DSPM لأمن البيانات في بيئات السحابة المتعددة: رؤية موحدة عبر AWS وAzure وGCP

لماذا تغير تقنية السحابة المتعددة طبيعة مشكلة أمن البيانات

نادرًا ما تعمل فرق السحابة ضمن نظام بيئي واحد. غالبًا ما تُستخدم AWS نظرًا لتنوع خدماتها الواسع وعمليات التحكم الناضجة في التخزين. أما Azure فهي شائعة الاستخدام في المؤسسات التي تعتمد على منتجات Microsoft. ويُستخدم GCP على نطاق واسع في مجالات التحليلات وهندسة البيانات والتعلم الآلي. توفر كل منصة سحابية المرونة، لكن كل منها تأتي أيضًا بنموذج أمان مختلف.

تقوم AWS بتنظيم الوصول إلى البيانات من خلال طبقات تحكم متعددة متداخلة، بما في ذلك سياسات حاويات S3، وسياسات IAM، وقوائم التحكم في الوصول، ونقاط الوصول، وسياسات التحكم في الخدمات. ويتطلب نموذج «محيط البيانات» الخاص بها من المؤسسات تحديد الهويات الموثوقة، والموارد الموثوقة، ومسارات الشبكة المتوقعة. أما Azure، فتدمج أمان التخزين مع التحكم في الوصول القائم على الأدوار، وإعدادات حساب التخزين، ومنع الوصول المجهول، وتكوينات نقاط النهاية الخاصة. تؤكد إرشادات «الثقة الصفرية» (Zero Trust) من Microsoft الخاصة بتخزين Azure على حماية البيانات في الحالات الثلاث جميعها — سواء كانت مخزنة أو قيد النقل أو قيد الاستخدام — مع تطبيق مبادئ الوصول بأقل الامتيازات والتحقق المستمر. تنفذ Google Cloud أمن التخزين من خلال Cloud IAM، وسياسات المؤسسة، وضوابط الوصول الموحدة على مستوى الحاويات، وقيود منع الوصول العام. كما اتجهت Google Cloud نحو سياسات مؤسسية أكثر قوة تعتمد على «الأمان الافتراضي»، بما في ذلك الضوابط التي تمنع تلقائيًا الوصول العام إلى حاويات التخزين وتفرض نماذج أذونات متسقة.

إن نفس متطلبات حماية البيانات — أي منع وصول الجمهور إلى الملفات الحساسة — تتطلب أساليب تنفيذ مختلفة عبر المنصات المختلفة. ولهذا السبب، فإن عملية المراجعة اليدوية التي تُجرى على كل سحابة على حدة تفشل عند تطبيقها على نطاق واسع.

ما الذي تضيفه DSPM

يوفر نظام إدارة الحماية (DSPM) لفرق الأمن طبقة تعتمد على البيانات وتجيب على أربعة أسئلة تتعلق بمجموعة الخدمات السحابية:

أين توجد البيانات؟ ما نوع هذه البيانات؟ كيف يتم عرضها؟ من يمكنه الوصول إليها؟

توفر حلول إدارة مخاطر البيانات (DSPM) الفعالة رصدًا مستمرًا للمخزون عبر هذه الأبعاد الأربعة الحاسمة لمخاطر البيانات السحابية: الموقع، والحساسية، وسياق التعرض، ومسارات الوصول.

يمكن لمنصات DSPM الحديثة تحديد المعلومات الحساسة عبر مخازن الكائنات، وقواعد البيانات المُدارة، ومستودعات بحيرات البيانات، وأنظمة النسخ الاحتياطي، ولقطات الأجهزة الافتراضية، ومجموعات بيانات تدريب الذكاء الاصطناعي. وتقوم محركات التصنيف المتقدمة بتحديد المعلومات الشخصية (PII)، والسجلات المالية، والملكية الفكرية، وبيانات الاعتماد، ومفاتيح واجهة برمجة التطبيقات (API)، وأنواع البيانات الخاضعة للتنظيم، مع إضافة السياق التجاري. ويشمل سياق التعرض الوصول إلى الإنترنت العام، وأذونات الوصول المجهولة الهوية، وأدوار إدارة الهوية والوصول (IAM) المفرطة في اتساعها، وقوائم التحكم في الوصول (ACL) القديمة، والمشاركة عبر الحسابات، وكيانات الخدمة ذات الامتيازات المفرطة. ويحدد تخطيط مسارات الوصول المستخدمين البشريين وحسابات الخدمات والتطبيقات والهويات الموحدة التي يمكنها الوصول إلى البيانات الحساسة من خلال الأذونات المباشرة أو وراثة الأدوار أو مسارات تصعيد الامتيازات.

توثق مبادرة MITRE ATT&CK التقنيات ذات الصلة بالسحابة والتي تنطوي على إساءة استخدام الأذونات والوصول بامتيازات أعلى، مما يؤكد على ضرورة قيام نظام إدارة الحماية (DSPM) بتقييم سياق الوصول بالإضافة إلى موقع البيانات.

