دورة محترف أمن الحوسبة السحابية

نظرة عامة

تعد دورة محترف أمن الحوسبة السحابية المرشحين لشهادة CCSP (Certified Cloud Security Professional) الصادرة عن ISC2، وهي شهادة محايدة تجاه المزودين: تقيس طريقة تفكير الممارس المتمرس في تقييم أي عرض سحابي، لا مهارة التنقل في وحدة تحكم مزود بعينه. تتناول الدورة على مدى خمسة أيام المجالات الستة في الجسم المعرفي المشترك لـ CCSP بالترتيب، وتشرح كلا منها من خلال قرارات يوقع عليها مدير أمن السحابة فعليا: هل عبء العمل قابل للنقل بما يكفي لمغادرة المزود، وأي أسلوب تمويه يناسب مجموعة بيانات معينة، وما الذي تعنيه فعلا الاستثناءات الواردة في تقرير SOC 2 Type II للمزود، وأي البنود يجب التمسك بها قبل التوقيع، وكيف يستجاب لأمر الحفظ القضائي. ويختتم كل مجال بأسئلة على نمط الاختبار مع مناقشة أسباب خطأ الخيارات المضللة. تقدم هذه الدورة بواسطة أجايل للتدريب.

الفئة المستهدفة

• الممارسون ذوو الخبرة لعدة سنوات في تقنية المعلومات وأمن المعلومات الذين يخططون لاجتياز اختبار CCSP
• حاملو شهادة CISSP الراغبون في إضافة اعتماد متخصص في السحابة
• المعماريون المؤسسيون الذين يعتمدون تصاميم تمتد عبر أكثر من مزود
• مديرو ضمان الأطراف الثالثة والموردين المكلفون بفحص مزودي الخدمات السحابية
• المدققون ومسؤولو الخصوصية والمستشارون القانونيون الذين يراجعون الاتفاقيات السحابية

الإدارات والقطاعات المستهدفة

تناسب الدورة الفرق التي يتعين عليها تقييم مزودين لا تديرهم بنفسها.

• فرق ضمان الموردين في المصارف وشركات التأمين
• مجالس مراجعة المعمارية في شركات البرمجيات كخدمة SaaS
• مكاتب إدارة السجلات والخصوصية في المستشفيات
• الفرق القانونية وفرق المشتريات التي تصوغ اتفاقيات الاستضافة
• وحدات الخدمات المشتركة والتحول الرقمي الحكومية

أهداف التعلم

بنهاية هذه الدورة، سيكون المشاركون قادرين على:

• استخدام تعريفات NIST SP 800-145 وISO/IEC 17788 لوصف أي عرض سحابي وأدوار العميل والمزود والشريك والوسيط.
• تقييم قابلية التشغيل البيني وقابلية النقل وقابلية الاسترجاع قبل نقل عبء العمل.
• مقارنة الترميز الرمزي والإخفاء وإخفاء الهوية والإتلاف التشفيري لمجموعة بيانات محددة.
• تحليل المخاطر الخاصة بالمشرفات الافتراضية من النوع الأول والثاني والبيئات المعزولة وافتراضية التطبيقات.
• تطبيق فحوصات STRIDE وSAST وDAST وOWASP ASVS ضمن دورة حياة البرمجيات السحابية.
• تقييم أدلة SOC 1 وSOC 2 وCSA STAR والتفاوض على بنود حق التدقيق والإخطار بالاختراق والخروج.

جدول الدورة

اليوم 1: المجال الأول - المفاهيم والمعمارية المرجعية والتصميم

• هيكل اختبار CCSP وقواعد الخبرة لدى ISC2 وخطة الدراسة
• مصطلحات NIST SP 800-145 وISO/IEC 17788 وأدوار العميل والمزود والشريك والوسيط والمدقق والجهة التنظيمية
• الجوانب المشتركة: التشغيل البيني وقابلية النقل وقابلية الاسترجاع والتوافر
• تحليل الأثر على الأعمال ومبررات تكلفة الانتقال
• تقييم المزود من خلال اعتمادات Common Criteria وFIPS 140

