افتح أيّ تقريرِ تشريحٍ لاختراقٍ أمني تقريبًا، ونادرًا ما تجد شركةً بلا دفاعات. بل تجد شركةً كانت دفاعاتها جيدة — لكن لبيئةٍ كانت تعمل فيها قبل ثلاث سنوات. كان الجدار الناري مضبوطًا، وقائمة الصلاحيات محكمة، ووتيرة الترقيع فعليّة. ثم واصل العمل تطوّره، وتوقّفت الضوابط بهدوءٍ عن مواكبته.
أُسمّي هذا الانحراف الأمني: الفجوة المتّسعة بين الدفاعات التي صمّمتها وتلك التي تملكها فعليًا اليوم. لا أحد يقرّر إضعافها، لكنها تضعف لأنّ كلّ ما حولها يتغيّر بينما تبقى هي على حالها.
دفاعاتك لقطة ثابتة، وعملك فيلم متحرك
كلّ ضابطٍ أمني تنشره رهانٌ على لحظةٍ محددة — هذه الشبكة، وهؤلاء المستخدمون، ونموذج التهديد هذا. وتلك اللحظة تنتهي صلاحيتها. قاعدةٌ كُتبت لشركةٍ من 40 موظفًا لا تزال ساريةً وقد صار عددهم 400. واستثناءٌ مُنح "فقط من أجل الترحيل" يعمّر أطول من ثلاثة مدراء تقنيين. الضابط لم يفشل؛ بل إنّ الواقع انزاح من تحته.
الانحراف خطيرٌ تحديدًا لأنه صامت. لا يوجد تنبيهٌ يقول "هذه السياسة لم تعد تطابق طريقة عملنا". يبقى كلّ شيءٍ أخضر حتى اليوم الذي يكفّ فيه عن ذلك.
من أين يتسلل الانحراف
في المشاريع التي عملت عليها، تتكرّر الحفنة نفسها من المواضع التي تتسرّب منها الحماية:
- الهوية والوصول (Identity & Access). الملتحقون الجدد يحصلون على حسابات، والمغادرون يحتفظون بها. والمتعاقدون يراكمون أدوارًا لا يتخلّون عنها. بعد ستة أشهر، يصبح نصف صلاحياتك المميّزة بلا مبرّرٍ قائم.
- قواعد الجدار الناري والسحابة. قاعدة 0.0.0.0/0 "المؤقتة" التي فتحها أحدهم في الثانية صباحًا لإطلاق منتج. لا تزال موجودة. إنها دائمًا لا تزال موجودة.
- خطوط الأساس للإعدادات (Configuration Baselines). صلّبت الصورة الذهبية (Golden Image) في 2023. ثم انحرف كلُّ خادمٍ بعدها قليلًا — عَلَمُ ترقيعٍ هنا، وخوارزميةُ تشفيرٍ أضعف هناك — ولم يُعِد أحدٌ ضبط خط الأساس.
- التبعيات والترقيعات (Dependencies & Patches). مكتبةٌ كانت محدَّثة عند الإطلاق تصبح متأخرةً بثلاث ثغرات CVE بحلول الربع التالي. الشيفرة لم تتغيّر، لكنّ رأي العالم فيها تغيّر.
- الأشخاص والعمليات. بطل الأمن الذي كان يجري تمارين التصيّد غادر. وبات دليل الإجراءات يشير إلى قناة Slack أُرشِفت منذ أشهر.
لماذا يقول تدقيقك إنك بخير
لأنّ معظم عمليات التدقيق تختبر ما إذا كان الضابط موجودًا، لا ما إذا كان لا يزال ملائمًا. التقرير المرتبط بلحظةٍ زمنيةٍ بعينها صورةٌ فوتوغرافية — مفيدةٌ، ومتقادمةٌ لحظةَ طباعتها. المهاجمون لا يعملون بلقطاتٍ ثابتة؛ إنهم يسبرون باستمرار، فيجدون الفجوة بين آخر مراجعةٍ لك واليوم.
الامتثال يقيس ما إذا كنت قد نجحت. الانحراف يقيس ما إذا كنت ستنجح لو تحقّق أحدهم الآن.
هذا هو فخّ التعامل مع الأمن كمشروعٍ له تاريخ انتهاء. إنه نظامٌ حيٌّ يعمل، والأنظمة الحيّة تحتاج إلى صيانةٍ لا إلى إطلاقاتٍ فحسب.
كيف توقف الانزلاق
لا تهزم الانحراف بمزيدٍ من الأدوات، بل بجعل الحالة الراهنة مرئية، وبمنح كلّ ضابطٍ تاريخ انتهاء.
- اجعل رصد الحالة مستمرًا لا سنويًا. كشف انحراف الإعدادات، وفحص الوضع الأمني السحابي (Cloud Posture)، وتنبيهات التبعيات يجب أن تعمل يوميًا وتستدعي إنسانًا عند أيّ انحراف — لا أن تنتظر مدققًا.
- امنح الوصول عمرًا محددًا. اجعل الأصل منح صلاحياتٍ محدودةٍ بوقتٍ وعند الحاجة (Just-in-Time). الوصول الذي يجب تجديده لا يمكن أن يتراكم بصمت. راجع الأدوار المميّزة كلّ ربع، واحذف فعليًا، ولا تختم بالموافقة آليًا.
- ضع تاريخ انتهاء لكل استثناء. كلّ قاعدة جدارٍ ناري "مؤقتة" أو إعفاءٍ من سياسة يحصل على تذكرةٍ وتاريخ إنهاء. إن ظلّ مطلوبًا، فليُعِد أحدهم تبريره؛ وإلا، فليَمُت في موعده.
- أعد ضبط خط الأساس بوتيرة منتظمة. عامِل إعداداتك المصلّبة كشيفرة (as Code)، وقارن الأنظمة الحية بها، ونبّه على الفارق. الانحراف الذي تراه هو انحرافٌ تستطيع إصلاحه.
- عيّن مالكًا. الضابط بلا اسمٍ مسؤولٍ عنه يتعفّن. كلّ دفاعٍ حرجٍ يحتاج شخصًا مسؤولًا عن صلاحيته للعمل، لا عن مجرد وجوده.
من أين تبدأ صباح الاثنين
لا تحاول أن تعالج كلّ شيءٍ دفعةً واحدة. اختر أثمن أصلٍ لديك واسأل ثلاثة أسئلة: من يستطيع الوصول إليه اليوم، وهل لا يزال كلٌّ منهم بحاجةٍ إلى ذلك فعلًا؟ ما القواعد والاستثناءات التي تحرسه، ومتى آخر مرةٍ برّرناها؟ وكم سنستغرق لنلاحظ لو تغيّر إعداده؟ الإجابات الصادقة عن نظامٍ واحدٍ تكشف عادةً النمط في الأنظمة كلها.
الأمن ليس شيئًا تُثبّته، بل شيء تحافظ عليه — والانحراف هو الفائدة التي تدفعها ثمنًا لعدم الانتباه.