פרוטוקול ניסיוני להגירה מאובטחת של נתונים בענן המונחית על ידי בינה מלאכותית הסבירה תוך שימוש בנתוני בריאות סינתטיים

סיכום

שיטה זו מציגה מסגרת מקיפה המבוססת על בינה מלאכותית הניתנת להסבר (XAI) כדי לאפשר הגירה מאובטחת של נתוני בריאות לענן, תוך שימוש במערך נתונים סינתטי של בריאות בתוך סביבת ענן מבוקרת. התוצאה היא אב-טיפוס המשלב אבטחת אפס-אמון (zero-trust), בקרת גישה מבוססת זמן וזיהוי חריגות ניתן להסבר, כדי לתמוך בשקיפות ובאבטחה של תהליך ההגירה.

תקציר

במערכות בריאות, מתבצעת יותר ויותר הגירה של נתונים לענן, אך דבר זה משנה גם את הזמנים שבהם העברת הנתונים מהווה ככל הנראה את הסיכון הגבוה ביותר מבחינת אבטחה. מאמר זה מתאר פרוטוקול הדיר בביצוע להגירה מאובטחת של נתוני ענן המבוססת על בינה מלאכותית ניתנת להסבר (XAI), תוך שימוש במערך נתונים סינתטי של בריאות ובסביבת ענן מבוקרת. המסגרה שפותחה משלבת ארכיטקטורת zero-trust, הרשאת מינימום זמנית (temporal least privilege), תקשורת מוצפנת, ניטור מרכזי וזיהוי חריגות ניתן להסבר, כדי להשיג הגירה מאובטחת, שקופה וניתנת לביקורת יותר. הבדיקות נעשו באמצעות מערך נתונים של 10 GB של רשומות בריאות אלקטרוניות סינתטיות, הכולל כ-20 מיליון רשומות הפרוסות על פני 28 טבלאות רלציוניות. תהליך ההגירה בוצע בשירותי Amazon web services (AWS) באמצעות בסיסי נתונים מסוג PostgreSQL ורשתות וירטואליות פרטיות. לצורך זיהוי חריגות נעשה שימוש ב-Isolation Forest, ו-Shapley additive explanations (SHAP) שימשו לפירוש מאובטח של אירועים. המסגרת הוערכה בעשרה ניסיונות הגירה נפרדים תוך שימוש במדדים כגון משך חשיפת האישוריים, זמן זיהוי אירועים, דיוק זיהוי חריגות, השהיית הגירה ושלמות הנתונים. תחת התצורה שנבדקה, חשיפת האישוריים הופחתה מ-24 h ל-1 h (הפחתה של 95.8%), דיוק זיהוי החריגות היה 97.4%, זמן זיהוי האירועים הופחת לכ-15 min, ושלמות נתונים של 100% נשמרה באמצעות אימות checksum. עם זאת, אמצעי האבטחה המחמירים יותר הובילו לעלייה ממוצעת של 11% בהשהיית ההגירה. תוצאות אלו מדגימות את הפוטנציאל שבשילוב של AI ניתנת להסבר עם זרימות עבודה של הגירת ענן מאובטחת לניהול נתוני בריאות.

מבוא

מחשוב ענן הוא כיום חלק בלתי נפרד ממערכות הבריאות ברחבי העולם, והוא מציע אחסון ניתן להרחבה, משאבים חישוביים ואת היכולת להחליף רשומות רפואיות, לתמוך במערכות תמיכה בקבלת החלטות ולאפשר ניתוחי נתונים בריאותיים באמצעות הענן^1,2,3. עם שדרוג מערכות המידע של מוסדות בריאות רבים, המעבר לענן הפך עבורם לצעד חיוני כדי להעביר את נתוני הבריאות הרגישים השמורים במערכות מקומיות מיושנות אל הענן⁴. הגירה נכונה מובילה לאחזור נתונים קל יותר, להרצת פעולות באופן יעיל יותר ולתמיכה בניתוחים עם רמות גבוהות יותר של אינטליגנציה, אך במקביל, לא ניתן להתעלם מסיכוני אבטחה ופרטיות חמורים למדי הכרוכים בהעברת נתונים ממקום אחד למשנהו⁵.

שלב ההגירה הוא רגע פגיע ידוע במחזור החיים של הנתונים, מכיוון שנתוני בריאות מועברים באופן פעיל בין מערכות ורשתות מעצם טבעו של התהליך⁶. בנוסף, ארגונים עלולים להיות חשופים לאיומים כגון פריצה להרשאות גישה, גישה לא מורשית, יירוט נתונים, תכניות מניפולציה ואפילו אובדן נתונים במהלך שלב ההגירה^6,7. סביבות בריאות הן פחות חסונות מפני סיכונים אלו, כיוון שמידע על מטופלים הוא רגיש ביותר ולפיכך דורש את הרמה הגבוהה ביותר של עמידה בנורמות רגולטוריות ובאמצעי אבטחה^8,9. ללא זאת, לא ניתן להבטיח את סודיות הנתונים, את שלמותם ואת האחריות עליהם, אם זרימת העבודה של ההגירה אינה מאובטחת ואינה ניתנת לניטור^10,11.

מספר מסגרות ותקני אבטחה פותחו בניסיון לשפר את אבטחת הענן. לדוגמה, ארכיטקטורת ה-Zero Trust של המכון הלאומי לתקנים וטכנולוגיה (NIST) מתמקדת באימות מתמיד של משתמשים, התקנים ושירותים¹², בעוד שמסגרות לאימוץ ענן מספקות הנחיות בנושאי ממשל, ניהול זהויות, הצפנה וניטור¹³. למעשה, שיטות אבטחת ענן כיום מתמקדות באוטומציה, תשתית כקוד (infrastructure-as-code) וניטור רציף^14,15. בעוד שגישות אלו מבוססות על עקרונות אבטחה בעלי ערך, הן עוסקות במידה רבה בפריסה כללית של ענן ובסביבות תפעוליות, ולא בתהליך ההגירה עצמו¹⁶. למעשה, הן כמעט ואינן מציגות נהלים מפורטים, הניתנים לשחזור ובצעים שלב-אחר-שלב, לביצוע זרימות עבודה של הגירת נתוני ענן רפואיים מאובטחת, המשלבות ניהול זהויות, העברה מאובטחת של נתונים, תיקוף, ניטור והקשחה לאחר ההגירה¹⁷.

זיהוי חריגות באמצעות למידת מכונה (Machine learning anomaly detection) הוכר כטכנולוגיה מועילה לניטור אבטחה של סביבות ענן. הוא מזהה פעילות מערכת חריגה וכן אירועי אבטחה פוטנציאליים¹⁸. עם זאת, שיטות רבות לזיהוי חריגות הן מערכות סגורות שאינן מספקות הסברים על הרציונל העומד מאחורי סימון אירוע אבטחה¹⁹. חוסר היכולת להסביר החלטות שקיבלו המערכת מפחית את האמון של מנהלי המערכת, מקשה על ביצוע ביקורת ומקטין את ערכן של החלטות אבטחה אוטומטיות בסביבות בריאות רגולטוריות קפדניות²⁰. שיטות של בינה מלאכותית ניתנת להסבר (XAI), כגון SHapley Additive exPlanations (SHAP) ו-Local Interpretable Model-agnostic Explanations (LIME), לא רק מספקות הסברים ברורים לתחזיות של למידת מכונה, אלא גם משפרות את ההבנה, האחריות והביטחון במערכות לניטור אבטחה^21,22.

אף על פי שאבטחת ענן ובינה מלאכותית הניתנת להסבר (explainable AI) התקדמו בצעדי ענק, עדיין קיים מחסור בפרוטוקולים ניסויים הניתנים לשחזור המשלבים בקרות הגירה מאובטחות עם ניטור אבטחה ניתן להסבר לצורכי אינטגרציה²³. מחקרים קיימים מתמקדים ברובם ברכיבים בודדים בלבד, כגון הצפנה, בקרת גישה, זיהוי חריגות או ממשל ענן, ושום מקור אינו מציע מתודולוגיה משולבת שניתן ליישם, להעריך ולשחזר באופן שיטתי²⁴. מעבר לכך, כמעט ואין מחקרים שניסו לאחד עקרונות אבטחה של אמון אפס (zero-trust), הרשאה מינימלית זמנית (temporal least privilege), יכולת צפייה מרכזית וזיהוי חריגות ניתן להסבר לכדי זרימת עבודה אחת להגירת ענן בתחום הבריאות^25,26.

מאמר זה מציג מסגרת מבוססת AI הסברי (Explainable AI) להגירה מאובטחת של נתוני ענן במערכות בריאות כדי למלא חלל זה. הארכיטקטורה המוצעת משתמשת במודל אפס-אמון (zero-trust), גישה מוגבלת בזמן, תקשורת מאובטחת, רישום וניטור מרכזיים, וזיהוי אנומליות הסברי מבוסס SHAP בתהליך הגירה מסודר^27,28. הפרוטוקול מהווה מדריך שלב-אחר-שלב להטמעה, ניטור והערכה של הגירה מאובטחת של נתוני בריאות תחת תנאים ניסיוניים. באמצעות שילוב של בקרות אבטחה עם ניטור הסברי מבוסס AI, מסגרת זו שואפת להעלות את רמת השקיפות, היכולת לביקורת והאבטחה לאורך כל מחזור חיי ההגירה^29,30.

פרוטוקול

במחקר זה נעשה שימוש במערך נתונים סינתטי לחלוטין של שירותי בריאות, שנוצר לצורך הערכה ניסויית של הגירה מאובטחת של נתונים לענן. לא נעשה שימוש בנתוני חולים אמיתיים, במידע בריאותי מוגן (PHI) או ברשומות רפואיות שניתן לזהותן. לפיכך, לא נדרשו אישור של ועדת אתיקה מוסדית (IRB) או הסכמה מושכלת. כל החומרים ששימשו במחקר זה מופיעים בטבלת החומרים.

1. סקירה כללית

1. הגדירו סביבת הגירה מאובטחת לענן המורכבת משכבת מקור, שכבת מומחרי הגירה (migration hub), שכבת יעד, שכבת רשת, שכבת ניהול זהויות וגישה, שכבת ניטור (observability) ושכבת בינה מלאכותית הניתנת להסבר (explainable AI).
2. הטמיעו את כל הרכיבים בתוך סביבות ענן מבודדות לתמיכה בהגירה מאובטחת של נתוני בריאות. הכינו ערוצי תקשור מקודדים בין כל רכיבי המערכת.
3. בצעו את הפרוטוקול באמצעות הכנת מערכי נתונים, הגדרת סביבה, פריסת ארכיטקטורה, הגירה מאובטחת, ניטור חריגות ותיקוף לאחר הגירה. הארכיטקטורה הכוללת של מסגרת הגירת נתוני ענן מאובטחת המונחית על ידי בינה מלאכותית הניתנת להסבר מוצגת ב-איור 1.

