حماية البيانات والأمن السيبراني: كيف تدمجهما؟
في كثير من المنظمات، تعمل إدارة الأمن السيبراني في مسار، والإدارة القانونية في مسار آخر، وكل منهما يظن أن الأخرى تتولى حماية البيانات. والنتيجة ثغرات لا يملكها أحد.
ومع دخول نظام حماية البيانات الشخصية حيز التنفيذ في المملكة، لم يعد هذا الفصل مقبولًا. وفي هذا الدليل نشرح الفرق بين المفهومين، وأهم متطلبات النظام السعودي، وخطوات عملية لدمج حماية البيانات والأمن السيبراني في إطار واحد.
ما الفرق بين حماية البيانات والأمن السيبراني؟
المفهومان متداخلان، لكن لكل منهما سؤال أساسي مختلف:
الأمن السيبراني: كيف نحمي الأنظمة والشبكات والبيانات من الاختراق والتعطيل والتلاعب؟
حماية البيانات: هل نجمع البيانات الشخصية ونستخدمها ونشاركها ونحتفظ بها بشكل نظامي يحترم حقوق أصحابها؟
مثال يوضح الفرق
قد تملك منظمة أنظمة محمية تمامًا من الاختراق، لكنها تجمع بيانات شخصية لا تحتاجها، أو تحتفظ بها سنوات دون مبرر. هنا الأمن السيبراني قوي، لكن حماية البيانات ضعيفة.
والعكس صحيح: سياسة خصوصية ممتازة لا تفيد إذا سُرقت البيانات بسبب ثغرة تقنية. ولذلك لا يكتمل أحدهما دون الآخر.
نظام حماية البيانات الشخصية في السعودية
صدر نظام حماية البيانات الشخصية (PDPL) بالمرسوم الملكي رقم م/19 وتاريخ 1443/2/9هـ، وتتولى الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) الإشراف على تطبيقه.
ووفق تحليل مكتب Latham & Watkins للنظام، دخل النظام حيز النفاذ في 14 سبتمبر 2023، مع فترة انتقالية لمدة عام انتهت في منتصف سبتمبر 2024.
حقوق صاحب البيانات
الحق في الوصول: معرفة البيانات المحفوظة عنه والاطلاع عليها.
الحق في التصحيح: تعديل البيانات غير الدقيقة.
الحق في التقييد: تقييد معالجة بياناته في حالات محددة.
الحق في الإتلاف: طلب حذف البيانات التي لم تعد هناك حاجة إليها.
وتلتزم الجهة بالرد على طلبات أصحاب البيانات خلال 30 يومًا، مع إمكانية التمديد في حالات محدودة.
الإبلاغ عن تسرب البيانات
عند وقوع تسرب قد يسبب ضررًا، يجب إبلاغ سدايا خلال 72 ساعة، وإبلاغ أصحاب البيانات المتأثرين دون تأخير غير مبرر. وهنا تحديدًا يلتقي الفريقان: الأمن السيبراني يكتشف الحادثة ويحتويها، وفريق حماية البيانات يقيّم أثرها ويتولى الإبلاغ.
العقوبات
غرامات: تصل إلى 5 ملايين ريال، وتُضاعف عند تكرار المخالفة.
السجن: حتى سنتين في حالات إفصاح محددة عن بيانات حساسة بقصد الإضرار أو تحقيق منفعة شخصية.
عقوبات أخرى: مثل الإنذار، ومصادرة الأدوات المستخدمة في المخالفة.
الضوابط الأساسية للأمن السيبراني (ECC)
على الجانب الآخر، أصدرت الهيئة الوطنية للأمن السيبراني الضوابط الأساسية للأمن السيبراني ECC-2:2024، وهي ملزمة للجهات الحكومية والشركات التابعة لها، وجهات القطاع الخاص المشغلة للبنى التحتية الوطنية الحساسة.
وتتكون الضوابط من:
4 مكونات رئيسية: حوكمة الأمن السيبراني، وتعزيز الأمن السيبراني، وصمود الأمن السيبراني، والأمن السيبراني المتعلق بالأطراف الخارجية والحوسبة السحابية.
28 مكونًا فرعيًا.
108 ضوابط رئيسية و92 ضابطًا فرعيًا.
ولفهم التهديدات التي تستهدفها هذه الضوابط، راجع مقالنا عن تهديدات الأمن السيبراني وحماية الأصول الرقمية.
كيف تدمج حماية البيانات والأمن السيبراني؟
من تجربتنا مع جهات تعمل على الامتثال للمتطلبين معًا، يمر الدمج الناجح بالخطوات التالية:
حصر البيانات الشخصية: أين تُجمع؟ وأين تُخزن؟ ومن يصل إليها؟ ولماذا؟
تصنيف البيانات: تحديد البيانات الحساسة التي تحتاج حماية أعلى.
