كيف تقوم DSPM باكتشاف وتقليل تعرض بيانات التهديدات الداخلية للخطر في البيئات السحابية

يمثل تسرب البيانات الناجم عن التهديدات الداخلية في البيئات السحابية تحولاً جذرياً عن المخاوف الأمنية التقليدية التي تركز على الحماية المحيطية. وعلى عكس الاختراقات التي تحدث بفعل البرامج الضارة، غالباً ما يبدأ تسرب البيانات من الداخل بأنماط وصول مشروعة تتصاعد تدريجياً لتؤدي إلى فقدان البيانات من خلال المشاركة والتنزيل وتجاوز حدود الأذونات عبر تطبيقات SaaS والتخزين السحابي ومنصات التعاون.

كيف يبدو تسرب بيانات التهديدات الداخلية في السحابة

تشمل التهديدات الداخلية الحديثة ثلاث فئات من الجهات التي تشكل مخاطر: الموظفون ذوو النوايا السيئة الذين يسعون إلى سرقة البيانات، والمستخدمون المهملون الذين يكشفون المعلومات عن غير قصد، والحسابات المخترقة التي يستخدمها المهاجمون الخارجيون.

وفقًا لـ«دليل التخفيف من مخاطر التهديدات الداخلية» الصادر عن وكالة الأمن السيبراني والبنية التحتية (CISA)، غالبًا ما ينجم الضرر الناجم عن التهديدات الداخلية عن إساءة استخدام صلاحيات الوصول المشروعة، وليس عن الاختراق غير المصرح به للنظام.

يقوم الموظفون بشكل روتيني بمزامنة الملفات الحساسة مع أجهزتهم الشخصية، ومشاركة المستندات مع المتعاونين الخارجيين عبر روابط يُنشئها المتصفح، وتنزيل التقارير لتحليلها في وضع عدم الاتصال بالإنترنت، ونسخ مجموعات البيانات عبر منصات التحليلات. ورغم أن كل إجراء من هذه الإجراءات يمثل جزءًا من الإنتاجية المعتادة للأعمال، إلا أنها مجتمعةً تشكل سطح هجوم متوسعًا يصعب على الضوابط الأمنية التقليدية مراقبته.

يحدد التحليل الذي أجرته «تحالف أمن السحابة» (Cloud Security Alliance) حول كيفية تعرض البيانات الحساسة في السحابة للخطر عدة مسارات رئيسية للتعرض، وهي: نسخ البيانات عبر خدمات السحابة، وإعدادات المشاركة غير السليمة، ونقل البيانات بين التطبيقات المصرح بها، وأخطاء التكوين في نظام إدارة الهوية والوصول (IAM) التي تمنح صلاحيات وصول مفرطة.

على عكس البيئات المحلية التي كانت البيانات تُخزَّن فيها عادةً في شرائح شبكية خاضعة للرقابة، تنتشر البيانات السحابية الآن عبر تطبيقات SaaS ومنصات التعاون وآليات المشاركة الخارجية التي تتجاوز الحدود الأمنية التقليدية.

لنتخيل موظفًا في قسم الشؤون المالية يقوم بتنزيل بيانات حسابات العملاء من منصة تحليلات سحابية لإعداد تقرير ربع سنوي. يقوم الموظف بتحميل الملف إلى مساحة تخزين سحابية شخصية لمتابعة العمل خلال عطلة نهاية الأسبوع، ويشارك البيانات مع شريك استشاري خارجي عبر رابط في المتصفح، ويترك المستودع الأصلي متاحًا لمجموعة واسعة من المشاركين في المشروع بعد انتهاء المهمة. لا توجد أي برامج ضارة متورطة في الأمر. ولم يتم تفعيل أي قاعدة من قواعد جدار الحماية. ومع ذلك، فقد خرجت البيانات الحساسة عن نطاق الضوابط المقصودة.

وفقًا لتقرير فيريزون لعام 2026 حول تحقيقات اختراق البيانات (DBIR)، تضمنت غالبية حالات الاختراق عنصرًا بشريًّا. واستنادًا إلى تحليل أكثر من 22,000 حادثة أمنية و12,195 حالة اختراق مؤكدة، حدد التقرير السلوك البشري، وضعف إدارة الهوية والوصول، وتعرض منظومة الأطراف الثالثة كعوامل رئيسية وراء حالات الاختراق. مما يؤكد حقيقة أن الوصول المشروع والمصرح به غالبًا ما يصبح المسار الرئيسي لفقدان البيانات الحساسة.

