كيف تعمل تقنيتا DSPM وSSE معًا للحد من مخاطر البيانات في المؤسسات الحديثة

تحدد إدارة حالة أمن البيانات (DSPM) أماكن وجود البيانات الحيوية وكيفية تعرضها للخطر، بينما Security Service Edge (SSE) بنية التحكم التي تنظم كيفية تفاعل المستخدمين والتطبيقات والأجهزة مع تلك البيانات عبر البيئات السحابية وبيئات SaaS والبيئات المختلطة.

يوفر DSPM عمليات اكتشاف وتصنيف وتحليل المخاطر بشكل مستمر عبر تطبيقات SaaS والتخزين السحابي وبيئات البيانات المختلطة، بينما توفر SSE آليات التنفيذ من خلال ضوابط CASB وSWG وZTNA وDLP.

تتجلى القيمة المعمارية عندما تُستخدم نتائج نموذج DSPM في اتخاذ القرارات المتعلقة بسياسة الأمن الأمني (SSE)، مما يؤدي إلى تطبيق القواعد مع مراعاة السياق، بحيث يتكيف مع درجة حساسية البيانات الفعلية والمخاطر التجارية.

تستغل أنماط الهجمات الحديثة الخدمات السحابية المشروعة وبيانات الاعتماد الصحيحة، مما يجعل الأساليب التقليدية التي تركز على الحماية المحيطية غير كافية لحماية البيانات الحساسة الموزعة.

يمكن أن يؤدي القياس عن بُعد الموحد، الذي يشمل كلاً من مراقبة حالة البيانات وتطبيق السياسات، إلى تحسين الرؤية اللازمة للتحقيق في الحوادث ودعم تحسين السياسات بشكل أكثر دقة.

تمثل تطبيقات الذكاء الاصطناعي العام (GenAI) ومساعدو الذكاء الاصطناعي فئة جديدة من مخاطر تعرض البيانات، الأمر الذي يتطلب كلاً من تحديد مستودعات البيانات التي يمكن للذكاء الاصطناعي الوصول إليها، واتخاذ الإجراءات اللازمة عند نقطة التفاعل مع الذكاء الاصطناعي.

ينبغي على المؤسسات تقييم حلول DSPM وSSE معًا، مع التركيز على عمق التكامل، واتساق السياسات، وتبسيط العمليات، بدلاً من التعامل معهما كحلول منفصلة.

تجمع بنية أمن البيانات المتطورة بين المعلومات الاستخباراتية التي توفرها منصة DSPM حول «ما هي البيانات المعرضة للخطر ولماذا» وبين إجراءات الإنفاذ التي توفرها منصة SSE حول «كيفية التحكم في تفاعلات البيانات» عبر جميع مسارات وصول المستخدمين والتطبيقات.

ما المقصود بـ DSPM في سياق بنية SSE؟

يعمل نظام DSPM كطبقة ذكاء البيانات التي تجعل قرارات تطبيق SSE أكثر ذكاءً ودقة.

تقوم حلول DSPM بتحديد البيانات الحساسة عبر تطبيقات SaaS، والتخزين السحابي، ومنصات التعاون، والمستودعات المختلطة، ثم توفر السياق الذي تحتاجه ضوابط SSE لاتخاذ قرارات سياسية تتناسب مع مستوى المخاطر.

تعمل منصة SSE Skyhigh Security على تأمين الوصول إلى موارد الويب والخدمات السحابية وتطبيقات SaaS والتطبيقات الخاصة والبريد الإلكتروني وسير عمل الذكاء الاصطناعي، بغض النظر عن موقع المستخدم. وفي سياق إدارة المخاطر المتعلقة بالبيانات (DSPM)، يكتسب ذلك أهمية كبيرة لأن نتائج تقييم مخاطر البيانات تصبح أكثر قيمة عندما يمكنها توجيه عمليات الإنفاذ المباشر من خلال حلول SWG وCASB وZTNA وRBI وDLP انطلاقًا من إطار عمل موحد للسياسات. وقد تم تصنيف Skyhigh كلاعب متخصص في تقرير Magic Quadrant لعام 2025 Magic Quadrant Security Service Edge ققت أعلى الدرجات في حالة استخدام «أمن البيانات» ضمن تقرير Critical Capabilities لعام 2025 الصادر عن غارتنر Critical Capabilities SSE.

