كسر وهم الحوكمة: لماذا لا يكفي تفعيل ميزات أمان Microsoft 365

By Mirko Peters · 2026-08-28

أهلاً بعودتكم إلى المدونة! نتحدث في عملنا كثيراً عن استراتيجية السحابة، وهندسة الأمان، وتحسين بيئة العمل الحديثة. لكن هناك مفهوم خاطئ شائع يُوقع المؤسسات على اختلاف أحجامها. أسميه «مسرح الحوكمة»، وهو الاعتقاد بأن مجرد تحديد بعض الخانات في مركز الإدارة يعني السيطرة الحقيقية. سنتناول اليوم هذه الفكرة بالتفصيل، ونشرح لماذا يُعد تفعيل ميزات الأمان الأصلية في Microsoft 365 بداية الرحلة لا نهايتها.

Automatically translated with AI from the original post. Read the English original

أهلاً بعودتكم إلى المدونة! نتحدث في عملنا كثيراً عن استراتيجية السحابة، وهندسة الأمان، وتحسين بيئة العمل الحديثة. لكن هناك مفهوم خاطئ شائع يُوقع المؤسسات على اختلاف أحجامها. أسميه «مسرح الحوكمة»، وهو الاعتقاد بأن مجرد تحديد بعض الخانات في مركز الإدارة يعني السيطرة الحقيقية. سنتناول اليوم هذه الفكرة بالتفصيل، ونشرح لماذا يُعد تفعيل ميزات الأمان الأصلية في Microsoft 365 بداية الرحلة لا نهايتها.

إذا شعرتم يوماً بأمان زائف لأن المستأجر لديكم مفعّل فيه النهج الافتراضية، فأنتم لستم وحدكم. لنتعمق في الفجوة الحقيقية بين الإمكانات المُهيأة وسلوك المستخدمين الفعلي داخل بيئة العمل الرقمية لديكم.

ما هو وهم الحوكمة؟

وهم السيطرة

يشير مصطلح وهم الحوكمة إلى الفجوة الخطيرة بين الضوابط المُهيأة والسلوك المحكوم فعلياً داخل المستأجر في Microsoft 365. تعتقد كثير من المؤسسات خطأً أن مجرد تفعيل ميزات الأمان يعادل حوكمة فعّالة. وقد يؤدي هذا الاعتقاد إلى مخاطر امتثال كبيرة وعدم كفاءة تشغيلية. فيما يلي بعض المفاهيم الخاطئة الشائعة حول السيطرة في حوكمة Microsoft 365:

من دون استراتيجية حوكمة شاملة، قد تواجهون عدم كفاءة، وخروقات أمنية، ومخالفات للامتثال. وتُعد استراتيجية حوكمة محددة بوضوح ضرورية لتوجيه استخدام بيئة Microsoft 365 وإدارتها.

عواقب مسرح الحوكمة

يحدث مسرح الحوكمة عندما تخلق المؤسسات وهم السيطرة دون تطبيق إجراءات فعّالة. وقد يؤدي ذلك إلى عواقب وخيمة، من بينها:

• مخاطر امتثال كبيرة، إذ تواجه 73% من المؤسسات الخاضعة للتنظيم مسؤولية واضحة بمجرد اكتشاف البيانات المكشوفة. وغالباً ما ينتج عن ذلك جهود معالجة طويلة.

• فجوة واسعة بين نهج الحوكمة وإنفاذه، إذ تمتلك 90% من الشركات نهجاً، لكن نحو 10% فقط تُنفذها بفاعلية. وهذا يؤدي إلى حماية غير فعّالة للبيانات الحساسة.

• ظهور تقنية المعلومات الظلية، حيث يلجأ الموظفون إلى خدمات خارجية بسبب ضعف السيطرة وبطء الإجراءات داخل Microsoft 365.

• تكشف مراجعات الامتثال في كثير من الأحيان غياب أطر حوكمة البيانات كلياً. ويشمل ذلك غياب تتبع أصل البيانات، ووجود وصول غير مبرر، وغياب أدلة التدقيق، وهو ما يشير إلى فشل هيكلي في الحوكمة عبر القطاعات والمؤسسات على اختلاف أحجامها.

