وسط عالم رقمي سريع، تسارع بشكل أكبر بسبب جائحة كوفيد-19، أصبحت التكنولوجيا السحابية حجر الزاوية المحوري للشركات في جميع أنحاء العالم. في الآونة الأخيرة، أصدرت سلطة النقد السنغافورية (MAS) تعميمًا يتضمن إرشادات السحابة العامة فيما يتعلق بالمخاطر السيبرانية المرتبطة باعتمادها، والتي تؤثر على القطاعين المالي والتكنولوجي على حدٍ سواء.
لقد أدى تطور التكنولوجيا السحابية إلى إعادة تشكيل الطريقة التي تعمل بها الشركات غير الساحلية في السابق. إن الحاجة إلى تعزيز الأمن السحابي، وخاصة في صناعة التكنولوجيا المالية الخاضعة للتنظيم الصارم والتي يمكن أن يكون لها آثار بعيدة المدى، لم تكن أكبر من أي وقت مضى.
الندوة الأخيرة بعنوان "كيف تؤثر إرشادات السحابة العامة الجديدة لـ MAS عليك"، والتي أدارها بول حاجي، الرئيس التنفيذي لشركة Horangi، المتخصص في الأمن السيبراني، جمعت خبراء الصناعة لتسليط الضوء على المبادئ التوجيهية المحدثة التي وضعتها سلطة النقد في سنغافورة (MAS).
وكان من بين المتحدثين أناند نيرغودكار، الرئيس التنفيذي للتكنولوجيا في شركة CardUp للمدفوعات المالية، وآيفي يونغ، رئيس قسم الأمن في AWS Professional Services في رابطة دول جنوب شرق آسيا (ASEAN).
هذه المناقشة المحورية، والتي تضم بعض أبرز خبراء الصناعة الذين يقدمون نظرة شاملة للمشهد السحابي العام فيما يتعلق المبادئ التوجيهية التي وضعتها MAS، يتعمق في آثارها وما تعنيه بالنسبة للمنظمات.
تسخير قوة السحابة
لم يغب الحضور السحابي في كل مكان في السنوات الأخيرة عن أذهان المشاركين في النقاش. بدءًا من ضمان وقت التشغيل على مدار الساعة طوال أيام الأسبوع وحتى توفير الوصول إلى بيانات السوق، تعد البنية التحتية السحابية هي العمود الفقري لعملياتها.
وفي الوقت نفسه، سلط أناند، في معرض حديثه عن تجربة CardUp، الضوء على روح الشركة السحابية أولاً، مشيرًا إلى الالتزام بـ PCI DSS وأفضل الممارسات المعمارية والنمو الإقليمي كمحفزات رئيسية لاعتمادها على السحابة.
تحدي الأمن السحابي
على الرغم من الفوائد الهائلة التي توفرها التكنولوجيا السحابية، فإن التحديات الكامنة التي تفرضها، وخاصة في مجال الأمن، جديرة بالملاحظة. أحد هذه التحديات هو التكوين الخاطئ. يؤكد أناند على ديناميكية الأمن السحابي ويستشهد بحادثة Capital One سيئة السمعة كتذكير صارخ لكيفية أن تؤدي التكوينات الخاطئة البسيطة إلى انتهاكات كبيرة.
ومع ذلك، لا يتعلق الأمر فقط بالتكوين الخاطئ. وكما هو مذكور في إرشادات MAS، تظل إدارة الهوية والوصول أمرًا بالغ الأهمية. وشدد بول على أهمية وجود ضوابط قوية في مكانها الصحيح، لا سيما فيما يتعلق بممارسات الإلحاق والإخراج.
التفكير في الخروقات الأخيرة من بروتوكولات DeFi Harbour و بالضبط في هجمات منفصلة، ذكّرت اللجنة بالدوافع التي تدفع المهاجمين. عندما يكون هناك المزيد من المكاسب، يتم جذب انتباه المهاجمين دائمًا. وعلى هذا النحو، في حين توفر البنية التحتية السحابية مزايا لا مثيل لها، فإن المخاطر لم تكن أعلى من أي وقت مضى.
