الثقة الصفرية تسرّع انتشارها في التعليم العالي: دروس من تحوّل البنية الأمنية في VCU

اختراق التعليم العالي بسرعة مع Zero Trust: دروس من تحول البنية الأمنية في VCU

في عام 2020، أجبرت جائحة كوفيد-19 العديد من المؤسسات على التحول إلى العمل عن بُعد، مما أدى إلى انفجار مشاكل مثل سطح التعرض المفرط لشبكات VPN وسياسات الوصول غير الدقيقة. في عام 2022، نفذ دان هان، كبير مسؤولي أمن المعلومات في جامعة فرجينيا كومنولث (VCU)، بنية Zero Trust رسميًا، حيث استبدل VPN بمنصة Zscaler ZTNA، واستخدم Microsoft Entra ID بالتكامل مع نظام الموارد البشرية لتحقيق التفويض الآلي. تعكس هذه الحالة أن Zero Trust قد انتقل من التوجيه الحكومي إلى مجالات واسعة مثل التعليم والشركات، وأصبح اتجاهًا إجماعيًا للبنية الأمنية من الجيل الجديد.

نظرة عامة على الحدث: رحلة تحول Zero Trust في VCU

VCU هي جامعة بحثية عامة تقع في ريتشموند بولاية فرجينيا، وتضم حوالي 28,800 طالب. قبل الجائحة، كان دان هان يراقب اتجاه العمل عن بُعد، ولكن حتى عام 2020 عندما أجبرت الجائحة الموظفين على العمل من المنزل، أصبح Zero Trust أولوية. في عام 2022، أكملت VCU ترقية بنيتها الأمنية الأساسية:

• اختيار التقنية: اعتماد منصة الوصول إلى الشبكة بدون ثقة (ZTNA) من Zscaler لتحل محل VPN التقليدية؛ استخدام Microsoft Entra ID (المعروف سابقًا بـ Azure Active Directory) للمصادقة؛ مزامنة نظام الموارد البشرية مع الأدوات الأمنية عبر بروتوكول SCIM؛ استخدام CrowdStrike للكشف عن نقاط النهاية (EDR) لتعزيز الرؤية على الأجهزة الطرفية.
• التصميم الأساسي: سياسة أمنية قائمة على "الاستقلال عن الموقع"، بحيث يحصل المستخدمون على حماية أمنية متسقة سواء كانوا في الحرم الجامعي أو المنزل أو المقهى؛ تكوين حقوق الوصول للتطبيقات تلقائيًا بناءً على رموز الأقسام ورموز الوظائف في نظام الموارد البشرية، لتحقيق مبدأ الامتياز الأقل.
• نتائج التنفيذ: بعد تسجيل دخول المستخدم إلى جهاز الكمبيوتر، يتحقق Entra ID من الهوية ويزامن المعلومات من نظام الموارد البشرية، ثم يسلمها إلى Zscaler للتفويض الديناميكي؛ يقوم فريق الأمن بمراقبة حالة صحة الأجهزة وسلوك المستخدم باستمرار، ويستطيع إلغاء حق الوصول فورًا عند اكتشاف أي خلل. قال دان هان: "نحن الآن نحد من نطاق الانفجار، وهذا ما نستطيع تحقيقه."

التحليل التقني والمخاطر: لماذا أصبح نموذج VPN غير قابل للاستمرار

غالبًا ما يُشبَّه نموذج الأمن الشبكي التقليدي بـ "القلعة والخندق"——جدار الحماية يحمي جميع الأصول الداخلية، والداخلية موثوقة افتراضيًا، بينما تعمل VPN كجسر متحرك للوصول عن بُعد. لكن هذا النموذج يعاني من عيوب هيكلية:

• سطح تعرض مفرط: تُنشر بوابات VPN على الإنترنت العام، لتصبح هدفًا رئيسيًا للمهاجمين. وبمجرد اختراقها، يمكن للمهاجم دخول الشبكة الداخلية والتحرك أفقيًا.
• صلاحيات غير دقيقة: بعد الاتصال عبر VPN، عادةً ما يحصل المستخدم على حق الوصول إلى الشبكة بأكملها، وليس فقط الموارد اللازمة للعمل، مما يضخم مخاطر سرقة بيانات الاعتماد.
• فقدان الرؤية: المستخدمون عن بُعد خارج الحدود، مما يجعل من الصعب على فريق الأمن مراقبة سلوك أجهزتهم، مما يخلق بقعة عمياء في المراقبة.أما بنية الثقة الصفرية فتتبع مبدأ «لا تثق أبدًا، وتحقق دائمًا»، وتُبنى حول خمس ركائز: الهوية، والجهاز، والشبكة، وأحمال التطبيقات، والبيانات، وتتطلب استثمارًا متزامنًا في تحليلات الرؤية والتنسيق الآلي وسياسات الحوكمة. ويقوم ZTNA بإنشاء اتصال مباشر مشفّر بين المستخدم والتطبيق، حيث لا يكشف إلا التطبيقات المصرح بها، متجنبًا الحركة الجانبية على مستوى الشبكة. وفي الوقت نفسه، يدمج تقنيات مثل المصادقة متعددة العوامل (MFA)، وتحليل سلوك الكيان والمستخدم (UEBA)، والعزل الدقيق، ومنع تسرب البيانات (DLP)، لتشكيل دفاع متعمق.

