كان لدى مورّد للتقنيات المالية سياسة شاملة لكلمات المرور، معتمدة من مجلس الإدارة، وتخضع لمراجعة منتظمة، ومتوافقة مع توصيات NIST SP 800-63B. وحددت السياسة حدًا أدنى للطول قدره اثنا عشر حرفًا، ومتطلبات للتعقيد، وحظرًا لكلمات المرور الشائعة، وعمرًا أقصى قدره تسعون يومًا للحسابات ذات الامتيازات. وخلال تقييم أمني تقني، اختبر المقيّمون الإعدادات الفعلية لمنصة الهوية مقابل السياسة. فوجدوا ما يلي: كانت بيئة Azure AD المؤسسية مهيأة بحد أدنى قدره ثمانية أحرف، إذ لم تُحدَّث الإعدادات عندما عُدّلت السياسة قبل عامين. وكان التعقيد مفروضًا في Azure AD لكنه لم يكن مفروضًا في أنظمة المصادقة الثلاثة للتطبيقات القديمة التي لا تزال تحتفظ بمخازن المستخدمين الخاصة بها. وكان التدوير كل تسعين يومًا ينطبق على الحسابات البشرية في Azure AD، بينما لم يكن لحسابات الخدمة في المستأجر نفسه أي اشتراط للتدوير مهيأ. واستخدمت حسابات الخدمة في التطبيقات القديمة كلمات مرور محفوظة في وثيقة مشتركة لبيانات الاعتماد لم تُحدَّث منذ أربعة عشر شهرًا. وكان لكل فجوة من هذه الفجوات سبب مشترك: فقد حُدّثت السياسة لتعكس أفضل الممارسات الأمنية، لكن الإعدادات التقنية التي تفرض السياسة لم تُحدَّث بما يقابل ذلك. وصفت السياسة ما ينبغي فرضه. ووصفت الإعدادات ما كان مفروضًا. وتباعدتا عند كل نقطة جرى قياسها.
ما حقيقة الفجوة بين السياسة والإنفاذ؟
الفجوة بين السياسة والإنفاذ هي الفجوة بين متطلبات الأمن الموثقة، أي المعايير والإجراءات والإرشادات التي تحدد كيف ينبغي أن تعمل الضوابط الأمنية، والآليات التقنية والتشغيلية التي تنفّذ تلك المتطلبات فعليًا في الأنظمة العاملة. فالسياسات وثائق معيارية: تحدد ما ينبغي أن يكون صحيحًا. أما الإعدادات وضبط الأنظمة والإجراءات التشغيلية فهي آليات تنفيذ: تحدد ما هو صحيح فعلًا. وعندما تُحدَّث السياسات دون تحديثات مقابلة لآليات التنفيذ، تصف السياسة معيارًا أمنيًا محسّنًا لا تفرضه البيئة.
تأخر تحديث السياسة هو المصدر الأكثر شيوعًا للفجوات بين السياسة والإنفاذ. فالسياسات تُحدَّث عبر عمليات الحوكمة: دورات المراجعة، أو تحديثات الأطر، أو تغيّر الإرشادات التنظيمية، أو نضج برنامج الأمن. وتُنتج هذه العمليات وثائق سياسات محدّثة تعكس بدقة متطلبات أمنية محسّنة. أما الإعدادات التقنية التي تنفّذ تلك المتطلبات، مثل إعدادات كلمات المرور في منصة الهوية، ومجموعات قواعد جدران الحماية، وإعدادات التشفير، ومصفوفات التحكم في الوصول، فتُحدَّث عبر عمليات إدارة التغيير التي تتطلب جهدًا هندسيًا واختبارًا ونشرًا. وعملية الحوكمة التي تُنتج وثائق السياسات المحدّثة تكون عادةً أسرع وأقل استهلاكًا للموارد من العملية الهندسية التي تحدّث الإعدادات التقنية. فتتقدم السياسة إلى المعيار الجديد. وتتأخر الإعدادات عنها.