نموذج المسؤولية المشتركة
يتمحور الموضوع الأساسي للمناقشة حول "نموذج المسؤولية المشتركة". وعلقت آيفي يونغ قائلة: "الشيء الأساسي هنا، عندما ننظر إلى الأمن، هو نموذج المسؤولية المشتركة".
يؤكد هذا النموذج على تقسيم المسؤولية بين مقدمي الخدمات السحابية وعملائهم. بينما يضمن مقدمو الخدمات السحابية أمان السحابة، يجب على العملاء تأمين ما يضعونه في السحابة، سواء كان ذلك بيانات أو تطبيقات.
وأشار آيفي كذلك إلى أن فهم نموذج المسؤولية المشتركة أمر ضروري. ومع ذلك، فإن التحدي ينشأ عندما لا يُترجم هذا الفهم إلى عمليات وعمليات يومية. ونتيجة لذلك، قد تظهر تشكيلات خاطئة أو فجوات في الإدارة.
الرؤية في البنية التحتية السحابية
وسلط أناند الضوء على أهمية الرؤية في البنية التحتية السحابية. وعلق قائلاً: "إن الجانب الأساسي فيما إذا كنت ترغب في تأمين البيانات أو منع أي شيء هو جانب الرؤية".
ويضمن وجود إشراف شامل الوقاية الفعالة والكشف وإدارة الحوادث المصممة خصيصًا للسحابة. تلعب أدوات مثل Incident Manager من AWS وAzure Sentinel وغيرها دورًا محوريًا في تقديم هذه الرؤية، مما يساعد المؤسسات على اكتشاف التكوينات الخاطئة مبكرًا وتنفيذ نماذج حوكمة قوية.
فك رموز المصطلحات الأمنية السحابية
غالبًا ما يقدم التطور السريع للتكنولوجيا السحابية مصطلحات ومختصرات جديدة. أخذ أعضاء اللجنة الحضور في جولة سريعة حول هذه الأمور، بدءًا من CWPP (منصة حماية أحمال العمل السحابية) إلى CSPP (إدارة الوضع الأمني السحابي) وأخيرًا CNAPP (منصة حماية التطبيقات السحابية الأصلية). وكان الموضوع الرئيسي بين كل منهما هو ضمان الأمن والامتثال في البيئة السحابية سريعة التطور.
وشددت اللجنة على "فهم حالات الاستخدام الأساسية"، مضيفة أنه بغض النظر عن الاختصار، يجب أن يكون التركيز دائمًا على حماية البيانات ومستويات التحكم وضمان الأمان السحابي القوي.
تحدي التعب التنبيه
ورغم أن توفر الأدوات أمر ضروري، إلا أن أناند أشار إلى التحدي الحقيقي: "إن إرهاق التنبيه أمر حقيقي".
يمكن لأنظمة الأمان إغراق الفرق بالتنبيهات، مما يؤدي إلى فقدان التركيز على التهديدات الحقيقية وسط بحر من الإيجابيات الكاذبة. وبالتالي، من المهم ليس فقط تنفيذ الأدوات، ولكن أيضًا التأكد من أنها مصممة لتوفير رؤى قابلة للتنفيذ دون إرباك أفراد الأمن.
الخوض في تعميم MAS حول اعتماد السحابة
كان التعميم الجديد الصادر عن سلطة النقد في سنغافورة بشأن اعتماد السحابة للمؤسسات السنغافورية هو النقطة المحورية الرئيسية للندوة عبر الإنترنت. ويؤكد التعميم على الهجرة السريعة لصناعة الخدمات المالية في سنغافورة إلى المنصات السحابية.
وكما لاحظ بول هادجي، في حين أن تعميم MAS قد لا يتضمن تفاصيل كل اختصار، فإنه يؤكد على أهمية وجود حلول وعمليات واستراتيجيات تخفيف فعالة. يتماشى هدف التعميم مع ضمان احتفاظ الكيانات المنظمة بأعلى معايير الأمان السحابي.
