Zero Trust كأساس تنظيمي: لماذا أصبحت الهوية والصلاحيات جزءًا من إثبات الامتثال؟

لماذا يظهر Zero Trust داخل نقاش الامتثال؟

تقدم الوثيقة Zero Trust كأساس معماري للمرونة السيبرانية المتوافقة مع التنظيم، خصوصًا عندما تصبح متطلبات الهوية والوصول والمراقبة جزءًا من توقعات الجهات التنظيمية.

الهوية نقطة تحكم

إذا لم تكن المؤسسة تعرف من يملك الوصول، ولماذا مُنح، ومتى تغير، فلن يكون لديها أساس قوي لإثبات أن الضوابط تعمل. لذلك تربط الوثيقة بين إدارة الهوية والوصول المشروط وحوكمة دورة حياة الهوية.

أقل صلاحية

أقل صلاحية تقلل نطاق الضرر المحتمل وتوفر قاعدة أوضح لمراجعة الامتيازات. لكن قيمتها التنظيمية تعتمد على إمكانية إثبات أن الصلاحيات تُمنح وتُراجع وتُزال وفق قواعد محددة.

التحقق المستمر

Zero Trust يفترض أن الثقة ليست حالة دائمة. هذا يتطلب مراقبة الإشارات والسلوك والسياق، ثم تعديل الوصول عندما تتغير المخاطر.

من ضابط أمني إلى Evidence Surface

عندما تسجل المؤسسة قرارات الوصول والتغييرات والاستثناءات، تتحول طبقة الهوية إلى مصدر دليل يمكن استخدامه في التحقيق والتدقيق وإثبات تطبيق الضوابط.

حد المصدر

الوثيقة تربط Zero Trust بمتطلبات تنظيمية وأمنية في EMEA، لكنها لا تغني عن تحليل المتطلبات الرسمية لكل تشريع أو قطاع. استخدام Zero Trust كمنهج لا يعني تلقائيًا تحقيق الامتثال لأي نظام بعينه.

كيف نمنع Zero Trust من التحول إلى شعار؟

يجب ربط المبادئ بأدلة تشغيلية. مثلًا، عبارة «أقل صلاحية» لا تكفي. نحتاج معرفة:

• من يملك الصلاحية؟
• لماذا مُنحت؟
• متى آخر مرة روجعت؟
• هل يمكن سحبها فورًا؟
• هل يوجد سجل يثبت استخدامها؟
• هل تختلف الصلاحية باختلاف الجهاز أو الموقع أو حساسية البيانات؟

الهوية غير البشرية

في بيئات AI الحديثة، لا يكفي التركيز على حسابات الموظفين. الخدمات، APIs، حسابات الأنظمة والوكلاء قد تمتلك صلاحيات فعلية أكبر من المستخدم النهائي. لذلك يجب أن تشمل الحوكمة هويات الآلة ومدة صلاحية المفاتيح والأسرار ونطاق الوصول وإمكانية السحب.

النتيجة التنظيمية

عندما تكون الهوية والصلاحيات قابلة للرؤية والتغيير والتدقيق، تصبح جزءًا من إثبات الضبط المؤسسي. أما عندما تكون الحسابات التقنية دائمة أو الصلاحيات واسعة وغير مراجعة، فإن وجود سياسة Zero Trust لا يغير الواقع التشغيلي.

Zero Trust كطبقة حوكمة لا كإعداد أمني

القيمة الحقيقية لـZero Trust تظهر عندما تتحول مبادئه إلى قرارات قابلة للإثبات: من يدخل؟ إلى ماذا؟ تحت أي شروط؟ لمدة كم؟ وماذا يحدث عندما يتغير السياق؟

الهدف ليس تفعيل MFA ثم اعتبار الملف منتهيًا، بل بناء سلسلة ثقة مستمرة تربط الهوية والسياق والصلاحية والسياسة والمراقبة.

المستخدم ليس الهوية الوحيدة

في بيئات AI الحديثة توجد هويات بشرية وغير بشرية: service accounts، workloads، APIs، automation identities، agents ومفاتيح وصول. إهمال هذه الطبقة يجعل المؤسسة تضبط المستخدمين بينما تترك مسارات آلية بصلاحيات أوسع وأقل مراجعة.

لذلك يجب أن يشمل Identity Governance:

• Human identities.
• Service/workload identities.
• Privileged accounts.
• Vendor identities.
• Machine-to-machine access.
• Agent identities إذا كانت تنفذ أفعالًا مستقلة.

Decision Point وEnforcement Point

أي سياسة وصول تحتاج نقطتين واضحتين:

Decision Point: أين يُتخذ قرار السماح أو الرفض؟

Enforcement Point: أين يُفرض القرار فعليًا؟

إذا كانت السياسة موثقة لكن التطبيق يحدث في نظام آخر دون ربط أو مراقبة، تصبح لدينا فجوة بين governance intent والواقع التقني.

ما الدليل المطلوب؟

أدلة Zero Trust القوية قد تشمل:

• Access policy configuration.
• Authentication logs.
• Privileged access approvals.
• Review of dormant/high-risk accounts.
• Exceptions and temporary elevation records.
• Device/context signals.
• Evidence of revocation or session termination.

Least Privilege يحتاج دورة حياة

أقل صلاحية ليست حالة ثابتة. المستخدم أو الخدمة قد يحتاج صلاحية مؤقتة، ثم يجب سحبها. لذلك يجب مراقبة grant، use، review، expiry وrevocation.

الصلاحية التي كانت مبررة قبل ستة أشهر قد تكون Risk اليوم.

مؤشرات حوكمة الهوية

بدل الاكتفاء بعدد الحسابات، يمكن قياس:

• Privileged identities without owner.
• Dormant privileges.
• Exceptions past expiry.
• Non-human identities without rotation/review.
• Access granted outside standard workflow.
• Mean time to revoke access after trigger.

Zero Trust وAI Agents

كلما زادت قدرة Agent على تنفيذ أفعال، يصبح السؤال عن Authority أهم من السؤال عن Login. يجب تحديد ما الذي يستطيع Agent فعله، باسم من، ضمن أي نطاق، وما إذا كانت كل Action قابلة للتتبع والإيقاف.

بهذا المعنى يصبح Zero Trust أساسًا لحوكمة السلطة، لا مجرد دفاع عن الشبكة.