توقّف عن ملاحقة 100%: لماذا يجب التخلّي عن خرافة درجة Microsoft Secure Score

By Mirko Peters · 2026-08-22

أهلاً بكم من جديد إلى المدوّنة! إذا كنت تدير مستأجر Microsoft 365، فمن المرجّح جداً أنك شعرت بذلك القلق المزعج عند فتح بوابة Microsoft Defender. تنتقل إلى قسم Exposure Management، وتلقي نظرة على درجة Microsoft Secure Score الخاصة بمؤسستك، فتشعر فوراً بموجة من الذعر. هل 42% درجة سيئة؟ هل يجب أن نصل إلى 90% بحلول نهاية الربع؟ ولماذا لم يضغط بوب من قسم تقنية المعلومات على زر معالجة التوصيات المتبقية

Automatically translated with AI from the original post. Read the English original

أهلاً بكم من جديد إلى المدوّنة! إذا كنت تدير مستأجر Microsoft 365، فمن المرجّح جداً أنك شعرت بذلك القلق المزعج عند فتح بوابة Microsoft Defender. تنتقل إلى قسم Exposure Management، وتلقي نظرة على درجة Microsoft Secure Score الخاصة بمؤسستك، فتشعر فوراً بموجة من الذعر. هل 42% درجة سيئة؟ هل يجب أن نصل إلى 90% بحلول نهاية الربع؟ ولماذا لم يضغط بوب من قسم تقنية المعلومات على زر معالجة التوصيات المتبقية حتى الآن؟ لنكن صرحاء: يقع كثير من مسؤولي تقنية المعلومات وقادة الأمن في فخ خطير، إذ يتعاملون مع Secure Score كما لو كانت درجة مدرسية. نفترض أن أي نتيجة أقل من امتياز تعني أن شبكتنا معرّضة للخطر، وأن وظائفنا على المحك، وأن المتسللين يتجاوزون دفاعاتنا فعلياً.

هذه العقلية ليست خاطئة فحسب، بل قد تضرّ فعلياً بكفاءة التشغيل ووضعية الأمان في مؤسستك. في هذا المنشور سنفنّد خرافة درجة Secure Score المثالية البالغة 100%، ونشرح كيفية احتساب الدرجة فعلياً، ونستعرض ركائزها الأساسية، ونوضح كيفية استخدام هذه الأداة كخريطة طريق عملية لا كمقياس للمظاهر. وإذا أردت التعمّق في هذا الموضوع والاستماع إلى شرح للمفاهيم الأساسية، فتأكد من الاستماع إلى الحلقة المصاحبة من البودكاست Microsoft Secure Score - Simply Explained.

ما هي Microsoft Secure Score فعلياً؟

لفهم سبب كون ملاحقة درجة 100% مسعى عبثياً، نحتاج أولاً إلى تحديد ماهية Microsoft Secure Score فعلياً. يعامل كثيرون هذه الأداة كما لو كانت ماسحاً للثغرات أو اختباراً آلياً للاختراق، وهي ليست كذلك. فـ Secure Score في جوهرها أداة لقياس الإعدادات تقيّم عدد ضوابط الأمان الموصى بها من Microsoft التي تم تفعيلها داخل مستأجر Microsoft 365 الخاص بك. إنها تنظر إلى إعداداتك، لا إلى التهديدات الواقعية.

فكّر فيها كقائمة تحقق تفاعلية وذكية مصمّمة وفق بيئة ترخيص Microsoft الخاصة بك. فهي تجيب عن أسئلة جوهرية في البنية والحوكمة، مثل: هل تُطبَّق المصادقة متعددة العوامل على مستوى المؤسسة كلها؟ وهل يتم حظر بروتوكولات المصادقة القديمة؟ وهل نهج الأمان نشطة عبر جميع المستخدمين والأجهزة؟ وهي توفّر عرضاً محدّثاً باستمرار لحالة الإعدادات الأمنية، فتعمل كقياس أساسي (Baseline) لا كضمان بأنك لن تتعرض أبداً لحادث سيبراني.

كيف تُحتسب Secure Score فعلياً

يساعد فهم الحسابات وراء Secure Score على توضيح سبب تقلّب الأرقام، ولماذا يصعب في الغالب بلوغ الكمال. الصيغة الأساسية بسيطة: النقاط المكتسبة مقسومة على إجمالي النقاط المتاحة تساوي نسبة Secure Score الخاصة بك. ومع ذلك، تختلف طريقة منح النقاط باختلاف نوع التوصية.

تكسب المؤسسات النقاط عبر آليتين رئيسيتين:

• الضوابط الثنائية: وهي توصيات من نوع الكل أو لا شيء. فعلى سبيل المثال، إما أن يتم حظر المصادقة القديمة أو فرض الإعدادات الأمنية الافتراضية الأساسية، أو لا يحدث ذلك. فإذا كانت الضوابط مفعّلة بالكامل، تحصل على جميع النقاط المتاحة. وإذا بقيت متوقفة، فلن تحصل على أي نقاط.
• الضوابط النسبية: تمنح هذه التوصيات نقاطاً جزئية بناءً على معدلات الاعتماد. فعلى سبيل المثال، إذا تم نشر تشفير BitLocker وتفعيله على 80% من الأجهزة المُدارة لديك، فستمنح Secure Score تقريباً 80% من النقاط المتاحة لهذا الضابط تحديداً. تتيح هذه الآلية للمؤسسات رؤية التقدم التدريجي أثناء نشر نهج الأمان عبر قواعد مستخدمين أو أساطيل أجهزة كبيرة.

