ما هو أمن انعدام الثقة (Zero Trust)؟ مبدأ «لا تثق بأحد، تحقّق دائمًا»

لعقود، بنت المؤسسات أمنها الرقمي على فكرة «القلعة والخندق»: جدار حماية قوي يحيط بالشبكة، وكل من ينجح في الدخول يُعامل كموثوق. المشكلة أن العالم تغيّر — صار الموظفون يعملون من المنزل، والبيانات تعيش في السحابة، والمهاجم الذي يخترق حسابًا واحدًا يجد نفسه يتجوّل بحرّية داخل «القلعة». هنا وُلد أمن انعدام الثقة (Zero Trust).

الفكرة تُلخّص في جملة واحدة: «لا تثق بأحد، تحقّق دائمًا» (Never trust, always verify). لا يوجد مستخدم أو جهاز أو تطبيق «موثوق تلقائيًا» لمجرد أنه داخل الشبكة. كل طلب وصول — حتى من موظف قديم على جهاز الشركة — يُتحقّق منه من جديد بناءً على الهوية، وحالة الجهاز، والموقع، وحساسية المورد المطلوب.

المبادئ الثلاثة

طوّرت منظّمات معيارية مثل المعهد الوطني الأمريكي للمعايير والتقنية (NIST) إطارًا واضحًا لانعدام الثقة يقوم على ثلاثة مبادئ عملية:

التحقّق الصريح يعني ألا يُمنح الوصول بناءً على عامل واحد (كلمة مرور مثلًا) بل بناءً على مجموعة إشارات. أقلّ صلاحية تعني أن المحاسب لا يملك وصولًا لخوادم التطوير، وأن كل صلاحية مؤقّتة وقابلة للسحب. افتراض الاختراق هو أهمّها فلسفيًا: بدل السؤال «كيف أمنع الدخول؟» نسأل «إذا دخل المهاجم، كيف أحدّ من ضرره؟» — والجواب هو تقسيم الشبكة إلى أجزاء صغيرة معزولة (Micro-segmentation) بحيث لا يتمكّن من الانتقال بحرّية.

كيف تُطبّقه المؤسسات؟

انعدام الثقة ليس منتجًا واحدًا تشتريه، بل استراتيجية تُبنى تدريجيًا. تبدأ معظم المؤسسات بفرض المصادقة متعددة العوامل (MFA) على الجميع، ثم بناء «هوية» مركزية قوية لكل مستخدم وجهاز، ثم تجزئة الشبكة، وأخيرًا المراقبة المستمرة للسلوك لاكتشاف الشذوذ. النتيجة ليست أمنًا مطلقًا — لا وجود له — بل تقليصًا كبيرًا لما يستطيع المهاجم فعله بعد أول اختراق.

بالنسبة للأفراد وأصحاب الأعمال الصغيرة، يمكن تبنّي روح المبدأ نفسه دون بنية معقّدة: فعّل المصادقة الثنائية على كل حساب مهمّ، لا تمنح التطبيقات صلاحيات أكثر مما تحتاج، وافترض دائمًا أن أي رابط أو رسالة قد تكون خدعة حتى تتحقّق. هذه هي «انعدام الثقة» في حياتك اليومية.

المصادر

• NIST SP 800-207 — Zero Trust Architecture
• Microsoft — What is Zero Trust?
• CISA — Zero Trust Maturity Model