نموذج المسؤولية المشتركة

عندما يكون ملف "في السحابة"، فإنه يقع على خادم تملكه شركة لم تقابلها أبدًا ولن تزورها أبدًا. يقسّم هذا الترتيب مسؤولية الأمان بين طرفين، ولا يتعلم معظم الناس أين يقع هذا الخط إلا عندما يسوء شيء ما. توثّق كل شركة سحابية كبرى هذا التقسيم صراحة، لأن الخطأ في فهمه بأي اتجاه — افتراض أن المزود يغطي كل شيء، أو محاولة تأمين أشياء يتولاها المزود بالفعل — يسبب حوادث حقيقية.

جانبان لخط واحد

تسمّي أمازون ويب سيرفيسز (AWS) نسختها من هذا التقسيم نموذج المسؤولية المشتركة، وتقسّمه إلى «أمان السحابة» و«الأمان داخل السحابة». تتحمل AWS مسؤولية الأول: «العتاد، والبرمجيات، والشبكات، والمرافق التي تشغّل خدمات AWS السحابية» — مراكز البيانات الفعلية، وترقيع البنية التحتية، والأجزاء التي لن تستطيع فحصها أو ضبطها بنفسك أبدًا حتى لو أردت. ويتحمل العميل مسؤولية الثاني، وAWS محددة بشأن ما يشمله ذلك لخدمات التخزين السحابي: «إدارة بياناته (بما في ذلك خيارات التشفير)، وتصنيف أصوله، واستخدام أدوات إدارة الهوية والوصول (IAM)» — أي من يُسمح له بالوصول إليها.

ينتقل الخط بحسب ما تستخدمه

توضح وثائق Microsoft نقطة مهمة لأي شخص يختار بين أنواع مختلفة من الخدمات السحابية: خط التقسيم ليس ثابتًا، بل ينتقل بحسب نموذج الخدمة. يسرد جدول مسؤوليتها بيانات العميل، وهويات الحسابات، وإدارة الوصول، بوصفها مهمة العميل دائمًا، في كل نموذج، سواء داخل المنشأة أو في السحابة. لكن كلما انتقلت من البنية التحتية كخدمة (استئجار جهاز افتراضي تضبطه بنفسك) نحو البرمجيات كخدمة (استخدام تطبيق جاهز مثل خدمة بريد إلكتروني أو مشاركة ملفات)، تتولى Microsoft المزيد: تصبح أنظمة التشغيل، وشيفرة التطبيقات، وضبط الشبكة، مهمة Microsoft بشكل متزايد بدلًا من مهمتك. ما لا ينتقل أبدًا، بتعبير Microsoft نفسها، هو أنك «تحتفظ دائمًا» بمسؤولية بياناتك، وحساباتك، وأجهزة العميل لديك، وضوابط الوصول الخاصة بك.

لماذا يهم جانب العميل أكثر مما يبدو

بالنسبة لمنظمة غير حكومية تستخدم خدمة جاهزة لمشاركة الملفات أو البريد الإلكتروني — البرمجيات كخدمة، النموذج الذي يتولى فيه المزود القدر الأكبر — من المغري افتراض أن أمان المزود هو القصة كاملة الآن. لكن الأمر ليس كذلك. جانب المزود من الخط (خوادمه، وشبكته، وترقيعه) ممتاز عادةً بالنسبة للخدمات الكبرى؛ وهذا بالضبط سبب ندرة محاولة المهاجمين مهاجمته مباشرة. بل يستهدفون جانب العميل: كلمة مرور ضعيفة أو مُعاد استخدامها، أو رابط شُورك على نطاق أوسع مما كان مقصودًا، أو حساب بلا عامل ثانٍ. كل فئة في قائمة "مهمة العميل دائمًا" أعلاه هي أيضًا، وليس صدفة، موضوع الدرس التالي في هذه المادة.

سؤال يستحق طرحه بشأن أي خدمة سحابية تستخدمها

قبل أن تثق بخدمة سحابية بمواد حساسة، يستحق البحث عن وثائقها الخاصة عن المسؤولية المشتركة (تنشرها جميع المزودين الكبار) وطرح سؤالين: ماذا يؤمّن المزود فعليًا افتراضيًا، وماذا يُترَك لي صراحة؟ عادةً ما توضح الإجابة بالضبط أي من عاداتك الخاصة — المتناولة في بقية هذه المادة — يعتمد عليها فعليًا أمان تلك البيانات.