مراجعة أمن الحوسبة السحابية في المملكة العربية السعودية: ما الذي ينبغي لفرق المراجعة الداخلية مراجعته؟

تتسارع وتيرة اعتماد الجهات الحكومية والشركات في المملكة العربية السعودية على الحوسبة السحابية لدعم التحول الرقمي، ورفع كفاءة العمليات، وتسريع إطلاق الخدمات، وتحسين المرونة التشغيلية. ومع هذا التوسع، لم تعد مراجعة أمن البيئة السحابية مهمة تقنية محصورة في إدارة الأمن السيبراني، بل أصبحت مسؤولية رقابية تتطلب فهماً واضحاً للحوكمة، وإدارة المخاطر، والامتثال، وحماية البيانات، واستمرارية الأعمال. لذلك تحتاج فرق المراجعة الداخلية إلى منهج شامل يربط الضوابط التقنية بالأهداف المؤسسية والمتطلبات التنظيمية المحلية.

ينبغي أن تبدأ فرق التدقيق الداخلي للشركات بتحديد نطاق البيئة السحابية الفعلي، لأن كثيراً من الجهات لا تملك سجلاً موحداً لجميع الخدمات والحسابات والاشتراكات والأنظمة المستضافة. ويجب أن يشمل النطاق الخدمات السحابية العامة والخاصة والهجينة، والبيئات التجريبية، والحسابات التابعة للإدارات، والخدمات التي اشترتها فرق العمل مباشرة. يساعد هذا الحصر على كشف الأصول غير المعروفة، وتحديد المسؤوليات، ومنع وجود خدمات خارج إطار الحوكمة، كما يتيح ربط كل أصل سحابي بمالك واضح وغرض أعمال محدد وتصنيف معلومات معتمد.

مراجعة الحوكمة والمسؤوليات

تراجع فرق المراجعة نموذج الحوكمة السحابية لتتأكد من وضوح الأدوار بين الجهة ومقدم الخدمة والجهات المتعاقدة من الباطن. ويجب أن تحدد السياسات من يعتمد الخدمات الجديدة، ومن يراجع الإعدادات الأمنية، ومن يراقب الاستخدام، ومن يتعامل مع الحوادث. كما ينبغي التحقق من وجود لجنة أو آلية إشراف تجمع الأمن السيبراني، وتقنية المعلومات، وإدارة المخاطر، والشؤون القانونية، والمشتريات، والخصوصية. يقلل هذا التنظيم من تضارب الصلاحيات ويمنع انتقال مسؤوليات حساسة بين الإدارات دون توثيق.

تحتاج المراجعة أيضاً إلى فحص إطار المسؤولية المشتركة، لأن مقدم الخدمة يؤمن أجزاء من البنية الأساسية، بينما تبقى الجهة مسؤولة عن إعداد الحسابات، وإدارة الهويات، وتصنيف البيانات، وتشفيرها، ومراقبة الأنشطة. وعلى فريق المراجعة مقارنة المسؤوليات المنصوص عليها في العقود مع المسؤوليات المطبقة فعلياً. وقد يظهر الخلل عندما تفترض الإدارة أن مقدم الخدمة يحمي النسخ الاحتياطية أو يراقب السجلات أو يدير مفاتيح التشفير، بينما لا تشمل الخدمة المتعاقد عليها هذه المهام.

الامتثال للمتطلبات السعودية

يفحص فريق المراجعة مدى توافق البيئة السحابية مع المتطلبات النظامية والتنظيمية المعمول بها في المملكة، وبخاصة الضوابط المتعلقة بالأمن السيبراني، وحماية البيانات الشخصية، وتصنيف المعلومات، واستضافة البيانات، وإدارة الأطراف الخارجية. ويجب ألا يكتفي الفريق بوجود سياسات مكتوبة، بل يطلب أدلة تشغيلية تثبت التطبيق، مثل سجلات المراجعة، وتقارير الاختبارات، ومحاضر الموافقات، ونتائج التقييمات الدورية. كما ينبغي ربط كل متطلب تنظيمي بضابط واضح ومالك مسؤول ودورية محددة للاختبار.

ويتعين على المراجعين التأكد من أن الجهة تعرف أماكن تخزين البيانات ومعالجتها ونسخها الاحتياطية، وتعرف الدول أو المناطق التي قد تنتقل إليها البيانات أثناء التشغيل أو الدعم الفني. وتزداد أهمية ذلك عند التعامل مع بيانات حساسة أو معلومات شخصية أو بيانات تخص قطاعات منظمة. يجب أن توضح العقود مواقع الاستضافة، وشروط النقل، وآليات الحذف، وحقوق الجهة عند انتهاء الخدمة، كما يجب أن تحتفظ الإدارة بأدلة تثبت أن الإعدادات الفعلية تتوافق مع الالتزامات التعاقدية والتنظيمية.

