تحسين النظرية الموحدة الكبرى لحوكمة السحابة

قبل ما يزيد قليلاً عن عام، كتبتُ النظرية الموحدة الكبرى لحوكمة السحابة. وهو مفهوم ما زلت أعمل عليه منذ نحو 5 أو 6 سنوات في محاولة لتلخيص السبب الجذري للصعوبات التي تواجهها الشركات في التكيّف مع السحابة. صحيح أن العنوان فيه شيء من الغرور، لكنني كنت محللاً في Gartner، فماذا عساي أقول؟

وكما هو حال أي نظرية جيدة (على ما آمل)، أواصل تطويرها مع مرور الوقت كلما عملت مع مزيد من الشركات وتحدثت إلى مزيد من الأشخاص. وقد استخدمتها كثيراً خلال العامين الماضيين في محاضراتي وتدريباتي، خصوصاً مع انخراطي في مزيد من سيناريوهات الحوكمة. ومرة تلو الأخرى، تبيّن لي أن المشكلات الكبرى التي أصادفها ليست تقنية بقدر ما هي تنظيمية. نعم، هناك تعقيدات تقنية كثيرة جداً في أمن السحابة، ويمكن أن تؤدي فعلاً إلى اختراقات، لكن بحسب خبرتي فإن مسائل الحوكمة تفوق المسائل التقنية بمراحل.

الحوكمة الجيدة لا يمكنها ترقيع ثغرة يوم الصفر، لكن الحوكمة السيئة تعني أن المهاجم لن يحتاج إلى واحدة أصلاً.

لم يتغير جوهر النظرية فعلياً، إنما أواصل العمل على طرق أفضل لشرحها. كما قررت اختصارها قليلاً. وإليكم الصيغة التي أضعها حالياً في شرائح العرض:

• السحابة تحقق لامركزية العمليات والبنية التحتية
• لكن السحابة توحّد جميع واجهات الإدارة
• وتضع جميع بوابات الإدارة والموارد على الإنترنت، محمية باسم مستخدم وكلمة مرور

بالعودة إلى النسخة السابقة، التغييرات صغيرة لكنها كبيرة في الوقت نفسه:

• جميع وظائف الإدارة والتحكم موحّدة في واجهة مستخدم واحدة موجودة على الإنترنت.
• محمية باسم مستخدم وكلمة مرور، وربما مصادقة متعددة العوامل.
• التقنية تتطور أسرع من الحوكمة.

ما زلت أستخدم عبارة "لا نقاط اختناق ولا حراس بوابات" في طرحي، لكنني وجدت أنها طريقة أطول للقول "لامركزي". المسألة الجوهرية هي التحكم المستقل بالحزمة الكاملة خارج البنية التحتية المركزية. أي أن فريق تطوير أو فريق تطبيقات يستطيع بناء وإدارة بنيته التحتية بالكامل في بيئته الخاصة ببطاقة ائتمان فحسب. صحيح أنه ما زالت هناك بعض الاعتماديات والضوابط، خصوصاً في مستوى البيانات أو عند الحاجة إلى الارتباط بالشبكات، لكن ذلك لا يغيّر النقطة الأساسية.

محاولة إعادة المركزية بالكامل نادراً ما تنجح.

بعد ذلك، لم أغيّر فعلياً نقطة توحيد واجهات الإدارة. وللتوضيح، لقد حققنا لامركزية البنية التحتية والتحكم بالكامل على مستوى النشر، لكن الجميع، في العالم أجمع، يستخدمون وحدة التحكم الويب ونقاط نهاية واجهات البرمجة نفسها.

لدى المهاجمين بوابة واحدة إلى أهداف لا حصر لها.

ثم أخذت النقطة الفرعية من النسخة الأولى وجعلتها النقطة الثالثة. فبوابات الإدارة هذه كلها على الإنترنت، ولا تستخدم افتراضياً أكثر من اسم مستخدم وكلمة مرور. كما أن جميع الموارد لا يفصلها عن الإنترنت سوى إعداد واحد، ويكفي أن تسألوا كل تلك الحاويات S3 وعناقيد ElasticSearch.

الأمر بهذه البساطة فعلاً. الفرق تدير مواردها باستقلالية. وجميعهم، حول العالم، يستخدمون بوابات الويب ونقاط نهاية واجهات البرمجة نفسها. وأي شخص يحوز بيانات الاعتماد الصحيحة يمكنه العبث بالواجهة الخلفية لـ"مركز بياناتكم".

وإليكم الجزء المدهش؛ كل هذا كان موصوفاً في عام 2011 في NIST 800-145، أي الصفحتين اللتين تحملان عنوان تعريف NIST للحوسبة السحابية. وقد حدد ذلك المستند الخصائص الخمس الأساسية للحوسبة السحابية على النحو التالي:

• الخدمة الذاتية عند الطلب
• الوصول الشبكي الواسع
• تجميع الموارد
• المرونة السريعة
• الخدمة المقاسة

وإذا أخذنا النقاط الثلاث الأولى، يكون لدينا:

• الفرق تدير مواردها بنفسها
• وكل شيء على الإنترنت
• وكل ذلك قائم على تجمعات موارد مشتركة

حسناً، فما معنى كل هذا وما الذي نفعله؟

تقبّلوه.

تلك هي الخطوة الأولى. افهموا المشكلة واستخدموها عدسةً لابتكار حلولنا. وكما كتبتُ مؤخراً في منشوري عن التفويض القوي:

لأنهم غير معتادين على أن يكون كل شيء (احتمالاً) على الإنترنت. فمستوى الإدارة بأكمله على الإنترنت، وبالتالي إذا حصل مهاجم على بيانات الاعتماد، فلن تتمكنوا من إيقافه بجدار حماية أو بقطع الوصول إلى خادم.

ابدأوا من هنا. تقبّلوا الواقع الأساسي. ما الذي يمكننا فعله للحد من هذه المخاطر؟ وللحد من هذه الهجمات؟ أعتقد أن الخيار الأكثر تأثيراً هو التركيز على إدارة الهوية والوصول، وعلى تقاطع الحوكمة مع إدارة الهوية والوصول. من الذي يتولى لديكم إدارة الأذونات؟ والوصول؟ وما الضوابط الأمنية التي يمكنها منع الهجمات المتعلقة بإدارة الهوية والوصول واكتشافها وتصحيحها؟ وما هي عملياتكم المتصلة بإدارة الهوية والوصول؟ وهل يعرف فريق الاستجابة للحوادث لديكم تفاصيل إدارة الهوية والوصول لدى مزود (مزودي) السحابة الذي تعتمدونه بعمق؟ وهل تستخدمون التفويض في الوقت المناسب/التفويض القوي؟ وكيف تديرون إدارة الهوية والوصول للمتعاقدين والخدمات الخارجية؟

ابدأوا بحوكمة إدارة الهوية والوصول وعملياتها. ثم اختاروا التقنيات التي تدعمها واستخدموها. هذه هي الطريقة الأكثر تأثيراً على الإطلاق لتحسين أمن السحابة لديكم. وآمل حقاً ألا أكون أول من يخبركم بذلك.