اليوم 2: المجال الثاني - حماية البيانات لدى المزود

• الإنشاء والتخزين والاستخدام والمشاركة والأرشفة والإتلاف: دورة حياة البيانات الآمنة في CCSP
• التخزين الخام والكتلي والكائني والمهيكل وغير المهيكل حسب نموذج الخدمة
• مقارنة بين الترميز الرمزي والإخفاء وإخفاء الهوية وإيداع المفاتيح
• إدارة حقوق المعلومات واكتشاف البيانات
• جداول الاحتفاظ والحفظ القضائي والإتلاف التشفيري، مع مجموعة أسئلة على نمط الاختبار ومناقشتها

اليوم 3: المجالان الثالث والرابع - منصات المزود والتطبيقات السحابية

• المشرفات الافتراضية من النوع الأول مقابل النوع الثاني، والإفلات من الضيف، والفصل بين المستأجرين
• مواقع مراكز بيانات المزود والطاقة والتبريد ومستويات التكرار وأهداف الاسترداد عبر المناطق
• دورة حياة البرمجيات السحابية وقائمة OWASP Top 10 في السياق السحابي
• نمذجة التهديدات بـ STRIDE وSAST وDAST وOWASP ASVS
• البيئات المعزولة وافتراضية التطبيقات وبوابات API

اليوم 4: المجال الخامس - إدارة الأمن يوما بيوم

• بناء البيئة المنطقية داخل المستأجر وتأمينها
• إدارة التغيير والتهيئة والسعة والمشكلات وفق ITIL
• رؤية العمليات الأمنية عندما تكون بيانات القياس ملكا للمزود
• جمع الأدلة وسلسلة الحيازة وفق ISO/IEC 27037
• التواصل مع الموردين والعملاء والجهات التنظيمية أثناء الحادث، مع مجموعة أسئلة على نمط الاختبار ومناقشتها

اليوم 5: المجال السادس - الجوانب القانونية والمخاطر والامتثال، والاختبار التجريبي

• تعارض الولايات القضائية وسيادة البيانات والاكتشاف الإلكتروني وفق ISO/IEC 27050، ومبادئ الخصوصية وISO/IEC 27018
• تقارير SOC 1 وSOC 2 Type I وType II وسجل CSA STAR
• بنود اتفاقية الاستضافة: حق التدقيق والإخطار بالاختراق والخروج وإعادة البيانات
• شهية المخاطر المؤسسية والمخاطر المتبقية عند الإسناد إلى مزود
• اختبار تجريبي كامل موقوت ومراجعة النتائج حسب كل مجال

التمارين التطبيقية

تضع الأنشطة المقترحة التالية مجالات CCSP موضع التطبيق في قرارات يعتمدها مدير أمن السحابة.

• نشاط مقترح: تحديد ما إذا كان نظام الموارد البشرية قادرا على مغادرة مزوده الحالي، مع تقييم قابلية النقل والاسترجاع.
• نشاط مقترح: اختيار أسلوب تمويه لكل عمود في جدول بيانات المرضى.
• نشاط مقترح: قراءة مقتطف من تقرير SOC 2 Type II وحصر الاستثناءات المهمة لمنظمتك.
• نشاط مقترح: وضع ملاحظات تعديل على اتفاقية استضافة بشأن حقوق التدقيق والإخطار بالاختراق والخروج.

الأسئلة الشائعة

ما الخلفية الموصى بها؟

عدة سنوات في تقنية المعلومات تشمل خبرة في أمن المعلومات. تضع ISC2 قواعد الخبرة الخاصة بالشهادة، وعلى المرشحين التأكد منها قبل حجز الاختبار.

هل الدورة مرتبطة بمزود واحد؟

لا. فهي محايدة تجاه المزودين شأنها شأن اختبار CCSP، ولا ترد أسماء المزودين إلا على سبيل المثال.

ما الفرق بينها وبين الدورات الهندسية التطبيقية؟

تنمي هذه الدورة القدرة على التقدير عبر المزودين: العقود وأدلة الضمان وقرارات البيانات والمخاطر، بدلا من تهيئة منصة واحدة.

الخاتمة

ينهي المشاركون الدورة وقد غطوا المجالات الستة لـ CCSP، واجتازوا اختبارا تجريبيا موقوتا، وعالجوا عدة حالات في العقود والضمان مستمدة من قرارات فعلية مع المزودين، ومعهم قائمة شخصية بنقاط الضعف الواجب مراجعتها وطريقة أوضح للحكم على أدلة أي مزود سحابي وعقوده وضوابط بياناته قبل اختبار ISC2.