ما هو متصفح المؤسسات ولماذا يُعد التصفح الآمن أمرًا مهمًا للمؤسسات الحديثة

أصبح متصفح الويب، دون أن يلاحظ أحد، التطبيق الأكثر تأثيرًا — والأقل حماية — في المؤسسة. فكل عملية تسجيل دخول إلى خدمة SaaS، وكل موجه من الذكاء الاصطناعي، وكل عملية تحميل أو تنزيل ملف، وكل متعاقد يدخل إلى بوابة داخلية: كل ذلك يحدث داخل علامة تبويب في المتصفح. تشير شركة «غارتنر» إلى أن المتصفحات المؤسسية الآمنة «تدمج ضوابط الأمان المؤسسية في تجربة تصفح الويب الأصلية باستخدام متصفح مخصص أو ملحق للمتصفحات الحالية، بدلاً من إضافة ضوابط خارجية على مستوى نقطة النهاية أو طبقة الشبكة». ومع ذلك، لا تزال معظم المؤسسات تعامل المتصفح كسلعة عادية، معتمدةً على إصدارات Chrome أو Edge المخصصة للمستهلكين دون فرض أي سياسات أمنية على مستوى الجلسة. وتُعد هذه الفجوة أكبر نقطة عمياء في بنية أمن المؤسسات اليوم.

ما هو متصفح المؤسسات؟

متصفح المؤسسات هو إجراء أمني على مستوى المتصفح مصمم لفرض سياسات المؤسسة —data loss prevention، وضوابط الوصول، وفحص التهديدات، وإدارة الجلسات — في النقطة التي يتفاعل فيها المستخدمون مع تطبيقات الويب ومنصات SaaS والإنترنت المفتوح.

تُعرِّف شركة «غارتنر» حل SEB بأنه حل يوفر سياسات وضوابط الأمان المؤسسية من خلال ملحق متصفح يُدار مركزيًّا، واختياريًّا، متصفح ويب مخصص كامل الميزات. توفر حلول SEB الأمان وتطبيق السياسات لتطبيقات الويب وتطبيقات SaaS والتطبيقات الخاصة، بالإضافة إلى تعزيز أمان المتصفح الذي يتم توفيره عبر المتصفح نفسه بدلاً من نظام التشغيل الخاص بنقطة النهاية أو على مستوى الشبكة. كما أنها تتيح الرؤية والتحكم وإمكانية التدقيق في بيانات تطبيقات الويب التي يصل إليها المستخدمون النهائيون من أجهزة مُدارة أو مُدارة بشكل محدود أو غير مُدارة، دون الحاجة إلى فك تشفير حركة مرور الويب أثناء نقلها.

من الناحية العملية، تشمل فئة متصفحات المؤسسات نهجين مختلفين جذريًّا:

استبدال المتصفح بالكامل: تطبيق قائم على Chromium يحل محل متصفح Chrome أو Edge بالكامل — ومن الأمثلة على ذلك متصفح Island Enterprise Browser ومتصفح Prisma Access Browser من Palo Alto Networks. حيث تدمج هذه المتصفحات ميزات منع تسرب البيانات (DLP) وتكامل الهوية وعناصر التحكم في الجلسات مباشرةً في متصفح خاص بها.

تأمين نهج المتصفح الحالي: ملحقات المتصفح، remote browser isolation، وفحص SWG، وسياسات CASB المطبقة على المتصفحات التي يستخدمها الموظفون بالفعل. يتيح هذا النهج تجنب إزالة متصفح Chrome مع الاستمرار في فرض ضوابط على البيانات، وحجب المحتوى الضار، وعزل الجلسات التي تنطوي على مخاطر.