لتجنب الوقوع في فخ مسرح الحوكمة، يجب أن تدركوا أن الحوكمة الحقيقية تتطلب تصميماً مقصوداً، ومساءلة، وأدلة على الامتثال. ينبغي عليكم تحديد نماذج ملكية واضحة، والتأكد من أن ممارسات الحوكمة ليست مجرد تمرين شكلي لتحديد الخانات، بل إطار متين قادر على الصمود أمام التدقيق.

قيود الضوابط الأصلية في المستأجر

إجراءات أمان غير كافية

توفر Microsoft 365 ميزات أمان مدمجة متعددة، لكنها غالباً ما تقصر عن تقديم حماية شاملة. تعتمد كثير من المؤسسات على هذه الضوابط الأصلية، معتقدة أنها كافية للحوكمة. غير أن هذا الاعتماد قد يؤدي إلى فجوات امتثال كبيرة وثغرات أمنية.

فيما يلي بعض القيود الرئيسية لإجراءات الأمان الأصلية:

قد تُنشئ هذه الفجوات مشكلات امتثال، خاصةً في القطاعات الخاضعة للتنظيم. وقد تكون العقوبات القانونية والتنظيمية على عدم الامتثال شديدة. فالمؤسسات التي لا تحمي البيانات الحساسة وفق معايير مثل HIPAA أو GDPR تُعرّض نفسها لغرامات تبلغ الملايين. كما أن إجراءات الأمان غير الكافية قد تكشف البيانات الحساسة وتزيد من التعرض للاختراقات.

غياب خيارات التخصيص

يلعب التخصيص دورًا حاسمًا في الحوكمة الفعّالة. غير أن الضوابط الأصلية في Microsoft 365 تحدّ في كثير من الأحيان من قدرتكم على تكييف هياكل الحوكمة بما يلبي الاحتياجات التشغيلية أو التنظيمية المحددة. ويمكن أن يؤدي هذا النقص في المرونة إلى تعقيد عمليات الحوكمة.

تأمّلوا القيود التالية:

تحدّ هذه القيود من قدرتكم على تطبيق استراتيجيات حوكمة فعّالة. وبدون القدرة على التخصيص، قد تواجهون صعوبة في فرض النهج بشكل متسق عبر المستأجر. وقد يؤدي ذلك إلى إرباك المستخدمين وزيادة مخاطر عدم الامتثال.

الحوكمة مقابل الإعداد

شرح الفروق الرئيسية

يُعد فهم الفرق بين الحوكمة والإعداد أمرًا بالغ الأهمية لإدارة مستأجر Microsoft 365 بفعالية. تشمل الحوكمة الأدوات والعمليات التي تفرض المساءلة والامتثال. أما الإعداد فيشير إلى الإمكانات التي يمكن تفعيلها في الأدوات. وفيما يلي تفصيل للفروق الرئيسية:

يوضح هذا الجدول أن الحوكمة تركز على ضمان عمل المستأجر ضمن حدود الامتثال المحددة، بينما يقتصر الإعداد على تهيئة الأدوات دون ضمان استخدامها الفعّال.

لماذا لا يكفي الإعداد وحده

تعتقد مؤسسات كثيرة خطأً أن تهيئة الإعدادات كافية للحوكمة. غير أن هذا النهج قد يقود إلى مخاطر كبيرة. وفيما يلي بعض الأسباب التي تجعل الإعداد وحده غير كافٍ:

• تتضمن Microsoft 365 أكثر من 18 واجهة إدارية منفصلة وأكثر من 5,000 خيار إعداد. ويجعل هذا التعقيد من الصعب تطبيق نهج الحوكمة بشكل متسق عبر جميع التطبيقات والمستأجرين.

• تُربك المؤسسات غالبًا مئات إعدادات Microsoft Teams، مما يؤدي إلى الالتباس. كما تزيد الإعدادات المتشابهة في الاسم، مثل External Access وGuest Access، من تعقيد الأمر.