ويشير محلل ESG جون جرادي: «إن الممارسة السابقة — VPN ظاهر للجميع، وبعد الاتصال يمكن الوصول إلى كل شيء — يكاد يكون من المستحيل الادعاء بأنها فعالة». ويرى أن الوصول عن بُعد هو أكثر الحلقات التقنية تقادمًا في معظم المؤسسات، وأفضل نقطة انطلاق لتطبيق الثقة الصفرية.

تحليل تأثير المؤسسات: التحديات المشتركة من التعليم العالي إلى منظمات الأعمال

إن تجربة VCU ليست حالة معزولة. فاحتياجات حماية البيانات التي تواجهها مؤسسات التعليم العالي تشبه إلى حد كبير احتياجات الشركات: الأصول الحساسة مثل بيانات البحث، وخصوصية الطلاب، والمعلومات المالية، تخضع أيضًا للوائح (مثل FERPA وGDPR). ومن منظور الشركات، يجب أن يركز التحول إلى الثقة الصفرية على المخاطر التالية:

• المخاطر التشغيلية: بعد إدخال الأتمتة في إدارة الصلاحيات، إذا كانت بيانات نظام الموارد البشرية غير دقيقة أو حدث خلل في الواجهات، فقد يؤدي ذلك إلى عدم تمكن المستخدمين الشرعيين من الوصول إلى الموارد الحرجة، أو استمرار احتفاظ الموظفين المغادرين بصلاحياتهم. لذلك، يلزم إنشاء عمليات حوكمة هوية مستقرة.
• المخاطر المالية: تتضمن الثقة الصفرية شراء أنواع متعددة من الأدوات مثل ZTNA وMFA وUEBA وDLP، بالإضافة إلى رسوم الاشتراك في الخدمات السحابية. غير أن الخسائر المحتملة الناجمة عن تسريب البيانات غالبًا ما تفوق بكثير الاستثمارات الأمنية، لا سيما أن مؤسسات التعليم العالي قد تواجه دعاوى قضائية وغرامات تنظيمية.
• مخاطر الامتثال: تتطلب أطر مثل CISA وNIST من الوكالات الفيدرالية اعتماد الثقة الصفرية، كما أن متطلبات الامتثال في سلسلة توريد الشركات تدفع الشركاء إلى امتلاك مستوى أمني مماثل. وقد يؤدي عدم مواكبة هذا الاتجاه إلى فقدان فرص الأعمال.
• مخاطر العلامة التجارية: تؤثر الحوادث الأمنية في الجامعات أو الشركات بشكل مباشر على ثقة الجمهور، خاصة عندما تتعلق ببيانات البحث وسجلات الطلاب. ويمكن لتصميم «أقل صلاحية» في الثقة الصفرية أن يقلل بشكل كبير من نطاق تأثير تسريب البيانات.
• مخاطر البيانات: تُعد DLP وتصنيف البيانات من أبرز التحديات في الثقة الصفرية، حيث لم تحقق العديد من المؤسسات بعد جردًا كاملاً لأصول بياناتها. وقد خططت VCU لنشر أدوات تصنيف البيانات وDLP المتقدم، وينبغي أن يكون هذا محور تركيز الشركات في المرحلة المقبلة.

ملاحظات اتجاهات الصناعة: الثقة الصفرية أصبحت إجماعًا، لكن التنفيذ ما زال بحاجة إلى خارطة طريق

لقد انتقل انتشار الثقة الصفرية من المتبنين الأوائل إلى التيار الرئيسي. ولاحظ محلل ESG جون جرادي: «في السنوات الأخيرة، قفزت شعبية الثقة الصفرية بشكل هائل، وأصبح الجميع تقريبًا يعتقدون أن كل الأمن السيبراني يجب أن يُعامل بهذه الطريقة». لكن التقدم الفعلي في التنفيذ متفاوت — فما تزال العديد من المؤسسات في مراحل مبكرة، لا سيما في مجال التعليم العالي.أظهر استطلاع EDUCAUSE لعام 2025 أن 32% من المتخصصين في الأمن السيبراني والخصوصية في التعليم العالي أشاروا إلى حاجتهم لتدريب متخصص في إدارة الهوية والوصول والثقة المعدومة، مما يعكس أن فجوة المهارات تُعد أحد العوامل الرئيسية المعرقلة للتطبيق.