كيف تؤثر إرشادات السحابة العامة MAS على الشركات
وشدد بول على أهمية فهم التكوينات الخاطئة في تطوير السحابة، وتسليط الضوء على القيمة في إرشادات السحابة العامة لـ MAS. وقال: "إن المطورين، الذين يعرفون مصدر الكثير من التكوينات الخاطئة، يمكن أن يكونوا مؤثرين ومهمين للغاية." تعتبر الإرشادات التوجيهية، وفقًا لبول، بمثابة قراءة أساسية لأي شخص في الصناعة، وخاصة أولئك المشاركين في الجوانب التقنية للسحابة.
وسلط المشاركون في حلقة النقاش الضوء على الآثار الأوسع نطاقاً للمبادئ التوجيهية. وأشار إلى أهمية ليس فقط أن يتعرف اللاعبون الحاليون في الصناعة، ولكن أيضًا رواد الأعمال الناشئين في قطاع التكنولوجيا المالية، على هذه الإرشادات.
وفي حديثها عن النمو المزدهر لصناعة التكنولوجيا المالية، قالت اللجنة: "إن ديناميكيات اتجاه الأعمال تتجه بالتأكيد نحو السحابة". ويعتقدون أن الاستثمار يجب أن يوجه نحو إجراءات الأمان السحابية، مع التأكيد على أهمية العمل القائم على السحابة، سواء كان ذلك يتضمن معالجة المعلومات، أو سير العمل، أو المطالبات.
تحدث آيفي، رئيس قسم الأمان في AWS Professional Services في منطقة آسيان، عن تعزيز الوضع الأمني للفرد. ووفقا لها، ينبغي النظر إلى المتطلبات التنظيمية على أنها مجرد البداية.
يجب على الشركات أن تهدف إلى بناء ثقافة أمنية في وقت مبكر، لأن هذا من شأنه أن يفيدها على المدى الطويل. وذكرت أن العديد من الشركات تنظر الآن إلى الأمن باعتباره عامل تمكين للمبيعات، وهو منظور أصبح منتشرًا بشكل متزايد في آسيا.
عددت آيفي ثلاث خطوات أولية لكيانات مالية خاضعة للتنظيم لبدء برنامج الأمان السحابي الخاص بها. الأول هو مواءمة أهداف العمل مع مستويات النضج الأمني للسحابة.
والثاني هو الاستفادة من الموارد الواسعة التي يقدمها مقدمو الخدمات السحابية. وثالثا، يعد ترسيخ الرؤية منذ البداية أمرا بالغ الأهمية لاكتشاف المخاطر ومعالجتها في الوقت المناسب.
قدم أناند نيرغودكار، الرئيس التنفيذي للتكنولوجيا في CardUp، نظرة شاملة، حيث شبه تجربة الانتقال إلى السحابة بركوب السفينة الدوارة لأول مرة. وأكد من جديد على أهمية عملية الاكتشاف الشاملة والاستفادة من المساعدة المقدمة من مقدمي الخدمات السحابية.
علاوة على ذلك، أكد أناند على ضرورة نمذجة التهديدات وفوائد إنشاء "حواجز الحماية" بدلاً من "البوابات".
كما شجع المجتمع على استكشاف Cloud Adoption Framework الخاص بـ AWS اعتبارًا من عام 2016، والذي يوفر إرشادات شاملة يمكن أن تكون مفيدة، بغض النظر عن مزود الخدمة السحابية المحدد الذي قد يستخدمه المرء.
فهم ركائز الأمن السحابي
بدأت اللجنة بتحديد ثلاث ركائز أساسية لبرنامج أمان سحابي فعال. أولاً، يتمتع أمن نقطة النهاية بأهمية قصوى، خاصة في الصناعات المعرضة للهجمات المتكررة، مثل قطاع العملات المشفرة.
ثانيًا، سلطوا الضوء على منع فقدان البيانات (DLP). مع توسع القوى العاملة وعملها عن بعد، أصبح تسرب البيانات مصدر قلق بارز. يعد ضمان الوصول إلى المعلومات المهمة دون المساس بالأمن من خلال آليات مثل تسجيل الدخول الموحد أو المصادقة الثنائية أمرًا حيويًا.
وتمحورت الركيزة الأخيرة حول النظافة السيبرانية. مع نمو المؤسسات، يصبح غرس ثقافة ممارسات الأمن السيبراني الجيدة أمرًا لا غنى عنه. التأكد من أن الموظفين، القدامى والجدد، موجودون إن المعرفة الجيدة بالتهديدات المحتملة أمر بالغ الأهمية.