تزيد مشكلة فجوات التغطية من حدة تأخر التحديث. فحتى السياسات المفروضة باتساق في الأنظمة الرئيسية كثيرًا ما تعاني فجوات في التغطية في الأنظمة الثانوية: التطبيقات القديمة ذات المصادقة المستقلة، والأنظمة المستحوذ عليها التي لم تُدمج بعد في المعيار المؤسسي، وبيئات التطوير التي تعمل بإعدادات تختلف عن بيئة الإنتاج، ومجموعات حسابات الخدمة التي تحكمها عمليات تختلف عن تلك التي تحكم الحسابات البشرية. فسياسة كلمات المرور التي تنطبق على مزوّد الهوية المؤسسي تنطبق على الحسابات المُدارة عبر ذلك المزوّد. ولا تنطبق على الحسابات في الأنظمة الواقعة خارج نطاق ذلك المزوّد ما لم تكن تلك الأنظمة محكومة صراحةً بإعدادات مقابلة.
- تحديث السياسة دون تحديث الإعدادات: معيار السياسة المعدّل لا ينعكس في إعدادات الأنظمة
- فجوات إعدادات الأنظمة القديمة: تنطبق السياسة على الأنظمة الرئيسية، بينما تحتفظ التطبيقات القديمة بإعدادات منفصلة
- تباعد سياسة حسابات الخدمة: سياسة الحسابات البشرية لا تُطبَّق على مجموعات حسابات الخدمة
- لا يوجد ربط بين السياسات والإعدادات: السياسات غير مرتبطة صراحةً بالإعدادات التي تنفّذها
- لم يُجرَ تدقيق للإعدادات: لم تُقارن إعدادات الأنظمة الفعلية بمتطلبات السياسة
لماذا يهم هذا
تكتسب الفجوة بين السياسة والإنفاذ أهميتها بالنسبة إلى TPRM لأن تقييمات أمن الموردين التي تؤكد وجود السياسات إنما تؤكد المعيار الذي وثّقه المورّد، لا المعيار الذي تفرضه أنظمته. فالمورّد الذي لديه سياسة قوية لكلمات المرور وإعدادات ضعيفة لها يقدّم وضعًا أمنيًا مختلفًا عمّا يوحي به تأكيد السياسة. والأمن الفعلي تحدده الإعدادات المفروضة، لا ما تشترطه السياسة.
البُعد التنظيمي صريح ويتزايد إنفاذه. فالجهات التنظيمية التي تفحص الموردين العاملين في القطاعات المنظَّمة ستختبر الإعدادات مقابل السياسة، فلا تسأل فقط «ماذا تشترط سياستكم» بل «ما الذي يفرضه نظامكم فعليًا، وهل يمكنكم إثبات أن الإعدادات تطابق اشتراط السياسة». والفجوة بين الاثنين، اثنا عشر حرفًا في السياسة وثمانية في الإعدادات، ملاحظة لا تخففها قوة السياسة. فالضابط هو الإعدادات، لا الوثيقة.
أين تخطئ معظم الفرق
الإخفاق الأكثر تكرارًا هو قبول وثائق السياسة دليلًا على المعيار الأمني النافذ. فالسياسات تصف المتطلبات. والإعدادات تنفّذ المتطلبات. وهما نتاجان مختلفان يتطلبان طلبات أدلة مختلفة. فوثيقة سياسة كلمات المرور تؤكد ما ينبغي فرضه. أما ملف تصدير الإعدادات أو تقرير الامتثال فيؤكد ما هو مفروض فعلًا.
