مُعظم الاختراقات التي يُستدعى فريقي للتعامل معها لا تبدأ بثغرة يوم صفر سينمائية مبهرة. تبدأ بكلمة مرور واحدة مسروقة، وشبكة مُسطّحة بلا تقسيم، ومُهاجم تحرّك داخلها جانبيًا ثلاثة أسابيع قبل أن ينتبه إليه أحد. لقد أدّى الجدار الناري عمله على أكمل وجه، لكنه ببساطة كان يحرس بابًا يقف المُتسلّل خلفه أصلًا.
هذه هي المشكلة التي تعالجها معمارية الثقة الصفرية فعليًا؛ لا نسختها التسويقية، بل الحقيقية: أن تتوقّف عن افتراض أن وجودك داخل الشبكة يجعلك موضع ثقة. وبالنسبة إلى مؤسسة متوسطة الحجم لا تملك فريق أمن من أربعين شخصًا، فهذا التحوّل قابل للتحقيق، لكن بشرط أن تتعامل معه بوصفه نموذجًا تشغيليًا لا منتجًا تشتريه.
ألغِ فكرة "الشبكة الداخلية الموثوقة" أولًا
أكثر الافتراضات ضررًا في البيئات المتوسطة هو اعتبار أن حركة البيانات خلف المحيط الأمني آمنة. وهي ليست كذلك. فبمجرد أن يظفر المُهاجم بموطئ قدم — حاسوب وقع ضحية تصيّد، أو VPN مكشوف، أو حساب خدمة منسيّ — تُسلّمه الشبكة المُسطّحة المبنى بأكمله.
الثقة الصفرية تقلب هذا الافتراض رأسًا على عقب؛ إذ يُقيَّم كل طلبٍ للوصول إلى مورد بناءً على الهوية، ووضع الجهاز، والسياق، في كل مرة، وبغضّ النظر عن مصدره. الشعار المتداول هو "لا تثق أبدًا، تحقّق دائمًا"، لكن الصياغة الأكثر فائدةً التي أقدّمها لعملائي هي التالية:
افترض أن المُهاجم موجود بالداخل بالفعل، ثم صمّم نظامك بحيث لا يُحدث هذا الوجود أيّ فرق.
هذا النموذج الذهني يُغيّر قراراتك على الفور. فتكفّ عن الاستثمار في إبقاء الناس بالخارج وحده، وتبدأ في تقييد ما يمكن لأيّ حساب أو جهاز مُخترَق واحد أن يصل إليه فعلًا.
ابدأ بالهوية، فهي 70% من المكسب
إن لم تفعل شيئًا آخر هذا الربع، فأصلِح الهوية. فهنا أكبر أثرٍ يمكن تحقيقه، وبتكلفة أقلّ مما تتوقّعه معظم الفرق.
- افرض مصادقة متعددة العوامل مقاومة للتصيّد في كل مكان — لا رموز الرسائل النصية. مفاتيح FIDO2 أو passkeys للمسؤولين ولكل من يلمس بيئة الإنتاج. هذا وحده يوقف غالبية هجمات إعادة تشغيل بيانات الاعتماد.
- وحّد كل شيء تحت مزوّد هوية واحد. Entra ID أو Okta أو Google — اختر واحدًا ووجّه كل تطبيق عبره باستخدام SSO. ففي تسجيلات الدخول الخفيّة يختبئ الاختراق.
- ألغِ صلاحيات المسؤول الدائمة. وانتقل إلى الترقية عند الحاجة (just-in-time)، حيث يُمنح الوصول المميّز لمهمة محدّدة ثم ينتهي تلقائيًا. فرمز مسؤول نطاقٍ خامل على حاسوب محمول هدية للمُهاجم.
في مشاريعي، يمنحك إحكام الهوية خفضًا للمخاطر مقابل كل دولار يفوق ما يمنحه أيّ جهاز شبكي. ابدأ به أولًا.