لماذا تُعد درجة 100% خرافة

إليك الحقيقة الصعبة التي يحتاج كل مدير تقنية معلومات إلى سماعها: إذا حصلت مؤسستك على درجة Secure Score تبلغ 100%، فمن المرجّح أنك تفعل شيئاً خاطئاً، أو أنك تعمل في بيئة بسيطة بشكل غير معتاد ومتجانسة. فـ Microsoft نفسها لا تتوقع من المؤسسات بلوغ 100%. كما أن تحقيق درجة كاملة في كل المجالات أمر مستحيل عملياً بالنسبة لغالبية المؤسسات الحديثة، وذلك لعدة عوامل لا مفر منها.

أولاً، تلعب قيود التراخيص دورًا كبيرًا. تتطلب العديد من توصيات الأمان المتقدمة تراخيص مستوى محددًا، مثل Microsoft 365 E5 أو الإضافات المتخصصة. إذا كانت مؤسستكم تعمل أساسًا بخطط Business Standard أو E3، فستبقى بعض التوصيات عالية القيمة بعيدة المنال بشكل دائم، مما يحدّ من أقصى درجة ممكنة لديكم.

ثانيًا، كثيرًا ما تتعارض متطلبات الأعمال مع إعدادات الأمان الصارمة. قد تعتمد تطبيقات الأعمال القديمة على بروتوكولات أقدم، أو قد تمنعكم متطلبات الشركاء الخارجيين من تفعيل بعض نهج الخط الأساسي. وعلاوةً على ذلك، فإن المخاطر المقبولة للأعمال والتعقيد التشغيلي يعنيان أن تحديد كل خانة دون تمييز قد يعطّل الإنتاجية ويُحبط المستخدمين النهائيين. تُحقق المؤسسة السليمة توازنًا بين الأمان وسهولة الاستخدام، وهو ما يخلق بطبيعة الحال فجوات في درجة Secure Score لديكم.

الركائز الأربع لدرجة Secure Score

لإدارة وضعية الأمان لديكم بفعالية، تنظّم Microsoft توصيات Secure Score ضمن أربع ركائز رئيسية. يساعد فهم هذه الفئات فرق الأمان على ترتيب أولويات جهودها حيث تكون الأهمية أكبر.

الهوية

تظل الهوية هي المحيط الأمني في بنية السحابة الحديثة. تركّز هذه الركيزة بشكل كبير على المصادقة متعددة العوامل (MFA)، ونهج الوصول المشروط، وقواعد حماية كلمات المرور القوية، والإلغاء الكامل للمصادقة القديمة. ولأن بيانات الاعتماد المسروقة هي أكثر ناقل هجوم شيوعًا لدى الجهات المهاجمة، فإن هذه الفئة تحمل عادةً وزنًا كبيرًا في درجتكم الإجمالية.

الأجهزة

يُعد أمان نقاط النهاية أمرًا بالغ الأهمية مع توزّع القوى العاملة بصورة أكبر. تتضمن توصيات الأجهزة تهيئة Microsoft Defender Antivirus، وتفعيل قواعد تقليل سطح الهجوم (ASR)، وفرض تشفير BitLocker، وتفعيل Tamper Protection لمنع المستخدمين المحليين أو النصوص البرمجية الخبيثة من تعطيل ميزات الأمان على أجهزة الكمبيوتر المحمولة ومحطات العمل المؤسسية.

البيانات

غالبًا ما يُغفل حوكمة البيانات إلى أن يقع خرق أمني. تتمحور هذه الركيزة حول تسميات الحساسية، ونهج منع فقدان البيانات (DLP)، والتشفير الآلي، وميزات الامتثال في Microsoft Purview. تساعد هذه الضوابط المؤسسات على تصنيف وحماية وتتبع الملكية الفكرية المؤسسية الحساسة والمعلومات الشخصية القابلة للتعريف.

التطبيقات

يُقيّم أمان تطبيقات السحابة حوكمة التطبيقات، وأذونات التطبيقات الخارجية، ونهج موافقة OAuth، واستخدام تقنية غير معتمدة (Shadow IT). ومع قيام المستخدمين بربط أدوات الإنتاجية التابعة لجهات خارجية بحسابات M365 الخاصة بهم بحرية، يصبح متابعة أذونات التطبيقات أمرًا حيويًا لمنع الوصول غير المصرّح به إلى البيانات.