• تؤدي التحديثات المتكررة والميزات الجديدة من Microsoft إلى تعطيل نهج حوكمة متسق. فمع أنه يمكنكم ضبط الإعدادات في البداية، فإن البيئات تنحرف بسرعة عن الإعدادات المقصودة دون حوكمة مستمرة.

• تتطلب الحوكمة الفعّالة استراتيجية إنفاذ واضحة. ومن دونها، تتعرّضون لخطر اختراق البيانات وعدم الامتثال. وقد تنشأ مشكلات مثل تقنية المعلومات الظلّية والاستخدام غير الكفؤ للموارد عندما لا تُعطى الحوكمة الأولوية.

قد يُعرّض الاعتماد على الإعداد وحده المؤسسة لمخاطر متعددة. فعلى سبيل المثال، قد يؤدي عدم اكتمال فرض المصادقة متعددة العوامل إلى وصول غير مصرّح به. كما قد تُشارك مستندات حساسة مع جهات خارجية دون قصد بسبب مشاركة الملفات غير المضبوطة. ويمكن أن تمنع المراقبة المحدودة اكتشاف الأنشطة غير المعتادة، مما يجعل الاستجابة للحوادث الأمنية أمرًا صعبًا.

دور الهوية في الحوكمة

تحديات إدارة الهوية

تلعب الهوية دورًا محوريًا في استراتيجية الحوكمة داخل المستأجر في Microsoft 365. فإذا لم تُدِر الهويات بالشكل الصحيح، فإنك تعرّض المستأجر لمخاطر جسيمة. فعلى سبيل المثال، قد تتيح حسابات المستخدمين غير النشطة التي لم تُحظر بيانات اعتمادها لمستخدمين غير مصرّح لهم الوصول إلى البيانات الحساسة. كما يمكن أن تؤدي الحسابات المخترقة، خاصةً تلك التابعة لمسؤولي الهوية السحابية، إلى تسريب البيانات وانتهاكات الامتثال. وتُبرز هذه المخاطر السبب في أن إدارة الهوية ليست مهمة تقنية فحسب، بل مسؤولية أساسية من مسؤوليات الحوكمة.

ملاحظة: تُوصي معايير الأمن السيبراني مثل ISO 27001 وNIST SP 800-53 بالمراجعة المنتظمة وإزالة حسابات المستخدمين غير النشطة. ورغم أنه لا توجد لوائح محددة تُلزم بإزالة المستخدمين الخارجيين غير النشطين، فإن القيام بذلك يحسّن الأمان والخصوصية.

تواجه كثير من المؤسسات صعوبة في تتبّع المستخدمين الخارجيين وحسابات الضيوف في مستأجراتها. وغالبًا ما تتراكم هذه الحسابات دون أن يُلاحظ أحد، مما يزيد من تشتّت الهويات ويجعل الحوكمة أكثر صعوبة. وبدون عمليات تدقيق منتظمة، قد لا تدرك عدد المستخدمين الخارجيين الذين لا يزال لديهم وصول إلى مواردك. ويُضعف هذا النقص في الرؤية وضعك في مجال الحوكمة، ويرفع احتمالية الوصول غير المصرّح به.

أفضل الممارسات لحوكمة الهوية

لتعزيز الحوكمة في المستأجر، يجب عليك تبنّي ممارسات فعّالة لإدارة الهوية. وفيما يلي بعض أفضل الممارسات التي يمكنك تطبيقها:

• راجِع المستخدمين الخارجيين في مجموعات Microsoft 365 ومجموعات الأمان بانتظام. حدِّد من لم يعد بحاجة إلى الوصول وأزِلْه فورًا.

• أرسِل طلبات التصديق إلى مالكي المجموعات أو جهات الاتصال المعيّنة. وأدرِج رسائل واضحة توضح الحاجة إلى مراجعة وتأكيد وصول المستخدمين.

• جدوِل إجراءات المعالجة لتعمل تلقائيًا على أساس أسبوعي أو شهري أو سنوي. يضمن ذلك حوكمة مستمرة دون جهد يدوي.

