صلاحيات بلا رقابة كافية.. دراسة ترصد تحديات خفية في أمن الهوية المؤسسي

في وقت تتسارع فيه وتيرة الاعتماد على تقنيات الذكاء الاصطناعي والحوسبة السحابية، تكشف دراسة بحثية جديدة عن واقع مقلق يتعلق بأمن الهوية وإدارة الوصول ذات الصلاحيات العالية داخل المؤسسات.

 الدراسة، التي أعدتها شركة سايبر أرك المتخصصة عالمياً في أمن الهوية، تشير إلى وجود فجوة واضحة بين مستوى الثقة الذي تعلن عنه المؤسسات في جاهزية أنظمتها، وبين الممارسات التشغيلية الفعلية التي ما زالت تعتمد على نماذج تقليدية لم تعد مناسبة لطبيعة التهديدات الحالية.

وبحسب نتائج البحث، ترى نسبة كبيرة من المؤسسات أن استراتيجياتها الحالية لإدارة الصلاحيات قادرة على التعامل مع متطلبات الذكاء الاصطناعي والبيئات السحابية والهجينة. إلا أن هذه الثقة، كما توضح البيانات، لا تنعكس على أرض الواقع، حيث لا تزال معظم الجهات تعتمد على افتراض الوصول الدائم، وهو نموذج صُمم في الأساس لبيئات تقنية أقل تعقيداً وأكثر استقراراً مما نشهده اليوم.

الدراسة استندت إلى آراء 500 متخصص يعملون في مجالات إدارة الوصول ذات الصلاحيات العالية، وأمن الهوية، والبنية التحتية التقنية، وأظهرت النتائج أن جهود التحديث، رغم وجودها، ما تزال محدودة التأثير، فعدد ضئيل جداً من المؤسسات انتقل فعلياً إلى نماذج وصول تكيفية ومحددة زمنياً، تتماشى مع مفهوم “انعدام الثقة” الذي يقوم على منح الصلاحيات عند الحاجة فقط ولفترة محدودة.

الأرقام الواردة في الدراسة تعكس حجم التحدي. فواحد في المئة فقط من المؤسسات أفاد بتطبيق نموذج حديث يمنح الصلاحيات عند الحاجة ولمدة زمنية محددة، في المقابل، أشار الغالبية إلى أن نصف صلاحيات الوصول لديهم، على الأقل، متاحة بشكل دائم، ما يعني وصولاً مستمراً وغير مقيد إلى أنظمة وبيانات حساسة، هذا الواقع يزيد من احتمالات الاستغلال في حال اختراق أي حساب ذي امتيازات عالية.

التحديات لا تتوقف عند المستخدمين من الأفراد، بل تمتد إلى تقنيات الذكاء الاصطناعي نفسها، فقد أظهرت النتائج أن عدداً كبيراً من المؤسسات يتعامل مع وكلاء الذكاء الاصطناعي بالضوابط نفسها المطبقة على المستخدمين البشر، من دون مراعاة الفروقات الجوهرية في طبيعة عمل هذه التقنيات.

 كما أقرت نسبة لافتة من الجهات بغياب سياسات واضحة تنظم وصول أدوات الذكاء الاصطناعي إلى الأنظمة والبيانات، وهو ما يفتح الباب أمام مخاطر إضافية يصعب رصدها.

ومن أبرز ما سلطت عليه الدراسة الضوء، تفاقم ظاهرة امتيازات الوصول الخفية. ويقصد بها الحسابات والأسرار التي تتمتع بصلاحيات عالية لكنها غير مُدارة بشكل فعّال، أو لم تعد ضرورية، أو حتى غير معروفة لدى فرق الأمن، هذه الامتيازات تتراكم مع الوقت نتيجة التوسع في الأنظمة والأدوات، ما يؤدي إلى زيادة نقاط الضعف داخل البنية التقنية.

وتشير البيانات إلى أن أكثر من نصف المؤسسات تكتشف بشكل أسبوعي حسابات أو أسرار ذات صلاحيات عالية غير مُدارة، كما أن الاعتماد على عدد كبير من أدوات أمن الهوية داخل المؤسسة الواحدة يسهم في تعقيد المشهد الأمني، ويخلق ما يشبه النقاط العمياء التي يصعب مراقبتها.

 في هذا السياق، اعترف عدد كبير من المشاركين بأن مراجعات الصلاحيات التقليدية تؤدي إلى تأخير المشاريع، ما يدفع بعض الموظفين إلى تجاوز الضوابط المعتمدة لتسريع العمل، وهو سلوك يحمل مخاطر إضافية.

الرئيس التنفيذي لشركة سايبر أرك، مات كوهين، علّق على نتائج الدراسة بالقول إن البيئات التشغيلية الحديثة تتغير بوتيرة متسارعة، ما يجعل من الضروري إعادة النظر في طبيعة صلاحيات الوصول وآليات حمايتها.

 وأكد أن محدودية تبني نماذج الوصول عند الحاجة ولمدة محددة تعكس حاجة ملحة لتحديث هذا المجال على مستوى القطاع ككل، خاصة مع تزايد اعتماد المؤسسات على هويات غير بشرية ووكلاء ذكاء اصطناعي لتنفيذ مهام حساسة.

الدراسة خلصت إلى أن تقليل المخاطر لا يعني إعاقة الابتكار، بل يتطلب إعادة ضبط طريقة إدارة الصلاحيات، ومن بين التوجهات التي أوصت بها، تقليص الصلاحيات الدائمة لصالح نماذج وصول ديناميكية قائمة على تقييم المخاطر، وأتمتة منح الصلاحيات للمهام الحساسة، وتطبيق ضوابط متناسبة مع طبيعة كل هوية، سواء كانت لمستخدم بشري أو نظام أو وكيل ذكاء اصطناعي، كما شددت على أهمية تبسيط منصات إدارة الهوية وتوحيدها لتعزيز الرؤية الشاملة وتحسين الحوكمة، في مواجهة مشهد تهديدات يتغير باستمرار.

المصدر: بوابة الوفد