في غياب سياق البيانات، غالبًا ما تتخذ ضوابط SSE قرارات التنفيذ استنادًا إلى هوية المستخدم أو حالة الجهاز أو سمعة التطبيق أو فحص المحتوى فقط — متجاهلةً السؤال الجوهري المتمثل في تحديد البيانات التي تتعرض فعليًّا للخطر في كل معاملة.

تسد تقنية DSPM هذه الفجوة من خلال التحديد المستمر لمواقع وجود البيانات الحساسة، ومن يمكنه الوصول إليها، وكيفية مشاركتها، وأي حالات التعرض تشكل أعلى مخاطر على الأعمال.

وتعمل هذه العناصر معًا على تكوين حلقة مغلقة، حيث تُستخدم النتائج المتعلقة بمخاطر البيانات بشكل مباشر في اتخاذ إجراءات الإنفاذ عبر مسارات الوصول إلى الويب والسحابة وخدمات البرمجيات كخدمة (SaaS) والتطبيقات الخاصة.

لماذا تفشل الأساليب التقليدية لأمن البيانات في التعامل مع المخاطر الحديثة

تم تصميم العديد من استراتيجيات حماية البيانات القديمة استنادًا إلى بيئات أكثر مركزية ذات حدود شبكية أوضح مقارنةً بالبيئات الحالية التي تعتمد بشكل كبير على السحابة والخدمات المقدمة كخدمة (SaaS).

كان العنصر البشري حاضراً في 62% من حالات الاختراق التي تم تحليلها في «تقرير فيريزون لعام 2026 حول تحقيقات اختراق البيانات»، مما يؤكد على ضرورة أن تعمل ضوابط الهوية والوصول وسياق البيانات معاً.

تعتمد هذه الهجمات بشكل متزايد على بيانات اعتماد صالحة وخدمات سحابية شرعية، بدلاً من البرامج الضارة التي تعبر حدود الشبكة.

عندما يستخدم المهاجمون بيانات اعتماد مسروقة للوصول إلى تطبيقات SaaS الخاضعة للعقوبات أو لتحميل البيانات إلى خدمات تخزين سحابية مشروعة، ترى الضوابط التقليدية المحيطة بذلك نشاطًا عاديًا ومصرحًا به.

تشمل أنماط تعرض البيانات الحديثة التي تغفلها الأساليب التقليدية: التوسع المفرط لتطبيقات SaaS حيث تتناثر البيانات الحساسة عبر عشرات الخدمات السحابية؛ والإفراط في مشاركة البيانات عبر الروابط العامة والمشاركة الخارجية؛ وسير عمل «البيانات الخفية» التي تتجاوز رقابة قسم تكنولوجيا المعلومات؛ ووصول الأجهزة غير الخاضعة للإدارة إلى تطبيقات الأعمال؛ ومعالجة البيانات المدعومة بالذكاء الاصطناعي التي تربط بين مستودعات متعددة؛ وأخطاء التكوين في الخدمات السحابية التي تجعل البيانات الخاصة متاحة للجمهور.

يوثق نظام MITRE ATT&CK كيفية استغلال المهاجمين للحسابات السحابية الصالحة وتسريب البيانات عبر خدمات الويب المشروعة، مع تسليط الضوء على تقنيات مثل «تكامل التطبيقات السحابية» (Cloud Application Integration)، حيث يستغل المهاجمون الاتصالات بين التطبيقات للوصول إلى البيانات الحساسة.

يمكن أن تندمج أنماط الهجوم هذه في الأنشطة التجارية العادية، مما يجعل من الصعب على أدوات الأمان التي تركز على الشبكة التعرف عليها دون توفر معلومات أكثر تفصيلاً عن الهوية والبيانات وسياق التطبيق.

ما لم يتم تحديد البيانات الحساسة ومكان تخزينها وكيفية تعرضها للخطر، فلن تتمكن الضوابط الأمنية من اتخاذ القرارات المناسبة بشأن المخاطر في بيئات العمل الهجينة الحديثة.

كيف تحدد منصة DSPM البيانات الحساسة وتكشف عن المخاطر الخفية

تقوم منصات DSPM باكتشاف البيانات الحساسة وتصنيفها من خلال الاتصال بتطبيقات SaaS عبر واجهات برمجة التطبيقات (APIs)، ومسح مستودعات التخزين السحابية، وتحليل منصات التعاون، وتحديد تدفقات البيانات عبر البيئات المختلطة.

