لماذا لم يعد الامتثال اليدوي كافيًا في 2026؟
يضع تقرير IBM لتكلفة اختراق البيانات لعام 2025 نهج DevSecOps في صدارة العوامل الخافضة لتكلفة الاختراق، بمتوسط توفير يقارب 227 ألف دولار للحادثة الواحدة، متقدمًا على أي استثمار أمني آخر، في وقت بلغ فيه متوسط تكلفة الاختراق عالميًا 4.88 مليون دولار. ومع ذلك، لا تتجاوز نسبة المؤسسات التي تطوّر برمجياتها فعليًا بنهج DevSecOps نحو 36% وفق مسوح GitLab — صعودًا من 27% في 2020 — أي أن الأغلبية ما تزال تتعامل مع الأمن والامتثال كمرحلة لاحقة لا كجزء من الخط.
الحسبة المالية أوضح ما تكون عند مقارنة توقيت اكتشاف الخلل: إصلاح ثغرة أمنية بعد وصولها إلى الإنتاج يكلّف ما بين 30 و60 ضعف كلفة إصلاحها أثناء التطوير. وفي المملكة يتضاعف الرهان؛ فالجهات الحكومية والبنى التحتية الحرجة ملزمة بضوابط الهيئة الوطنية للأمن السيبراني — الضوابط الأساسية ECC وضوابط الحوسبة السحابية CCC — إضافة إلى متطلبات نظام حماية البيانات الشخصية PDPL وأدلة الامتثال التي بدأت سدايا طلبها. مراجعة يدوية قبيل التدقيق السنوي لم تعد تجاري وتيرة نشرٍ يومية على السحابة، وهنا يظهر البديل: تحويل الضوابط نفسها إلى تعليمات برمجية تعمل داخل خط CI/CD.
السياسة كتعليمات برمجية: من مستند PDF إلى بوابة داخل الخط
فكرة Policy as Code بسيطة: بدل أن تعيش الضوابط في مستندات وجداول تدقيق، تُكتب قواعد قابلة للتنفيذ تفحص كل تغيير آليًا قبل اعتماده. الأداة الأبرز هنا محرك السياسات مفتوح المصدر Open Policy Agent (OPA) بلغته التصريحية Rego، الذي يُطبَّق على مخططات Terraform قبل التنفيذ وعلى طلبات Kubernetes وقت التشغيل، إلى جانب أدوات مثل Conftest وSentinel وبوابات السياسات المدمجة في منصات CI/CD الشهيرة.
عمليًا، يمكن ترجمة ضوابط سعودية محددة إلى قواعد تنفيذية: منع إنشاء أي مورد خارج المناطق السحابية الواقعة داخل المملكة تلبية لمتطلبات توطين البيانات في PDPL وأطر NCA، وإلزام التشفير أثناء التخزين والنقل، وحظر حاويات التخزين العامة والصلاحيات المفرطة، وفرض الوسوم الإلزامية لتتبّع مالك البيانات وتصنيفها. والتكلفة التشغيلية زهيدة: تضيف هذه الفحوص عادة ما بين 10 و30 ثانية فقط إلى مدة الخط — ثمن بخس مقابل منع خطأ إعدادٍ واحد من الوصول إلى الإنتاج.
فحص IaC والحاويات: حيث تولد أخطاء الإعداد
تشير تقارير Red Hat لحالة أمن Kubernetes إلى أن أخطاء الإعداد مسؤولة عن نحو 45% من الحوادث الأمنية في بيئات الحاويات، وأن 90% من المؤسسات واجهت حادثة واحدة على الأقل خلال عام. أدوات فحص البنية التحتية كتعليمات برمجية مثل Checkov وtfsec وTrivy تكتشف هذه الأخطاء في طلب الدمج نفسه — قبل أن تتحول إلى بنية قائمة يصعب تصحيحها.
وثمة جبهة جديدة تجعل الفحص الآلي أكثر إلحاحًا: الكود المولّد بالذكاء الاصطناعي. اختبارات Veracode لأكثر من 100 نموذج لغوي كبير وجدت أن 45% من الكود المولّد يحتوي على ثغرات أمنية، وبكثافة تفوق الكود البشري بـ2.74 مرة. ومع الاعتماد المتسارع لدى الفرق السعودية على مساعدات البرمجة الذكية، يصبح الفحص المؤتمت داخل الخط — لا المراجعة البشرية وحدها — خط الدفاع الواقعي الوحيد القادر على مجاراة حجم الكود المتدفق.
خارطة طريق عملية لمؤسسة سعودية
ابدأ صغيرًا بسياسة واحدة عالية القيمة — حظر حاويات التخزين العامة أو قصر النشر على المناطق السحابية السعودية — ثم توسّع تدريجيًا. واربط كل قاعدة بمرجعها في ECC أو CCC أو PDPL، بحيث تتحول نتائج الخط تلقائيًا إلى أدلة امتثال موثّقة جاهزة للمدقق الداخلي ولجهات الرقابة، بدل جمعها يدويًا عند كل طلب تحقق. وأضف توليد قوائم مكونات البرمجيات SBOM وفحص سلسلة التوريد؛ فالبيانات تشير إلى أن 62% فقط من المؤسسات تراقب SBOM اليوم رغم تضاعف الاختراقات المرتبطة بطرف ثالث.
ولتفادي صدام الفرق مع البوابات الجديدة، اجعلها «استشارية» في البداية — تحذير من دون إيقاف — لأسابيع قليلة حتى تنضبط القواعد وتقل الإنذارات الكاذبة، ثم فعّل الإيقاف الإلزامي على الضوابط الحرجة وحدها. الرسالة الأهم لقادة التقنية في المملكة: الامتثال المؤتمت ليس عبئًا على السرعة بل شرطها؛ فالمؤسسات الناضجة في DevSecOps تنشر أكثر بنسبة تصل إلى 208% وبزمن تغيير أقل بـ66% مقارنة بالفرق منخفضة الأداء.