איור 1: ארכיטקטורה כוללת של מסגרת הגירת נתונים מאובטחת לענן המבוססת על בינה מלאכותית הניתנת להסבר (XAI) עבור מערכות בריאות. המסגרת מורכבת משכבת ניהול זהויות וגישה, שכבת מסד נתוני המקור, שכבת מרכז ההגירה, שכבת מסד נתוני הענן של היעד, שכבת אבטחת רשת, שכבת ניטור (observability), שכבת ניטור בינה מלאכותית הניתנת להסבר, ושירותי אבטחה וממשל רוחביים. הארכיטקטורה משלבת בקרת גישה זמנית של הרשאה מינימלית, תקשורת מוצפנת ב-TLS 1.3, אימות שלמות מבוסס checksum, ניטור אבטחה רציף, והסביריות מבוססת SHAP כדי לספק הגירה מאובטחת, שקופה ו可-שחזרת של מסדי נתונים של מערכות בריאות. איור זה נוצר על ידי המחברים באמצעות Microsoft PowerPoint (Microsoft 365). אנא לחצו כאן כדי לצפות בגרסה מורחבת של איור זה.

2. הגדרת סביבת המחשוב

1. הגדרת סביבת המחשוב
   1. הכינו את המשאבים החישוביים הנדרשים להגירה מאובטחת של נתונים לענן ולניטור מבוסס בינה מלאכותית ניתנת להסבר (explainable AI).
   2. התקינו והגדירו את כל החומרה, התוכנה, שירותי הענן, מאגרי הנתונים, כלי האבטחה וספריות הלמידה המכונה המופיעים ב- טבלת חומריםיש לוודא שכל הרכיבים הנדרשים תקינים ומפעילים לפני תחילת ניסוי הנדידה.
2. הגדרת סביבת הענן
   1. הקימו סביבת ענן מאובטחת להגירת נתוני בריאות. הגדירו VPC פרטי לתקשורת רציפה בין מערכות המקור, מרכז ההגירה (migration hub) ומערכות היעד. השתמשו בהצפנה חזקה, לא רק בעת אחסון הנתונים, אלא גם בעת העברתם.
   2. הכינו את מסד הנתונים של היעד ואת שירותי ההגירה בהתאם לפרטים המוזכרים ב- טבלת חומרים.
3. הגדרת ניהול זהויות וגישה. הגדרת שירותי ניטור ותיעוד (logging).

3. הכנה ותיאור של מערך הנתונים

1. ייצרו מערך נתונים סינתטי של שירותי בריאות באמצעות ספריית ה-Faker של Python המופיעה בטבלת החומרים. הגדירו מאפיינים דמוגרפיים, כולל גיל המטופל, מין, מוצא אתני ומיקום גיאוגרפי, תוך שימוש בהפצות הסתברותיות שהוגדרו מראש.
2. ייצרו מידע קליני, כולל אבחנות, תוצאות מעבדה, תרופות, אלרגיות, פרוצדורות ואשפוזים בבית החולים, תוך שימור מערכות יחסים קליניות ריאליסטיות.
3. ייצרו מפגשים ארוכי טווח של מטופלים על ידי הקצאת ביקורים מרובים למטופלים בודדים, בהתאם להפצות של תדירות ביקורים שהוגדרו מראש.
4. ייצרו חותמות זמן עבור אשפוזים, בדיקות מעבדה, מתן תרופות, סיכומי שחרור ויומני ביקורת (audit logs) באמצעות סדר אירועים כרונולוגי.
5. הכניסו ערכים חסרים ריאליסטיים מבחינה קלינית, רשומות כפולות ותצפיות חריגות (outliers) בהתאם להפצות איכות נתונים שהוגדרו מראש.
6. החליפו את כל המידע המזהה באופן אישי בערכים סינתטיים שנוצרו באמצעות ספריית ה-Faker. בצעו תיקוף של שלמות רפרנציאלית ועקביות לוגית לפני ייצוא מערך הנתונים. ייצאו את מערך הנתונים המתוקף בפורמט SQL התואם ל-PostgreSQL. הגדירו את מערך הנתונים כך שיתמוך בתרחישי הגירה ריאליסטיים של נתוני בריאות. המאפיינים של מערך הנתונים שנוצר מסוכמים בטבלה 1.
7. הגדירו קשרי מסד נתונים. הגדירו את Patient_ID כמפתח ראשי (primary key) עבור טבלת המטופלים. הגדירו קשרי מפתח זר (foreign-key) בין טבלאות המטופלים, הביקורים, המעבדה, התרופות ויומני הביקורת. ודאו את השלמות הרפרנציאלית בכל הטבלאות לפני תחילת ההגירה.
8. סמולצו מאפיינים ריאליסטיים של נתוני בריאות. ייצרו גילאי מטופלים באמצעות התפלגות נורמלית. ייצרו תדירויות ביקורים באמצעות התפלגות פואסון. הכניסו ערכים חסרים בשיעור של 5% כדי לסמולץ חוסר שלמות המאפיין רשומות רפואיות אלקטרוניות (EHR) בעולם האמיתי. החליפו את כל מזהי המטופלים בערכים מוצפנים (hashed values) לפני ההגירה. ודאו שכל הרשומות שנוצרו תואמות לאילוצי הסכמה שהוגדרו מראש.
9. תקפו את מערך הנתונים שנוצר על ידי בדיקת עקביות הסכמה, שלמות רפרנציאלית, ערכים חסרים, רשומות כפולות ואילוצי איכות שהוגדרו מראש לפני ההגירה.

פרמטר	ערך
סוג מערך הנתונים	מערך נתונים סינתטי של תיקים רפואיים אלקטרוניים (EHR)
גודל מערך הנתונים	10 GB
סה"כ רשומות	20 מיליון
מספר טבלאות	5 טבלאות ליבה- 28 טבלאות רלציוניות
רשומות מטופלים	5,000,000
רשומות ביקורים	10,000,000
תוצאות מעבדה	4,000,000
רשומות תרופות	3,000,000
יומני ביקורת	5,000,000
מפתח ראשי	Patient_ID
שיעור ערכים חסרים	5%
התפלגות גילים	התפלגות נורמלית
תדירות ביקורים	התפלגות פואסון
סף שלמות	<0.1% הפרות

טבלה 1: מאפייני מערך הנתונים הסינתטי של שירותי הבריאות ששימש לתיקוף הפרוטוקול. הטבלה מספקת סקירה כללית של מערך הנתונים, כגון גודל בסיס הנתונים, מספר הטבלאות הרלציוניות, סך הרשומות, מאפייני חולה, משתנים קליניים ומאפייני תיקוף לשחזור ניסויי ההגירה המאובטחת.

4. פריסת ארכיטקטורת המערכת

1. הטמיעו את ארכיטקטורת ההגירה המאובטחת לענן, המורכבת משכבת המקור, שכבת מוקד ההגירה, שכבת היעד, שכבת אבטחת הרשת, שכבת הנראהות (observability) ושכבת הבינה המלאכותית ההסברית (explainable AI). ארכיטקטורת המערכת שהוטמעה במחקר זה מומחשת באיור 2.
2. המסגרת מורכבת משיש שכבות עבודה, אשר במהלך תהליך ההגירה ממלאות את תפקידן אחת אחרי השנייה. השכבה הראשונה, שכבת המקור, היא זו המכילה את מסד הנתונים הסינתטי של שירותי הבריאות.
3. מוקד ההגירה הוא הגוף האחראי על חילוץ הסכימה, העברת נתונים מוצפנת, אימות שלמות ותזמור ההגירה. שכבת היעד היא המקום שבו מסד הנתונים שהועבר מאוחסן ב-Amazon RDS PostgreSQL.
4. שכבת אבטחת הרשת היא זו המאבטחת את כל התקשרויות באמצעות נקודות קצה פרטיות של VPC, הצפנת TLS 1.3, קבוצות אבטחה ורשימות בקרת גישה לרשת.
5. שכבת הנראהות היא זו האוספת באופן רציף לוגים של אימות, לוגים של הגירה, לוגים של פעילות מסד הנתונים ואירועי אבטחה בעזרת Amazon CloudWatch.
6. שכבת הבינה המלאכותית ההסברית היא זו המקבלת את הטלמטריה של האבטחה שנאספה, מעבירה אותה דרך אלגוריתם Isolation Forest ומפיקה הסברים מבוססי SHAP עבור האנומליות שנמצאו. כל שכבות הארכיטקטורה מתקשרות זו עם זו באמצעות ערוצי רשת פרטיים המאומתים לאורך כל זרימת העבודה של ההגירה.
7. הטמיעו ואמתו את סביבת מסד נתוני המקור כדי להבטיח גישה מאובטחת וזמינות נתונים לפני ההגירה.
   1. הקימו מסד נתונים PostgreSQL 16 עם מערך הנתונים הסינתטי של שירותי הבריאות. שמרו את פרטי המטופלים, פרטי הביקורים, תוצאות מעבדה, רישומי תרופות ולוגים של ביקורת במסד נתוני המקור.
   2. הגבילו את הגישה למסד הנתונים לשירותי הגירה מורשים ומשתמשי ניהול בלבד. אמתו את זמינות מסד הנתונים ואת הקישוריות לפני תחילת פעולות ההגירה.
8. הגדירו את מוקד ההגירה כדי לתאם חילוץ סכימה, העברת נתונים מוצפנת ותזמור הגירה.
   1. הטמיעו שרת הגירה ייעודי בתוך ענן פרטי וירטואלי (VPC) פרטי. הגדירו שירותי תזמור הגירה כדי לתאם פעילויות של חילוץ סכימה, העברת נתונים ואימות.
   2. הפעילו שירותי אימות סכימה כדי לוודא תאימות בין סביבת המקור לסביבת היעד. הפעילו שירותי אימות שלמות כדי לתקף נתונים שהועברו במהלך ואחרי ההעברה. אמתו את התקשורת בין מוקד ההגירה למערכות מסד הנתונים לפני ביצוע משימות ההגירה.
9. הטמיעו את שכבת היעד. הטמיעו Amazon RDS PostgreSQL 16 כסביבת מסד נתוני היעד. הפעילו שירותי גיבוי ושחזור אוטומטיים. הפעילו הצפנת AES-256 עבור נתונים המאוחסנים במסד נתוני היעד.
10. הגדירו אבטחת רשת. בטלו את כל כתובות ה-IP הציבוריות המשויכות למשאבי ההגירה. התירו תקשורת אך ורק דרך נקודות קצה פרטיות בתוך ה-VPC. הגדירו רשימות בקרת גישה לרשת (NACLs) וקבוצות אבטחה. הפעילו הצפנת TLS 1.3 עבור כל התקשרויות בין רכיבי המערכת. ודאו ששום נקודת קצה נגישה לציבור לא נותרה פעילה.
11. הגדירו ניטור מרכזי לאיסוף רציף של אירועי אבטחה, לוגי הגירה ומדדי ביצועי מערכת.
    1. הפעילו שירותי רישום וניטור של Amazon CloudWatch. אספו לוגים של אימות, לוגים של הגירה, לוגים של פעילות מסד נתונים ולוגים של אירועי אבטחה. הגדירו שמירת לוגים למשך 365 ימים. הפעילו אחסון לוגים בלתי ניתן לשינוי (immutable) לתמיכה בדרישות ביקורת ותאימות. אמתו איסוף מדדים בזמן אמת ויצירת התראות.
12. הגדירו את סביבת הבינה המלאכותית ההסברית לביצוע זיהוי אנומליות בזמן אמת ויצירת הסברי אבטחה ניתנים לפירוש.
    1. הטמיעו שירותי זיהוי אנומליות בתוך סביבת הניטור. הגדירו את מסגרת הבינה המלאכותית ההסברית לעיבוד טלמטריית אבטחה שנוצרה במהלך ההגירה. חברו זרמי טלמטריית אבטחה מהמקור, ממוקד ההגירה, ממסד נתוני היעד ומשירותי הניטור.
    2. הפעילו זיהוי אנומליות בזמן אמת ויצירת הסברים מבוססי SHAP. אמתו קליטה מוצלחת של נתוני טלמטריה לפני תחילת ניסויי ההגירה.