لنأخذ مثالاً ملموساً: يستخدم خبير تسوية المطالبات في إحدى شركات التأمين متصفح «كروم» للوصول إلى «سيلزفورس»، وهي بوابة داخلية خاصة بالاكتتاب، وأحياناً إلى مساعد ذكاء اصطناعي توليدي لتلخيص ملاحظات القضايا. في إطار نموذج الاستبدال، سيطلب قسم تكنولوجيا المعلومات من خبير تسوية المطالبات التبديل إلى متصفح خاص بالشركة، وإعادة تعلم الإشارات المرجعية والإضافات، وقبول احتمال ظهور بعض التطبيقات الويب الداخلية بشكل مختلف. أما في إطار نموذج تأمين المتصفح الحالي، فإن قسم تكنولوجيا المعلومات يطبق تقنية RBI على عناوين URL الخطرة أو غير المصنفة، ويطبق تقنية DLP لمنع لصق المعلومات الشخصية (PII) في أداة الذكاء الاصطناعي، ويستخدم جدار التصفية (SWG) لحظر التنزيلات الضارة — كل ذلك دون تغيير سير العمل اليومي لخبير تسوية المطالبات.

لماذا أصبح التصفح الآمن أمرًا مهمًا في الوقت الحالي

تضافرت ثلاثة عوامل لتجعل أمن المتصفح ضرورة تشغيلية بدلاً من أن يكون مجرد ميزة إضافية.

1. المتصفح هو «الحدود» الجديدة. تشير «رؤية الابتكار» الصادرة عن شركة «غارتنر» في أبريل 2025 إلى أن متصفحات الويب هي وسيلة الوصول الأساسية لمعظم تطبيقات الشركات الحديثة، وتوفر نقطة تحكم أمنية مؤسسية لا تعتمد على نوع نقطة النهاية. فعندما يقوم مندوب مبيعات ميداني بتسجيل الدخول إلى نظام إدارة علاقات العملاء (CRM) من شبكة «واي فاي» في أحد الفنادق، يكون المتصفح هو العنصر الوحيد الذي يقف حاجزًا بين تلك الجلسة و«الوكيل» الذي يسعى لجمع بيانات الاعتماد. ولا ترى جدران الحماية التقليدية ومركّزات الشبكات الافتراضية الخاصة (VPN) هذه الجلسة على الإطلاق.

2. الهجمات التي تستهدف المتصفحات تشهد ارتفاعًا حادًّا. كشف تقرير Menlo Security لعام 2025 حول حالة أمن المتصفحات أن هجمات التصيد الاحتيالي في «الساعة صفر» زادت بنسبة 130% مقارنة بالعام السابق. واستخدمت واحدة من كل خمس هجمات تستهدف المتصفحات في عام 2024 تقنيات مراوغة مصممة لتجاوز الضوابط الأمنية التقليدية القائمة على الشبكة ونقاط النهاية. ولا تتعلق هذه المشكلة بمجرد حجب عناوين URL. فالمهاجمون يستخدمون نطاقات SaaS شرعية، وتراكبات «المتصفح داخل المتصفح»، وطُعم تصيد احتيالي مُولَّدة بالذكاء الاصطناعي، والتي تصعب على بوابات الويب القديمة اكتشافها.

3. تبدأ سرقة بيانات الاعتماد من المتصفح. يشير تقرير Verizon 2025 DBIR إلى أن 88% من الهجمات الأساسية على تطبيقات الويب تضمنت بيانات اعتماد مسروقة. تقوم مديرة تسويق بحفظ كلمة مرورها في Salesforce في ميزة «التعبئة التلقائية» في متصفح Chrome. يقوم برنامج لسرقة المعلومات المثبت على جهازها الشخصي، الذي تستخدمه أيضًا في العمل، بنسخ جميع بيانات الاعتماد المحفوظة ونشرها للبيع في سوق على الشبكة المظلمة. وبعد ستة أسابيع، يدخل مهاجم إلى نظام إدارة علاقات العملاء (CRM) باستخدام رمز جلسة صالح. ولا ينطلق أي إنذار حتى يكتمل تسريب البيانات بالفعل.

كشف تقرير «تكلفة خرق البيانات لعام 2024» الصادر عن شركة IBM أن الخروقات التي تنطوي على سرقة بيانات الاعتماد استغرقت في المتوسط 292 يومًا حتى يتم اكتشافها واحتوائها — وهي أطول مدة مقارنة بأي وسيلة هجوم أخرى. أي ما يقارب عشرة أشهر من «فترة البقاء». أما الضوابط على مستوى المتصفح التي تكتشف السلوك الشاذ للجلسات، وتفرض مصادقة مقاومة للتصيد الاحتيالي، وتمنع تخزين بيانات الاعتماد مؤقتًا على الأجهزة غير الخاضعة للإدارة، فإنها تقلص هذه المدة من أشهر إلى دقائق.