- قبول توثيق السياسات دليلًا على التنفيذ
- لم يُدرج تدقيق الإعدادات في التقييم
- لم تُقيَّم تغطية الأنظمة القديمة: تأكدت إعدادات النظام الرئيسي، ولم تُقيَّم الأنظمة القديمة
- لم تُقيَّم إعدادات حسابات الخدمة بشكل منفصل
- لم تُراجَع روابط السياسات بالإعدادات: لا تحقق من ارتباط السياسات بإعدادات تنفيذ محددة
كيف تبدو الممارسة الجيدة
تحتفظ برامج حوكمة السياسات الناضجة بروابط صريحة بين متطلبات السياسة والإعدادات التي تنفّذها، وتُجري تدقيقات منتظمة للإعدادات للتحقق من الاتساق، ولديها عمليات لإدارة التغيير تربط تحديثات السياسة بتحديثات الإعدادات.
- ربط السياسات بالإعدادات: توثيق صريح للإعدادات التي تنفّذ كل متطلب من متطلبات السياسة
- وتيرة تدقيق الإعدادات: مقارنة منتظمة للإعدادات الفعلية بمتطلبات السياسة
- تحديث السياسة يستدعي مراجعة الإعدادات: تُنشئ تغييرات السياسة مهامّ لمراجعة الإعدادات وتحديثها
- جرد إعدادات الأنظمة القديمة: توثيق الإعدادات في جميع الأنظمة الخاضعة للسياسة وتدقيقها دوريًا
- تقييم إعدادات حسابات الخدمة: تُقيَّم إعدادات كلمات المرور وبيانات الاعتماد لحسابات الخدمة بمعزل عن الحسابات البشرية
الأدوات
امتثال الإعدادات: AWS Config وAzure Policy وماسحات معايير CIS
تقارن أدوات امتثال الإعدادات باستمرار إعدادات الأنظمة المنشورة بمتطلبات السياسة المحددة، فترصد الإعدادات التي لا تستوفي معايير السياسة. وتقيّم ماسحات معايير CIS إعدادات الأنظمة مقابل معايير التحصين الصادرة عن Center for Internet Security. وبالنسبة إلى ممارسي TPRM، فإن سؤال المورّد عمّا إذا كان يستخدم أدوات امتثال الإعدادات للتحقق المستمر من مطابقة إعدادات الأنظمة لمتطلبات السياسة يوفر سؤالًا محددًا عن اتساق السياسة مع الإنفاذ.
الامتثال المؤتمت: Drata، وVanta
تجمع منصات الامتثال الآلية أدلة الإعدادات إلى جانب وثائق السياسات، فتوفر الاقتران بين متطلبات السياسة والتحقق من الإعدادات الذي لا يستطيع التقييم اليدوي الحفاظ عليه باستمرار. وبالنسبة إلى ممارسي TPRM، فإن مطالبة الموردين بتقديم مخرجات منصة الامتثال التي تؤكد امتثال الإعدادات إلى جانب وثائق السياسة يوفر كلًّا من معيار السياسة وأدلة تنفيذه.
تحديات الحوكمة
يتمثل تحدي الحوكمة في الفجوة بين السياسة والإنفاذ في انضباط إدارة التغيير اللازم لإبقاء الإعدادات متسقة مع السياسات مع تطور كل منهما. فمراجعات السياسات تنطلق عبر عمليات الحوكمة. أما تغييرات الإعدادات فتتطلب جهدًا هندسيًا. وتعمل العمليتان وفق جداول زمنية مختلفة وبمالكين مختلفين، ومن دون ربط صريح بينهما، تتقدم السياسة بينما تتأخر الإعدادات.