مفاهيم خاطئة شائعة حول مقاييس أمان M365

قد يؤدي سوء الفهم حول مقاييس الأمان إلى قرارات ضعيفة ولوم في غير موضعه. دعونا نوضح بعض الأساطير الشائعة:

الخرافة الأولى: الدرجة المرتفعة تعني أنك محصّن ضد الاختراق. هذا غير صحيح على الإطلاق. تعني درجة Secure Score المرتفعة أن إعدادكم يتوافق مع أفضل ممارسات Microsoft. لكنها لا تحميكم من الثغرات الصفرية المتطورة، أو التهديدات الداخلية، أو وقوع موظفين غير مدرَّبين جيدًا ضحية لحملات التصيد الاحتيالي المتقدمة.

الخرافة الثانية: الدرجة المنخفضة تعني أن مؤسستك غير كفؤة. تحافظ مؤسسات كثيرة آمنة تمامًا على درجات تتراوح بين 70% و85%، بينما تقع الشركات الصغيرة الناشئة عادةً عند نحو 30% إلى 45%. فالسياق مهم للغاية.

الخرافة الثالثة: يجب تطبيق كل توصية دون استثناء. كما ذكرنا، بعض التوصيات تكسر أنماط العمل القديمة، أو تتطلب تراخيص غير متوفرة، أو تخالف سياسة الشركة. وتوثيق هذه الاستثناءات جزء طبيعي من إدارة تكنولوجيا المعلومات.

استخدام Secure Score كخارطة طريق عملية

بدلًا من النظر إلى Secure Score كبطاقة تقييم مُرهِبة، يستخدمه المسؤولون الناجحون كقائمة عمل مرتبة حسب الأولوية. يوفّر قسم Recommended Actions داخل بوابة Microsoft Defender تفاصيل تقنية قيّمة، تشمل التأثير الأمني المحتمل، وخطوات الإعداد المطلوبة، وروابط مباشرة إلى صفحات الإدارة الدقيقة في مركز الإدارة.

والأهم من ذلك أن Microsoft تتيح للمسؤولين تغيير حالة التوصيات. إذا لم تنطبق ضوابط معينة على نموذج عمل مؤسستك، يمكنك وضع علامة عليها بوصفها Risk Accepted أو Resolved through Alternative Mitigation. تؤدي هذه الميزة وظيفتين: فهي تزيل الأثر السلبي على درجتك، وتنشئ سجل تدقيق دائماً يوضح سبب اتخاذ قرار معين. هذا التوثيق بالغ القيمة لفريق تقنية المعلومات في المستقبل، ولمدققي الاستقلال الداخليين، ولمزودي تأمين الأمن السيبراني.

دمج Secure Score ضمن استراتيجية الأمن الأوسع لديك

من المهم أن نتذكر أن Secure Score ليس سوى جزء واحد من منظومة أمنية واسعة. فهو يقيس الامتثال للتهيئة الثابتة، لكنه لا يحل محل البحث الاستباقي عن التهديدات وحلول المراقبة الفورية. يعمل Secure Score بأفضل شكل عند استخدامه مع أدوات القياس عن بُعد المتقدمة مثل Microsoft Defender XDR وMicrosoft Sentinel وMicrosoft Entra ID Protection.

إذا كان Secure Score يتأكد من أن أبوابك ونوافذك مزودة بالأقفال المناسبة، فإن أدوات مثل Defender for Endpoint وMicrosoft Purview تراقب محاولات الاقتحام الفعلية وترصد السلوك المشبوه داخل محيطك. يتطلب الأمن السيبراني الحقيقي نهجاً شمولياً يشمل المراقبة المستمرة، وتدريب المستخدمين على الوعي الأمني، وإدارة التحديثات بدقة، وحوكمة تشغيلية قادرة على الصمود.

الخلاصة: التركيز على التحسينات ذات الأثر الحقيقي بدلاً من المقاييس الشكلية

في نهاية المطاف، هدفك الأساسي بوصفك محترف تقنية معلومات ليس تحقيق نسبة 100% لامعة على لوحة معلومات Microsoft. هدفك هو حماية بيانات مؤسستك، وتأمين هويات المستخدمين، وضمان مرونة التشغيل، وتمكين إنتاجية الأعمال دون احتكاك غير ضروري. مطاردة المقاييس الشكلية غالباً ما تقود إلى تطبيقات متسرعة، وتعطل سير عمل المستخدمين، وإرهاق فرق تقنية المعلومات.

بدلاً من القلق بشأن كل نقطة مئوية مفقودة، ركّز على تحسينات مستمرة وتدريجية ترفع وضعك الأمني رفعاً حقيقياً. عالج ضوابط الهوية والأجهزة ذات الأثر الكبير أولاً، ووثّق الاستثناءات الخاصة بأعمالك بعناية، وتعامل مع Secure Score بوصفه مرشداً لك لا سيداً عليك.

للاستماع إلى نقاش أعمق وعملي حول هذا الموضوع بالتحديد، يتضمن نصائح واقعية للمسؤولين ورؤى معمارية، لا تفوّت حلقة البودكاست ذات الصلة: Microsoft Secure Score - Simply Explained. إلى اللقاء في الحلقة القادمة، وحافظوا على أمان مستأجريكم وسلاسة سير أعمالكم!