لماذا تفوت أنظمة الرقابة التقليدية الكشف عن المخاطر الداخلية في عصر السحابة

صُممت أدوات تحليل سلوك المستخدم ومراقبة نقاط النهاية للبيئات التي تركز على الشبكة، حيث كانت حركة البيانات تتم عبر قنوات يمكن التنبؤ بها. وتتميز هذه الأنظمة بقدرتها على اكتشاف الحالات الشاذة في السلوك، لكنها تفتقر إلى سياق البيانات اللازملتقييممدى خطورة التعرض للمخاطر في البيئات السحابية.

يمكن لأنظمة UEBA تحديد الحالات التي يقوم فيها المستخدم بتنزيل أحجام كبيرة من الملفات بشكل غير معتاد أو الوصول إلى التطبيقات خارج الأنماط المعتادة، لكنها لا تستطيع تحديد ما إذا كانت تلك الملفات تحتوي على كود المصدر، أو السجلات المالية، أو المعلومات الشخصية المحددة للهوية (PII) للعملاء، أو البيانات التشغيلية الروتينية. وبدون فهم حساسية البيانات، تواجه فرق الأمن خيارًا مستحيلًا: إما التحقيق في كل حالة شاذة والغرق في الإنذارات الكاذبة، أو رفع عتبات التنبيه والمخاطرة بفقدان اكتشاف الثغرات الحقيقية.

تتجاوز تطبيقات SaaS المستندة إلى المتصفح، والمزامنة السحابية المباشرة، والمشاركة عبر روابط الويب، ضوابط نقاط النهاية التقليدية. فيمكن للموظف مشاركة البيانات الحساسة مع المتعاونين الخارجيين بالكامل من خلال جلسات المتصفح دون إثارة أنظمة الكشف المستندة إلى نقاط النهاية. وتحدث أنماط التعاون السحابي الحديثة هذه عبر قنوات لا تستطيع برامج الوكيل المثبتة على نقاط النهاية مراقبتها بشكل كامل.

تتميز أنظمة DLP التقليدية بفحص مرفقات البريد الإلكتروني وعمليات النقل عبر USB وحركة مرور الشبكة، لكنها تواجه صعوبات في تقييم حالة التعرض لمخازن التخزين السحابية، أو أذونات منصات التعاون، أو إعدادات المشاركة الخارجية. وغالبًا ما تكتشف هذه الأنظمة حركة البيانات بعد ظهور ظروف التعرض بالفعل، بدلاً من تحديد المخازن المعرضة بشكل مفرط قبل وقوع محاولات تسريب البيانات.

تقوم أنظمة IAM بتتبع من قام بالوصول إلى أي تطبيقات سحابية ومتى تم ذلك، لكن هذه البيانات القياسية لا تصبح ذات مغزى في الكشف عن التهديدات الداخلية إلا عند دمجها مع تصنيف البيانات وسياق التعرض.

إشارات البيانات التي تكشف عن مخاطر التسريب الداخلي قبل وقوعه

يتطلب الكشف الفعال عن التهديدات الداخلية في البيئات السحابية تحديد ظروف التعرض قبل أن تخرج البيانات عن سيطرة المؤسسة. ويكشف نظام DSPM عن عدة فئات من إشارات المخاطر التي تسبق وقوع الخسارة، والتي عادةً ما تغفلها أدوات المراقبة التقليدية.

يقوم نظام إدارة الحماية (DSPM) بمسح هذه المستودعات باستمرار لتحديد البيانات الحساسة التي ربما تم تحميلها أو مزامنتها أو نسخها دون علم فريق الأمن. وقد تؤدي المنصات السحابية وسير عمل التعاون إلى إنشاء أذونات مشاركة واسعة النطاق أو موروثة، مما يوسع نطاق الوصول إلى ما هو أبعد مما تقصده الفرق.

يحدد نظام إدارة حساسية البيانات (DSPM) المستودعات التي تحتوي على بيانات حساسة يمكن الوصول إليها من قبل مجموعات كبيرة من المستخدمين أو المتعاونين الخارجيين، أو التي تحتوي على روابط عامة تستمر إلى ما بعد الجدول الزمني للمشروع. وعند دمجه مع أنظمة منع تسرب البيانات (DLP) أو أنظمة أمان البنية التحتية للسحابة (CASB) أو أنظمة التوافق الأمني (SSE) أو تحليلات السلوك، يساعد نظام إدارة حساسية البيانات (DSPM) في تحديد السيناريوهات عالية المخاطر، مثل تنزيل الملفات الحساسة أو إعادة توجيهها إلى البريد الإلكتروني الشخصي أو مزامنتها مع أجهزة غير خاضعة للإدارة، وذلك من خلال إضافة سياق حساسية البيانات ومدى تعرضها.