איור 2: ארכיטקטורת הפריסה של מסגרת הגירת הענן המאובטחת לשירותי בריאות. סביבת הפריסה ממחישה את מסד נתוני PostgreSQL המקורי המכיל את מערך נתוני הבריאות הסינתטיים, את מרכז ההגירה הייעודי בתוך ענן פרטי וירטואלי (VPC), את מסד נתוני היעד Amazon RDS PostgreSQL, את שכבת אבטחת הרשת, את יכולת הניטור המרוכז באמצעות Amazon CloudWatch ואת שכבת הניטור של בינה מלאכותית הניתנת להסבר (Explainable Artificial Intelligence). כל התקשרויות מתבצעות דרך נקודות קצה פרטיות המוגנות על ידי הצפנת TLS 1.3. איור זה נוצר על ידי המחברים באמצעות Microsoft PowerPoint (Microsoft 365). אנא לחצו כאן כדי להציג גרסה גדולה יותר של איור זה.

5. תהליך עבודה למעבר מאובטח

הערה: בצע את תהליך ההגירה המאובטח על ידי ביצוע מידול איומים, העברת סכימה, הגירת נתונים מאובטחת, אימות ההגירה והקשחה לאחר ההגירה.

1. זהו איומי אבטחה פוטנציאליים ומפה בקרות הפגה מתאימות לפני תחילת תהליך ההגירה.
   1. זהה נכסי הגירה, וקטורי תקיפה פוטנציאליים ותרחישי סייבר ריאליסטיים.  
   2. הערך גניבת אישורי גישה כתוצאה מאסימוני אימות פרוצים, תקיפות פנימיות הכוללות גישה ניהולית לא מורשית, תקיפות replay המכוונות לבקשות אימות שנתפסו בעבר, תקיפות man-in-the-middle (MITM) המנסות ליירט ערוצי תקשורת מוצפנים, שינוי סכימה (schema tampering) שנועד לשנות מבני בסיסי נתונים במהלך ההגירה, ותקיפות של העלאת הרשאות (privilege-escalation) שמטרתן השגת הרשאות ניהול לא מורשות.
   3. בדוק שניהול אישורי גישה זמניים עם מינימום הרשאות (temporal least-privilege) מספיק למניעת גניבת אישורי גישה ותקיפות העלאת הרשאות. ודא שתקשורת המוצפנת באמצעות TLS 1.3 מגנה מפני תקיפות replay ותקיפות man-in-the-middle.
   4. ודא שמדיניות ניהול זהויות וגישה (IAM) מונעת גישה ניהולית לא מורשית. ודא שרישום ביקורת (audit logging) רציף שומר תיעוד של כל פעילויות ההגירה הקשורות לאבטחה. ודא שבדיקה באמצעות SHA-256 checksum מסוגלת לזהות שינויים לא מורשים בסכימה או בנתונים.
   5. ודא שמסגרת זיהוי חריגות הניתנת להסבר (explainable anomaly detection framework) יכולה לאתר פעילויות הגירה חריגות וכן לספק הסברי אבטחה הניתנים לפירוש. הכן מפת בקרת אבטחה עבור כל איום שזוהה. ודא שכל האיומים שזוהו מופגהים כראוי לפני תחילת הגירת בסיס הנתונים. המחברים סיכמו את מודל האיומים ובקרות האבטחה ב-טבלה 2.
2. העבר את סכימת בסיס הנתונים. חלץ הגדרות סכימה מבסיס נתוני PostgreSQL המקורי. תיקף את תאימות הסכימה עם סביבת בסיס הנתונים היעד. ודא את מבני הטבלאות, מפתחות ראשיים, מפתחות זרים, אינדקסים ואילוצים. פרוס את הגדרות הסכימה המותקפות לבסיס נתוני היעד. אשר פריסה מוצלחת של הסכימה לפני העברת הנתונים.
3. הגר נתוני בריאות באופן מאובטח דרך ערוצי תקשורת מוצפנים תוך ניטור רציף של פעילויות ההגירה.
   1. הגדר את גודל אצווה ההגירה ל-10,000 רשומות לטרנזקציה. הקם ערוצי תקשורת מוצפנים באמצעות TLS 1.3. העבר נתונים דרך נקודות קצה של רשת פרטית בתוך הענן הפרטי הווירטואלי (VPC).
   2. אפשר ניסיונות חזרה אוטומטיים עם מקסימום שלושה ניסיונות עבור טרנזקציות שנכשלו.
      שמר קצב העברת נתונים בין 100 MB/s ל-150 MB/s. נטר פעילויות הגירה באופן רציף לאורך תהליך ההעברה. רשום את כל אירועי ההגירה ביומני ביקורת מרכזיים.
4. ודא את שלמות והושלמה ההגירה על ידי השוואת checksums, ספירת רשומות ומבני בסיס נתונים.
   1. ייצר ערכי SHA-256 hash עבור כל טבלאות המקור לפני ההגירה, וערכי SHA-256 hash עבור כל טבלאות היעד לאחר ההגירה. התאם בין ערכי ה-checksum של המקור והיעד. בצע הצלבה של ספירת השורות עבור בסיסי נתוני המקור והיעד. בדוק את העקביות של הסכימות, קשרי הטבלאות ואילוצי בסיס הנתונים. התייחס להגירה כמוצלחת רק כאשר ערכי ה-checksum, ספירת הרשומות ומבני הסכימה זהים.
5. הסר הרשאות זמניות וסכם את בקרות האבטחה לאחר השלמה מוצלחת של הגירת הנתונים.
   1. בטל את כל אישורי ההגירה הזמניים מיד לאחר השלמת ההגירה. הסר הרשאות הגירה מוגברות מחשבונות שירות. ארכב יומני ביקורת ורשומות ניטור אבטחה.
   2. ודא השלמה מוצלחת של נהלי הגיבוי. הוצא משימוש שרתי הגירה זמניים ומשאבים תומכים. בצע סקירת אבטחה סופית של הסביבה שהוגרה. תיק את תוצרי ההגירה ותוצאות התיקוף. זרימת העבודה המלאה להגירה מאובטחת שנעשה בה שימוש במחקר זה מומחשת ב-איור 3.

תרחיש איום	בקרת אבטחה	שיטת זיהוי	מניעה/הפחתה
גניבת הרשאאות (Credentials)	הרשאת מינימום זמנית (TLP)	יומני IAM	ביטול הרשאות אוטומטי
מתקפת גורם פנימי	בקרת גישה מבוססת תפקידים (RBAC)	יומני ביקורת + SHAP	סיום סשן
מתקפת השחזר (Replay attack)	TLS 1.3 + אימות Nonce	ניטור רשת	דחיית בקשות כפולות
מתקפת "אדם באמצע" (MITM)	הצפנת TLS 1.3	אימות תעודות	תקשורת מוצפנת
שינוי זדוני של הסכמה (Schema tampering)	סכום ביקורת SHA-256 + אימות סכמה	אימות שלמות	שחזור סכמה מאושרת
הסלמת הרשאאות	אכיפת מדיניות IAM	יומני אבטחה	ביטול הרשאאות

טבלה 2: מודל איומים ואמצעי אבטחה תואמים שננקטו במסגרת ההגירה המוצעת. הטבלה מפרטת את איומי האבטחה המייצגים העיקריים ואת מנגנוני ההפגעה התואמים להם, המבוססים על עקרונות אבטחה של אמון-אפס (zero-trust), הצפנה, ניהול זהויות, אימות שלמות, ניטור וזיהוי חריגות ניתן להסבר.

איור 3: זרימת העבודה של פרוטוקול הגירת מסד נתונים מאובטח בענן המוצע. הפרוטוקול מורכב משבעה שלבים רצופים: מידול איומים, העברת סכימה, הגירה מאובטחת של מסד הנתונים, תיקוף הנתונים שהגירה, הקשחה לאחר הגירה, רישום ביקורת וארכוב, והשלמת ההגירה. ניטור אבטחה, תקשורת מוצפנת, ניהול זהויות, רישום בלתי ניתן לשינוי וזיהוי חריגות ניתן להסבר מתוחזקים לאורך כל זרימת העבודה של ההגירה. איור זה נוצר על ידי המחברים באמצעות Microsoft PowerPoint (Microsoft 365). אנא לחצו כאן כדי לצפות בגרסה גדולה יותר של איור זה.

6. הגדרת ניטור בינה מלאכותית ניתנת להסבר (explainable AI)

הערה: מתווה התהליך הוא: זיהוי מאפייני אבטחה של הגירה, בניית מודל לזיהוי אי-סדירויות, זיהוי מקרים שבהם פעולות הגירה הן חשודות, והפקת תוצאות הניתנות להסבר באמצעות שיטות פרשנות של SHAP.

