كشفت دراسة حديثة أجرتها OX Security في تقريرها المعياري لعام 2025 عن أمان التطبيقات (AppSec) عن نتيجة صادمة: 95-98% من تنبيهات الأمان لا تتطلب أي إجراء، بل قد تضر المنظمات أكثر مما تنفع!
الفجوة الكبيرة بين الكم والجودة في أمان التطبيقات
بناءً على تحليل 101 مليون اكتشاف أمني عبر 178 منظمة، وجد التقرير أن:
-
كل منظمة تتلقى في المتوسط 570,000 تنبيه أمان سنويًا.
-
فقط 202 تنبيه منها تمثل تهديدات حقيقية وخطيرة!
هذا يعني أن فرق الأمان تُهدر الوقت والموارد في مطاردة ثغرات غير قابلة للاستغلال، مما:
✔️ يعيق سرعة التطوير (DevOps).
✔️ يزيد التوتر بين مطوري البرمجيات وفرق الأمان.
✔️ يُهدر الميزانيات على إصلاحات غير ضرورية.
“نحن نثقل كاهل الفرق التقنية بأعباء لا طائل منها، ونعيق الابتكار تحت شعار ‘تمكين الأعمال'” — كريس هيوز، Resilient Cyber
كيف وصلنا إلى هذه الحالة؟
في 2015، كان عدد الثغرات المسجلة (CVEs) 6,494 فقط، لكن مع تسارع التحول إلى الحوسبة السحابية (Cloud-Native) واتساع مساحات الهجوم:
ارتفع عدد الثغرات في 2025 إلى 40,000 سنويًا (بإجمالي 200,000 ثغرة مسجلة).
لكن أدوات الأمان ظلت تعمل بنفس النهج القديم: الكشف عن كل شيء دون تحديد الأولويات.
أسباب عدم جدوى معظم التنبيهات:
-
32% من الثغرات لها احتمالية ضعيفة للاستغلال.
-
25% ليس لها ثغرات استغلال معروفة.
-
25% تتعلق بتوابع (Dependencies) غير مستخدمة أو مخصصة للتطوير فقط.
الحل: الانتقال من “الكشف” إلى “الأولوية”
بدلاً من معالجة كل التنبيهات، يجب على المنظمات تبني نهج قائم على الأدلة لترتيب الأولويات، عبر تحليل:
-
إمكانية الوصول (Reachability): هل الكود المعرّض مستخدم؟
-
قابلية الاستغلال (Exploitability): هل البيئة الحالية تسمح باستغلال الثغرة؟
-
الأثر التجاري (Business Impact): ما مدى خطورة الاختراق هنا؟
-
تتبع المشكلة (Cloud-to-Code Mapping): متى وأين ظهرت الثغرة؟
نتائج تطبيق هذا النهج:
انخفاض التنبيهات من 569,354 إلى 11,836.
فقط 202 ثغرة تتطلب إصلاحًا عاجلًا.
تأثير هذه النتائج على القطاعات
-
القطاع المالي: الأكثر استهدافًا بسبب التعامل مع المعاملات الحساسة (حسب تقرير Verizon DBIR، 95% من الهجمات تكون بدافع مالي).
-
الشركات الكبرى: تواجه تعقيدات أكبر بسبب تعدد الأدوات واتساع البنية التحتية.
التكاليف الخفية لإصلاحات غير ضرورية
-
برامج مكافأة الثغرات (Bug Bounty): دفع مبالغ كبيرة لإصلاح ثغرات غير حرجة.
-
التوتر الداخلي: صراع بين فرق الأمان والمطورين حول أولوية الإصلاحات.
-
الهدر المالي: إصلاح ثغرات في مرحلة الإنتاج (Production) كان يمكن تجنبها مبكرًا.