كيفية عمل نظام أمان المتصفح المؤسسي

يعمل نظام أمان المتصفح المؤسسي عبر أربع طبقات وظيفية. وفهم هذه الطبقات يساعدك على تقييم نُهج الموردين وكشف العبارات التسويقية المبالغ فيها.

الطبقة 1: عزل التهديدات وفحصها

Remote browser isolation محتوى الويب في بيئة اختبار سحابية، ولا تُرسل إلى جهاز المستخدم النهائي سوى وحدات البكسل الآمنة (أو عناصر DOM المُعقمة). ينقر محلل مالي على رابط في رسالة بريد إلكتروني يؤدي إلى نطاق لم يسبق له رؤيته من قبل. وبفضل تقنية RBI، يتم تشغيل الصفحة في حاوية معزولة. وحتى لو كانت تحتوي على استغلال من نوع «drive-by» أو أداة لجمع بيانات الاعتماد، فإن الشفرة الخبيثة لا تلامس جهاز المحلل أبدًا. يرى المستخدم صفحة تبدو عادية؛ بينما يرى فريق الأمن تهديدًا محصورًا.

A secure web gateway تقع في مرحلة مبكرة من عملية الاتصال، حيث تقوم بفحص حركة المرور التي تم فك تشفيرها باستخدام بروتوكول TLS، وتطبيق سياسات تصنيف عناوين URL، وحظر الوجهات الضارة المعروفة قبل أن يطلب المتصفح الصفحة أصلاً. تعمل كل من RBI و SWG معاً على سد الثغرات المتعلقة بالتهديدات المعروفة والتهديدات الفورية.

الطبقة الثانية: Data loss prevention مستوى الجلسة

تعمل تقنية DLP على مستوى المتصفح على اعتراض عمليات النسخ واللصق، وتحميل الملفات، وتنزيل الملفات، والطباعة داخل جلسة المتصفح نفسها. تخيل مثلاً أن أحد مسؤولي التوظيف المتعاقدين لديه حق الوصول إلى نظام معلومات الموارد البشرية (HRIS) الخاص بك من خلال جلسة متصفح مُدارة. يمكن لهذا المسؤول الاطلاع على سجلات المرشحين، لكنه لا يستطيع تنزيل ملف CSV، أو لصق أرقام الضمان الاجتماعي في علامة تبويب بريد إلكتروني شخصي، أو التقاط لقطة شاشة للصفحة — لأن سياسات DLP تُطبق على مستوى عرض المحتوى، وليس فقط عند خروج البيانات من الشبكة.

الطبقة الثالثة: ضوابط الهوية والوصول

يتكامل أمان المتصفح مع مزودي الهوية (Okta، Entra ID) وسياسات CASB لفرض الوصول المشروط. على سبيل المثال، يقوم أحد المتعاقدين بتسجيل الدخول من جهاز كمبيوتر محمول شخصي غير خاضع للإدارة. وبدلاً من منحه وصولاً كاملاً إلى خدمات SaaS أو حظر الجلسة بالكامل، يقوم محرك السياسات بتوجيه الجلسة عبر RBI مع فرض قيود على التحميل/التنزيل، وحظر الحافظة، ووضع العلامات المائية. وبذلك، يمكن للمتعاقد أداء مهامه، بينما تحتفظ المؤسسة بالسيطرة على بياناتها.

الطبقة الرابعة: الرؤية والتحليلات

تُدمج بيانات القياس عن بُعد الخاصة بالجلسة — أي مستخدم دخل إلى أي تطبيق، ومن أي وضع للجهاز، وما هي الإجراءات التي حاول القيام بها — في سير عمل عمليات الأمن. وهذه هي الطبقة التي تحول المتصفح من نقطة عمياء إلى جهاز استشعار.