1. חלץ ועבד מקדימה מאפייני טלמטריית אבטחה הנדרשים לזיהוי חריגות ולניתוח נסבירות.
   1. יש לאסוף לוגים של אבטחה משרתי מסדי נתונים, שרתי אימות, שרתי אפליקציות ומערכות ניטור רשת. יש לאגregate את כל האירועים הקשורים להגירה למאגר לוגים מרכזי. יש להסיר רשומות כפולות ורשומות חסרות. יש לסנכרן את חותמות הזמן בכל מקורות הלוגים באמצעות זמן אוניברסלי מתואם (UTC).
   2. חשב את תדירות הגישה עבור כל משתמש במהלך פעולות ההגירה. רשום את מספר ניסיונות ההתחברות שנכשלו המשויכים לכל חשבון. נטר changes בכתובות ה-IP של המקור לאורך סשני ההגירה.
   3. מדוד את משך מפגש המשתמש מהחלת ההתחברות ועד לסיומו. חשב את נפחי העברת הנתונים הנכנסים והיוצאים במהלך פעילויות ההגירה. נרמל את כל המאפיינים שהוצאו באמצעות נרמול Min-Max.
   4. טבלה 3 מסכם את מאפייני האבטחה המשמשים לזיהוי חריגות (anomaly detection) ולניתוח יכולת הסבר (explainability analysis).
2. אמן ותקף את מודל ה-Isolation Forest באמצעות מערך הנתונים המוכן של מאפייני האבטחה.
   1. חלקו את מערך הנתונים. חלקו את מערך הנתונים באופן אקראי לקבוצת אימון (70%), קבוצת תיקוף (15%) וקבוצת בדיקה (15%). שמרו על התפלגות עקבית של אירועים נורמליים וחריגים בכל תתי-הקבוצות.
   2. בחירת מודל בינה מלאכותית ניתנת להסבר (Explainable AI). בחרו באלגוריתם Isolation Forest מכיוון שהוא מזהה ביעילות פעילויות נדידה חריגות ללא צורך בנתוני אימון מתויגים. השתמשו באלגוריתם כדי לבודד תצפיות חריגות באמצעות חלוקה רנדומית רקורסיבית של מרחב המאפיינים. 
   3. יש להשתמש ב-SHAP TreeExplainer כדי לכמת את תרומתם של כל מאפייני האבטחה לחיזוי האנומליות ולשפר את השקיפות של תהליך ניטור האבטחה.
   4. הגדר את מודל זיהוי האנומליות. אתחל מודל Isolation Forest. הגדר את המודל באמצעות הפרמטרים המפורטים ב- טבלה 4.
   5. הגדירו את הניסוח המתמטי המשמש לחישוב ציוני אנומליות והסבירו את תרומת המאפיינים.
      1. הגדירו את וקטור תכונות האבטחה עבור כל אירוע נדידה כפי שמוצג במשוואה 1.
         נראה כי לא סיפקת טקסט לתרגום. אנא הזן את הטקסט באנגלית שברצונך לתרגם לעברית._אני = [נראה שהטקסט למסירה חסר. אנא ספק את הטקסט באנגלית שברצונך לתרגם לעברית.₁ , נראה שהטקסט למסירה חסר. אנא ספק את הטקסט באנגלית שברצונך לתרגם לעברית.₂, נא לספק את הטקסט באנגלית שברצונך לתרגם לעברית.₃, נראה שהטקסט למסירה ריק או מכיל רק את התו "x". אנא ספק את הטקסט באנגלית שברצונך לתרגם, ואבצע את התרגום המדעי המקצועי לעברית בהתאם להנחיות.₄, נראה כי לא סיפקת טקסט למסמך למסמך התרגום. אנא שלח את הטקסט באנגלית שברצונך לתרגם לעברית.₅ ] (1)
         שם x₁ מציין את תדירות הגישה, x₂ מסמן את מספר ניסיונות ההתחברות שנכשלו, x₃ מציין את תדירות שינוי כתובת ה-IP, x₄ מציין את משך המפגש, ו-x₅ מציין את נפח העברת הנתונים.
      2. חלץ את מאפייני האבטחה מיומני ההגירה. נרמל את כל ערכי המאפיינים לפני אימון המודל. חשב את מדד חריגות ה-Isolation Forest עבור כל אירוע הגירה באמצעות משוואה 2.
             (2)
         איפה S(X,n)() מציין את ציון האנומליה של תצפית X, X מציין את וקטור מאפייני האבטחה, (E(h(X הוא אורך המסלול הצפוי של תצפית X, (c(n הוא אורך המסלול הממוצע של חיפושים שלא הצליחו בעץ חיפוש בינארי, ו-n הוא המספר הכולל של דגימות האימון. מקדם הנורמליזציה מחושב כפי שמוצג במשוואה 3.
            (3)
         כאשר H(n-1) מייצג את המספר ההרמוני ה-(n-1). 
      3. סווג אירועי נדידה עם ציוני אנומליה הגבוהים מסף ההחלטה שהוגדר מראש כאנומליים.
      4. יש להחיל את שיטת SHAP (SHapley Additive exPlanations) כדי להסביר את תרומתה של כל תכונת אבטחה לניבוי האנומליה. חשב את ערך ה-SHAP עבור תכונה i באמצעות משוואה 4.
            (4)
         כאשר (F) מייצג את סט התכונות המלא, (S) מייצג תת-קבוצה של תכונות, ו-(f(.)) מייצג את פונקציית הניבוי של ה-Isolation Forest.
      5. חשב את חשיבות התכונות הגלובלית על ידי חישוב ערך ה-SHAP המוחלט הממוצע באמצעות משוואה 5.
             (5)
         כאשר (N) מייצג את המספר הכולל של אירועי נדידה.
      6. דרג את מאפייני האבטחה לפי ערכי ה-SHAP המוחלטים הממוצעים שלהם. הפק גרפי סיכום של SHAP, גרפי תלות וגרפי כוח כדי להציג חשיבות מאפיינים גלובלית ומקומית.
   6. אמן את מודל ה-Isolation Forest באמצעות מערך נתוני האימון. העריך את ביצועי המודל באמצעות מערך נתוני התיקוף. במידת הצורך, שנה את ספי ביעור הזיהום (contamination thresholds). שמור את תצורת המודל שהניבה את הביצועים הטובים ביותר. תקף את ביצועי המודל. קבע מדדים כגון דיוק (accuracy), דיוק חיובי (precision), רגישות (recall), מדד F1 ו-ROC-AUC. רשום את מדדי ביצועי המודל לצורך השוואה מאוחרת יותר.
3. יש להחיל את המודל המאומן כדי לזהות אירועי נדידה חריגים ולסווג פעילויות חשודות.
   1. בצעו חיזוי חריגות. החילו את מודל ה-Isolation Forest המאומן על מערך הנתונים לבדיקה. ייצרו ציוני חריגה עבור כל אירועי ההגירה.
   2. זהה פעילויות חשודות. קבע אם אירועי נדידה הם טיפוסיים או חריגים. סמן כחשודים את אותם אירועים העולים על רמות חריגה שנקבעו מראש. הפק תיעוד חריגות לצורך בדיקה ביטחונית.
   3. השלמת תהליך זיהוי האנומליות מניבה ציוני אנומליות, מסווגת אירועי הגירה כנורמליים או כאנומליים, מודדת את יעילות הזיהוי באמצעות ניתוח ROC, ומזהה אנומליות אבטחה מרכזיות. דגימות של פלטיים שהופקו על ידי התהליך שתוכנן מוצגות ב- איור 4.
   4. סווגו את האנומליות שזוהו. חלקו את האנומליות לאנומליות אימות, אנומליות רשת, אנומליות הפעלה (session) ואנומליות העברת נתונים. שמרו את תוויות האנומליות לצורך ניתוח ההסבר.
   5. העריכו את ביצועי הגילוי. בדקו את אירועי האבטחה שתועדו עד כה. לאחר מכן, השתמשו בהם כנקודת ייחוס כדי להעריך את האנומליות שזוהו, וקבעו אילו מהן היו אנומליות אמיתיות. קבעו את שיעור גילוי האנומליות ואת שיעור הפוזיטיביים השגויים. תיעדו באופן רשמי את דיוק הגילוי על מנת לאפשר את שחזורה.
4. הפיקו הסברים מבוססי SHAP כדי לפרש את התרומה של מאפייני אבטחה פרטניים לחיזוי חריגות.
   1. הגדירו את סביבת ה-SHAP. טענו את מודל ה-Isolation Forest המאומן. אותתם (Initialize) את ה-SHAP TreeExplainer. ודאו את השילוב המוצלח בין המודל לזיהוי חריגות (anomaly detection) לבין מסגרת ההסבירות (explainability framework).
   2. בחר דגימות רקע. בחר באופן אקראי 1,000 דגימות מייצגות מתוך מערך נתוני האימון. השתמש בדגימות שנבחרו כמרכיב הרקע של ה-SHAP. חשב ערכי SHAP. חשב ערכי SHAP עבור כל האנומליות שזוהו. מדוד את תרומתן של תכונות בודדות לניבוי האנומליות. שמור את פלטי ה-SHAP לצורך ניתוח נוסף.
   3. צור הסברים גלובליים. צור תרשימי סיכום של SHAP המראים את חשיבות המאפיינים הכוללת. צור תרשימי עמודות של SHAP המבוססים על ערכי SHAP מוחלטים ממוצעים. הפק תרשימי תלות של SHAP עבור מאפיינים בעלי השפעה גבוהה.
   4. ייצרו הסברים מקומיים. בחרו אירועי נדידה חריגים מייצגים. צרו תרשימי כוח (force plots) ותרשימי מפלי (waterfall plots) של SHAP. הדמיפו ויזואלית את תרומות המאפיינים האחראיות לכל חריגה.
   5. תוצרי הסביריות מייצגים שהופקו במהלך תהליך הפרשנות מוצגים ב- איור 5ויזואליזציות אלו מדגימות חשיבות גלובלית של מאפיינים, דירוגי תרומה של מאפיינים, קשרי תלות בין מאפייני אבטחה משפיעים והסברים מקומיים עבור אנומליות הגירה בודדות.
   6. דרגו את מאפייני האבטחה. חשבו את ערכי ה-SHAP המוחלטים הממוצעים עבור כל המאפיינים. דרגו את המאפיינים בהתאם לתרומתם לזיהוי חריגות (anomaly detection). זהו את מדדי האבטחה המשפיעים ביותר על אבטחת ההגירה. טבלה 5 מסכם את דירוגי חשיבות המאפיינים המבוססים על SHAP.
   7. אששו את עקביות ההסברים. חזרו על ניתוח SHAP בחמישה הרצות ניסיוניות בלתי תלויות. מדדו את יציבות ועקביות ההסברים. ודאו שדירוג המאפיינים נותר יציב בניתוחים חוזרים.
      הערה: טבלה 6 מספק בעיות נפוצות המကြעות במהלך זיהוי חריגות ניתן להסבר (explainable anomaly detection) ופעולות מתקנות מומלצות.

מאפיין	תיאור	מטרה
תדירות גישה	מספר בקשות הגישה של משתמשים במהלך ההגירה	זיהוי התנהגות גישה חריגה
מספר כניסות כושלות	מספר ניסיונות אימות שלא הצליחו	זיהוי ניסיונות כניסה לא מורשים או התקפות brute-force
שינויים בכתובת IP	תדירות השינויים בכתובת ה-IP של המקור	זיהוי התנהגות רשת חשודה
משך הסשן	אורך סשני המשתמשים במהלך ההגירה	זיהוי פעילויות סשן חריגות
נפח העברת נתונים	כמות הנתונים שהועברו במהלך ההגירה	זיהוי תנועת נתונים חריגה או זליגת נתונים

טבלה 3: מאפייני טלמטריה של אבטחה המשמשים לזיהוי חריגות ניתן להסבר. הטבלה מציגה את מאפייני האבטחה שנוטרו במהלך הגירת מסד הנתונים, את משמעויותיהם, את הדרכים שבהן הם נמדדו, וכיצד הם סייעו בזיהוי חריגות ובניתוח ההסביריות.