إدارة الهوية والوصول

تعد إدارة الهوية والوصول من أكثر مجالات المراجعة أهمية، لأن الحسابات ذات الصلاحيات الواسعة تمثل مدخلاً رئيساً للمخاطر. ينبغي فحص ضوابط إنشاء الحسابات، واعتماد الصلاحيات، والمراجعة الدورية، وإلغاء الوصول عند انتقال الموظف أو انتهاء خدمته. كما يراجع الفريق تطبيق المصادقة متعددة العوامل، وفصل الحسابات الإدارية عن الحسابات اليومية، وتقليل الصلاحيات إلى الحد الضروري، وتقييد الوصول الحساس بحسب الموقع والجهاز والحاجة التشغيلية.

يمكن لفرق المراجعة الاستفادة من خبرة شركة إنسايتس السعودية عند بناء برنامج مراجعة يربط مخاطر الوصول بالعمليات الفعلية للجهة، خصوصاً في البيئات التي تضم عدداً كبيراً من الحسابات والاشتراكات. ويجب اختبار عينات من المستخدمين ذوي الصلاحيات المرتفعة، ومقارنة صلاحياتهم بوصفهم الوظيفي، والتحقق من وجود موافقات حديثة. كما ينبغي مراجعة الحسابات المشتركة، والحسابات الخدمية، والمفاتيح السرية، وبيانات الدخول المخزنة داخل التطبيقات أو أدوات التطوير.

حماية البيانات والتشفير

يراجع فريق المراجعة دورة حياة البيانات منذ إنشائها وجمعها حتى أرشفتها أو حذفها. ويجب التحقق من وجود تصنيف واضح للبيانات، وربط التصنيف بمستوى الحماية المطلوب، ومنع تخزين البيانات الحساسة في مساحات غير معتمدة. كما ينبغي فحص التشفير أثناء النقل والتخزين، وإدارة مفاتيح التشفير، ودورية تدويرها، وتقييد الوصول إليها. ولا يكفي تفعيل التشفير تقنياً إذا كانت المفاتيح متاحة لعدد كبير من المستخدمين أو محفوظة في الموقع نفسه الذي توجد فيه البيانات.

تحتاج المراجعة إلى اختبار ضوابط منع تسرب البيانات ومراقبة عمليات التنزيل والمشاركة والنسخ. ويجب التحقق من أن إعدادات المشاركة الخارجية تخضع للموافقة، وأن الروابط العامة ممنوعة أو مقيدة، وأن البيانات الحساسة لا تنتقل إلى أجهزة شخصية أو تطبيقات غير معتمدة. كما يفحص الفريق آليات إخفاء البيانات في بيئات الاختبار، لأن استخدام نسخ حقيقية من بيانات العملاء أو الموظفين داخل بيئات التطوير يرفع مستوى التعرض ويزيد احتمالات الاستخدام غير المصرح به.

الإعدادات الأمنية وإدارة الثغرات

تراجع فرق المراجعة معايير الإعداد الآمن للموارد السحابية، بما يشمل قواعد البيانات، ومساحات التخزين، والخوادم الافتراضية، والشبكات، وواجهات الخدمات. وينبغي مقارنة الإعدادات الفعلية بالمعايير المعتمدة، ورصد الموارد المكشوفة للعموم، والمنافذ المفتوحة، والخدمات غير المستخدمة، والسياسات الضعيفة. كما يجب التحقق من وجود أدوات آلية تكتشف الانحرافات وترسل تنبيهات عند تغيير إعداد حساس، مع التأكد من متابعة التنبيهات وإغلاق الملاحظات ضمن مدد معتمدة.

يفحص المراجعون برنامج إدارة الثغرات والتحديثات للتأكد من شمول جميع الموارد السحابية، بما فيها الأنظمة المؤقتة والحاويات والخدمات المدارة. ويجب مراجعة دورية الفحص، وتصنيف الثغرات، ومهل المعالجة، وآلية قبول المخاطر عند تعذر الإصلاح الفوري. كما ينبغي اختبار عينة من الثغرات المغلقة للتحقق من تنفيذ المعالجة فعلياً، وعدم الاكتفاء بتغيير حالة الملاحظة. وتحتاج الاستثناءات إلى موافقة موثقة، وضوابط تعويضية، وتاريخ انتهاء واضح.