يقوم نظام DSPM بتحديد مستودعات الظل هذه والانحرافات في التكوين قبل أن تصبح عوامل نشطة تؤدي إلى فقدان البيانات.

يوثق إطار عمل MITRE ATT&CK الكيفية التي يستخدمها المهاجمون والموظفون الداخليون المخترقون لسرقة البيانات عبر خدمات التخزين السحابية والتطبيقات الويب المشروعة. ويساعد فهم أنماط الهجوم هذه فرق الأمن على التعرف على الحالات التي قد تشير فيها أنماط الاستخدام العادية للسحابة إلى وجود استعدادات لسرقة البيانات.

لماذا يُعد نظام DSPM أساسيًا للكشف عن التهديدات الداخلية في البيئات السحابية

يعالج نظام إدارة الحماية القائم على البيانات (DSPM) مسألة الكشف عن التهديدات الداخلية من خلال توفير سياق البيانات الذي تحتاجه الضوابط الأمنية الأخرى لتعمل بفعالية في البيئات السحابية. وبدلاً من أن يحل محل تحليلات السلوك أو مراقبة الوصول، يعمل نظام DSPM كطبقة أساسية.

يؤكد «دليل غارتنر للسوق بشأن إدارة حالة أمن البيانات لعام 2025» أن القيمة الأساسية لإدارة حالة أمن البيانات(DSPM) تكمن في اكتشاف وتصنيف البيانات المنظمة وغير المنظمة، وتوفير رؤية واضحة لأصول البيانات، والمساعدة في التخفيف من المخاطر المتعلقة بالخصوصية والأمن والذكاء الاصطناعي.

يساعد نظام DSPM في الكشف عن التوليفات الخطرة، مثل وجود بيانات شديدة الحساسية مصحوبة بأذونات وصول واسعة النطاق ومشاركة خارجية، لا سيما عند دمجه مع بيانات القياس عن بُعد الخاصة بالأجهزة والوصول الواردة من أنظمة SSE أو CASB أو ضوابط الهوية.

تقوم أنظمة إدارة الهوية والوصول (IAM) التقليدية بتتبع الصلاحيات، لكن نظام إدارة الحماية القابلة للتطوير (DSPM) يربط هذه الصلاحيات بدرجة حساسية البيانات الفعلية لتحديد مخاطر تصعيد الصلاحيات، والحسابات الخاملة التي تتمتع بإمكانية الوصول إلى البيانات الحساسة، والمتعاونين الخارجيين الذين يحتفظون بحق الوصول بعد انتهاء الجدول الزمني للمشروع. ويقوم نظام DSPM بمراقبة هذه التغييرات باستمرار للكشف عن الحالات التي تؤدي فيها الأنشطة التشغيلية الروتينية، عن غير قصد، إلى خلق نقاط ضعف جديدة.

يمكن لنظام DSPM تزويد نظام data loss prevention ، وتوفير سياق البيانات لمنصات UEBA، وتزويد أنظمة SIEM بمقاييس التعرض. وهذا الارتباط هو ما يحول النشاط الخام إلى معلومات استخباراتية قابلة للتنفيذ بشأن التهديدات الداخلية.

كيفية ترتيب أولويات التحقيقات في التهديدات الداخلية حسب المخاطر التجارية

لا تستحق كل حادثة تتعلق بالسحابة نفس الاستجابة. يمكن لفرق الأمن تقليل «الضوضاء» وتحسين جودة الاستجابة من خلال تصنيف الحوادث بناءً على تأثيرها على الأعمال، بدلاً من التعامل مع كل حدث على أنه خرق محتمل.

ابدأ بتحديد مدى حساسية البيانات المعنية. يجب أن تأتي سجلات العملاء، وبيانات الرواتب، والكود المصدري، والملكية الفكرية، والمحتوى الخاضع للتنظيم في مقدمة الأولويات. ويُعد تصنيف البيانات أمرًا مهمًا لأن نمط الوصول الذي يبدو بسيطًا يصبح أكثر خطورة بكثير عندما يتعلق بمعلومات شديدة الحساسية.