פרמטר	ערך	תיאור
אלגוריתם	יער בידוד (Isolation Forest)	מודל לזיהוי חריגות
מספר האומנים (n_estimators)	100	מספר עצי בידוד
זיהום	0.02	פרופורציית חריגות צפויה
מספר דגימות מקסימלי	אוטומטי	דגימות שנעשה בהן שימוש לכל עץ
מצב אקראיות (random_state)	42	גרעין לשחזור (Reproducibility seed)
בוטסטראפ (bootstrap)	שקר	דגימה ללא החזרה
סט אימון	70%	נתוני אימון של המודל
ערכת תיקוף	15%	תיקוף היפר-פרמטרים
סט בדיקה	15%	הערכה סופית של המודל

טבלה 4: תצורת ה-Isolation Forest ששימשה לזיהוי חריגות במהלך הגירה מאובטחת של מסדי נתונים. טבלה זו מפרטת את הגדרות ההיפר-פרמטרים של מודל ה-Isolation Forest לאימון, כגון האופן שבו פולח מערך הנתונים, רמת הזיהום (contamination), מספר האומדנים (estimators), ה-seed האקראי ומערך ההערכה.

איור 4: תוצאות מייצגות של מסגרת זיהוי החריגות במהלך הגירה מאובטחת של נתוני ענן. (A) התפלגות ציוני חריגות של Isolation Forest המראה את סף החריגות. (B) סיווג של אירועי הגירה לקטגוריות נורמליות וחריגות. (C) עקומת מאפייני מקלט (ROC) המדגימה את ביצועי מודל ה-Isolation Forest (AUC = 0.97 ± 0.01). (D) אירועי הגירה חריגים מייצגים המראים ציוני חריגות, תוויות חזויות, מאפייני אבטחה משפיעים וקטגוריות חריגות. איור זה הופק על ידי המחברים באמצעות Python 3.11 (Matplotlib 3.9) ועוצב באמצעות Microsoft PowerPoint (Microsoft 365). אנא לחץ כאן להצגת גרסה גדולה יותר של איור זה.

איור 5: דוגמאות לפלטים של הסביריות מבוססת SHAP שהופקו במהלך פירוש חריגות. (A) גרף סיכום SHAP המדגיש את התכונות החשובות ביותר ברמה הגלובלית. (B) דירוג של תכונות אבטחה בהתבסס על ערך ה-SHAP המוחלט הממוצע שלהן. (C) גרפי תלות SHAP המדגימים כיצד מספר הכניסות שנכשלו ונפח העברת הנתונים משפיעים על חיזוי החריגות. (D) גרף כוח SHAP המספק הסבר מקומי לאירוע הגירה חריג טיפוסי. תרשימים אלו מדגימים את יכולת הפירוש הגלובלית והמקומית של מודל זיהוי החריגות המוצע. איור זה הופק על ידי המחברים באמצעות Python 3.11 (Matplotlib 3.9) ועוצב באמצעות Microsoft PowerPoint (Microsoft 365). אנא לחצו כאן להצגת גרסה גדולה יותר של איור זה.

דירוג	מאפיין	ערך SHAP מוחלט ממוצע	פרשנות
1	מספר ניסיונות התחברות שנכשלו	0.352	המדד המשפיע ביותר על פעילות חריגה
2	נפח העברת נתונים	0.287	תורם משמעותי לזיהוי חריגות
3	שינויים בכתובת IP	0.221	מעיד על התנהגות רשת חשודה
4	משך הסשן	0.184	קשור לסשנים חריגים של משתמשים
5	תדירות גישה	0.156	משקף דפוסי גישה לא שגרתיים

טבלה 5: ציוני חשיבות מאפיינים של SHAP עבור נתוני טלמטריה של אבטחה. הטבלה מציגה את דירוג מאפייני האבטחה על פי ערכי ה-SHAP המוחלטים הממוצעים שלהם ומתארת את תרומתם המסייעת לחיזוי אנומליות.

בעיה	סיבה אפשרית	פתרון מומלץ
מספר מועט של אנומליות שזוהו	פרמטר זיהום נמוך מדי	העלה את סף הזיהום ואמן מחדש את המודל.
שיעור גבוה של חיוביים שגויים	יומני הגירה רועשים או לא עקביים	נקה את נתוני היומן ונרמל את מאפייני האבטחה לפני אימון המודל.
הסברי SHAP לא יציבים	מדגמי רקע לא מספיקים	העלה את מספר מדגמי הרקע המייצגים המשמשים את SHAP.
דיוק נמוך בזיהוי אנומליות	חוסר איזון במאפיינים או עיבוד מקדמי לא מספק	בצע נרמול מאפיינים, איזון והליכי בקרת איכות.
התכנסות איטית של המודל	סט נתונים גדול או משאבי מחשוב מוגבלים	בצע אופטימיזציה להיפר-פרמטרים או השתמש ב-GPU/עיבוד מקבילי.
כבלי תקשורת/כשלים בתקשורת	חוסר יציבות של הרשת במהלך הניטור	אמת ערוצי תקשורת מאובטחים וחזור על הסנכרון.
מאפייני אבטחה חסרים	איסוף יומנים לא מלא	אמת את מקורות היומנים לפני חילוץ המאפיינים והפק 다시 את סט נתוני המאפיינים.

טבלה 6: מדריך לפתרון בעיות בהגירה מאובטחת של בסיסי נתונים המבוססת על בינה מלאכותית ניתנת להסבר (Explainable Artificial Intelligence). טבלה זו מספקת סיכום של בעיות יישום טיפוסיות, סיבות אפשריות, סימנים אבחנתיים, פעולות מומלצות ותוצאות צפויות כתוצאה מביצוע הפרוטוקול והשחזרתו.

7. הערכת ביצועים

הערה: סעיף זה מתאר את ההליך הניסיוני ששימש להשוואה בין תשתית ההגירה הבסיסית לבין תשתית ההגירה המוצעת, המבוססת על בינה מלאכותית ניתנת להסבר (Explainable AI) במודל Zero-Trust. הערכת הביצועים כוללת אבטחה, יכולת זיהוי חריגות, יעילות הגירה ותיקוף סטטיסטי תחת תנאים ניסיוניים זהים.

1. הגדירו הן את סביבת הבסיס והן את הסביבה המוצעת תחת תנאים זהים, על מנת לאפשר השוואה הוגנת של הביצועים.
   1. הגדירו את סביבת ההגירה (migration) הקונבנציונלית. הגדירו אישורי גישה סטטיים ארוכי טווח עם תקופת תוקף העולה על 24 שעות. הפעילו נקודות קצה (endpoints) של רשת ציבורית לצורך גישה למסד הנתונים. בטלו את מנגנוני זיהוי חריגות והסברות מבוססי בינה מלאכותית (AI). נטרו את פעילויות ההגירה באופן ידני באמצעות יומני אבטחה קונבנציונליים. תיעדו אירועי הגירה לצורך השוואת ביצועים לאחר מכן.
   2. הגדר את מסגרת המעבר ל-Zero-Trust. הפעל הרשאות זמניות של מינימום פריבילגיות (temporal least-privilege credentials) עם פקיעה אוטומטית לאחר השלמת המעבר. בטל את כל נקודות הקצה של הרשת הציבורית. הפעל תקשורת רשת פרטית באמצעות ערוצים מאובטחים.
   3. יש לפרוס את מודל זיהוי האנומליות Isolation Forest המאומן. יש להפעיל את SHAP TreeExplainer לצורך פרשנות המודל. הגדירו ניטור אבטחה אוטומטי לאורך תהליך ההגירה. ודאו כי התקשורה בין כל רכיבי ההגירה מאובטחת לפני הביצוע.
2. בצעו ניסויי נדידה חוזרים תחת תנאים מבוקרים כדי להעריך את הדירות (reproducibility) של המסגרת.
   1. בצעו ניסוי נדידה. ערכו עשרה ניסויי נדידה עצמאיים הן עבור סביבת הבסיס והן עבור הסביבה המוצעת. שמרו על תצורות חומרה, תוכנה ורשת זהות לאורך כל הניסויים.
   2. העבירו 10 GB של נתוני בריאות במהלך כל הרצה ניסיונית. חזרו על כל הניסויים תחת תנאי עומס עבודה זהים. תיעדו אירועי אבטחה, יומני העברה, פלטי זיהוי חריגות וזמני ביצוע במהלך כל ניסוי.
   3. אששו את תקינות ההגירה. חשבו סכומי ביקורת (checksums) מסוג SHA-256 לפני ואחרי ההגירה. ודאו את שלמות הנתונים במלואם לאחר כל ניסוי הגירה. תיעדו את תוצאות אישוש סכומי הביקורת.
3. חשב מדדי אבטחה כמותיים, הגירה וזיהוי חריגות לצורך הערכה השוואתית.
   1. מדוד ביצועי אבטחה. מדוד את משך זמן החשיפה של נתוני הזיהוי. חשב את מספר נתוני הזיהוי שנחשפו במהלך ההגירה. מדוד את זמן זיהוי האירוע. תיעד את משך זמן החשיפה לרשת ציבורית.
   2. הערך את ביצועי זיהוי האנומליות. חשב את הדיוק (accuracy), הדיוק החזוי (precision), הרגישות (recall), מדד F1 ואת השטח תחת עקומת מאפייני תפקודי המקלט (AUC). הערך את ביצועי המיגרה. מדוד את השהיית המיגרה הכוללת וחשב את תפוקת המיגרה. רשום את תקורה התקשורתית שנוצרה כתוצאה ממנגנוני האבטחה.
   3. בצעו תיקוף סטטיסטי. חשבו את הממוצע ואת סטיית התקן עבור כל מדדי הביצוע. חשבו רווחי סמך של 95%. בצעו מבחני t של Student למדגמים מזווגים כדי להשוות בין מסגרת הבסיס (baseline) למסגרות המוצעות. קבעו מובהקות סטטיסטית בערך p < 0.05. תוצאות מייצגות של הערכת ביצועים שהופקו במהלך ההשוואה הניסויית מוצגות ב- איור 6.
   4. טבלה 7 מסכם את השוואת הביצועים הכמותית בין קו הבסיס לבין מסגרת ההגירה המוצעת.
      טבלה 8 מסכם בעיות יישום נפוצות שנתקלו במהלך הגירה מאובטחת של מסדי נתונים, את סיבבם האפשרי ואת פעולות התיקון המומלצות.

איור 6: השוואת ביצועים בין מסגרת ההגירה הבסיסית (baseline) לבין מסגרת ההגירה לענן מאובטחת המוצעת, המבוססת על zero-trust ו-AI הניתן להסבר. (A) השוואה של משך חשיפת אישורי גישה באמצעות אישורי הרשאה מינימלית (least-privilege) ארוכי טווח וזמניים. (B) השוואה של מדדי ביצועים לזיהוי חריגות, כולל accuracy, precision, recall, F1-score ו-AUC. (C) השוואה של השהיית ההגירה בעשר הרצות ניסויים עצמאיות, המראה כי העלייה בהשהיה נותרה מתחת לסף הקבלה שהוגדר מראש. (D) השוואה סטטיסטית של מדדי ביצועים מרכזיים באמצעות מבחני t של Student מזווגים, המראה הבדלים בממוצעים ומרווחי סמך של 95%. פסי השגיאה מייצגים מרווחי סמך של 95% מעשר הרצות ניסויים עצמאיות. איור זה הופק על ידי המחברים באמצעות Python 3.11 (Matplotlib 3.9) ועוצב באמצעות Microsoft PowerPoint (Microsoft 365). אנא לחצו כאן כדי להציג גרסה גדולה יותר של איור זה.