يتجاوز هذا الاكتشاف مجرد مطابقة الأنماط ليقدم سياقًا تجاريًّا يتعلق بملكية البيانات والمتطلبات التنظيمية ومخاطر التعرض.

تحدد عملية التصنيف المعلومات التي يمكن من خلالها تحديد الهوية الشخصية، والسجلات المالية، وبيانات الرعاية الصحية، والملكية الفكرية، وغيرها من المعلومات الحيوية للأعمال، أينما كانت موجودة.

تهدف حلول DSPM الحديثة إلى تحسين دقة التصنيف من خلال الجمع بين فحص المحتوى والسياق التجاري، مثل الملكية ونوع المستودع وحالة العرض.

يكشف تحليل التعرض عن الكيفية التي تصبح بها البيانات متاحة لجمهور يتجاوز الفئة المستهدفة، وذلك من خلال المشاركة المفرطة في منح الأذونات، والروابط العامة التي لا تنتهي صلاحيتها، ووصول المتعاونين الخارجيين، والحسابات الخاملة التي تحتفظ بحقوق وصول دائمة، ومخازن التخزين السحابية التي تم تكوينها بشكل خاطئ، وعمليات تكامل التطبيقات الخارجية المحفوفة بالمخاطر.

تقوم منصات DSPM بتحديد هذه المخاطر لتُظهر لفرق الأمن البيانات الأكثر عرضة لخطر الوصول غير المصرح به أو التسريب.

تساعد عملية تحديد أولويات المخاطر المؤسسات على تركيز جهودها التصحيحية في المجالات التي ستحقق فيها أكبر تأثير.

بدلاً من إنشاء قوائم لا حصر لها من الملفات الحساسة، تعمل حلول DSPM على ترتيب النتائج حسب الأولوية استنادًا إلى حساسية البيانات، ونطاق التعرض، وأهميتها للأعمال، والمتطلبات التنظيمية، واحتمالية وصول أطراف غير مصرح لها إليها.

في الواقع، غالبًا ما تحتاج المؤسسات إلى تحديد الأولويات، لأن برامج الكشف قد تكشف عن حالات تعرض للبيانات أكثر حساسية مما تستطيع الفرق معالجته دفعة واحدة.

يمكن أن تساعد التقارير الغنية بالسياق فرق الأمن على فهم ليس فقط أماكن وجود البيانات الحساسة، بل أيضًا السياق التجاري وسياق الوصول الذي يؤثر على مدى تعرض البيانات للخطر وترتيب أولوياتها.

حيث تُكمل SSE نهج DSPM من خلال الإنفاذ والرقابة

توفر SSE البنية التحتية التنفيذية التي تحول الرؤى المستمدة من DSPM إلى إجراءات فعالة لحماية البيانات عبر كل مسار وصول.

يُشدد نموذج «بنية الثقة الصفرية» (Zero Trust Architecture) التابع للمعهد الوطني للمعايير والتقنية (NIST) على التقييم المستمر لقرارات الوصول وتنفيذ السياسات في نقاط تحكم متعددة، وهو ما يتوافق تمامًا مع الطريقة التي تكمل بها مكونات SSE نتائج DSPM.

يمكن أن تفرض ضوابط CASB قيودًا على المشاركة الخارجية، أو تشترط مصادقة إضافية للتنزيلات، أو تحظر عمليات التحميل إلى خدمات السحابة غير المصرح بها.

كما توفر مراقبة CASB القائمة على واجهة برمجة التطبيقات (API) رؤية مستمرة لحركة البيانات وأنماط مشاركتها داخل التطبيقات الخاضعة للرقابة.

عند دمجها مع نتائج نظام إدارة الأداء الرقمي (DSPM)، يمكن لمجموعة العمل الخاصة (SWG) اتخاذ قرارات أكثر استنارة بالبيانات فيما يتعلق بعمليات التحميل والتنزيل والوصول إلى مواقع الويب المحفوفة بالمخاطر أو غير المصرح بها.

سياسات ZTNA المتعلقة بتحديد المستخدمين الذين يجب أن يتمتعوا بحق الوصول وتحت أي شروط، مما يتيح الوصول بأقل قدر ممكن من الامتيازات بما يتناسب مع المخاطر الفعلية التي تتعرض لها البيانات.