الانتقال إلى السحابة: من أين نبدأ؟
عند التفكير في الانتقال إلى السحابة، تمت الإجابة على سؤال "من أين نبدأ" من قبل كل من أناند نيرغودكار وآيفي يونغ. وشدد أناند على أهمية فهم الأصول وتصنيفها قبل اتخاذ أي قرارات تتعلق بالهجرة. ودعا إلى إجراء تقييم يعتمد على المخاطر وتأثير الأعمال المرتبط بالهجرة المحتملة لكل أصل.
ومرددا مشاعر مماثلة، سلطت آيفي الضوء على أهمية أهداف العمل. وقد نُصح بالبدء بترحيل الأصول الأقل أهمية لبناء الخبرة، ومن ثم النقل التدريجي لأعباء العمل الأكثر أهمية، وبالتالي تعزيز الثقة وتهيئة بيئة تعليمية عملية.
إرشادات السحابة العامة لـ MAS: الوجبات السريعة الرئيسية
كان أحد الأسئلة الأكثر إلحاحًا يتعلق بالتغييرات التي أحدثتها إرشادات السحابة العامة لـ MAS. قدم أناند ملخصًا واضحًا للعناصر الأساسية للمبادئ التوجيهية.
وأشاد بـ MAS لتعميمها الشامل، الذي يتعمق في جوانب تتراوح بين تقديم نماذج الخدمة المختلفة، والمسؤوليات المشتركة، وإدارة الهوية والوصول، وأساليب أمان عبء العمل، ومبادئ أمان الثقة المعدومة.
وتدعو المبادئ التوجيهية أيضًا إلى الاختبار المستمر وأمن البيانات وإدارة المفاتيح والمزيد. ويشكل التركيز على النهج الأمني القائم على المخاطر العمود الفقري للتعميم بأكمله، مما يؤكد أهمية اتباع نهج متوازن وعملي لأمن السحابة.
السحابة كأمر حتمي للأعمال
وفي حين لا يمكن معالجة جميع الأسئلة بسبب ضيق الوقت، فإن الأفكار التي شاركها أعضاء اللجنة توفر تعلمًا لا يقدر بثمن. ال ندوة عبر الإنترنت بعنوان "كيف تؤثر إرشادات السحابة العامة الجديدة لـ MAS عليك". وشدد على أن اعتماد السحابة وأمنها ليسا مجرد قرارات تتعلق بتكنولوجيا المعلومات، بل هما من ضرورات العمل الحاسمة في العصر الرقمي الحالي.
في حين أن إرشادات MAS الجديدة تقدم طبقة إضافية من التعقيد، إلا أنها تبشر أيضًا بعصر من الأمان والشفافية والثقة المعززة. بينما تتنقل المؤسسات عبر هذه الإرشادات، لا يُنصح باتباع نهج شامل واستراتيجي واستباقي لاعتماد السحابة وأمانها فحسب، بل إنه ضروري أيضًا.
شاهد الندوة عبر الإنترنت عند الطلب عبر هذا الرابط لاكتساب رؤى.
ستشارك Horangi في مهرجان سنغافورة للتكنولوجيا المالية القادم الذي سيقام في الفترة من 15 إلى 17 نوفمبر. تعرف على المزيد حول مشاركتهم في جناحهم هنا.
- محتوى مدعوم من تحسين محركات البحث وتوزيع العلاقات العامة. تضخيم اليوم.
- PlatoData.Network Vertical Generative Ai. تمكين نفسك. الوصول هنا.
- أفلاطونايستريم. ذكاء Web3. تضخيم المعرفة. الوصول هنا.
- أفلاطون كربون، كلينتك ، الطاقة، بيئة، شمسي، إدارة المخلفات. الوصول هنا.
- أفلاطون هيلث. التكنولوجيا الحيوية وذكاء التجارب السريرية. الوصول هنا.
- المصدر https://fintechnews.sg/79332/cloud/mas-public-cloud-guidelines-a-deep-dive-into-its-impact-on-cloud-security/