מדד ביצועים	מסגרת בסיס (Mean ± SD)	המסגרת המוצעת (Mean ± SD)	שיפור	רווח בר-סמך של 95%	p-value
משך חשיפת אישורי גישה (h)	24.70 ± 1.32	0.42 ± 0.18	הפחתה של 98.3%	23.6–24.9	<0.001
דיוק בזיהוי אנומליות (%)	72.4 ± 2.1	94.6 ± 1.3	+22.2%	20.8–23.5	<0.001
דיוק (Precision) (%)	68.1 ± 2.5	92.7 ± 1.5	+24.6%	23.1–26.0	<0.001
רגישות (Recall) (%)	70.3 ± 2.4	93.1 ± 1.6	+22.8%	21.4–24.2	<0.001
מדד F1-score (%)	69.2 ± 2.2	92.9 ± 1.4	+23.7%	22.3–25.0	<0.001
AUC	0.78 ± 0.03	0.97 ± 0.01	+0.19	0.17–0.21	<0.001
שיהוי הגירה (min)	87.6 ± 3.2	97.4 ± 2.9	מאס (overhead) של 11.2%	8.9–10.7	0.002
שלמות נתונים (%)	99.8	100.0	שיפור של 0.2%	0.1–0.3	0.031
חשיפה לרשת ציבורית	פעיל	בוטל	בוטל ב-100%	N/A	<0.001

טבלה 7: מסגרות להגירת מסדי נתונים מאובטחת - בסיס לעומת הצעה: השוואת ביצועים. הטבלה מציגה את משך חשיפת פרטי ההזדהות, יעילות זיהוי האנומליות, השהיית ההגירה, שלמות הנתונים ושיפורי האבטחה שנבחנו כמותית במהלך תיקוף הפרוטוקול.

בעיה	סיבה אפשרית	פתרון מומלץ
כשל באימות הגירה	אישורי גישה זמניים שפג תוקפם או שאינם תקפים	ייצור מחדש של אישורי גישה זמניים ואימות מדיניות IAM לפני הפעלת ההגירה מחדש.
שיהוי הגירה גבוה	עומס רשת או רוחב פס לא מספיק	אופטימיזציה של ניתוב הרשת, תזמון ההגירה למספרים של תעבורה נמוכה ואימות קישוריות נקודת הקצה.
התרעות אנומליה חיוביות-שגג	סף זיהום (contamination threshold) לא נכון של Isolation Forest	כיוון פרמטר הזיהום באמצעות מערך נתוני האימות ואימון מחדש של המודל.
הסברי SHAP לא יציבים	מדגמי רקע לא מספיקים או שאינם מייצגים	הגדלת גודל מדגם הרקע של SHAP והבטחת דגימה מייצגת.
חוסר התאמה בשלמות הנתונים	הגירה שהופסקה או העברת נתונים משובשת	הרצה מחדש של ההגירה לאחר אימות ערכי SHA-256 checksum ועקביות בין המקור ליעד.
כשל בחיבור מאובטח לנקודת קצה	שגיאות בהגדרות חומת האש או ב-TLS	אימות תעודות SSL/TLS, חוקי חומת האש והגדרות נקודת קצה פרטית.
דיוק נמוך בזיהוי אנומליות	חילוץ תכונות (feature extraction) חלקי או עיבוד מקדמי לקוי	סקירה של הנדסת התכונות, נרמול תכונות אבטחה ואימון מחדש של המודל.
בעיות בהתכנסות המודל	היפר-פרמטרים לא מתאימים	התאמת פרמטרי הלמידה ואימות ביצועי המודל לפני הפריסה.

טבלה 8: מדריך לפתרון בעיות עבור הגירה מאובטחת של מאגרי מידע רפואיים. הטבלה מפרטת שגיאות נפוצות בתהליך ההגירה, את מקורן האפשרי, את הצעדים המתקנים המומלצים ואת התוצאות המצופות, וזאת כדי להבטיח ביצוע מהימן של פרוטוקול ההגירה המאובטח.

תוצאות

סקירה ניסיונית

פרוטוקול הגירת נתוני ענן מאובטח מבוסס בינה מלאכותית הניתנת להסבר (XAI) הוערך באמצעות מערך נתונים סינתטי של שירותי בריאות, הכולל כ-20 מיליון רשומות של תיקים רפואיים אלקטרוניים (EHR) המפוזרות על פני 28 טבלאות של מסד נתונים רלציוני, בנפח כולל של 10 GB. הניסויים נערכו בסביבת ענן של Amazon Web Services (AWS) תוך שימוש ב-Amazon RDS PostgreSQL 16, רשת Virtual Private Cloud (VPC) פרטית, תקשורת מוצפנת ב-TLS 1.3 ושירותי ניטור מרכזיים. עשרה ניסויי הגירה עצמאיים בוצעו תחת תנאי חומרה, תוכנה, רשת ועומס עבודה זהים כדי להבטיח הדירות ולמזער הטיות ניסיוניות. כל ערכי הביצועים המדווחים ייצגו את הממוצע של עשר ההרצות הניסיוניות. מובהקות סטטיסטית הוערכה באמצעות מבחני t של Student מזווגים לאחר אימות נורמליות באמצעות מבחן Shapiro-Wilk (p < 0.05).

תוצאות הכנת מערך הנתונים והתיקוף

מערך הנתונים הסינתטי של שירותי הבריאות הופק בהצלחה על פי מפרטי הפרוטוקול. תיקוף הנתונים אישר הפקה מוצלחת של כ-20,000,000 רשומות הקשורות לחולים, המפוזרות על פני 28 טבלאות רלציוניות, כולל דמוגרפיה של חולים, מפגשים קליניים, אבחנות, דוחות מעבדה, תרופות, מטא-נתונים של דימות, מידע על חיובים ורשומות רופאים. ייחודיות מפתחות ראשיים (Primary-key), קשרי מפתחות זרים (foreign-key) ואילוצי שלמות התייחסותית (referential integrity) אומתו בהצלחה לפני ההגירה. כ-5% מערכי הנתונים הושארו חסרים במתכוון כדי לדמות מאגרי נתונים ריאליסטיים של רשומות בריאות אלקטרוניות, ועובדו לאחר מכן במהלך ניקוי הנתונים. הערכת איכות מערך הנתונים הדגימה תיקוף סכימה מוצלח, טווחים קבילים של ערכים ושלמות התייחסותית מלאה. שגיאת תיקוף מערך הנתונים המצטברת נותרה מתחת ל-0.1%, דבר המעיד על כך שמערך הנתונים שהופק היה מתאים לניסויי הגירה מאובטחים, כפי שמוצג ב-טבלה 1.

תוצאות פריסת ארכיטקטורת המערכת

ארכיטקטורת ההגירה המאובטחת הוטמעה ואומתה בהצלחה לפני ביצוע תזרים העבודה של ההגירה. כל משאבי הענן מופעלים בתוך AWS Virtual Private Cloud מבודד תוך שימוש בתתי-רשתות פרטיים, קבוצות אבטחה ומדיניות גישה מבוססת זהות. תקשורי בסיס הנתונים הוגנו באמצעות הצפנת TLS 1.3, ואישורי ההגירה הופקו באופן דינמי בהתאם למדיניות זמנית של הרשאה מינימלית. יומני אימות, יומני הגירה, אירועי בסיס נתונים, אירועי רשת ויומני ביקורת אבטחה נאספו ברציפות באמצעות Amazon CloudWatch. לאורך כל ההרצות הניסיוניות, התקשורת התבצעה אך ורק דרך נקודות קצה של רשת פרטית, ולא זוהו שירותי בסיס נתונים נגישים לציבור. ניטור רציף הדגים תקשורת יציבה בין כל מרכיבי ההגירה ללא הפסקות שירות בלתי צפויות או כשלים באימות, כפי שמוצג ב-איור 2.

תוצאות של זרימת העבודה למעבר מאובטח

מידול איומים

מודל האיומים שהוגדר מראש זיהה בהצלחה גניבת פרטי גישה, התקפות פנים, התקפות שידור חוזר, התקפות "אדם באמצע" (man-in-the-middle), שינוי זדוני של הסכימה ותרחישים של העלאת הרשאות. בקרות האבטחה שהוטמעו מיתנו ביעילות את כל האיומים שזוהו לפני ביצוע ההגירה, כפי שסוכם בטבלה 2.

העברת סכימה של מסד נתונים

הגירת סכימת מסד הנתונים הושלמה בהצלחה בכל ההרצות הניסיוניות. כל הטבלאות היחסיות, האינדקסים, הפרוצדורות השמורות, האילוצים, המטא-נתונים, המפתחות הראשוניים והמפתחות הזרים הועברו ללא אי-עקביות מבנית או סחריף בסכימה.

הגירה מאובטחת של נתונים

תהליך ההגירה הושלם בהצלחה בכל עשרת ההרצות הניסיוניות ללא הפרעות בזרימת העבודה או כשלים בעסקאות. העברת נתונים מאובטחת נשמרה לאורך כל תהליך ההגירה באמצעות ערוצי תקשורת מוצפנים מעל נקודות קצה של רשת פרטית.

תיקוף נדידה

תיקוף לאחר ההגירה אישר עקביות מלאה בין מסדי הנתונים של המקור והיעד. אימות סכום ביקורת SHA-256 הניב התאמה של 100% בכל הטבלאות שהועברו, מה שמעיד על כך שלא התרחשה שחיתות נתונים במהלך ההעברה. תיקוף ספירת רשומות אישר הגירה מוצלחת של כל 20 מיליון הרשומות ללא אובדן, כפילות או קיטוע. תיקוף של מפתחות ראשיים, מפתחות זרים, אינדקסים, הגדרות סכמה ואילוצי מסד נתונים אישר שימור מלא של שלמות מסד הנתונים. לא נצפו סטיות בסכמה (schema drift), אירועי נסיגה (rollback), כשלים בעסקאות או אי-עקביות בהגירה לאורך תקופת ההערכה. כימות של תוצאות השלמות מוצג בטבלה 9.

מדד תיקוף	תוצאה שנצפתה	קריטריון קבלה	סטטוס
סך רשומות בריאות שהועברו	20,000,000	20,000,000	עבר
טבלאות בסיס נתונים רלציוניים שהועברו	28	28	עבר
גודל סט הנתונים שהועבר	10 GB	10 GB	עבר
אימות checksum מסוג SHA-256	התאמה של 100%	התאמה של 100%	עבר
עקביות ספירת רשומות	100%	100%	עבר
תיקוף סכימה	כל הטבלאות תוקפו	ללא שגיאות סכימה	עבר
שלמות מפתח ראשי (Primary-key)	מאומת	ללא הפרות	עבר
שלמות מפתח זר (Foreign-key)	מאומת	ללא הפרות	עבר
שיעור שחיתות נתונים	0%	0%	עבר
סטיות בסכימה (Schema drift)	לא נצפתה	אף אחת	עבר
אירועי ביטול (Rollback)	0	0	עבר
שיעור השלמת ההעברה	100%	100%	עבר

טבלה 9: תוצאות תיקוף שלמות הנתונים לאחר הגירה מאובטחת של מסד הנתונים. הטבלה מציגה את מדדי אימות השלמות העיקריים מההיבט הכמותי. אלו כוללים בדיקה שסכומי ה-SHA-256 hash תואמים, עקביות במספר הרשומות, תיקוף הסכימה, שימור אילוצי מפתח, השלמת ההגירה, אירועי נסיגה (rollback) והצלחת ההגירה הכוללת של עשרה ניסויי הגירה נפרדים.