كيف يتكامل أمان المتصفح مع بنية المؤسسة

لا يعمل أمان المتصفح في فراغ. بل يتكامل مع — أو يتعارض مع — كل طبقة من طبقات نظام الأمان الحالي لديك. والسؤال المتعلق بالبنية ليس «هل نحتاج إلى أمان المتصفح؟»، بل «أين يقع أمان المتصفح بالنسبة إلى SSE وCASB وDLP ونقاط النهاية والهوية؟»

تقدم وثيقة NIST SP 800 46 Rev. 2 إرشادات أساسية بشأن الاعتبارات الأمنية لحلول الوصول عن بُعد، وتوصي المؤسسات بتأمين جميع مكونات تقنيات العمل عن بُعد ووضع سياسات تشمل أنواع الأجهزة ومستويات الوصول وضوابط سياسة «أحضر جهازك الخاص» (BYOD). وأصبح المتصفح الآن التقنية السائدة في مجال العمل عن بُعد، ومع ذلك لا تزال بنى الوصول عن بُعد في العديد من المؤسسات تعامله كقناة شفافة غير خاضعة للرقابة.

خدمة أمنية متكاملة security service edge (SSE) توحد SWG و CASB و DLP و ZTNA و RBI تحت محرك سياسات واحد. عندما يفتح المستخدم تطبيق SaaS، تقوم منصة SSE بتقييم الهوية وحالة الجهاز والموقع وحساسية البيانات لتحديد ما إذا كان سيتم السماح بالجلسة مباشرةً، أو توجيهها عبر RBI، أو تطبيق قيود DLP، أو حظر الوصول تمامًا. المتصفح هو نقطة التنفيذ؛ ومنصة SSE هي العقل المدبر للسياسات.

لننظر إلى العقبات العملية التي تنطوي عليها البديل. تفترض مؤسسة رعاية صحية استخدام متصفح مؤسسي مستقل لـ 500 ممرضة للوصول إلى نظام السجلات الطبية الإلكترونية (EHR). ويعمل هذا المتصفح بشكل جيد في هذه الحالة. لكن الممرضات أنفسهن يستخدمن أيضًا متصفح «كروم» (Chrome) لتطبيق SaaS الخاص بجدولة مواعيد المرضى، ومتصفح «إيدج» (Edge) للوصول إلى بوابة برنامج «ميديكيد» (Medicaid) التابع للولاية، ومتصفح «سافاري» (Safari) على هواتفهن الشخصية لجدولة نوبات العمل. والآن، يتعين على قسم تكنولوجيا المعلومات إدارة أربعة سياقات متصفح ذات مستويات أمان مختلفة. فقد حل المتصفح المؤسسي المستقل مشكلة واحدة، لكنه أدى في الوقت نفسه إلى تجزئة بنية الأمان.

يضمن النهج المتكامل الذي تتبعه SSE تطبيق سياسة متسقة عبر جميع سياقات المتصفحات الأربعة — دون الحاجة إلى استبدال المتصفح. تتبع سياسات منع تسرب البيانات (DLP) البيانات بغض النظر عن المتصفح الذي يفتح الجلسة. وتُطبق ضوابط أمان الويب والسحابة بشكل موحد.

مشكلة «احتكاك التبني»: استبدال المتصفح أم تأمينه

تشير شركة «جارتنر» إلى أن «SEBs» تتيح الوصول المقسم حسب الشرائح من أجهزة المستخدمين النهائيين غير الخاضعة للإدارة أو الخاضعة لإدارة محدودة، ومن بيئات «BYOD» (أحضر جهازك الخاص)، حيث يكون نشر وكلاء النقاط الطرفية غير ملائم لأسباب تتعلق بالخصوصية أو الصيانة. وتعد حالة الاستخدام هذه مقنعة. والسؤال الاستراتيجي هو: كيف يمكنك توفير تلك الضوابط؟

يتطلب النموذج البديل من الموظفين التخلي عن متصفحهم الافتراضي واستخدام تطبيق خاص بالشركة. ويتحكم المورد في محرك العرض، ونظام الإضافات، ودورة التحديثات. وتتمتع فرق الأمن بسيطرة شاملة على مستوى الجلسة.

