تضمّن التقييم الأمني السنوي لمورّد خدمات سحابية طلبًا لأدلة على فرض MFA. فقدّم المورّد لقطة شاشة للوحة الإدارة في منصة الهوية لديه تُظهر إعدادات MFA بحالة «مطلوب» لدور المسؤول. وسجّل مقيّم TPRM الدليل على أنه يستوفي متطلب فرض MFA وانتقل إلى البند التالي. ولاحقًا، لاحظ مدقق متمرس يراجع حزمة الأدلة أربع مشكلات في لقطة الشاشة. فقد أظهرت لقطة الشاشة دورًا واحدًا، هو دور المسؤول، مع MFA بحالة «مطلوب»، بينما كانت منصة الهوية تضم اثني عشر دورًا، ولم تُظهر لقطة الشاشة إعدادات MFA للأدوار الأحد عشر الأخرى. وبدت البيئة الظاهرة في شريط URL في لقطة الشاشة بيئة اختبار بناءً على بنية النطاق الفرعي، لا بيئة الإنتاج. وأظهرت البيانات الوصفية للقطة الشاشة تاريخ إنشاء يسبق التقييم بأحد عشر شهرًا. كما كان فرض MFA لدور المسؤول مُعدًّا بحالة «مطلوب» لعمليات المصادقة الجديدة، لكن المنصة كانت تسمح للجلسات القائمة بالاستمرار دون إعادة المصادقة، أي أن الجلسات القائمة لم يُفرض عليها الضابط. كانت لقطة الشاشة حقيقية وأظهرت بدقة ما صوّرته، لكن ما صوّرته لم يكن ما قُصد بطلب الأدلة إثباته.
ما مشكلة جودة أدلة التدقيق في حقيقتها؟
جودة أدلة التدقيق هي مدى إثبات الأدلة المقدَّمة لضابط أمني فعليًا لما قُدّمت على أنها تُثبته، أي أن الضابط مطبَّق ويعمل بفعالية ويشمل جميع الأنظمة والمستخدمين ذوي الصلة، لا مجرد أن إعدادًا ما موجود في إعدادات مصوَّرة في وقت معين. فالأدلة عالية الجودة توفر ضمانًا قويًا بأن الضابط يعمل على النحو المقصود، أما الأدلة منخفضة الجودة فتؤكد أن أدلةً ما قُدّمت دون أن توفر ضمانًا ذا معنى بشأن فعالية الضابط.
لقطات الشاشة هي أكثر أنواع الأدلة تقديمًا وأكثرها قصورًا في تقييمات أمن المورّدين. فهي تؤكد إعدادًا ما لحظة الالتقاط، في البيئة التي التُقطت منها، للمستخدم أو الدور الظاهر فيها. ولا تؤكد استمرار الإعداد مع الوقت، ولا تطبيقه على جميع المستخدمين والأنظمة ذات الصلة، ولا وجوده في البيئة التي تُعالج فيها بيانات العملاء فعليًا. وقد تصوّر لقطة الشاشة بدقة ما يقول المورّد إنها تصوّره، دون أن تُثبت شيئًا عن الوضع الأمني الفعلي للأنظمة ذات الصلة بمخاطر العميل.
تمثل فجوة التغطية أبرز قيود لقطات الشاشة. فالضوابط الأمنية المطبَّقة على دور واحد أو نظام واحد أو لوحة إعدادات واحدة، بينما لا تُظهر الأدلة الأدوار والأنظمة ولوحات الإعدادات الأخرى، لا تُثبت تغطية شاملة للضوابط. والمقيّم الذي يقبل لقطة شاشة تُظهر تفعيل MFA لدور المسؤول دليلًا على فرض MFA لم يتأكد من أن MFA ينطبق على الأدوار الأحد عشر الأخرى، أو على حسابات الخدمة، أو على مسارات المصادقة التي قد تتجاوز مسار المصادقة المعياري. فلقطة الشاشة تُثبت الإعداد لما تُظهره، ولا تقول شيئًا عمّا لا تُظهره.
- لقطات شاشة لدور واحد أو نظام واحد: تغطية جزئية تُقدَّم دليلًا شاملًا
- لقطات شاشة من بيئات الاختبار: إعدادات بيئات غير إنتاجية تُقدَّم دليلًا على الإنتاج
- لقطات شاشة قديمة: لقطات التُقطت قبل طلب الأدلة بأشهر ولا تؤكد الحالة الحالية
- الفرض على الجلسات مقابل عمليات المصادقة الجديدة: إعدادات تفرض الضابط على عمليات المصادقة الجديدة دون الجلسات القائمة
- قبول الأدلة دون تقييم جودتها: تسجيل لقطات الشاشة على أنها تستوفي المتطلبات دون تقييم تغطيتها وحداثتها
لماذا يهم هذا
تكتسب جودة الأدلة أهميتها في TPRM لأن الضمان الذي يوفره تقييم مكتمل لا يكون أقوى من الأدلة التي يستند إليها. فالتقييم الذي يقبل أدلة منخفضة الجودة، من لقطات شاشة جزئية وإعدادات قديمة ولقطات من بيئات اختبار، يُنتج تصنيفًا للمخاطر يستند إلى وثائق لا تُثبت فعليًا الضوابط التي يُفترض أنها تدل عليها. فيبدو تصنيف المخاطر مدعومًا جيدًا، بينما قد لا تكون الضوابط الفعلية في الحالة التي توحي بها الأدلة.