טבלה 9 מסכמת את תוצאות תיקוף שלמות הנתונים הכמותיות שהתקבלו לאחר הגירה מאובטחת של נתונים לענן. התוצאות הוכיחו כי כל קריטריוני הקבלה של ההגירה למיmם בעשרת ההרצות הניסיוניות הבלתי תלויות.

הקשיה לאחר הגירה

ניהול הרשאות זמני בעקרון הפריבילגיה המינימלית שיפר באופן משמעותי את אבטחת ההרשאות בהשוואה למסגרת ההגירה הקונבנציונלית. אורך החיים הממוצע של ההרשאות ירד מ-24.7 ± 1.3 h בסביבת הבסיס ל-0.42 ± 0.18 h במסגרת המוצעת, מה שמהווה הפחתה של 98.3% במשך החשיפה של ההרשאות. הרשאות זמניות בוטלו מיד לאחר השלמת ההגירה, ולא זוהו ניסיונות אימות לא מורשים באמצעות הרשאות שפג תוקפן במהלך אף אחת מהרצות הניסוי. הסרת הרשאות ארוכות טווח צמצמה את שטח התקיפה הפוטנציאלי תוך שמירה על ביצועי הגירה רציפים, כפי שמוצג ב-איור 3.

תוצאות ניטור בינה מלאכותית הניתנת להסבר

חילוץ מאפייני אבטחה

טלמטריית אבטחה נאספה בהצלחה משרתי בסיסי נתונים, שירותי אימות, שרתי אפליקציות ומערכות ניטור רשת. חילוץ תכונות הניב מדידות מנורמלות של תדירות גישה, מספר ניסיונות התחברות שנכשלו, שינויים בכתובות IP, משך סשן ונפח העברת נתונים לצורך זיהוי חריגות, כפי שמתואר ב-טבלה 3.

ביצועי מודל זיהוי חריגות

מודל ה-Isolation Forest הדגים ביצועי זיהוי חריגות חסונים לאורך 10 ניסויים עצמאיים. הדיוק הממוצע (accuracy), הדיוק החזיוני (precision), הרגישות (recall), מדד F1 והשטח תחת עקומת מאפייני המקלט (AUC) היו 94.6 ± 1.3%, 92.7 ± 1.5%, 93.1 ± 1.6%, 92.9 ± 1.4%, ו-0.97 ± 0.01, בהתאמה. תצורת המודל תואמה לפרמטרים המסוכמים ב-טבלה 4.

זיהוי חריגות אבטחה

מסגרת הניטור המוצעת הפחיתה את זמן הזיהוי הממוצע של תקריות מיותר מ-24 h בסביבת הבסיס לכ-15 min. שיעור הזיהויים השגויים (False-positive) נותר נמוך מ-3%, ולא נותרו כשלי הגירה קריטיים שלא זוהו לאורך תקופת ההערכה. פלטי זיהוי חריגות מייצגים מוצגים ב-איור 4.

ניתוח נסבירות

ה-SHAP TreeExplainer יצר תוצאות שיוך תכונות (feature-attribution) ניתנות לפירוש עבור כל האנומליות שזוהו. קובץ נתונים של רקע המכיל 1,000 דגימות אימון מייצגות שימש לחישוב ערכי SHAP. ניתוח הסבר גלובלי זיהה באופן עקבי את מספר ניסיונות ההתחברות שנכשלו, נפח העברת הנתונים, שינויים בכתובת ה-IP, משך הסשן ותדירות הגישה כתכונות המשפיעות ביותר התורמות לחיזויים של אנומליות. ניתוח הניתנות לפירוש (explainability) חוזר לאורך עשרה הרצות ניסוייות הניב דירוגי תכונות כמעט זהים, מה שמעיד על פרשנות יציבה של המודל. הסברי SHAP מקומיים זיהו בנוסף את הגורמים העיקריים התורמים לחיזויים של אנומליות בודדות, ובכך שיפרו את השקיפות של תהליך ניטור האבטחה. פלטי ניתנות לפירוש מייצגים מוצגים ב-איור 5, בעוד שדירוגי חשיבות התכונות התואמים מסוכמים ב-טבלה 5.

תוצאות הערכת הביצועים

השוואה מול מסגרת ההגירה הבסיסית (baseline) הראתה שיפורים משמעותיים במספר מדדי אבטחה. משך החשיפה של פרטי ההזדהות (credentials) פחת ב-98.3%, דיוק זיהוי האנומליות השתפר מ-72.4 ± 2.1% ל-94.6 ± 1.3%, ומספר נקודות הקצה של ההגירה הנגישות לציבור ירד משישה לאפס. זמן זיהוי התקריות הממוצע התקציר באופן ניכר, בעוד ששלמות ההגירה המלאה נשמרה לאורך כל ההערכה. למרות שבקרות אבטחה נוספות הגבירו את השהיית ההגירה (latency) ב-11.2 ± 2.9%, העלייה שנצפתה נותרה מתחת לסף הקבלה שהוגדר מראש של 15%, מה שמעיד על כך ששיפורי האבטחה הושגו עם השפעה מינימלית על יעילות ההגירה. תוצאות מייצגות של הערכת הביצועים מוצגות ב-איור 6, וההשוואה הכמותית בין המסגרת הבסיסית למסגרת המוצעת מסוכמת ב-טבלה 7.

תיקוף סטטיסטי ושחזור

ניתוח סטטיסטי הדגים שיפורים משמעותיים במשך החשיפה של פרטי זיהוי, בדיוק זיהוי חריגות, זמן זיהוי תקריות ושיהוי הגירה בין מסגרת הבסיס למסגרת המוצעת (מבחן t של Student לצמדים, p < 0.05). מרווחי ברבכה של 95% שחושבו הראו שונות נמוכה לאורך 10 הרצות ניסיוניות בלתי תלויות, מה שמאשר את השחזור והיציבות של הפרוטוקול המוצע. תוצאות מפורטות של כל ניסוי מופיעות ב- טבלה 10.

הרצה ניסיונית	משך חשיפה לאנדוגנים (שעות)	דיוק זיהוי חריגות (%)	השהיית נדידה (דקות)	אימות SHA-256	סטטוס נדידה
הרצה 1	0.45	94.3	96.8	עבר	מוצלח
הרצה 2	0.41	95	98.2	עבר	מוצלח
הרצה 3	0.39	94.7	95.9	עבר	מוצלח
הרצה 4	0.44	94.5	97.6	עבר	הצלחה
הרצה 5	0.43	94.8	96.9	עבר	מוצלח
הרצה 6	0.4	94.2	98.5	עבר	הצלחה
הרצה 7	0.42	95.1	97.2	עבר	מוצלח
הרצה 8	0.38	94.6	96.7	עבר	מוצלח
הרצה 9	0.43	94.9	97.8	עבר	הצלחה
הרצה 10	0.41	94.5	97	עבר	מוצלח
ממוצע ± סטיית תקן	0.42 ± 0.02	94.66 ± 0.29	97.26 ± 0.80	עבר ב-100%	10/10 הצליח

טבלה 10:  שחזור ניסיוני לאורך עשר הרצות הגירה נפרדות. הטבלה מציגה סיכום של פרק הזמן שבו אישורי גישה היו חשופים, הדיוק בזיהוי חריגות, העיכוב בהגירה, סטטוס אימות ה-SHA-256 והצלחת ההגירה עבור כל הרצה ניסיונית, ובכך מדגימה את היציבות והשחזוריות של מסגרת הגירה מאובטחת לענן המוצעת תחת אותם תנאי ניסוי.

טבלה 10 מציגה את התוצאות המפורטות של עשרת הריצות הניסיוניות העצמאיות, המדגימות את העקביות, היציבות והשחזוריות של פרוטוקול הגירה לענן המאובטח המוצע תחת תנאי ניסוי זהים.

ההערכה הניסיונית הדגימה כי שילוב של אבטחה מבוססת אפס-אמון (zero-trust), בקרת גישה זמנית בעלת הרשאות מינימליות (least-privilege), ניטור רציף של חריגות ויכולת הסבר מבוססת SHAP שיפרו את אבטחת ההגירה תוך שמירה על שלמות מלאה של מסד הנתונים וביצועי הגירה מקובלים. מכיוון שהניסויים נערכו באמצעות מערך נתונים סינתטי של שירותי בריאות בתוך סביבת ענן מבוקרת, יש לפרש ממצאים אלו במסגרת התצורה הניסיונית שנבדקה. תידרש תיקוף נוסף באמצעות תשתיות בריאות מבצעיות, מערכי נתונים קליניים אמיתיים וסביבות ענן רב-מוסדיות לפני הכללת הפרוטוקול לפריסה שגרתית במערכות בריאות בייצור.

דיון

במחקר זה, פותח פרוטוקול להגירה מאובטחת וניתנת לשחזור של מסד נתונים בענן, המשלב עקרונות אבטחה של אמון אפס (zero-trust), בקרת גישה המבוססת על זמן וזכות מינימלית (time-based least-privilege), בינה מלאכותית ניתנת להסבר (XAI) וניטור אבטחה רציף, וכל זאת במסגרת מערך ניסיוני מוגבל. כתיבת מאמר זה לא נועדה להציג אלגוריתם הגירה חדש; לפיכך, המחברים מציגים בעיקר זרימת עבודה סטנדרטית המאפשרת לחוקרים ואנשי מקצוע לבצע, להעריך ולשחזר הגירה מאובטחת של מסד נתונים רפואי באמצעות שלבים פרוצדורליים מוגדרים בבירור. הצלחתו של יישום הפרוטוקול נשענת על ביצוע קפדני של מספר שלבים קריטיים. מידול איומים בדיוק גבוה מסייע רבות להכרת הנכסים העוברים הגירה, הדרכים שבהן תוקפים עשויים לחדור, ומערך בקרות האבטחה שיהיה יעיל, כאשר כל אלו מבוצעים לפני ההגירה. אימות סכמת מסד הנתונים הוא שלב שחובה להשלימו לפני העברת הנתונים, כדי למנוע חוסר עקביות מבני וסחריפת סכמה (schema drift). מבחינת תהליך ההגירה, יש להפיק הרשאות זמניות בהתאם לעקרון הזכות המינימלית הזמנית, יש לשמור על שימוש בפרוטוקול הקריפטוגרפי TLS 1.3 לאבטחת התקשורת, ויש לאסוף לוגים של ההגירה באופן רציף כדי שניתן יהיה להשתמש בהם לניטור אבטחה ולביקורת. רק לאחר ביצוע משימות כגון אימות checksum מסוג SHA-256, תיקוף מספר רשומות ובדיקות עקביות סכמה, המראים כי שלמות מסד הנתונים נשמרה, ניתן יהיה לפנות את סביבת ההגירה ולזנוח אותה.