على صعيد السياسات، يوفر نموذج نضج الثقة المعدومة الصادر عن CISA مرجعاً للمؤسسات للتطور على مراحل، لكن لا ينبغي للشركات محاولة إنجاز التحول الشامل دفعة واحدة. ويُنصح بالبدء من المجالات عالية الخطورة، مثل تحديث الوصول عن بُعد، وحوكمة الحسابات المميزة، وتحصين البيئات السحابية، لتحقيق نتائج مرحلية قابلة للقياس.

توصيات الدفاع والاستجابة: كيف تتبنى الشركات نهج الثقة المعدومة

استناداً إلى حالة VCU وأفضل الممارسات في القطاع، يمكن لصناع القرار الأمني في الشركات النظر في المسار التالي:

1. تحديد أولويات المخاطر: تقييم أشد الفجوات الأمنية خطورة، مثل الوصول عن بُعد غير المحمي، والصلاحيات الموسعة بشكل مفرط، والأجهزة الطرفية التي تفتقر إلى الرؤية الواضحة. 2. البدء بتحديث الوصول عن بُعد: استبدال VPN بـ ZTNA لتحقيق تحكم في الوصول على مستوى التطبيقات بناءً على الهوية وحالة الجهاز. وهذا أسرع وسيلة لتقليل سطح الهجوم. 3. تنفيذ إدارة الهوية والوصول (IAM): اعتماد نظام الموارد البشرية كمصدر للهوية، واستخدام بروتوكولات مثل SCIM لأتمتة عمليات منح الصلاحيات وسحبها، والحد من الأخطاء التشغيلية اليدوية. 4. نشر المصادقة متعددة العوامل (MFA) والتحقق المستمر: تفعيل MFA لجميع المستخدمين، والعمل تدريجياً على إدخال مصادقة تكيفية قائمة على المخاطر (مثل درجة سلامة الجهاز، واكتشاف السلوك غير الطبيعي). 5. الاستثمار في الرؤية والتحليلات: جمع بيانات السلوك عبر UEBA وEDR وSIEM، وإنشاء خط أساسي للتحليل الأمني، لاكتشاف الحالات الشاذة في الوقت المناسب. 6. وضع السياسات الداعمة: توضيح مبدأ الامتياز الأقل، ومعايير تصنيف البيانات، وإجراءات الموافقة على الوصول، لضمان اتساق التهيئة التقنية مع الحوكمة. 7. التحسين المستمر للنضج: بالرجوع إلى نموذج نضج CISA، وتقييم المرحلة الحالية بشكل دوري، والانتقال تدريجياً من النموذج "التقليدي" إلى الثقة المعدومة "المتقدمة".

رؤية SecurityPost

تُظهر حالة تحول VCU أن الثقة المعدومة ليست مجرد عملية شراء تقني، بل هي تحول جوهري في البنية الأمنية ونموذج التشغيل. قيمتها الأساسية تكمن في نقل الضوابط الأمنية من "موقع الشبكة" إلى "الهوية والجهاز"، مما يجعل السياسات الأمنية قادرة على التكيف الديناميكي مع حركة الأعمال. بالنسبة للشركات، تمثل الثقة المعدومة مشروعاً دفاعياً وإعادة هندسة لعمليات الأعمال في الوقت نفسه، إذ تتطلب تنسيقاً بين تقنية المعلومات، والموارد البشرية، والإدارات التشغيلية، وفرق الأمن. ومن الجدير بالملاحظة أن التعليم العالي والشركات يواجهان مشكلات متشابهة إلى حد كبير في حوكمة الهوية، وحماية البيانات، والضغوط الامتثالية؛ وممارسة VCU في استخدام نظام الموارد البشرية كأساس لأتمتة التفويض يمكن نقلها إلى مختلف المؤسسات الكبيرة. وفي المستقبل، مع تزايد التهديدات المعززة بالذكاء الاصطناعي (مثل التصيد الآلي والتزييف العميق)، ستصبح قدرة التحقق الديناميكي في الثقة المعدومة آلية ضرورية لصد الهجمات المتقدمة. لذا، ينبغي للشركات التخطيط المبكر لخارطة طريق الثقة المعدومة، والبدء من أضعف الحلقات، وبناء نظام أمني مرن يواكب العصر الرقمي بشكل تدريجي.

---*المصدر المرجعي: EdTech Magazine, “Zero Trust Takes Hold in Higher Education”, Aug 28, 2025.*