تقوم تقنية DLP بتطبيق سياسات تراعي طبيعة المحتوى عبر قنوات البريد الإلكتروني والويب والسحابة ونقاط النهاية.

تساعد علامات التصنيف ودرجات المخاطر الخاصة بـ DSPM سياسات DLP على اتخاذ قرارات أكثر دقة بشأن متى يجب حظر أنشطة مشاركة البيانات أو عزلها أو تشفيرها أو طلب تبرير تجاري لها.

وبدلاً من العمل كأدوات أمنية مستقلة، فإنها تعمل كنظام تنفيذي موحد يستند إلى التقييم المستمر الذي تجريه منصة DSPM لحالة البيانات والمخاطر.

حماية البيانات الحساسة المتعلقة بخدمات البرمجيات كخدمة (SaaS) والذكاء الاصطناعي (AI)

حماية البيانات الحساسة في تطبيقات SaaS والذكاء الاصطناعي: يُعد تعرض البيانات الحساسة في تطبيقات SaaS والذكاء الاصطناعي حالة استخدام حاسمة لتكامل حلول إدارة المخاطر الأمنية (DSPM) وحلول الأمان المدمجة (SSE).

تحدد قائمة «أهم 10 مخاطر» لعام 2025 الصادرة عن منظمة OWASP والمتعلقة بتطبيقات نماذج اللغة الكبيرة (LLM) «الكشف عن المعلومات الحساسة» باعتباره أحد المخاطر الأمنية الرئيسية في مجال الذكاء الاصطناعي، بما في ذلك الكشف عن هذه المعلومات من خلال بيانات التدريب، وسير عمل الاستدلال، والاستجابات التي يتم إنشاؤها. ويقوم نظام DSPM باكتشاف البيانات الحساسة المكشوفة بشكل مستمر، وتحديد المستودعات التي يمكن لتطبيقات الذكاء الاصطناعي الوصول إليها، بينما يعمل نظام SSE على فرض ضوابط تراعي السياق تنظم تفاعلات المستخدمين، وعمليات تحميل البيانات، والوصول إلى استعلامات الذكاء الاصطناعي عبر بيئات SaaS وبيئات الذكاء الاصطناعي.

تعزيز الامتثال والحوكمة: تتعزز جهود الامتثال عندما تتمكن المؤسسات من إثبات قدرتها على إجراء استكشاف شامل للبيانات وتطبيق متسق للسياسات. ويساعد هذا المزيج على تحقيق هدفين شائعين في مجال الامتثال: فهم أماكن وجود البيانات الحساسة وإثبات وجود ضوابط وقائية مطبقة.

تساعد الرؤية والإنفاذ المتكاملان، إلى جانب SSE، المؤسسات على إثبات قدرتها على اكتشاف البيانات، وتطبيق ضوابط الحماية، والاستعداد للامتثال للوائح التنظيمية عبر البيئات الموزعة.

الحد من تجزئة أدوات الأمان: تعمل بنى DSPM و SSE الموحدة على الحد من تجزئة السياسات من خلال مركزية عمليات اكتشاف البيانات وتصنيفها وإدارة الوصول إليها وإنفاذها ضمن إطار أمني واحد. وبدلاً من الاعتماد على أدوات منفصلة ذات سياسات غير متسقة وثغرات في الرؤية، يمكن للمؤسسات تطبيق ضوابط موحدة عبر تطبيقات SaaS والخدمات السحابية ومنصات التعاون وسير عمل الذكاء الاصطناعي ومستودعات البيانات الموزعة.

يعمل هذا النهج المتكامل على تحسين الاتساق التشغيلي، وتبسيط إدارة السياسات، وتعزيز التوافق مع متطلبات الامتثال، كما يمكّن فرق الأمن من الاستجابة بفعالية أكبر لسيناريوهات تعرض البيانات والمخاطر الداخلية المتغيرة عبر البيئات الهجينة المعقدة.

ما الذي يجب البحث عنه في استراتيجية إدارة المنتجات والخدمات (DSPM) المدعومة بتقنية SSE

ينبغي على المؤسسات البحث عن حلول إدارة حماية البيانات (DSPM) قادرة على اكتشاف البيانات الحساسة عبر تطبيقات SaaS، ومساحات التخزين السحابية العامة، ومنصات التعاون، ومخازن البيانات المختلطة، مع توفير رؤية مركزية.