بعد ذلك، قم بتقييم إمكانية الوصول. فالمستودعات المفتوحة لمجموعات داخلية واسعة أو لشركاء خارجيين أو عبر روابط عامة تمثل خطرًا أكبر بكثير مقارنة بالمجلدات ذات النطاق الضيق والحقوق المحدودة. وتزداد خطورة التعرض للمخاطر عندما يستمر الوصول بعد انتهاء المشروع، أو عندما تُنسخ الملفات إلى مواقع غير خاضعة للإدارة، أو عندما تنحرف الأذونات عن الغرض التجاري الأصلي.

ثم ضع في اعتبارك سياق المستخدم والجهاز. فالوصول من أجهزة غير خاضعة للإدارة، أو من مواقع غير معتادة، أو من جلسات متصفح غير قياسية قد لا يدل على نية خبيثة، لكنه قد يزيد من احتمال نسخ البيانات الحساسة أو مشاركتها أو تخزينها خارج نطاق الضوابط المعتمدة.

كما أن التوقيت والمعايير السلوكية الأساسية لها أهميتها أيضًا. فقد يكون تنزيل ملف كبير من مساحة عمل مالية أثناء عمليات نهاية الربع أمرًا طبيعيًا. أما إذا قام بهذه الخطوة موظف يغادر المؤسسة، أو موظف يدخل إلى مستودع البيانات للمرة الأولى، أو موظف يستخدم جهازًا غير مألوف، فإن الأمر يستحق فحصًا أكثر دقة.

والنتيجة هي نموذج للفرز يركز على مزيج من حساسية البيانات وحالة التعرض والسلوك، بدلاً من التركيز على أي مؤشر بمفرده.

بنية حديثة للكشف عن تسرب بيانات التهديدات الداخلية في السحابة

يتطلب الكشف الفعال عن التهديدات الداخلية في البيئات السحابية رؤية موحدة تشمل مستودعات البيانات وأنظمة التحكم في الوصول وقنوات أنشطة المستخدمين، بدلاً من الاعتماد على أدوات أمنية منفصلة. ويشكل مستوى البيانات الأساس في هذا الصدد.

يقوم نظام DSPM باكتشاف وتصنيف البيانات الحساسة عبر بيئات السحابة وخدمات SaaS. وهو يحدد مواقع تخزين البيانات، وكيفية تصنيفها، والمستودعات المعرضة لمخاطر الإفصاح المفرط. وتشكل هذه الرؤية طبقة السياق لكل العناصر الأخرى.

توفر «مستوى الوصول» سياقًا بالغ الأهمية. فأنظمة إدارة الهوية والوصول (IAM)، وأذونات التعاون، وإعدادات المشاركة الخارجية تكشف عن من يمكنه الوصول إلى البيانات الحساسة وتحت أي ظروف. وعند دمج هذه المعلومات مع تصنيف البيانات، فإنها توضح أي الصلاحيات تشكل خطرًا حقيقيًّا وأيها مجرد خطر نظري.

يمكن أن تساعد الضوابط المتعلقة بـ SSE في فرض سياسات وصول ومشاركة أكثر اتساقًا عبر قنوات الويب والسحابة عند اقترانها بمدخلات سياق البيانات الواردة من DSPM. Cloud Access Security Broker رؤية تفصيلية لاستخدام التطبيقات السحابية، مع تمكين تطبيق السياسات بدقة استنادًا إلى حساسية البيانات وسياق الوصول. ويمكن Secure Web Gateway منع تحميل البيانات الحساسة إلى خدمات سحابية غير مصرح بها، بينما يمكن لقدرات منع تسرب البيانات (DLP) المدمجة فحص المحتوى عبر البريد الإلكتروني ومنصات التعاون وعمليات النقل إلى التخزين السحابي.

تضمن المراقبة المستمرة اكتشاف ظروف التعرض مع تغير تكوينات السحابة، أو إنشاء روابط تعاون جديدة، أو تغير أدوار المستخدمين بمرور الوقت.

الأخطاء الشائعة التي ترتكبها الشركات عند التعامل مع حالات تسرب البيانات من الداخل

أحد الأخطاء الأكثر شيوعًا هو التعامل مع كل حدث وصول غير عادي على أنه تهديد مؤكد. فهذا النهج يؤدي إلى «إرهاق التنبيهات» ويحجب الحوادث القليلة التي تهم حقًّا. وتتمثل الاستراتيجية الأفضل في الجمع بين السلوك وحساسية البيانات وحالة التعرض.

