ما هو نموذج الثقة الصفرية (Zero Trust)؟ ولماذا تتبنّاه الشركات؟

الثقة الصفرية (Zero Trust) نموذج أمني يقوم على قاعدة واحدة صارمة: «لا تثق بأحد، تحقّق من الجميع». على عكس النموذج التقليدي الذي يثق تلقائيًا بأي جهاز داخل شبكة الشركة، تفترض الثقة الصفرية أن أي مستخدم أو جهاز قد يكون مخترَقًا — سواء كان داخل المكتب أو خارجه — فتتحقّق منه في كل مرة.

ظهرت الحاجة لهذا النموذج مع تلاشي «الحدود» التقليدية. قديمًا كانت الشركة كالقلعة: جدار حماية يحيط بالشبكة، ومن يدخلها موثوق. لكن مع العمل عن بُعد، والحوسبة السحابية، والأجهزة الشخصية، لم يعد هناك جدار واضح — الموظف قد يتصل من مقهى، والبيانات موزّعة على خدمات سحابية متعددة.

يرتكز النموذج على ثلاثة أركان. الأول التحقّق الصريح: كل طلب وصول يُقيَّم بناءً على الهوية، صحّة الجهاز، الموقع، والسلوك. الثاني أقل صلاحية ممكنة (Least Privilege): يُمنح المستخدم فقط ما يحتاجه لأداء مهمته لا أكثر. الثالث افتراض الاختراق: صمّم النظام وكأن المهاجم موجود بالفعل، فتُقسَّم الشبكة إلى أجزاء صغيرة (microsegmentation) لتحدّ من انتشاره.

الجدول يوضّح الفرق عن النموذج التقليدي:

الفائدة العملية الكبرى هي تقليل أثر الاختراق. في النموذج القديم، إذا اخترق المهاجم جهازًا واحدًا أمكنه التحرّك بحرّية في الشبكة كلها. أما مع الثقة الصفرية والتجزئة الدقيقة، فيبقى محاصرًا في جزء ضيّق، ويُكشف بسرعة عبر المراقبة المستمرة.

تطبيق الثقة الصفرية رحلة لا مفتاحًا واحدًا: يبدأ عادةً بتفعيل المصادقة متعددة العوامل (MFA) لكل الحسابات، ثم إدارة قوية للهويات، وتقسيم الشبكة، ومراقبة مستمرة للسلوك. الشركات الكبرى والحكومات تتبنّاه تدريجيًا لأنه يناسب واقع اليوم الموزّع.

الهوية: المحيط الجديد

حين تلاشى الجدار الذي يحيط بالشبكة، صارت الهوية هي خطّ الدفاع الأول. في الثقة الصفرية، السؤال الأهمّ لم يعد «من أي شبكة تتصل؟» بل «من أنت، وهل أنت فعلًا من تدّعي؟». لهذا تقوم أنظمة إدارة الهوية والوصول (IAM) بدور محوري: تصادق المستخدم، وتربط صلاحياته بدوره، وتراقب سلوكه. وتضيف تقنيات مثل الدخول الموحّد (SSO) والوصول المشروط طبقة ذكاء، إذ تسمح أو تمنع بناءً على السياق: من أي جهاز، ومن أي موقع، وفي أي وقت. باختصار، أصبحت هويتك الرقمية هي البوّابة التي تُفتح أو تُغلق مع كل محاولة وصول.

التجزئة الدقيقة: VPN لم يعد كافيًا

في النموذج القديم، كان الموظّف يتصل عبر شبكة افتراضية خاصّة (VPN) فيُمنح مفتاح الدخول إلى الشبكة كلها كأنه في المكتب. الثقة الصفرية ترفض هذا؛ فبدل بوّابة واحدة تفتح كل شيء، تقسّم الشبكة إلى أجزاء صغيرة معزولة عبر التجزئة الدقيقة (Microsegmentation)، فلكل مورد حاجزه الخاص. ويحلّ مكان VPN مفهوم الوصول الشبكي بثقة صفرية (ZTNA): بدل ربطك بالشبكة، يربطك النظام بالتطبيق المحدّد الذي تحتاجه فقط بعد التحقّق، ويظلّ كل ما عداه خفيًّا عنك. هكذا حتى لو اخترق مهاجم جزءًا، يجد نفسه محاصرًا خلف جدران داخلية كثيرة.

المراقبة المستمرة والثقة التكيّفية

الثقة الصفرية ليست تحقّقًا يحدث مرة ثم يُنسى، بل عملية دائمة. فالنظام يراقب باستمرار سلوك المستخدمين والأجهزة، ويبني صورة لما هو «طبيعي» لكل حساب. وحين يظهر شذوذ — تسجيل دخول من بلد بعيد فجأة، أو تنزيل كمّيات ضخمة من البيانات في وقت غريب — ترتفع درجة الخطر تلقائيًا. هذه الثقة التكيّفية تعني أن مستوى التحقّق يتغيّر بحسب المخاطرة: طلب عادي يمرّ بسلاسة، وطلب مريب يُطلب معه تحقّق إضافي أو يُرفض. وأدوات تحليل سلوك المستخدمين (UEBA) تجعل هذا ممكنًا، محوّلةً الأمن من حارس ثابت إلى نظام يقظ يتعلّم ويتفاعل.

حماية البيانات والأجهزة الطرفية

في عالم بلا حدود واضحة، ينتقل مركز الحماية إلى ما يهمّ فعلًا: البيانات نفسها والأجهزة التي تصل إليها. لهذا تصنّف الثقة الصفرية البيانات حسب حساسيتها، وتشفّرها، وتضبط من يصل إليها بدقّة. كما تفحص حالة الجهاز الطرفي قبل السماح له: هل نظامه محدّث؟ هل يعمل عليه برنامج حماية؟ هل هو جهاز معروف ومُدار؟ جهاز غير متوافق قد يُمنع أو يُمنح وصولًا محدودًا فقط. بهذا لا تُبنى الثقة على مكان الاتصال، بل على سلامة الجهاز وحساسية البيانات معًا، فتبقى المعلومة محميّة أينما وصل إليها المستخدم.

تحدّيات التبنّي وكيف تبدأ

تطبيق الثقة الصفرية ليس سهلًا بلا عقبات. أكبر التحدّيات الأنظمة القديمة (Legacy) التي صُمّمت على افتراض الثقة الداخلية ويصعب تكييفها. يضاف إليها احتكاك المستخدمين الذين قد يرون التحقّق المتكرّر عبئًا، والكلفة والجهد الإداري للتحوّل، والحاجة إلى تغيير ثقافي لا تقني فحسب. لهذا ينصح الخبراء بالبدء الصغير: فعّل المصادقة متعددة العوامل أوّلًا، ثم احمِ أهمّ الأصول، ووسّع تدريجيًا. النجاح لا يأتي بشراء منتج واحد يُقلب مفتاحه، بل برحلة مدروسة تُبنى خطوة بخطوة مع قياس الأثر في كل مرحلة.

الخلاصة: الثقة الصفرية ليست منتجًا تشتريه، بل استراتيجية وطريقة تفكير. جوهرها بسيط — تحقّق دائمًا، وامنح أقل صلاحية، وافترض أن الخطر قد يكون في الداخل بالفعل.

المصادر

• NIST SP 800-207 — Zero Trust Architecture
• Microsoft — Zero Trust model
• Cloudflare — What is Zero Trust?