أنجزت NIST إرشادات تنفيذية لحماية رموز الهوية والوصول عبر الإنترنت من السرقة والتزوير وسوء الاستخدام. تتيح هذه الرموز للتطبيقات والخدمات التعرف على المستخدمين المصادَق عليهم دون طلب بيانات الاعتماد بشكل متكرر، إلا أن الرموز المسروقة أو المزوّرة يمكن أن تتيح لمهاجم انتحال هوية حساب شرعي مع تجاوز فحوصات تسجيل الدخول المعتادة.
تستند الإرشادات إلى تنفيذ سحابي مرجعي
يصف المنشور بنية قائمة على مبدأ “عدم الثقة الافتراضية” (zero-trust) مبنية حول تقنيات تجارية ومفتوحة المصدر. ويغطي اكتشاف الرموز، والرؤية، والتحقق منها، وإنفاذ السياسات عبر مزوّدي الهوية والتطبيقات والخدمات السحابية. وقد طورت NIST هذا الدليل العملي بالتعاون مع CISA وشركاء من الصناعة عبر المركز الوطني للتميز في الأمن السيبراني.
وتشدد المادة النهائية على أن حماية الرموز لا تقتصر على منتج واحد. وتحتاج المؤسسات إلى تنسيق بيانات التتبع وإنفاذ السياسات عبر الأنظمة التي تُصدر الرموز وتستقبلها وتتحقق منها.
ينبغي للعمليات اختبار الإلغاء والكشف عن سوء الاستخدام
ينبغي على فرق إدارة الهوية حصر أنواع الرموز، وتوثيق علاقات الثقة، وتقليل عمر الرمز غير الضروري، والتأكد من أن آلية الإلغاء تعمل أثناء وقوع حادثة. وينبغي أن تتعرف المراقبة على حالات الإصدار غير المعتادة، وإعادة التشغيل، والاستخدام من أجهزة أو مواقع غير متوقعة. وتكمّل هذه الضوابط المصادقة المقاومة للتصيد بدلًا من أن تحل محلها. تتابع SectechMedia التطورات ذات الصلة في تغطيتها للهوية والتحكم في الوصول.