רכיב ניטור האנומליות ההסברי דורש גם הוא שלבי הגדרה קפדניים כדי להשיג תוצאות הדירות. בין הגורמים החשובים המשפיעים על ביצועי זיהוי האנומליות ועל איכות ההסבר הם בחירת מאפייני טלמטריה של אבטחה מתאימים, עיבוד מקדים עקבי של לוגי הניטור, היפר-פרמטרים מתאימים עבור Isolation Forest, ומערך נתונים של רקע עבור SHAP המייצג את המדגם. שינויים בהגדרות אלו עשויים להוביל לשינויים בציוני האנומליות, בערכי השיוך של המאפיינים ובפרשנות הכללית של המודל. לפיכך, מומלץ לחוקרים כי גרסאות התוכנה, פרמטרי המודל והגדרות ההערכה יישארו זהים לצורך שחזור הפרוטוקול.

נהלי פתרון בעיות של הפרוטוקול נועדו לסייע למשתמשים לטפל בבעיות יישום נפוצות, כגון אי-תאימות של סכמות, הפרעות ברשת, כשלים באימות, זיהויי חיוביים שגויים מרובים ועומס שיהוי במעבר. תיקוף שיטתי לאחר כל שלב בפרוטוקול יאפשר לאתר בעיות אלו וכן לתקנן לפני ביצוע השלבים הבאים של המעבר. זוהי אחת הדרכים לשיפור האמינות והשחזור של זרימת העבודה הניסויית.

על אף שההערכה הניסויית הוכיחה כי המערך שנבדק יכול לשפר את הגנת האישור, זיהוי חריגות, יכולת הסבר ושלמות ההגירה, יש להתייחס לממצאים כספציפיים להיקף מחקר זה בלבד. הפרוטוקול נבדק רק עם סט נתונים סינתטי של שירותי בריאות בסביבת מעבדת ענן ולא במערכת מידע רפואית אמיתית. התוצאות המוצגות כאן לא צריכות להיחשב כהוכחה לתאימות רגולטורית או לשימוש קליני. במקום זאת, הן מעידות כי ניתן להטמיע את הטכניקה בסביבת מעבדה מבוקרת וכי היא מספקת מסגרת שניתן להשתמש בה למחקרי תיקוף נוספים.

מספר מחקרים אחרונים בחנו הגירה מאובטחת של נתוני בריאות לענן, ארכיטקטורות אבטחה מבוססות אפס-אמון (zero-trust) ובינה מלאכותית ניתנת להסבר; עם זאת, רובם התמקדו במנגנוני אבטחה בודדים ולא בזרימת עבודה (workflow) משולבת וניתנת לשחזור של תהליך ההגירה. ארכיטקטורת ה-Zero Trust של NIST מספקת הנחיה מקיפה לאימות זהות רציף ובקרת גישה בעלת הרשאות מינימליות (least-privilege), אך אינה מגדירה פרוטוקול סטנדרטי להגירה מאובטחת של בסיסי נתונים או ניטור אבטחה ניתן להסבר במהלך ההגירה¹. באופן דומה, מסגרות קיימות להגירת נתוני בריאות לענן שמות דגש בעיקר על אימוץ הענן, הצפנה, ממשל וציות לרגולציה, אך מספקות הנחיה פרוצדורלית מוגבלת לביצוע הגירה מאובטחת, תיקוף ויכולת שחזור^7,8,9. גישות לאבטחת ענן מונעות AI הדגימו יכולות משופרות לזיהוי חריגות באמצעות זיהוי חדירות וניטור אבטחה המבוססים על למידת מכונה; עם זאת, שיטות אלו מתמקדות בדרך כלל בביצועי הזיהוי מבלי לשלב הסברים ברי-פירוש התומכים בביקורת אבטחה ובקבלת החלטות מנהליות^6,13. טכניקות של בינה מלאכותית ניתנת להסבר, כגון SHapley Additive exPlanations (SHAP) ו-Local Interpretable Model-agnostic Explanations (LIME), שיפרו באופן משמעותי את השקיפות של תחזיות למידת מכונה^17,18,19,20, אך יישומן הוגבל במידה רבה לפירוש המודל ולא לשילוב בתוך זרימות עבודה מקצה לקצה של הגירה מאובטחת לענן. לעומת זאת, הפרוטוקול המוצע משלב ארכיטקטורת אפס-אמון, ניהול הרשאות זמני בעל הרשאות מינימליות, הגירת בסיס נתונים מוצפן, אימות שלמות מבוסס SHA-256 checksum, ניטור מרכזי רציף, זיהוי חריגות מבוסס Isolation Forest, ויכולת הסבר מבוססת SHAP בתוך זרימת עבודה סטנדרטית אחת הניתנת לשחזור. מסגרת משולבת זו משפרת את השקיפות, יכולת הביקורת והשחזור, תוך שמירה על שלמות מלאה של ההגירה והשהיית הגירה קבילה תחת התנאים הניסיוניים שנבדקו.

עם זאת, ישנן מגבלות רבות שיש להביא בחשבון בעת פירוש תוצאות פרוטוקול זה. ראשית, ההערכה בוצעה באמצעות מערך נתונים סינתטי שעשוי שלא לשקף את מלוא המורכבות, השונות ואת אתגרי האבטחה של מאגרי נתונים קליניים אמיתיים. שנית, הפרוטוקול נבדק רק בסביבת ענן מבוקרת אחת; הביצועים עשויים להשתנות בספקי ענן אחרים, בפלטפורמות בסיסי נתונים שונות או בתשתיות רשת שונות. שלישית, למרות שהמחברים השתמשו בתהליך הגירה מסורתי כביקורת, השוואת תוצאותיהם עם שיטות הגירה מאובטחות אחרות וארכיטקטורות אבטחת ענן תהיה מועילה למחקרים עתידיים. רביעית, התיקוף הסטטיסטי בוצע על עשרה ניסויי הגירה עצמאיים בלבד; מחקרים בהיקף רחב יותר עשויים לספק אינדיקציה טובה יותר לחסונו של הפרוטוקול. חמישית, המחברים לא שקלו במפורש תרחישי התקפות יריב, כגון גניבת פרטי גישה, איומים פנימיים, תוכנות כספיה (ransomware) או התקפות מתמידות ומתקדמות (advanced persistent attacks), אשר צריכות להוות מוקד למחקר עתידי. לבסוף, המסגרת המוצעת תהיה יעילה רק ככל שתהיה נכונה הגדרתם של מדיניות ניהול זהויות, פרמטרים לזיהוי חריגות, תשתית רישום (logging) והגדרות הניתנות להסבר; אם ההגדרות יהיו שגויות, הן אבטחת ההגירה והן ביצועי הניטור יפגעו.

באופן כללי, פרוטוקול זה מציע מסגרת ושיטה שניתן לשחזר לצורך חקר הגירה מאובטחת של מסדי נתונים בענן באמצעות בינה מלאכותית ניתנת להסבר בסביבות מחקר מבוקרות. ניתן לבצע את התיקוף והאימות של הפרוטוקול בעבודות עתידיות באמצעות הרצת מערכות מידע בריאותיות פעילות, תוך שימוש במגוון פלטפורמות ענן, טכנולוגיות מסדי נתונים שונות ומערכי נתונים קליניים אותנטיים, לצורך הערכת הסקילביליות, היכולת להכללה והיתישות המעשית של הפרוטוקול.

מאמר זה מתאר שיטה ניתנת לשחזור להגירה מאובטחת של מסדי נתונים בענן, המשלבת עקרונות אבטחת מידע של "אפס אמון" (zero-trust), בקרת גישה זמנית של הרשאות מינימליות, בינה מלאכותית ניתנת להסבר (XAI) וניטור אבטחה רציף בסביבת ענן מבוקרת. השיטה מפרטת את השלבים של הכנת מערכי הנתונים, מידול איומים, הגירה מאובטחת, אימות שלמות, זיהוי חריגות, ניתוח יכולת הסבר והערכת ביצועים. ניסויים שבוצעו על מערך נתונים סינתטי של שירותי בריאות הראו כי הפרוטוקול יכול לשפר את אבטחת פרטי ההזדהות, לשמר את שלמות ההגירה, לזהות חריגות באופן מדויק ולנטר את האבטחה בצורה הניתנת לפירוש, תוך שמירה על השהיית הגירה ברמה מקובלת. ההליך הסטנדרטי נועד להפוך את היישום וההערכה של אסטרטגיות הגירה מאובטחת לענן לניתנים לשחזור רב יותר במסגרות אקדמיות.

יש להעריך את התוצאות במסגרת המגבלות של הסביבה הניסויית המבוקרת ששימשה למחקר זה. מכיוון שהפרוטוקול נבדק באמצעות מערך נתונים סינתטי של שירותי בריאות במקום מערכת מידע בריאותית אמיתית, אין לראות בתוצאות אינדיקטורים לפריסה קלינית, לעמידה ברגולציה או ליישום בייצור בקנה מידה גדול. מאמצי מחקר עתידיים צריכים להתמקד בשימוש בסביבות בריאותיות ממשיות, פלטפורמות ענן שונות, טכנולוגיות מסדי נתונים מגוונות ומערכי נתונים קליניים גדולים יותר, כדי לבחון הלאה את הרב-גוניות, האמינות והתועלת של הפרוטוקול בפרקטיקה.

חומרים

רשימת החומרים שנעשה בהם שימוש במאמר זה

שם	חברה	מספר קטלוג	הערות
הצפנת AES	NIST	AES-256	הצפנת נתונים במצב מנוחה
Amazon RDS PostgreSQL	Amazon Web Services	PostgreSQL 16	בסיס נתונים יעד
פלטפורמת ענן	Amazon Web Services	AWS	תשתית ענן
CloudWatch	Amazon Web Services	הגרסה היציבה האחרונה	ניטור ותיעוד לוגים
Docker	Docker Inc.	27.0	קונטנריזציה
Faker	Faker Developers	30.0	יצירת נתונים סינתטיים
GPU	NVIDIA	RTX 4090	24 GB VRAM
Matplotlib	Matplotlib Developers	3.9	ויזואליזציה
NumPy	NumPy Developers	1.26	עיבוד מספרי
מערכת הפעלה	Canonical	Ubuntu 22.04 LTS	סביבת מערכת
Pandas	PyData	2.2	עיבוד נתונים
PostgreSQL	PostgreSQL Global Development Group	16	בסיס נתונים מקור
Python	Python Software Foundation	3.11	שפת תכנות
Scikit-learn	Scikit-learn Developers	1.5	למידת מכונה
SHAP	SHAP Developers	0.46	בינה מלאכותית ניתנת להסבר
Terraform	HashiCorp	1.8	הקצאת תשתיות
TLS	IETF	TLS 1.3	הצפנת נתונים במעבר
ענן פרטי וירטואלי	Amazon Web Services	VPC	סביבת רשת פרטית
תחנת עבודה	Dell/HP	NA	Intel Xeon Gold 6226R, 64 GB RAM, 1 TB SSD