التكلفة تكمن في صعوبات التبني. يستحوذ متصفح «كروم» على أكثر من 65% من حصة سوق أجهزة الكمبيوتر المكتبية عالميًا. ولدى الموظفين سنوات من العادة المكتسبة، وكلمات المرور المحفوظة، والإشارات المرجعية المتزامنة، وسير العمل القائم على الإضافات التي تم إنشاؤها خصيصًا لهذا المتصفح. وطلب التبديل منهم يؤدي إلى زيادة عدد تذاكر الدعم الفني، وظهور حلول بديلة غير معتمدة من قسم تكنولوجيا المعلومات (حيث يفتح الموظفون متصفح «كروم» على أي حال لـ«الأمور التي لا تعمل»)، واختبارات التوافق المستمرة للمتصفح مع كل تطبيق ويب داخلي.

ولإجراء مقارنة أكثر تعمقًا بين هذين النموذجين، يتناول تحليل Skyhigh Securityللمتصفحات المخصصة للمؤسسات مقابل نموذج RBI المزايا والعيوب، بالإضافة إلى الخيار الأنسب للمؤسسات.

يعمل نموذج المتصفح الآمن الحالي على الحفاظ على استخدام متصفحات Chrome أو Edge أو Safari كما هي، مع توفير الحماية للجلسة باستخدام ضوابط RBI وSWG وDLP وCASB وZTNA التي يتم توفيرها عبر منصة SSE. وتظل تجربة المستخدم مألوفة. ويبقى تطبيق السياسات غير مرئي إلى أن يحاول المستخدم القيام بأي إجراء محفوف بالمخاطر — مثل لصق معلومات التعريف الشخصية (PII) في أداة تعمل بالذكاء الاصطناعي، أو تنزيل ملف من تطبيق SaaS غير معتمد، أو الانتقال إلى صفحة تصيد احتيالي.

المقايضة: يتطلب نهج SSE فحص TLS (مما يثير اعتبارات خاصة به تتعلق بإدارة الشهادات والخصوصية)، ولا يمكنه فرض ضوابط على مستوى DOM بنفس الدرجة من العمق التي يوفرها متصفح خاص. وبالنسبة لمعظم حالات الاستخدام المؤسسية — مثل حماية الوصول إلى خدمات SaaS، وفرض سياسات منع تسرب البيانات (DLP)، وعزل التصفح المحفوف بالمخاطر، وتأمين وصول المقاولين — يوفر النموذج المتكامل لـ SSE حماية مكافئة دون تكبد تكاليف التبني.

معايير التقييم: اختيار استراتيجية أمان للمتصفح

عند تقييم أمن متصفحات المؤسسات، اطرح هذه الأسئلة قبل التحدث إلى أي مورد:

أمان المتصفح البديل مقابل أمان المتصفح المدمج في SSE

دور نهج «الثقة الصفرية» في أمن المتصفح

أمن المتصفح ونموذج «الثقة الصفرية» ليسا مبادرتين منفصلتين — بل هما نفس المبادرة من زوايا مختلفة.

يقدم «نموذج نضج نهج الثقة الصفرية» (Zero Trust Maturity Model) الإصدار 2.0 الصادر عن وكالة الأمن السيبراني والبنية التحتية (CISA) نهجًا للتحديث المستمر فيما يتعلق بنهج الثقة الصفرية في ظل المشهد التكنولوجي سريع التطور، حيث يوجه الوكالات في تصميم وتنفيذ خطط الانتقال وفقًا للأمر التنفيذي رقم 14028. ويستند النموذج إلى خمسة ركائز هي: الهوية، والأجهزة، والشبكات، والتطبيقات وأحمال العمل، والبيانات، بالإضافة إلى ثلاث قدرات شاملة هي: الرؤية والتحليلات، والأتمتة والتنسيق، والحوكمة.

تتقاطع كل واحدة من هذه الركائز في المتصفح:

الهوية: تُخزَّن رموز المصادقة ورموز الجلسة في المتصفح. وتقوم هجمات «المهاجم في الوسط» بسرقة ملفات تعريف الارتباط الخاصة بالجلسة عبر المتصفح.

الأجهزة: يُعد المتصفح أول تطبيق يتفاعل مع نقطة نهاية يُحتمل أن تكون قد تعرضت للاختراق. وتُستخدم عمليات فحص حالة الجهاز لتنظيم الوصول عبر المتصفح.

الشبكات: يعمل فحص TLS في جهاز SWG على اعتراض حركة مرور المتصفح قبل وصولها إلى تطبيق SaaS.