هناك خطأ آخر يتمثل في الاعتماد فقط على سجلات الهوية. فمن المفيد معرفة من قام بالوصول إلى النظام، لكن ذلك لا يوضح ما إذا كانت البيانات المعنية حساسة، أو تمت مشاركتها خارجيًا، أو تم تخزينها في مستودع معرض للخطر بشكل مفرط.

كما أن الفرق لا تأخذ في الحسبان بشكل كافٍ عمليات الوصول عبر المتصفح والأجهزة غير الخاضعة للإدارة. وغالبًا ما يجري التعاون السحابي خارج نطاق ضوابط نقاط النهاية التقليدية، لذا فإن برامج الأمان التي تركز فقط على أجهزة الكمبيوتر المحمولة الخاضعة للإدارة تغفل جزءًا كبيرًا من مسارات التعرض للمخاطر.

ومن المشكلات ذات الصلة في هذا الصدد «تكاثر الأدوات». فغالبًا ما تقوم المؤسسات بنشر أدوات منفصلة لكل من DLP وUEBA وIAM وCASB وSSE دون ربطها معًا في إطار نموذج بيانات مشترك. وينتج عن ذلك رؤية مجزأة وتكرار في العمل.

تؤكد الأبحاث التي أجراها معهد بونيمون حول المخاطر الداخلية على أن الموظفين المتهورين والمهملين يمثلون مخاطر أمنية كبيرة ومكلفة، إلى جانب الجهات الفاعلة التي تتصرف بخبث متعمد. ويجب أن تتناول البرامج الشاملة لمواجهة التهديدات الداخلية جميع فئات المخاطر الداخلية، بدلاً من التركيز فقط على سرقة البيانات المتعمدة.

إن تطبيق سياسات مفرطة في التقييد تعوق التعاون المشروع قد يؤدي إلى انتشار «تكنولوجيا المعلومات غير الرسمية» ويخلق نقاط ضعف أمنية جديدة.

ما الذي يجب البحث عنه في أي حل لكشف التسربات من البيانات الناتجة عن التهديدات الداخلية

يبدأ النهج الفعال بالاستكشاف. يجب أن تحدد المنصة البيانات الحساسة في مستودعات السحابة وتطبيقات SaaS وبيئات التعاون دون الحاجة إلى وضع علامات يدوية في كل مكان.

كما ينبغي أن يدعم النظام عمليات التصنيف ورسم خرائط التعرض وتنفيذ السياسات ضمن مسار عمل واحد. وهذا يتيح للفرق معرفة ليس فقط أماكن وجود البيانات الحساسة، بل أيضًا من يمكنه الوصول إليها وما إذا كان هذا الوصول يتوافق مع احتياجات العمل.

التكامل أمر مهم. فالأنظمة الأكثر فائدة هي تلك التي تتكامل مع ضوابط إدارة الهوية والوصول (IAM) ونظام إدارة الأحداث والأمن (SIEM) ونظام منع تسرب البيانات (DLP) ومنصة أمان المحتوى (CASB) ونظام الأمان التكميلي (SSE)، بحيث تُستخدم حساسية البيانات كأساس لاتخاذ قرارات أمنية أوسع نطاقًا. وينبغي أن تجمع سير عمل التحقيقات بين حالة التعرض وسلوك المستخدم وسياق الوصول، بدلاً من إجبار المحللين على الرجوع إلى لوحات تحكم متعددة.

كما أن دعم الامتثال أمر مهم أيضًا. ففرق الأمن تحتاج إلى أدلة توضح مكان وجود البيانات الخاضعة للتنظيم، ومن يمكنه الوصول إليها، وكيف تمت مشاركتها، وما هي الإجراءات التصحيحية التي تم اتخاذها بعد اكتشاف التسرب.

يمكن أن تساعد ميزات التحقيق المدعومة بالذكاء الاصطناعي في ربط حساسية البيانات وأنماط الوصول وسلوك المستخدمين، من أجل تحديد أولويات الحوادث التي تنطوي على مخاطر أعلى.

بالنسبة للمؤسسات التي تسعى إلى الحصول على حماية شاملة من التهديدات الداخلية، فإن تقدير «غارتنر» لقادة الأمن في مجال SSE يؤكد أهمية المنصات المتكاملة التي تجمع بين رؤية البيانات، والتحكم في الوصول، ومراقبة السلوك ضمن بنى موحدة.