• اضبط النهج لتحديد الضيوف الذين لم يكونوا نشطين لأكثر من 90 يومًا وإزالتهم. واضبط التنبيهات الآلية لإخطار مسؤولي Microsoft في حال فشل سير العمل.

• راقِب حسابات المستخدمين غير النشطة لأكثر من 60 يومًا. أرسِل طلبات التصديق إلى المديرين أو العناوين المخصّصة للتحقق مما إذا كان ينبغي إبقاء الحسابات نشطة.

• أمّن الحسابات ذات الامتيازات بفرض المصادقة متعددة العوامل (MFA) على جميع مسؤولي الاستعمال العام (Global Admins). واستخدم Privileged Identity Management (PIM) لتبسيط المراجعات وتقليل المخاطر.

• اضبط نهج الوصول المشروط لفرض المصادقة متعددة العوامل والمواقع الموثوقة. يضيف ذلك طبقة حماية إضافية إلى المستأجر.

• راجِع الإعدادات الافتراضية لخدمات مثل SharePoint وTeams وشدِّدها. وائْمِ هذه الإعدادات مع متطلبات الحوكمة لديك.

• خطِّط للتدريب والتواصل مع المستخدمين لعرض نهج الأمان بوصفها أدوات تعزز الإنتاجية. يشجّع ذلك على التبنّي والالتزام.

• طبّق نهج دورة حياة مساحات العمل والاستبقاء لأتمتة إدارة الموارد المهجورة.

• راقِب النشاط المشبوه ومخالفات النهج باستمرار لاكتشاف التهديدات والاستجابة لها بسرعة.

تعمل Microsoft Purview كمركز مركزي للحوكمة، وتغطي تصنيف البيانات والاستبقاء وإدارة الامتثال ومنع فقدان البيانات (DLP). أما Microsoft Entra ID (المعروفة سابقًا باسم Azure Active Directory) فتوفر ميزات أساسية لإدارة الهوية، مثل مراجعات الوصول والتحكم الدقيق في الأذونات. ويساعدك SharePoint Advanced Management (SAM) على حوكمة دورة حياة المحتوى والأمان في SharePoint وOneDrive.

باتباع أفضل الممارسات هذه، يمكنك تقليل مخاطر الهوية وتحسين فعالية الحوكمة في المستأجر. فحوكمة الهوية ليست مشروعًا لمرة واحدة، بل انضباط مستمر. يجب عليك الحفاظ على ملكية واضحة، وفرض النهج بشكل متسق، وتوليد أدلة تثبت الامتثال. يحوّل هذا النهج الحوكمة من وهم إلى إطار موثوق يحمي مؤسستك.

خطوات عملية لحوكمة فعّالة

تقييم استراتيجية الحوكمة لديك

لتحسين الحوكمة في مستأجر Microsoft 365 الخاص بك، ابدأ بتقييم وضعك الحالي. افهم كيفية استخدام المستأجر وحدّد المجالات التي تحتاج إلى تحسين. ضع أهدافاً واضحة ومقاييس نجاح تتوافق مع أولويات مؤسستك. أنشئ مجلس حوكمة أو لجنة توجيهية لمساءلة الأشخاص وتوفير الإشراف. ابنِ هيكل حوكمة يناسب احتياجات مؤسستك من خلال تحديد عمليات اتخاذ القرار والمسؤوليات بوضوح. وثّق عمليات الحوكمة لتوضيح الأدوار والإجراءات. حدّد الضوابط ومؤشرات الأداء الرئيسية (KPIs) وحلقات الإبلاغ لتتبع التقدم. طوّر خطة للتدريب والتواصل لضمان فهم الجميع لاستراتيجية الحوكمة والالتزام بها. وأخيراً، طبّق خطتك على مراحل وتحقق من كل خطوة لجمع الملاحظات والتعديل عند الحاجة.

تساعدك أطر الحوكمة الشاملة على تقييم نضج المستأجر الخاص بك. وهي تركز على مقاييس النجاح، وإنتاجية المستخدمين، والمرونة في الأعمال، وإدارة المخاطر، والابتكار. ويضمن استخدام هذه الأطر أن تغطي جهود الحوكمة جميع المجالات الحرجة وأن تتحسن باستمرار.

