مع تجاوز محافظ التطبيقات لنماذج أمن التطبيقات التقليدية (AppSec)، تواجه المؤسسات في الإمارات أعباء متزايدة لعمليات الفحص وارتفاعاً في تكاليف المنصات. وفي هذا المقال، تستعرض أسماء زبير، مديرة إدارة المنتجات في Qualys، كيف يمكن للفحص التكيفي المدعوم بالذكاء الاصطناعي أن يوفر نهجاً أكثر كفاءة، من خلال تخصيص خطط الكشف وفق الحالة الحالية لكل تطبيق، وبناء مستوى مستدام من الثقة بين فرق الأمن والهندسة.

في دولة الإمارات العربية المتحدة، التي تتميز بقطاع تقني متقدم وتضع الخدمات الرقمية والتحول المدعوم بالذكاء الاصطناعي في صميم قدرتها التنافسية على مستوى القطاعين العام والخاص، أصبحت تطبيقات المؤسسات الواجهة الرئيسية لتجربة العملاء. ووفقاً لأحد المصادر، بلغ عدد المطورين الإماراتيين الذين نشروا تطبيقات على Google Play أكثر من 820 مطوراً حتى فبراير 2025، مع طرح أكثر من 2,300 تطبيق تجاوز إجمالي تنزيلاتها مليوني عملية تنزيل. وللأسف، لم تتمكن إجراءات الأمن التي تحمي هذه التطبيقات من الهجمات والتدخلات الخبيثة من مواكبة هذا النمو بالوتيرة نفسها.

وتضم محافظ التطبيقات حالياً وحدات أعمال وبيئات سحابية وواجهات برمجة تطبيقات، إلى جانب دورات إصدار متكررة. ولذلك، يتعين على برامج الأمن فحص عدد أكبر من الأصول بوتيرة أعلى، من دون التأثير في سرعة الفرق المسؤولة عن تطوير هذه التطبيقات.

ولم يحدث هذا الاختلال بسبب غياب الإجراءات أو نقص الاستثمار، بل لأن نمو منظومات التطبيقات تجاوز تطور نماذج الأمن المستخدمة لحمايتها. فعندما تبني مؤسسة محفظة كبيرة من التطبيقات عبر وحدات أعمال ومناطق جغرافية وفرق تطوير وربما علامات تجارية متعددة، يظهر التوسع باعتباره تحدياً رئيسياً.

وقد تصبح الموارد والوقت المتاحان محدودين مقارنة بحجم هذه المنظومة. ولا تزال عمليات الفحص الشاملة ضرورية لأغراض التحقق والامتثال، لكنها غالباً ما تكون واسعة النطاق وتستغرق وقتاً طويلاً، ما يجعل تنفيذها قبل كل إصدار أمراً صعباً.

ويزداد التحدي في البيئات التي تعتمد بشكل كبير على واجهات برمجة التطبيقات، والبنى السحابية الأصلية، والبيئات متعددة السحب، إذ تتغير منظومة التطبيقات والأصول باستمرار، بينما يمكن أن تصبح ملفات تعريف الفحص الثابتة قديمة بالسرعة نفسها التي تتطور بها التطبيقات.

ومن المرجح أن تكشف مراجعات أمن التطبيقات عن فجوات لم يعد من الممكن التعامل معها بالأساليب التقليدية. فالمشكلة هنا تشغيلية وليست نظرية.

وتحاول العديد من المؤسسات تعويض ذلك من خلال أساليب مكملة، مثل السياسات كبرمجيات (Policy-as-Code)، وإدارة سطح الهجوم الخارجي، والفحص عبر بيئات التطوير المتكاملة (IDE)، والمعالجة الآلية للثغرات.

وتظل هذه الأساليب مهمة، لكنها تعالج أجزاء محددة فقط من دورة حياة التطوير، إذ تساعد في تحديد السياسات أو اكتشاف الأصول أو الاستجابة للمشكلات التي تم اكتشافها. ومع ذلك، تظل مشكلة التوسع وتأثيرها في كفاءة عمليات الفحص قائمة.

مساعدة إضافية من الفحص التكيفي

يتمثل التحدي الأساسي في كيفية تحسين اختبار الثغرات لكل تطبيق، دون الاعتماد على ملفات تعريف فحص ثابتة تحتاج إلى تحديث يدوي مع كل إصدار جديد. ويعالج تحسين الفحص المدعوم بالذكاء الاصطناعي هذا التحدي من خلال إنشاء ملف تعريفي للتطبيق وتوليد خطة كشف تتناسب مع إصداره الحالي، بما يشمل بنيته، وحزمة تقنياته، وسلوكه المرصود.

ورغم استمرار الحاجة إلى عمليات الفحص الشاملة الدورية عند إجراء تغييرات كبيرة في التقنيات أو الوظائف أو البنية المعمارية للتطبيق، فإن النهج المدعوم بالذكاء الاصطناعي يمثل خطوة مهمة نحو معالجة مشكلة تضخم منظومة التطبيقات.

وبموجب هذا النموذج، ستتراجع الحاجة إلى قوالب الفحص التي تتم صيانتها يدوياً وملفات تعريف الكشف الثابتة. إذ يعمل نظام الفحص المدعوم بالذكاء الاصطناعي على إنشاء ملف تعريفي لكل تطبيق ووضع خطة كشف خاصة به، مع إعطاء الأولوية للفحوصات ذات الصلة بناءً على سلوك التطبيق وبنيته.