عاقبة الفحص التدقيقي مباشرة. فالفاحصون التنظيميون الذين يراجعون حزم الأدلة يقيّمون جودة الأدلة، أي ما إذا كانت الأدلة تُثبت ما قُدّمت على أنها تُثبته. وحزمة الأدلة المؤلفة من لقطات شاشة جزئية من بيئات اختبار لن تفي بتوقعات الفاحص بشأن جودة الأدلة بصرف النظر عن كيفية تصنيف الأدلة في تقييم TPRM. وسيطرح الفاحص أسئلة جودة الأدلة التي لم يطرحها التقييم.
أين تخطئ معظم الفرق
الإخفاق الأكثر تكرارًا هو قبول أدلة تُثبت أمرًا ما، كوجود إعداد في مكان ما، دون التأكد من أنها تُثبت ما طُلبت لإثباته، أي أن الإعداد يُطبَّق بشمول ويُصان حاليًا. وقبول الأدلة دون تقييم جودتها يؤكد اكتمال الوثائق لا ضمان الضوابط.
- قبول الأدلة دون تقييم جودتها: تأكيد تقديم الأدلة بدلًا من تأكيد ما تُثبته
- عدم تقييم التغطية: قبول أدلة من نظام واحد أو دور واحد لإثبات ادعاءات التغطية الشاملة
- عدم التحقق من البيئة: عدم تأكيد أن لقطات الشاشة تصوّر بيئة الإنتاج
- عدم تأكيد الحداثة: قبول أدلة قديمة دون تأكيد الحالة الحالية
- عدم توثيق قيود الأدلة: قبول أدلة منخفضة الجودة دون تسجيل قيودها
كيف تبدو الممارسة الجيدة
تحدد برامج جودة الأدلة الناضجة معايير لجودة الأدلة لكل ضابط مطلوب، فتبيّن ما يلزم من تغطية وحداثة وتأكيد للبيئة، وتقيّم الأدلة المقدَّمة وفق تلك المعايير قبل قبولها على أنها تستوفي متطلب الضابط.
- تحديد معايير جودة الأدلة لكل ضابط: ما يجب أن تُثبته الأدلة من تغطية وحداثة وبيئة
- اشتراط تأكيد التغطية: إظهار جميع الأدوار والأنظمة والمسارات ذات الصلة أو تأكيدها صراحةً
- تأكيد بيئة الإنتاج: URL أو مؤشر البيئة أو تأكيد صريح بأن الأدلة تصوّر بيئة الإنتاج
- تأكيد الحداثة: أدلة مؤرخة ضمن فترة حديثة محددة أو مصحوبة بإقرار بحداثتها
- توثيق قيود الأدلة: حين تُقبل الأدلة رغم وجود فجوات، تُسجَّل القيود مع السياق التعويضي
الأدوات
أدلة الامتثال المؤتمتة: Drata، وVanta، وSecureframe
تجمع منصات الامتثال المؤتمتة الأدلة برمجيًا بدلًا من لقطات الشاشة، إذ تستعلم واجهات الإعدادات البرمجية لتأكيد الإعدادات الحالية عبر جميع الأنظمة والأدوار ذات الصلة. وبالنسبة لممارسي TPRM، يوفر السؤال عمّا إذا كان بإمكان المورّدين تقديم مخرجات أدوات الامتثال المؤتمتة بدلًا من لقطات الشاشة اليدوية سؤالًا محددًا لتحسين جودة الأدلة.
تقارير الإعدادات: AWS Config، وتقارير الامتثال في Azure Policy
توفر تقارير إدارة الإعدادات السحابية أدلة كاملة التغطية وحديثة ومُتحقَّقًا من أنها من الإنتاج، إذ تُظهر امتثال جميع الموارد للسياسات المحددة بدلًا من لقطة شاشة لإعدادات مورد واحد. وبالنسبة لممارسي TPRM، يوفر طلب تقارير الامتثال السحابي بدلًا من لقطات الشاشة أدلة متفوقة في أبعاد الجودة الثلاثة جميعها.
تحديات الحوكمة
يتمثل تحدي الحوكمة في جودة الأدلة في الوقت اللازم لتقييم الجودة بدلًا من مجرد تأكيد الاستلام. فبرامج TPRM الواقعة تحت ضغط الحجم، التي تقيّم عددًا كبيرًا من المورّدين في إطار زمني محدد، تلجأ افتراضيًا إلى تأكيد تقديم الأدلة بدلًا من استثمار الوقت اللازم لتقييم جودتها. ويكمن الحل الحوكمي في تصنيف مراجعة جودة الأدلة وفق مستويات: تطبيق تقييم صارم للجودة على أدلة الضوابط الأعلى مخاطر والعلاقات الأعلى مخاطر مع المورّدين، وقبول مراجعة أوجز للأدلة في البنود الأقل مخاطر.
