كيفية تأمين سلسلة التوريد الإلكترونية الحديثة والارتفاع في مخاطر الأطراف الثالثة في ظل أتمتة الذكاء الاصطناعي
شهد عام 2023 ارتفاعًا كبيرًا في عدد حوادث اختراق البيانات المرتبطة بتكامل الأطراف الثالثة، مما أثر بشكل كبير على المؤسسات بسبب الطبيعة المترابطة لبيئات البرمجيات كخدمة (SaaS) الحديثة.
يجب على المؤسسات تبني استراتيجيات شاملة لأمن SaaS، تتضمن أمان الهوية القوي، وإدارة التكوين، وتدقيق عمليات التكامل، للحد من الثغرات الأمنية وانتهاكات البيانات.
يعني تكامل الذكاء الاصطناعي واعتماد تطبيقات SaaS أن ممارسات إدارة مخاطر الأطراف الثالثة أصبحت أمرًا ضروريًا لحماية بيانات وتطبيقات الأعمال الحيوية.
عام 2023: عام آخر يُحطم الأرقام القياسية في اختراق البيانات
انتهى عام 2023 ليصبح عامًا قياسيًا آخر في عدد حوادث اختراق البيانات التي تواجهها المؤسسات. في العام الماضي، أفادت 41% من المؤسسات التي تعرضت لحادث أمني جوهري أن طرفًا ثالثًا كان السبب فيه. في الولايات المتحدة، تأثرت أكثر من ألف جهة نتيجة لهجوم ناجح على 87 منظمة فقط، مما يبرز مستوى المخاطر السيبرانية التي تُشكلها الأطراف الثالثة اليوم.
إدارة مخاطر الأطراف الثالثة وتحديات سلسلة التوريد السيبرانية
على الرغم من أن معظم المؤسسات تدرك المخاطر التي تقدمها الأطراف الثالثة، فإن إدارة مخاطرها تركز غالبًا على تقييم الوضع الأمني السيبراني أو ""النظافة الإلكترونية""، دون النظر إلى كيفية ارتباط هذه الأطراف بالمؤسسة – أي كيف تبدو سلسلة التوريد السيبرانية.
يؤدي الاعتماد على البنية التحتية الموزعة الحديثة، والتي تعتمد بشكل كبير على البرمجيات كخدمة (SaaS)، إلى خلق فرص لا حصر لها للوصول غير المُراقب إلى بيانات وعمليات الشركة. يستغل المهاجمون البيئات السحابية من خلال أخطاء التكوين، والخطأ البشري، والهندسة الاجتماعية، وسرقة بيانات الاعتماد، وطرق هجوم أخرى لاختراق بيانات الأعمال الحيوية والتطبيقات.
لقد ساهمت تطبيقات SaaS في لامركزية عمليات شراء تكنولوجيا المعلومات، حيث تتبنى كل وحدة أعمال أدوات إنتاجية خاصة بها، مما أدى إلى ازدياد عدد مسؤولي التطبيقات خارج فرق تكنولوجيا المعلومات والأمن. تتمتع هذه التطبيقات بمجموعة فريدة من ميزات الأمان التي يجب تكوينها بشكل مستقل، مما يجعلها عرضة للأخطاء البشرية، ويؤدي إلى أخطاء في التكوين تُشكل نقاط ضعف ضخمة للمؤسسة.
ومع مشاركة المزيد من التطبيقات في عمليات تدفق البيانات الحساسة واندماجها مع التطبيقات التجارية الرئيسية، تزداد احتمالية وقوع اختراقات للبيانات.
الحماية وسط تسارع الأتمتة بالذكاء الاصطناعي
إلى جانب زيادة انتهاكات الأطراف الثالثة، سلط عام 2023 الضوء على الابتكار في الذكاء الاصطناعي. لعقود، ركزت الابتكارات في الذكاء الاصطناعي والتعلم الآلي على أتمتة العمليات لزيادة الإنتاجية، وهي تقنية تعتمد على تكامل الأطراف الثالثة في البرمجيات والتقنيات.
سيواصل عام 2024 تسليط الضوء على فوائد دمج الذكاء الاصطناعي في القوى العاملة الحديثة، وهي فائدة ستسرّع وتزيد من نقاط ضعف الأطراف الثالثة التي يتم استغلالها بالفعل اليوم.
من الضروري للغاية أن تركز المؤسسات على تأسيس أمان قوي لـ SaaS لاحتواء مخاطر الأطراف الثالثة قبل زيادة اعتماد الذكاء الاصطناعي داخل المنظمة.
التوصية الأولى: معرفة الأصول الرقمية
شهد اعتماد تطبيقات SaaS زيادة بنسبة 41% خلال العامين الماضيين، مما جعلها مصدر قلق أمني كبير لكبار مسؤولي المعلومات والأمن. تُظهر الاختراقات وأخطاء التكوين في تطبيقات مثل Okta, Circle CI, Salesforce, وGoogle Workspace التحديات التي تواجهها المؤسسات، بدءًا من الأعمال الأساسية وصولًا إلى تطبيقات SaaS الأمنية.