ومن خلال الجمع بين عمليات التحقق والفحص التشغيلي، تحصل فرق الأمن على تغطية مناسبة عبر الإصدارات المختلفة، دون اضطرار فرق الهندسة إلى تنفيذ عمليات فحص شاملة قبل نشر كل إصدار جديد. وأظهرت الاختبارات المعيارية إمكانية خفض أوقات الفحص بنسبة تصل إلى 80% مع الحفاظ على تغطية فعالة.

ولا يعني هذا النهج تخطي عمليات الفحص، بل تنفيذها في الأماكن التي تحقق أكبر قيمة. ففي بعض البيئات، يمكن أن يؤدي الفحص المتكرر إلى زيادة التكاليف، لأن منصات مثل أنظمة إدارة المحتوى (CMS) وبوابات واجهات برمجة التطبيقات والبنية التحتية السحابية قد تفرض تكاليف أو قيوداً مرتبطة بحجم الطلبات.

وفي بيئات أخرى، قد تؤدي حركة الفحص المفرطة إلى استهلاك موارد التطبيقات أو إجبار فرق الأمن على التفاوض بشأن نوافذ زمنية للفحص استناداً إلى القيود التشغيلية بدلاً من مستوى المخاطر.

ويمكن لفرق DevSecOps مراجعة العلاقة المباشرة بين تكرار عمليات الفحص وتكاليف المنصات، ومناقشة ذلك خلال اجتماعات الميزانية. ومن ثم، يمكنها تشجيع صناع القرار على الانتقال من إعدادات الفحص الثابتة والموحدة إلى التوصيف الديناميكي المدعوم بالذكاء الاصطناعي.

كما يمكن للذكاء الاصطناعي التعمق في تبعيات حزمة تقنيات التطبيق وتخصيص الفحص بما يتناسب مع سلسلة هذه التبعيات. ويساعد ذلك على تقليل الفحوصات المتكررة أو منخفضة القيمة، وخفض أعباء الفحص، دون تحويل اختبارات الأمن الروتينية إلى عملية ضبط يدوية مستمرة.

وبالنسبة لقادة أمن التطبيقات (AppSec)، يوفر هذا النهج أساساً أقوى لتبرير الاستثمار. فلم يعد النقاش مقتصراً على اكتشاف الثغرات، بل يشمل أيضاً تقليل أعباء الفحص غير الضرورية، والتحكم في تكاليف المنصات، وجعل اختبارات الأمن مستدامة على مستوى المؤسسات.

ولقياس القيمة التي تضيفها الأتمتة، ينبغي تقييم مدة الفحص، وحجم الطلبات، ومعدلات اكتمال الفحص، وجودة الكشف، وجودة التغطية معاً بمرور الوقت، لضمان أن خفض حركة الفحص لا يؤثر سلباً في دقة اكتشاف الثغرات.

ومع توسع نطاق AppSec، ستكتشف المؤسسات انخفاض عمليات الفحص المتكررة، ما يؤدي بدوره إلى خفض تكاليف البنية التحتية والمنصات. وبالتالي، عندما تعرض فرق AppSec مبرراتها أمام أصحاب المصلحة، ستكون مدعومة برؤية قوية تستند إلى خفض التكاليف وتحسين الكفاءة.

بناء الثقة عبر مراحل التطوير

يجب على فرق DevSecOps جعل اختبارات الأمن متوافقة مع خطوط أنابيب CI/CD، لضمان استمرار الحماية الشاملة مع نمو متطلبات التطبيقات.

وقد يبدأ ذلك بخطوة بسيطة تتمثل في تحديد أوقات للفحص تكون مقبولة لفرق التطوير ومتوافقة مع جداول إصدار التطبيقات. وإذا تعذر تحقيق هذا التوافق، فقد تلجأ فرق الهندسة التي تعمل تحت ضغط المواعيد إلى إيجاد طرق لتجاوز متطلبات اختبارات الأمن.

ويمكن استخدام تحسين الفحص المدعوم بالذكاء الاصطناعي لأتمتة تحديد نطاق كل عملية فحص وفق الإصدار الحالي للتطبيق. ومن خلال جعل عمليات الفحص مرتبطة بدقة بحالة التطبيق الحالية، تصبح سريعة بما يكفي لإجرائها مع كل عملية بناء، ودقيقة بما يكفي للحفاظ على ثقة الفرق بها.

وتملك المؤسسات في الإمارات وفرق DevSecOps لديها فرصة لمعالجة أعباء أمن التطبيقات قبل أن تصبح أكثر تعقيداً. ويمكن للذكاء الاصطناعي أتمتة المهام الروتينية والمتكررة المتعلقة بتخطيط عمليات الفحص، ما يتيح لفرق الأمن التركيز على نقاط التحقق الحرجة المحددة مسبقاً.

والنتيجة هي نموذج أكثر استدامة لتشغيل أمن التطبيقات، يدعم إصدارات أسرع، وتغطية أوسع، واحتكاكاً تشغيلياً أقل، وثقة أكبر بين فرق الأمن والهندسة.

بقلم أسماء زبير، مديرة إدارة المنتجات، Qualys

مقالات ذات صلة

عرض الكل