لماذا يعتبر تحديث الهوية مهماً الآن

إدارة الهوية والوصول (IAM) تبقى الأساس لحماية البيانات والاستجابة للحوادث. لكن العديد من المنظمات عبر المملكة العربية السعودية ودول الخليج لا تزال تعتمد على خدمات الدليل المحلية وخزائن كلمات المرور المعزولة وسير العمل اليدوي للتزويد، مما يخلق نقاط عمياء—بالضبط حيث يستغل المهاجمون تصعيد الامتيازات والتهديدات الداخلية والحركة الجانبية.

لقد تشددت البيئة التنظيمية. يتطلب القانون الموحد لحماية البيانات الشخصية (PDPL) والأنظمة المنفذة له من المنظمات إثبات أن ضوابط الوصول متناسبة وقابلة للتدقيق والاستجابة لحقوق موضوعات البيانات. يفرض إطار عمل الأمن السيبراني للبنك المركزي السعودي (SAMA CSF) ومعايير أمن المؤسسات لهيئة الاتصالات وتقنية المعلومات (NCA ECC) حوكمة الهوية والمصادقة متعددة العوامل والمراقبة المستمرة للوصول المميز. الامتثال بدون إدارة هوية حديثة أصبح غير ممكن بشكل متزايد.

معمارية الهوية القائمة على الثقة الصفرية

تبدأ إدارة الهوية الحديثة بمبادئ الثقة الصفرية: لا تثق أبداً، تحقق دائماً. هذا يعني:

  • المصادقة والتفويض المستمران—وليس تسجيل الدخول لمرة واحدة. تتضمن قرارات الوصول القائمة على المخاطر وضع الجهاز والموقع والوقت والإشارات السلوكية.
  • سياسات الوصول الشرطي—منح أو رفض بناءً على السياق الفعلي. يواجه المستخدم الذي يصل من شبكة الشركة بجهاز مُدار احتكاكاً أقل من المستخدم نفسه من جهاز غير مُدار في بلد عالي المخاطر.
  • المصادقة بدون كلمة مرور أو المقاومة للتصيد الاحتيالي—FIDO2 أو Windows Hello أو الطرق المستندة إلى الشهادات تقلل من سرقة بيانات الاعتماد والهجمات المتكررة.
  • إدارة الوصول المميز (PAM)—عزل ومراقبة وتدقيق كل إجراء إداري. تسجيل الجلسة والارتقاء في الوقت المناسب يمنع الامتيازات الدائمة.

التكامل السحابي الأصلي والواقع الهجين

تعمل معظم المنظمات في دول الخليج في بيئات هجينة: الأنظمة المحلية وتطبيقات SaaS والبنية التحتية السحابية تتعايش. لا يمكن لإدارة الهوية القديمة إدارة هذا التعقيد بشكل موحد. تتكامل الحلول الحديثة مع الهوية عبر:

  • الأدلة السحابية (Microsoft Entra ID و Okta أو ما شابه) كمصدر موثوق.
  • الموصلات المدفوعة بواسطة API للأنظمة القديمة، مما يضمن عدم وجود ظل IT أو حسابات يتيمة.
  • هوية موحدة للوصول إلى الشركاء والمقاولين، مع الحقوق المحدودة بالوقت.
  • التحكم في الوصول القائم على الأدوار (RBAC) والتحكم في الوصول القائم على الخصائص (ABAC) المتوافق مع الوظائف التجارية وتصنيف البيانات.

هذا يلغي إنشاء الحسابات اليدوية ويقلل من وقت الإنتاجية ويقلل من نافذة الوصول غير المصرح به.

الامتثال والاستعداد للتدقيق

يتطلب إطار عمل SAMA CSF ومعايير NCA ECC حوكمة هوية قابلة للإثبات. توفر منصات إدارة الهوية الحديثة:

  • سجلات التدقيق—سجلات غير قابلة للتغيير لكل قرار وصول وتغيير سياسة ومنحة امتياز.
  • مراجعات الوصول—تصديق آلي أو يدوي بأن المستخدمين يحتفظون بالأذونات الضرورية فقط.
  • فرض فصل الواجبات (SoD)—منع الأدوار المتضاربة في الأنظمة المالية والموارد البشرية والحرجة.
  • معالجة طلبات موضوع البيانات—يتطلب PDPL تحديداً سريعاً وحذف البيانات الشخصية؛ تبسط إدارة الهوية الحديثة النطاق والتنفيذ.

أولويات التنفيذ

يجب على قادة الأمن إعطاء الأولوية لـ:

  • الجرد والاكتشاف—خريطة جميع متاجر الهوية والتطبيقات والحقوق. تحديد الحسابات اليتيمة والمستخدمين الخاملين.
  • نشر المصادقة متعددة العوامل—ابدأ بالأنظمة الحرجة (المالية والرعاية الصحية والحكومية) وتوسع إلى جميع المستخدمين خلال 12 شهراً.
  • PAM للمسؤولين—حماية الحسابات الأعلى خطورة أولاً.
  • إطار عمل الحوكمة—تحديد الأدوار وسير العمل للموافقة ودورات المراجعة المتوافقة مع SAMA CSF و NCA ECC.
  • اختيار البائع—اختر المنصات التي تدعم التكامل السحابي والمحلي وتقدم قدرات تدقيق قوية وتتمتع بدعم إقليمي وخيارات إقامة البيانات.

تحديث الهوية ليس مشروعاً لمرة واحدة؛ إنه تطور مستمر. ستقلل المنظمات التي تدمج مبادئ الثقة الصفرية وتؤتمت الحوكمة وتوافق إدارة الهوية مع المتطلبات التنظيمية من مخاطر الانتهاك وتسريع الاستجابة للحوادث وبناء ثقة أصحاب المصلحة في موقفهم الأمني.