يجب أن يمتد هذا الرؤية ليشمل فهم كيفية تدفق البيانات بين البيئات، وأي عمليات التكامل تنطوي على مخاطر التعرض.

ينبغي أن توفر منصة SSE آلية إنفاذ مدمجة لحركة مرور الويب، وآلية إنفاذ قائمة على واجهات برمجة التطبيقات (API) لتطبيقات SaaS، وضوابط وصول للتطبيقات الخاصة، وفحص المحتوى لنقل البيانات عبر جميع القنوات.

يمكن أن يؤدي التكامل مع بنية أمنية أوسع نطاقًا إلى تقليل التعقيد التشغيلي الذي تنطوي عليه إدارة أدوات أمنية متعددة ومستقلة.

ينبغي على المنظمات أن تحقق التوازن بين التغطية الشاملة والتعقيد التشغيلي الذي يمكن التحكم فيه.

البنية المرجعية

تعمل بنية أمن البيانات الناضجة كدورة مستمرة، حيث يُستند وضع السياسات إلى عملية الاكتشاف، ويؤدي تطبيقها إلى توليد بيانات القياس عن بُعد، وتُستخدم التحليلات لتوجيه عملية التحسين.

يوفر نظام إدارة الحماية من المخاطر (DSPM) الأساس اللازم من خلال المسح المستمر للبيئات لتحديد البيانات الحساسة الجديدة، وتصنيف المعلومات حسب النوع والأهمية التجارية، وتحديد مدى التعرض للمخاطر من خلال الأذونات وعمليات المشاركة، وترتيب المخاطر حسب الأولوية بناءً على احتمالية حدوثها وتأثيرها.

تقوم عملية تنسيق السياسات بتحويل نتائج نظام إدارة سياسات الأمان (DSPM) إلى قواعد لفرض الامتثال الأمني (SSE)، والتي يتم توزيعها عبر مكونات CASB وSWG وZTNA وDLP.

ينبغي تحديث هذه السياسات كلما اكتشفت إدارة أمن البيانات (DSPM) مستودعات جديدة للبيانات الحساسة أو حددت تغييرات في مخاطر التعرض، مع اللجوء إلى الأتمتة حيثما كان ذلك ممكناً.

يتم تغذية مراكز العمليات الأمنية وأنظمة إعداد تقارير الامتثال ببيانات القياس عن بُعد والتحليلات المستمدة من كل من عمليات الكشف والإنفاذ.

تتيح هذه الرؤية الموحدة لفرق الأمن فهم نوع البيانات الحساسة الموجودة وكيفية الوصول إليها، وتحديد الاتجاهات في تعرض البيانات وأنماط استخدامها، وقياس فعالية الضوابط الوقائية، وتقديم أدلة على حماية البيانات لأغراض عمليات تدقيق الامتثال.

يمكن أن تستخدم سير عمل الإصلاح بيانات تطبيق معايير SSE لتحديد السلوكيات عالية المخاطر في معالجة البيانات، ودعم إجراء تغييرات على ضوابط الوصول للمستودعات المعرضة بشكل مفرط، وتزويد فرق الامتثال بأدلة أقوى بشأن معالجة البيانات.

تقييم الموردين

يجب أن يكون التوافق المعماري معيارًا تقييميًّا رئيسيًّا، لأن جودة التكامل تؤثر على ما إذا كانت الحلول تعمل معًا بسلاسة أم تتطلب تخصيصًا إضافيًّا.

يحدد نطاق قدرات اكتشاف البيانات مدى اكتمال رؤية البيانات الخاصة بك عبر بيئات متنوعة.

ينبغي على المؤسسات تقييم ما إذا كانت منصة SSE قادرة على ربط متطلبات اكتشاف البيانات ومتطلبات الإنفاذ ضمن بنية موحدة. Skyhigh Security هذا النهج القائم على المنصة من خلال الجمع بين حماية البيانات، وأمن الوصول إلى السحابة، وأمن الويب، private access، وعزل المتصفح، والرؤية المتوافقة مع معيار DSPM، في استراتيجية SSE واحدة.

بلغ متوسط التكلفة العالمية لخرق البيانات 4.44 مليون دولار أمريكي وفقًا لتقرير «تكلفة خرق البيانات لعام 2026» الصادر عن شركة IBM، مما يجعل التقييم الشامل لقدرات أمن البيانات المتكاملة ضرورةً تجاريةً ملحةً.