لماذا تُعد الرؤية المستمرة أمرًا مهمًا

لم تعد التقييمات التي تُجرى في لحظة معينة كافية. ففي البيئات متعددة السحابة، تتغير تكوينات التخزين وإعدادات المشاركة وعلاقات الهوية باستمرار. فقد تصبح مجموعة البيانات التي كانت خاصة يوم الاثنين عامة يوم الثلاثاء نتيجة لخطأ في التكوين، أو تغيير في السياسة يتيح وصولاً أوسع، أو مسار تكامل جديد.

يتفوق الاكتشاف المستمر على التقييمات التي تُجرى في لحظة معينة لأنه يكتشف المخاطر فور ظهورها. كما أن تحديد أولويات المخاطر يقلل من التكاليف التشغيلية من خلال مساعدة الفرق على التركيز على المخاطر الأكثر أهمية. وبدلاً من إعداد قوائم طويلة من النتائج التي تتسم بنفس الدرجة من الخطورة، يربط نموذج إدارة المخاطر (DSPM) بين حساسية البيانات وخطورة المخاطر، بحيث تتمكن الفرق من معالجة المشكلات ذات التأثير الأكبر أولاً.

وهذا الأمر مهم من الناحيتين التشغيلية والتقنية. فقد كشف تقرير «تحقيقات اختراق البيانات لعام 2026» الصادر عن شركة فيريزون أن استغلال الثغرات الأمنية أصبح أهم نقطة دخول للاختراق، حيث شكل 31% من حالات الاختراق. وإذا كان المهاجمون يبحثون بشكل متزايد عن نقاط الضعف في الأنظمة المعرضة للخطر وأخطاء التكوين، فإن الرؤية الواضحة لتعرض البيانات تصبح وسيلة دفاع عملية، وليست مجرد وظيفة لإعداد التقارير.

أشار تقرير «تكلفة خرق البيانات لعام 2025» الصادر عن شركة IBM إلى أن متوسط تكلفة الخرق على الصعيد العالمي بلغ 4.44 مليون دولار أمريكي، مما يعزز الحجة التجارية الداعية إلى تعزيز الرؤية والضوابط المتعلقة بالبيانات عبر البيئات الموزعة.

كيف تدعم منصة DSPM الامتثال والحوكمة

يمكن لنظام إدارة البيانات (DSPM) تعزيز الامتثال والحوكمة من خلال توفير رؤية مستمرة لمعالجة البيانات الخاضعة للتنظيم عبر منصات السحابة. كما يمكنه إنشاء تقارير توضح أماكن تخزين البيانات الخاضعة للتنظيم، ومن يمكنه الوصول إليها، وكيف تتوافق ضوابط الوصول مع متطلبات الامتثال.

وهذا لا يحل محل برنامج امتثال أوسع نطاقًا، لكنه يقلل من العبء اليدوي المرتبط بجرد الأصول وتصنيفها وجمع الأدلة. والنتيجة هي رؤية أكثر حداثة لمخاطر البيانات وطريقة أكثر عملية لدعم عمليات التدقيق ومراجعات الحوكمة الداخلية.

يمكن أن يساعد نهج إدارة البيانات (DSPM) في ربط البيانات المكتشفة بالمتطلبات التنظيمية والسياسات الداخلية ذات الصلة. والقيمة الأساسية لا تكمن في التصنيف بحد ذاته، بل في الجمع بين عمليات الاكتشاف والتصنيف وتحليل الوصول، وهو ما يجعل قرارات الحوكمة أكثر موثوقية.

الاستفادة من عناصر التحكم السحابية الأصلية

يعمل نظام إدارة الحماية (DSPM) بشكل أفضل عندما يتمكن من تفسير عناصر التحكم الأصلية التي يوفرها كل مزود خدمات سحابية بالفعل.

تركز AWS على ضوابط محيط البيانات وحدود الوصول القائمة على الهوية. ويعتمد نموذج حوكمة التخزين الخاص بها على تطبيق السياسات على مستويات متعددة، حيث تُعد ميزة «S3 Block Public Access» أساسًا أساسيًّا لمنع الكشف العرضي عن البيانات. وتتوافق إرشادات التخزين في Azure بشكل وثيق مع مبادئ «Zero Trust»، لا سيما فيما يتعلق بمبدأ «أقل الامتيازات»، والاتصال الخاص، ومنع الوصول المجهول. وتستخدم Google Cloud بشكل متزايد سياسات مؤسسية آمنة افتراضيًّا، ووصولًا موحدًا على مستوى الحاويات، ومنع الوصول العام للحد من أنماط الكشف الشائعة قبل انتشارها.

ينبغي أن يراعي أي برنامج قوي لإدارة الأداء والأمن (DSPM) تلك الضوابط الأصلية، ثم يقيّم مدى توافق التكوينات الفعلية مع الوضع الأمني المقصود.

DSPM في البنية الأمنية الشاملة

ليس المقصود أن يعمل نظام DSPM بشكل مستقل.