قسّم الشبكة، لكن بواقعية
عند التقسيم الدقيق (Microsegmentation) تتعثّر كثير من مشاريع الثقة الصفرية بصمت؛ إذ تحاول الفرق تعريف سياساتٍ لكل حمل عمل عبر مئات الخدمات، فتغرق في التفاصيل. لا تسلك هذا الطريق؛ ابدأ بتقسيم خشن ثم أحكمه تدريجيًا.
ترتيب تقسيم قابل للتنفيذ فعلًا
- اعزل جواهر التاج أولًا: الأنظمة المالية، ومخازن بيانات العملاء، ووحدات التحكم بالنطاق. فإن كانت هذه على شبكة VLAN المُسطّحة نفسها مع طابعات فريق التسويق، فتلك مهمّة يوم الإثنين.
- افصل أجهزة المستخدمين عن الخوادم. فمحطة العمل لا تحتاج، إلا فيما ندر، إلى الوصول إلى منافذ عشوائية على قاعدة بيانات.
- ضع أجهزة الطرف الثالث وإنترنت الأشياء — الكاميرات، وقارئات البطاقات، وحواسيب المتعاقدين — في شبكة خاصة بها مع منعٍ افتراضي للخروج.
لست بحاجة إلى شهادة دكتوراه في service mesh. فالبوابات الواعية بالهوية (مثل بوابة ZTNA) تتيح لك استبدال الـVPN في التطبيقات الداخلية، والحصول على تحكّم بالوصول لكل تطبيق على حدة، دون إعادة هيكلة كل شيء دفعة واحدة.
راقبها بالقياسات، وإلا فأنت تطير بلا رؤية
الثقة الصفرية بلا قياسات ورصد ليست سوى احتكاك إضافي. فكل قرار وصول يجب أن يُنتج سجلًا يمكنك الاستعلام عنه فعليًا. وحين يلوح خطبٌ ما، فإن سؤال "من وصل إلى ماذا، ومن أي جهاز، ومتى؟" يحتاج إجابة في خمس دقائق، لا تحقيقًا يمتد خمسة أيام.
- مركِز السجلات من مزوّد الهوية، ونقاط النهاية، وبوابة ZTNA في مكان واحد — فحتى نظام SIEM متواضع أو مخزن سجلات مُنظّم جيدًا خير من لوحات مبعثرة.
- نبّه على السلوكيات المهمّة: السفر المستحيل، وتصعيد الصلاحيات، وحساب خدمة يسجّل الدخول تفاعليًا، والوصول من جهاز غير مُدار.
- راجع سياسات الوصول كل ربع سنة، فالصلاحيات تتعفّن. فالمتدرّب الذي احتاج وصولًا إلى الإنتاج في مارس لا ينبغي أن يظلّ محتفظًا به في سبتمبر.
من أين تبدأ صباح الإثنين
الثقة الصفرية اتجاهٌ لا خط نهاية، ولست بحاجة إلى برنامج اقتلاعٍ واستبدالٍ كامل كي تُحرز تقدّمًا حقيقيًا. رتّبها على مراحل:
- الأسابيع 1–4: مصادقة متعددة العوامل مقاومة للتصيّد لكل المسؤولين، وSSO موحّد، وإلغاء صلاحيات المسؤول الدائمة.
- الشهران 2–3: قسّم جواهر تاجك، وانشر بوابة ZTNA لتطبيق داخلي واحد عالي القيمة، ومركِز السجلات.
- بشكل مستمر: وسّع التقسيم، وأضف فحوصات وضع الجهاز، وراجع السياسات كل ربع سنة.
المؤسسات التي تتعرّض لأسوأ الاختراقات ليست عادةً تلك التي تملك أدواتٍ ضعيفة، بل تلك التي ما زالت تثق بما بداخل شبكتها. فأيّ من تلك الافتراضات ما زلت تبني عليه أنت؟