تطبيق النُهج الفعّالة

تعتمد الحوكمة الفعّالة على نُهج قوية. استخدم ميزات الأمان المضمّنة مثل المصادقة متعددة العوامل، ونهج الوصول المشروط، ومنع فقدان البيانات، والتشفير لحماية المستأجر الخاص بك. طبّق التحكم في الوصول المستند إلى الأدوار من خلال تحديد أدوار واضحة وإسناد الأذونات بناءً على المهام الوظيفية. يتبع هذا النهج مبدأ أقل قدر من الامتيازات، مما يقلل من الوصول غير الضروري. طوّر نُهج حوكمة واضحة تغطي تصنيف البيانات، والاستبقاء، والمشاركة، والتحكم في الوصول، والاستخدام المقبول. راقب المستأجر الخاص بك بشكل مستمر باستخدام الأدوات المضمّنة لتتبع أنشطة المستخدمين، وإعداد تنبيهات آلية للسلوك غير المعتاد. وقدّم برامج تدريب وتوعية منتظمة لإبقاء المستخدمين على اطلاع بأفضل الممارسات ومخاطر الأمان.

• استخدم ميزات الأمان المضمّنة مثل MFA وDLP

• طبّق التحكم في الوصول المستند إلى الأدوار مع أدوار واضحة

• طوّر نُهج حوكمة واضحة للبيانات والوصول

• راقب بشكل مستمر وفعّل التنبيهات الآلية

• قدّم تدريباً وتوعية منتظمين

تساعدك هذه الخطوات على الحفاظ على السيطرة على المستأجر الخاص بك وتقليل المخاطر المتعلقة بالهوية والبيانات.

دراسات حالة: النجاحات والإخفاقات

تُظهر الأمثلة الواقعية كيف تعمل الحوكمة عملياً. فقد حسّنت جامعة Waikato حوكمة Microsoft 365 الخاصة بها من خلال تبسيط العمليات باستخدام أدوات التنسيق. وشدّدت بروتوكولات المشاركة، وفرضت إدارة دورة الحياة، وقلّلت جهود الحوكمة اليدوية. والأمر اللافت أنها حققت هذه التحسينات دون زيادة عدد الموظفين. ويُبرز هذا النجاح كيف يمكن لنهج إدارة الممتلكات الاحترافي أن يُحسّن الحوكمة دون إضافة موارد.

من ناحية أخرى، غالباً ما تنبع إخفاقات الحوكمة من مشكلات هيكلية لا من مشكلات تقنية. يلخّص الجدول أدناه أهم الدروس المستفادة من إخفاقات الحوكمة:

من خلال التعلم من هذه النجاحات والإخفاقات، يمكنك بناء نموذج حوكمة يناسب المستأجر الخاص بك ويدعم أهداف مؤسستك. تذكّر أن الحوكمة رحلة مستمرة تتطلب الانتباه والتعديل والانضباط المهني.

الخاتمة

في الختام، يتطلب تحقيق السيطرة الحقيقية على بيئة Microsoft 365 النظر إلى ما وراء الإعدادات السطحية الجاهزة. كما استعرضنا طوال هذه المقالة، يخدع وهم الحوكمة المؤسسات فتعتقد أن تفعيل ميزة ما يعادل فرض قاعدة. ومن خلال الاعتراف بحدود الضوابط المضمّنة، والتمييز بين الإعداد والحوكمة الفعلية، والاهتمام الدقيق بإدارة الهوية، واتخاذ خطوات عملية نحو فرض النُهج، يمكنك التحرر بنجاح من مسرح الحوكمة.

تستند هذه المقالة مباشرةً إلى المفاهيم التيناقشناها في البودكاست. إذا كنت ترغب في تعمق عملي أكبر في هذه الأفكار، فتأكد من الاستماع إلى الحلقة ذات الصلة: Why Microsoft 365 Native Controls Are Not Real Governance. وستمنحك الحلقة مزيداً من الرؤى حول كيفية تأمين المستأجر وبناء استراتيجية مرنة لبيئة العمل الرقمية.