يركز نظام CNAPP على أمن أحمال العمل، وإدارة الثغرات الأمنية، وأخطاء تكوين البنية التحتية، والحماية أثناء التشغيل. أما نظام DSPM فيركز على موقع البيانات، وحساسيتها، وأنماط الوصول إليها. يحمي SSE البيانات أثناء نقلها من خلال قدرات SWG وCASB وZTNA، بينما يركز DSPM على البيانات المخزنة وسياق تعرضها في خدمات البنية التحتية السحابية. يتفوق DLP في مراقبة حركة البيانات ومنع المشاركة غير المصرح بها، بينما يوفر DSPM جردًا للبيانات وسياقًا للمخاطر. يركز CASB على حوكمة SaaS، وتحليل سلوك المستخدمين، وفرض السياسات المباشرة، بينما يوسع DSPM نطاق الرؤية ليشمل خدمات البنية التحتية السحابية.

ونظرًا لأن هذه الأدوات تعالج مشكلات مختلفة، فإنها تعمل بشكل أفضل عند دمجها معًا. تجمع منصة SSE Skyhigh Security بين قدرات SWG وCASB وZTNA وDLP وRBI وأمن البيانات، مما يتيح للمؤسسات تطبيق سياسات متسقة، وربط النتائج عبر مجالات الأمان المختلفة، وتبسيط سير عمل الإجراءات التصحيحية. حصلت Skyhigh على تصنيف «لاعب متخصص» (Niche Player) في تقرير Magic Quadrant غارتنر Magic Quadrant (Gartner Magic Quadrant ) لعام 2025 Magic Quadrant Security Service Edge وحققت أعلى الدرجات في حالة استخدام «أمن البيانات» ضمن تقرير Critical Capabilities SSE» ( Critical Capabilities SSE) الصادر عن غارتنر لعام 2025. وينبغي أن تتكامل نتائج إدارة أمن البيانات (DSPM) مع واجهات برمجة التطبيقات (APIs)، وموصلات SIEM، وأنظمة التذاكر، ومزامنة السياسات مع منصات SSE.

ما الذي يجب البحث عنه في برنامج DSPM

ينبغي أن تشمل الاستراتيجية العملية لإدارة الأداء والعمليات (DSPM) في بيئة متعددة السحابات تغطية الخدمات الأصلية، وتكامل الهوية، وسياق الشبكة، ودعم التسجيل الأصلي للسحابة عبر AWS وAzure وGCP. كما ينبغي أن تكون قابلة للتوسع عبر حسابات السحابة والاشتراكات والمشاريع المتعددة، مع الحفاظ على خصائص مقبولة من حيث الأداء والتكلفة.

يجب أن يدعم نظام إدارة الأداء الرقمي (DSPM) متعدد السحابات التكامل الأصلي مع خدمات تشمل Amazon S3 وRDS وRedshift؛ وAzure Blob Storage وSQL Database وSynapse؛ وGoogle Cloud Storage وCloud SQL وBigQuery. كما يجب أن يأخذ الحل في الاعتبار مستودعات البيانات وخدمات التحليلات الخاصة بالسحابة، بما يتجاوز نطاق التخزين الأساسي للكائنات وقواعد البيانات.

ينبغي أن يجمع التصنيف المتقدم للبيانات بين مطابقة الأنماط، والتعلم الآلي، وتقييم السياق، وتكامل البيانات الوصفية للأعمال. وينبغي أن يقوم تحليل الوصول عبر المنصات بتحديد علاقات الهوية والأذونات عبر أنظمة إدارة الهوية والوصول (IAM) السحابية المختلفة، من أجل تحديد مسارات الوصول وفرص تصعيد الامتيازات.

يمكن أن تساعد ميزات التصحيح الآلي الفرق على معالجة المخاطر العالية، مثل الوصول العام أو ضوابط الوصول المفرطة في التساهل، مع الحفاظ في الوقت نفسه على سجلات التدقيق. وعادةً ما تتحقق أفضل النتائج من خلال الجمع بين إرشادات التصحيح وسير عمل المراجعة وتطبيق السياسات، وليس من خلال السعي وراء الأتمتة الكاملة قبل فهم البيئة فهمًا جيدًا.

نهج عملي للتنفيذ

ينبغي أن يبدأ التنفيذ بمرحلة الاستكشاف، ثم يتوسع ليشمل مرحلة الإصلاح. ويضمن هذا التسلسل أن يظل المشروع قابلاً للإدارة، كما يساعد الفرق على إظهار القيمة في مرحلة مبكرة.

ينبغي أن تركز المرحلة الأولية على جرد البيانات الحساسة، وتحديد المخاطر الأعلى، ورسم خريطة لمسارات الوصول عبر بيئات السحابة. وبمجرد أن تتكون لدى الفريق صورة واضحة ومستقرة عن أصول البيانات السحابية، يمكنه الانتقال إلى مرحلة مواءمة السياسات، وتكامل سير العمل، والتخطيط للإجراءات التصحيحية.

غالبًا ما تبدأ المؤسسات بمرحلة الاستكشاف وتحديد أولويات المخاطر قبل الانتقال إلى مرحلة التصحيح والمراقبة المستمرة.