التطبيقات وأحمال العمل: يتم استخدام تطبيقات SaaS عبر المتصفح. وتعمل سياسات CASB على فرض الوصول المصرح به إلى التطبيقات مقابل الوصول غير المصرح به.

البيانات: يتم عرض البيانات الحساسة ونسخها وتنزيلها وتحميلها عبر المتصفح. ويُعد نظام منع تسرب البيانات (DLP) على مستوى المتصفح خط الدفاع الأخير قبل خروج البيانات من المؤسسة.

سيناريو عملي: يقوم مسؤول القروض في أحد البنوك الإقليمية بالوصول إلى تطبيق داخلي لإدارة القروض عبر ZTNA / Private Access وجوده في أحد المقاهي. تقوم منصة Skyhigh SSE بالتحقق من هوية الموظف (Okta MFA)، والتحقق من حالة الجهاز (كمبيوتر محمول مُدار، قرص مشفر، مستوى تصحيح نظام التشغيل الحالي)، وتوجيه الجلسة عبر SWG لفحص التهديدات، وتطبيق قواعد DLP التي تمنع تنزيل مستندات القروض التي تحتوي على معلومات التعريف الشخصية للعملاء، وتسجيل كل إجراء لأغراض التدقيق. بدون VPN. بدون متصفح خاص. مجرد وصول يتم فرضه وفقًا للسياسة من خلال المتصفح الذي يستخدمه الموظف بالفعل.

ماذا يحدث عندما تتجاهل إجراءات أمان المتصفح

كشف تقرير «DBIR 2025» الصادر عن شركة فيريزون أن تورط الأطراف الثالثة في حوادث الاختراق تضاعف مقارنة بالعام السابق، ليشكل الآن 30% من إجمالي حوادث الاختراق. وقد بدأت العديد من حالات الاختراق التي تورطت فيها أطراف ثالثة بقيام مقاولين أو شركاء بالوصول إلى تطبيقات SaaS عبر متصفحات غير خاضعة للإدارة، تفتقر إلى أنظمة منع تسرب البيانات (DLP) وإدارة الجلسات والعزل.

تخيل السيناريو التالي: يقوم محلل في شركة استشارية بالوصول إلى نسختك من Workday عبر جهاز كمبيوتر محمول شخصي غير خاضع للإدارة. ويقوم ملف تعريف المتصفح «Chrome» الخاص بالمحلل بمزامنة بيانات الاعتماد مع حساب «Google» شخصي. ثم يقوم أحد أفراد العائلة بتنزيل تعديل (mod) لأحد الألعاب يحتوي على برنامج لسرقة المعلومات على نفس الجهاز المحمول. ويقوم برنامج سرقة المعلومات هذا بجمع كل كلمات مرور المتصفح المحفوظة، بما في ذلك بيانات اعتماد Workday الخاصة بك. وبعد ستة أسابيع، يستخدم أحد المهاجمين بيانات الاعتماد هذه للوصول إلى بيئة Workday الخاصة بك وتصدير بيانات W-2 الخاصة بـ 8,000 موظف.

هذا ليس سيناريو نظريًّا — بل إنه يعكس النمط الذي وثّقه تقرير «فيريزون» السنوي حول جرائم البيانات (DBIR) في مجموعة اختراقات «سنوفليك»، حيث سمحت بيانات الاعتماد المخترقة من الأجهزة المصابة ببرامج سرقة المعلومات بالوصول إلى بيئات سحابية لم تكن تطبق مبدأ المصادقة متعددة العوامل (MFA).

يؤكد معيار NIST SP 800-46، الإصدار 2، على أهمية تأمين المعلومات الحساسة المخزنة على أجهزة العمل عن بُعد والتي يتم نقلها عبر الوصول عن بُعد عبر الشبكات الخارجية. وقد أصبح المتصفح الآن الجهاز الرئيسي المستخدم في العمل عن بُعد. فهو يخزن بيانات الاعتماد ورموز الجلسات والبيانات المخزنة مؤقتًا ومحتويات الحافظة. وترك المتصفح دون إدارة يعادل ترك نفق VPN مفتوحًا بشكل دائم دون أي مصادقة.