- حدد معايير جودة الأدلة للضوابط الأعلى مخاطر: MFA، والتشفير، ومراجعة الوصول، واختبار الاختراق
- اشترط تأكيد بيئة الإنتاج لجميع لقطات شاشة الإعدادات
- حدد حدًا أقصى لعمر الأدلة: لقطات الشاشة التي يزيد عمرها على ستة أشهر تتطلب تأكيدًا لحداثتها
- اشترط تأكيد التغطية: تأكيد جميع الأدوار أو الأنظمة ذات الصلة، لا مثال واحد
- اطلب مخرجات الامتثال المؤتمتة بدلًا من لقطات الشاشة للضوابط الشاملة
إذا كنت فريقًا صغيرًا
في مراجعتك القادمة للأدلة، طبّق ثلاثة أسئلة عن الجودة على كل لقطة شاشة مقدَّمة دليلًا. الأول: هل تُظهر لقطة الشاشة النطاق الكامل للضابط، أي جميع الأدوار وجميع الأنظمة وجميع مسارات الوصول، أم مثالًا واحدًا فقط؟ والثاني: هل هذه بيئة الإنتاج؟ والثالث: متى التُقطت لقطة الشاشة هذه، وهل تمثل الحالة الحالية؟ هذه الأسئلة الثلاثة، إذا طُرحت باتساق، ستكشف فورًا فجوات التغطية والبيئة والحداثة التي تعتري لقطات الشاشة عادةً. وينبغي تعليم الوثائق التي تُخفق في أي من الثلاثة للمتابعة قبل تسجيل الضابط على أنه مستوفى.
- اسأل: هل تُظهر لقطة الشاشة النطاق الكامل أم مثالًا واحدًا؟
- اسأل: هل هذه بيئة الإنتاج؟
- اسأل: متى التُقطت، وهل تمثل الحالة الحالية؟
- اطلب مخرجات الامتثال المؤتمتة بدلًا من لقطات الشاشة للضوابط الشاملة
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«بالنسبة لأدلة فرض MFA التي قدمتموها، تُظهر لقطة الشاشة دور المسؤول. هل يمكنكم تأكيد ما إذا كان MFA مطلوبًا لجميع الأدوار في منصتكم، لا لدور المسؤول وحده، وما إذا كانت لقطة الشاشة هذه تصوّر بيئة الإنتاج لديكم لا بيئة اختبار؟»
ما تتوقعه دليلًا
- تأكيد التغطية: تأكيد جميع الأدوار أو لقطة شاشة لسياسة شاملة
- تأكيد بيئة الإنتاج
- تأكيد الحداثة: الأدلة تمثل الحالة الحالية
- تفضيل مخرجات الامتثال المؤتمتة على لقطات الشاشة اليدوية
ينبغي أن يُطرح على المورّد الذي يقدّم لقطة شاشة لتفعيل MFA لدور المسؤول ثلاثة أسئلة: هل ينطبق MFA على جميع الأدوار، وهل هذه بيئة الإنتاج، ومتى التُقطت؟ فلقطة الشاشة تُثبت ما تُظهره، والأسئلة تُثبت ما إذا كان ما تُظهره هو ما يهم.
كيف تُثبت ذلك
- توثيق معايير جودة الأدلة
- سجلات تقييم التغطية والحداثة للضوابط الرئيسية
- سجلات تأكيد بيئة الإنتاج
- طلبات مخرجات الامتثال المؤتمتة ونتائجها
الخلاصة الرئيسية
أظهرت لقطة الشاشة تفعيل MFA لدور المسؤول في بيئة اختبار، وقد التُقطت قبل أحد عشر شهرًا، مع استثناء لاستمرار الجلسات يعني أن الجلسات القائمة لا يُعاد فرض الضابط عليها. كانت لقطة الشاشة حقيقية، لكن ما أثبتته لم يكن ما قُدّمت على أنها تُثبته. جودة الأدلة هي مدى إثبات الأدلة فعليًا لما يُدّعى أنها تُثبته، لا مسألة وجود الأدلة، بل مسألة ما إذا كانت الأدلة الموجودة تُثبت ما يتطلبه تقييم الضابط. فلقطات الشاشة تُثبت أن إعدادًا ما كان موجودًا في البيئة المصوَّرة وقت الالتقاط، ولا تُثبت التغطية الشاملة أو النشر في الإنتاج أو الصيانة الحالية. حدد معايير جودة الأدلة. قيّم التغطية والبيئة والحداثة. اطلب مخرجات الامتثال المؤتمتة حيث لا تكفي لقطات الشاشة.