل مع تقنية المعلومات، إلا أن العديد من الشركات المتخصصة تجد صعوبة في مواكبة الطلب على هذه الخدمات والتعامل مع الآثار الأمنية الناجمة عن تخزين البيانات الهامة في السحابة. وكما رأينا في العام 2014 مع مجموعة هائلة من خروقات البيانات، فإن الشركات تتلقى هجمات من زوايا مختلفة. ومن أجل تخفيف المخاطر، لابد من وجود تنسيق مركز وأساليب جديدة لتأمين البيانات في السحابة، ولابد أن تكون تقنية المعلومات في قلب هذه النقلة”.
وفيما يتعلق بأهم توصيات حماية البيانات في السحابة، أشارت الدراسة إلى دور شركات تقنية المعلومات يتغير وهي بحاجة إلى التكيف مع الحقائق الجديدة لتقنية المعلومات السحابية من خلال تثقيف الموظفين بشأن الأمن، ووضع سياسات شاملة لإدارة البيانات والامتثال، ووضع مبادئ توجيهية للاستعانة بالخدمات السحابية، ووضع قواعد لتحديد نوعية البيانات التي يمكن تخزينها في السحابة.
وأوصت الدراسة شركات تقنية المعلومات بإنجاز مهمتها في حماية بيانات الشركات مع تمكين “تقنية المعلومات غير الرسمية” في نفس الوقت من خلال تنفيذ تدابير أمن البيانات مثل “الترميز كخدمة” التي تسمح لها بإدارة حماية البيانات في السحابة بطريقة مركزية بينما تقوم بالتعهيد بخدمات السحابة حسب الحاجة.
ومع تخزين الشركات لمزيد من البيانات في السحابة وتستفيد من المزيد من الخدمات القائمة على السحابة لصالح موظفيها، تحتاج شكات تقنية المعلومات لزيادة التركيز على ضوابط أقوى على المستخدم من خلال المصادقة متعددة العوامل. ويزداد هذا أهمية بالنسبة للشركات التي تمنح أطراف أخرى ومتعهدين إمكانية الوصول إلى البيانات في السحابة. فيمكن إدارة تطبيقات المصادقة متعددة العوامل مركزيا لتوفير وصول أكثر أمنا لجميع التطبيقات والبيانات سواء في السحابة أو في أماكن العمل.