على سبيل المثال، أثر الهجوم على Okta على 100% من قاعدة عملائها، مما يُشير إلى أن خرق SaaS واحد فقط يمكن أن يُحدث تأثيرًا مضاعفًا على آلاف المؤسسات.
غالبًا ما تفترض المؤسسات أن حلول مثل المصادقة متعددة العوامل (MFA)، المصممة لحماية الأصول السحابية، قد تم تنفيذها بالكامل. ومع ذلك، تمتلك كل مؤسسة على الأقل 1% من حساباتها في SaaS غير محمية بالمصادقة متعددة العوامل، مما يخلق خطرًا نشطًا.
على الرغم من أن هذا قد يبدو كخطر صغير، إلا أن هجوم Drizly عبر ""حشو بيانات الاعتماد"" أوضح كيف أن حسابًا واحدًا فقط بمصادقة ضعيفة يمكن أن يؤدي إلى اختراق كبير. علاوة على ذلك، تطورت تطبيقات SaaS إلى منصات تخزن وتشارك بيانات الشركة، مما يزيد من تعرضها لأخطاء بشرية تؤدي إلى كشف البيانات.
نظرًا للطبيعة اللامركزية لشراء خدمات SaaS، تحتاج المؤسسات أكثر من أي وقت مضى إلى فهم شامل لماهية أصولها في SaaS، ومن يديرها، وما هي البيانات المخزنة فيها لضمان إدارتها الأمنية بشكل صحيح.
التوصية الثانية: إدارة ومراقبة التكوينات
تأتي تطبيقات SaaS عادةً مع مجموعة واسعة من خيارات التكوين الأمني. العديد من هذه الإعدادات الأمنية لا تكون مفعلة افتراضيًا، مما يجعل مسؤول التطبيق مسؤولًا عن إعدادات الأمان المناسبة. ومع وجود مسؤولي التطبيقات خارج وحدة أعمال تكنولوجيا المعلومات، ينشئ الكثير منهم بشكل غير مقصود مخاطر تعرض البيانات بسبب أمان الوصول الضعيف.
يعني الطابع اللامركزي لشراء تطبيقات SaaS أن فرق تكنولوجيا المعلومات والأمن لا تكون دائمًا على دراية مسبقة بنشر تطبيقات جديدة لالتقاط المخاطر الأمنية المرتبطة بها.
لذلك، من الضروري أن تمتلك المؤسسات قائمة شاملة بتطبيقات SaaS الخاصة بها، ومراقبة إعدادات الأمان بانتظام لضمان تطبيق سياسات الأمان بشكل صحيح، والحد من أي تغييرات على التكوينات بمرور الوقت قد تجعل التطبيقات أقل أمانًا.
التوصية الثالثة: جرد وتدقيق عمليات التكامل
تتمثل إحدى ميزات تطبيقات SaaS في سهولة التكامل وانخفاض الحاجة إلى الأكواد البرمجية، وهو ما يسهل التشغيل المتبادل للخدمات ولكنه يخلق أيضًا نقاط ضعف جديدة.
أحد الفوائد الرئيسية لمنتجات SaaS هو قدرتها على التكامل بسهولة مع التطبيقات الأخرى، مما يبسط الوصول إلى البيانات والوظائف. لكن هذه القدرة على التشغيل البيني تُنشئ نقاط ضعف من خلال تعدد نقاط الدخول إلى التطبيقات التي تحتوي على بيانات الأعمال والعملاء الحساسة.
في المتوسط، تحتوي منصات SaaS على مئات من عمليات التكامل المتاحة، مما ينشئ ""مصافحة موثوقة"" بين عدة منصات. تمتلك المؤسسات عادةً أكثر من 50% من هذه التكاملات غير نشطة، مما يسمح للمهاجمين باستغلال مسارات وصول مخفية لاختراق تطبيقات SaaS الحيوية. بالإضافة إلى ذلك، تمتلك المؤسسات في المتوسط 21 تكاملًا بإمكانية وصول على مستوى المنظمة، مما يمهد الطريق أمام اختراقات ممنهجة.
ينشأ العديد من هذه التكاملات غير النشطة من بقايا موردين قدامى أو مفاهيم لم تعد قيد الاستخدام، مما يخلق مخاطر ظل. لتقليل هذه المخاطر، يجب على المؤسسات مراقبة أماكن إنشاء التكاملات بين التطبيقات ومستويات الوصول الخاصة بها. يجب أيضًا إجراء عمليات تدقيق دورية لتطبيقات SaaS لضمان تدوير المفاتيح السرية ورموز المصادقة، مما يقلل من مخاطر سرقة بيانات الاعتماد مع مرور الوقت.
الخلاصة
من خلال الفهم الاستباقي، والإدارة، والتدقيق المستمر لأصول SaaS، وتكويناتها، وتكاملاتها، يمكن للمؤسسات تعزيز دفاعاتها ضد مخاطر الأطراف الثالثة وحماية بياناتها الحيوية في العصر الرقمي الحديث.