- اطلب أدلة الإعدادات إلى جانب وثائق السياسة: إعدادات النظام الفعلية، لا وثيقة المتطلبات
- اسأل عن تغطية الأنظمة القديمة: ما الأنظمة التي تقع ضمن نطاق السياسة، وما الأنظمة التي لها إعدادات مستقلة
- اسأل عن إعدادات حسابات الخدمة بشكل منفصل، فقد تختلف إعدادات الحسابات البشرية عن إعدادات حسابات الآلات
- اسأل متى حُدّثت السياسة آخر مرة ومتى دُققت الإعدادات آخر مرة، فالفارق الزمني بينهما هو مؤشر التقادم
- اطلب مخرجات أدوات الامتثال بدلًا من وثائق السياسات فيما يخص الضوابط التقنية
إذا كنت فريقًا صغيرًا
اطلب من أعلى مورديك خطورةً إعدادات كلمات المرور الفعلية من منصة الهوية الرئيسية لديه، لا وثيقة السياسة، بل ملف تصدير الإعدادات أو لقطة الشاشة التي تبيّن الحد الأدنى لطول كلمة المرور ومتطلبات التعقيد وإعدادات التدوير المفروضة حاليًا. ثم اطرح السؤال نفسه عن إعدادات حسابات الخدمة لديه. وقارن الاثنين بوثيقة سياسته. فالفجوات بينهما هي فجوات الإنفاذ التي لم يكشفها تقييم السياسة.
- اطلب إعدادات كلمات المرور الفعلية: الحد الأدنى للطول والتعقيد والتدوير كما هي مفروضة
- اسأل بشكل منفصل عن إعدادات كلمات المرور وبيانات الاعتماد لحسابات الخدمة
- قارن الإعدادات بمتطلبات السياسة
- اسأل عن إعدادات كلمات المرور في الأنظمة القديمة
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«هل يمكنكم تقديم إعدادات كلمات المرور الفعلية المفروضة حاليًا على منصة الهوية الرئيسية لديكم، وتحديدًا الحد الأدنى لعدد الأحرف ومتطلبات التعقيد وإعدادات التدوير كما هي مهيأة في النظام، لا كما تنص عليها سياستكم؟»
«هل تنطبق سياسة كلمات المرور لديكم على حسابات الخدمة بالطريقة نفسها التي تنطبق بها على الحسابات البشرية، وما إعدادات كلمات المرور الحالية لحسابات الخدمة، بما في ذلك وتيرة التدوير؟»
ما تتوقعه دليلًا
- إعدادات منصة الهوية التي تبيّن متطلبات كلمات المرور المفروضة فعليًا
- توثيق إعدادات كلمات مرور حسابات الخدمة بشكل منفصل
- جرد إعدادات كلمات المرور في الأنظمة القديمة
- وثائق ربط السياسات بالإعدادات
المورّد الذي يقدم سياسة قوية لكلمات المرور ينبغي أن يُطلب منه الإعدادات التي تفرضها. فالسياسة هي الاشتراط. والإعدادات هي الواقع. والفجوة بين سياسة تشترط اثني عشر حرفًا وإعدادات تفرض ثمانية أحرف لا تُحل بقوة السياسة.
كيف تُثبت ذلك
- سجلات أدلة الإعدادات للضوابط التقنية الرئيسية
- سجلات تقييم الفجوة بين السياسات والإعدادات
- سجلات تدقيق الإعدادات
- تقييم إعدادات حسابات الخدمة
الخلاصة الرئيسية
السياسة تحكم المعيار. والإعدادات تحكم السلوك. ويمكن أن يتباعدا، وكثيرًا ما يحدث ذلك عندما تحدّث عمليات الحوكمة السياسات أسرع مما تحدّث العمليات الهندسية الإعدادات. والسياسة التي تشترط اثني عشر حرفًا مع إعدادات تفرض ثمانية ليست إخفاقًا في السياسة، فالسياسة صحيحة. بل هي تأخر في الإعدادات لم تُنشئ عملية السياسة آلية لسده. والدليل على وجود سياسة قوية دليل على اشتراط قوي. والدليل على الإعدادات التي تنفّذها دليل على المعيار المفروض فعليًا. اطلب الاثنين. اقبل وثائق السياسة بوصفها المواصفة. واطلب أدلة الإعدادات بوصفها التنفيذ.