التسجيل والمراقبة والاستجابة للحوادث

تتحقق فرق المراجعة من تفعيل السجلات للأحداث المهمة، مثل تسجيل الدخول، وتغيير الصلاحيات، وإنشاء الموارد، وتعديل إعدادات الشبكة، والوصول إلى البيانات الحساسة. ويجب نقل السجلات إلى موقع مركزي محمي من التعديل والحذف، والاحتفاظ بها لمدة تتناسب مع المتطلبات التنظيمية واحتياجات التحقيق. كما يراجع الفريق جودة التنبيهات، وسرعة الاستجابة، ونسب التنبيهات المغلقة دون فحص، ومدى قدرة الإدارة على ربط الأحداث بين الحسابات والأنظمة المختلفة.

ويجب اختبار جاهزية خطة الاستجابة للحوادث السحابية من خلال سيناريوهات واقعية تشمل اختراق حساب إداري، أو تسرب بيانات، أو حذف موارد، أو توقف خدمة رئيسة. ينبغي أن تحدد الخطة مسؤوليات التصعيد، والتواصل مع مقدم الخدمة، وحفظ الأدلة الرقمية، وإبلاغ الجهات المعنية، واستعادة الأنظمة. كما يراجع الفريق نتائج التمارين السابقة، ومدى معالجة أوجه القصور، وتوافر قنوات اتصال بديلة إذا تعطلت الأنظمة الأساسية أثناء الحادث.

استمرارية الأعمال وإدارة الموردين

يراجع فريق المراجعة النسخ الاحتياطية وخطط التعافي للتأكد من استقلالها عن البيئة التشغيلية، وحمايتها من الحذف أو التشفير غير المصرح به، واختبار استعادتها دورياً. ويجب ألا تعتمد الجهة على وعود مقدم الخدمة دون إجراء اختبارات فعلية تقيس زمن الاستعادة ونقطة استعادة البيانات. كما ينبغي التحقق من توزيع الأحمال والنسخ بين مواقع مناسبة، ومراجعة السيناريوهات التي قد تؤدي إلى تعطل منطقة استضافة كاملة أو فقدان الاتصال بالخدمة.

تتطلب إدارة الموردين مراجعة دقيقة للعقود واتفاقيات مستوى الخدمة وحقوق التدقيق والإبلاغ عن الحوادث والالتزام بحذف البيانات عند انتهاء العلاقة. وينبغي أن تطلب فرق المراجعة تقارير ضمان مستقلة، ثم تقيم نطاقها وفترتها والاستثناءات الواردة فيها، بدلاً من قبولها بوصفها دليلاً كافياً. كما يجب مراقبة أداء المورد، والتغييرات الجوهرية في خدماته، واعتماده على أطراف أخرى، وخطط الخروج ونقل البيانات، حتى لا تواجه الجهة ارتباطاً يصعب إنهاؤه أو نقلاً عالي المخاطر.

توثيق النتائج ومتابعة المعالجة

تصوغ فرق المراجعة ملاحظاتها بحسب مستوى الخطر والأثر على الأعمال، مع تحديد السبب الجذري والجهة المسؤولة والمدة المستهدفة للمعالجة. ويجب أن تكون التوصيات قابلة للتنفيذ ومتصلة ببيئة الجهة، لا أن تقتصر على عبارات عامة. كما ينبغي استخدام مؤشرات متابعة مثل عدد الحسابات عالية الصلاحية، ونسبة الموارد المطابقة للإعداد الآمن، ومدة إغلاق الثغرات، ونسبة نجاح اختبارات الاستعادة، وعدد التنبيهات الأمنية التي لم تعالج ضمن المدة المحددة.

تحتاج الإدارة إلى برنامج مراجعة مستمر لأن البيئة السحابية تتغير بسرعة من خلال إضافة موارد وخدمات وتكاملات جديدة. لذلك يفضل الجمع بين المراجعات الدورية والمراقبة الآلية ولوحات المؤشرات واختبارات العينات المتكررة. ويساعد هذا الأسلوب فرق المراجعة الداخلية على اكتشاف الانحرافات مبكراً، وقياس تحسن الضوابط، وربط المخاطر السحابية بالأهداف التشغيلية والاستراتيجية، وتعزيز ثقة الإدارة وأصحاب المصلحة في قدرة الجهة على استخدام الحوسبة السحابية بصورة آمنة ومنضبطة.

اقرأ أيضًا: 

• ما الذي يمكن توقعه من مهمة استشارات المراجعة الداخلية في المملكة العربية السعودية؟
• ما تكلفة خدمات استشارات المراجعة الداخلية في المملكة العربية السعودية؟