فجوة الأمان السحابي في القطاع المصرفي السعودي

يسرّع القطاع المصرفي السعودي اعتماد التكنولوجيا السحابية للتنافس في المالية الرقمية والوفاء بتوقعات العملاء للخدمات المصرفية عبر الهاتف المحمول والإنترنت. ومع ذلك، فقد تسارعت الهجرة إلى المنصات السحابية—سواء كانت عامة أو خاصة أو هجينة—عن وتيرة ضوابط الأمان التي ورثتها العديد من البنوك من البيئات المحلية. لم تُصمّم جدران الحماية التقليدية وأنظمة الكشف عن الاختراق القائمة على الشبكة لمراقبة الطبيعة الديناميكية والموجهة بواسطة واجهات برمجية (API) للبنية التحتية السحابية.

تعالج إدارة موقف الأمان السحابي (CSPM) هذه الفجوة من خلال مسح حسابات السحابة وحاويات التخزين وقواعد البيانات وحالات الحوسبة بشكل مستمر للبحث عن أخطاء التكوين وسياسات الوصول الزائدة والبيانات غير المشفرة والانجراف عن الامتثال. بالنسبة للبنوك السعودية، فإن CSPM لم تعد اختيارية؛ بل هي متطلب أساسي بموجب إطار عمل SAMA للأمان السيبراني (CSF) وضوابط الأمان السيبراني الأساسية (ECC) للهيئة الوطنية للأمن السيبراني.

محركات تنظيمية: SAMA CSF و NCA ECC

يفرض إطار عمل SAMA للأمان السيبراني من مؤسسة النقد العربي السعودي على المؤسسات المالية تطبيق حوكمة أمان قائمة على المخاطر، بما في ذلك المراقبة المستمرة وتقييم البنية التحتية الحرجة. يجب على البنوك إثبات أن بيئات السحابة تُراقب للكشف عن التغييرات غير المصرح بها وتصعيد الامتيازات وتعرّض البيانات.

يعزز إطار عمل ضوابط الأمان السيبراني الأساسية من الهيئة الوطنية للأمن السيبراني هذا المتطلب، مع التأكيد على جرد الأصول والتحقق من التحكم في الوصول والكشف عن الحوادث عبر جميع البنى التحتية—بما في ذلك السحابة. يتوقع كلا الإطارين من البنوك الحفاظ على الرؤية حول من لديه إمكانية الوصول إلى أي بيانات وأنظمة، والكشف عن النشاط الشاذ في الوقت الفعلي.

بالإضافة إلى ذلك، تتطلب قانون حماية البيانات الشخصية السعودي (PDPL) واللوائح المنفذة له من البنوك حماية البيانات الشخصية بتدابير تقنية وتنظيمية مناسبة. تشكل أخطاء التكوين السحابي التي تعرّض المعلومات الشخصية للعملاء انتهاكاً لالتزامات PDPL و SAMA، مما يؤدي إلى إخطار إلزامي بالخرق وعقوبات تنظيمية محتملة.

حالات فشل موقف الأمان السحابي الشائعة في القطاع المصرفي

تكشف تقارير الذكاء التهديدي والحوادث باستمرار عن حالات فشل أمان سحابي قابلة للوقاية في القطاع المالي:

  • سياسات إدارة الهويات والوصول (IAM) الزائدة في الأذونات: حسابات الخدمة وأدوار المستخدم التي تُمنح أذونات واسعة عبر خدمات سحابية متعددة، مما ينتهك مبدأ أقل امتياز.
  • التخزين غير المشفر: حاويات S3 أو Blob Storage أو الخدمات المعادلة المتروكة قابلة للقراءة علناً أو مع تعطيل التشفير.
  • الأسرار المكشوفة: مفاتيح API وكلمات مرور قواعد البيانات والشهادات المُرتكبة لأنظمة التحكم في الإصدارات أو المخزنة في ملفات التكوين بصيغة نصية عادية.
  • تسجيل المراقبة المعطلة: مسارات تدقيق السحابة (CloudTrail و Azure Activity Log و Cloud Audit Logs) غير محتفظ بها أو لم يتم إعادة توجيهها إلى منصة إدارة معلومات وأحداث الأمان (SIEM) مركزية.
  • تقسيم الشبكة غير الآمن: قاعدة البيانات وطبقات التطبيق التي يمكن الوصول إليها من الإنترنت بدون ضوابط وصول الشبكة.
  • البنية التحتية السحابية غير المصححة: الآلات الافتراضية وصور الحاويات التي تعمل على أنظمة تشغيل أو مكتبات قديمة تحتوي على ثغرات معروفة.

تطبيق CSPM في البنوك السعودية: خطوات عملية

الجرد والتصنيف: نشر أدوات CSPM لاكتشاف جميع موارد السحابة تلقائياً عبر AWS و Azure و Google Cloud والبيئات السحابية الخاصة. وضع العلامات وتصنيف الأصول حسب الحساسية والأهمية.

السياسة كرمز: تحديد الخطوط الأساسية للأمان للتشفير والوصول إلى الشبكة والتسجيل وإدارة الهويات والوصول باستخدام قوالب البنية التحتية كرمز (IaC). فرض السياسات في وقت النشر لمنع أخطاء التكوين من الوصول إلى الإنتاج.

مراقبة الامتثال المستمرة: تكوين CSPM للتدقيق مقابل SAMA CSF و NCA ECC و PCI DSS 4.0 (لبيانات بطاقات الدفع). توليد تقارير الامتثال لمراجعة التدقيق والتنظيم.

المعالجة الآلية: دمج CSPM مع منصات تنسيق السحابة لتصحيح أخطاء التكوين منخفضة المخاطر تلقائياً (مثل تمكين التشفير وتشديد سياسات إدارة الهويات والوصول) دون تدخل يدوي.

التكامل مع مركز العمليات الأمنية (SOC) و SIEM: إدخال نتائج CSPM إلى مركز العمليات الأمنية (SOC) ومنصة إدارة معلومات وأحداث الأمان (SIEM) المركزية لربط مشاكل الموقف بذكاء التهديدات والتحليلات السلوكية.

الخلاصة

إدارة موقف الأمان السحابي ليست رفاهية للبنوك السعودية؛ بل هي ضرورة تنظيمية وتشغيلية. تقلل البنوك التي تطبق CSPM كجزء من استراتيجية أمان سحابة شاملة من خطر انتهاكات البيانات وتلبي توقعات SAMA و NCA وتحافظ على ثقة العملاء في بيئة مصرفية متزايدة الرقمنة.