تحليل الفجوات: مقارنة الوضع الحالي بمتطلبات النظام والضوابط معًا.
سياسات موحدة: سياسة واحدة تغطي الجانب النظامي والتقني بدل وثائق متعارضة.
ضوابط تقنية مرتبطة بالمتطلبات: كالتشفير، وإدارة الصلاحيات، وتسجيل الوصول.
خطة استجابة مشتركة للحوادث: تحدد من يكتشف، ومن يقيّم، ومن يبلغ خلال 72 ساعة.
تدريب الموظفين: لأن الخطأ البشري من أكثر أسباب التسرب شيوعًا.
مراجعة دورية: لأن الأنظمة والبيانات والتهديدات تتغير باستمرار.
نقاط الالتقاء الأهم
إدارة الصلاحيات: مطلب أمني وشرط لحماية البيانات في الوقت نفسه.
سجلات الوصول: تكشف الاختراق، وتثبت الامتثال عند المراجعة.
إدارة الأطراف الخارجية: الموردون الذين يعالجون بيانات نيابة عنك.
نقل البيانات خارج المملكة: يحتاج تقييمًا نظاميًا وضوابط تقنية معًا.
خطة الاستجابة لحوادث البيانات: سيناريو عملي
مهلة 72 ساعة قصيرة جدًا إذا لم تكن الأدوار محددة مسبقًا. وهذا تسلسل مبسط نوصي باعتماده وتجربته قبل وقوع أي حادثة:
الساعة الأولى: يكتشف فريق الأمن السيبراني الحادثة ويوثقها ويبدأ الاحتواء.
خلال 24 ساعة: يحدد الفريق نوع البيانات المتأثرة وعدد أصحابها ومصدر التسرب.
خلال 48 ساعة: يقيّم فريق حماية البيانات احتمال الضرر، ويقرر الحاجة إلى الإبلاغ.
قبل انتهاء 72 ساعة: يُرفع البلاغ إلى سدايا بعد اعتماد الإدارة القانونية والإدارة العليا.
بعد الإبلاغ: يُبلغ أصحاب البيانات المتأثرون، وتُعالج الثغرة، وتوثق الدروس المستفادة.
ومن تجربتنا، فإن تمرينًا واحدًا على الطاولة كل ستة أشهر يكشف ثغرات في التنسيق لا تظهر في السياسات المكتوبة.
مؤشرات تقيس نضج حماية البيانات
ما لا يُقاس لا يمكن إثبات الامتثال فيه. ومن المؤشرات العملية التي تساعد الإدارة العليا على المتابعة:
نسبة الأنظمة المحصورة: كم نظامًا يعالج بيانات شخصية تم توثيقه في سجل البيانات.
متوسط زمن الرد على طلبات أصحاب البيانات: مقارنة بمهلة 30 يومًا.
نسبة الموظفين المدربين: على التعامل مع البيانات الشخصية.
نسبة عقود الموردين المحدثة: التي تتضمن بنودًا لحماية البيانات.
عدد الحوادث وزمن احتوائها: مؤشر مشترك بين الأمن السيبراني وحماية البيانات.
نتائج المراجعات الداخلية: عدد الملاحظات المفتوحة ومدة إغلاقها.
أدوار ومسؤوليات واضحة
غياب المالك الواضح هو أكثر ما نراه في مراجعاتنا. ولذلك يجب تحديد الأدوار التالية:
مسؤول حماية البيانات (DPO): مطلوب في حالات محددة، كالمراقبة المنتظمة واسعة النطاق أو معالجة البيانات الحساسة كنشاط أساسي.
إدارة الأمن السيبراني: تطبق الضوابط التقنية وتدير الحوادث.
الإدارة القانونية والالتزام: تفسر المتطلبات النظامية وتتابع التغييرات.
ملاك البيانات في الإدارات: يقررون الغرض من البيانات ومدة الاحتفاظ بها.
الإدارة العليا: تعتمد الإطار وتوفر الموارد وتتابع المخاطر.
ويتكامل ذلك مع إطار حوكمة البيانات الذي يحدد ملكية البيانات وجودتها على مستوى المنظمة.
من أين تبدأ المنشآت الصغيرة والمتوسطة؟
لا تملك كل منشأة فريقًا قانونيًا وتقنيًا متكاملًا. ولذلك نقترح على المنشآت الصغيرة البدء بخطوات محدودة وعالية الأثر:
حدد البيانات الشخصية التي تجمعها فعلًا: غالبًا بيانات العملاء والموظفين فقط.
احذف ما لا تحتاجه: أسهل طريقة لتقليل المخاطر.
فعّل التحقق متعدد العوامل: على البريد والأنظمة المالية والسحابية.
راجع عقود الموردين: خاصة مزودي الخدمات السحابية والمحاسبية.
عيّن مسؤولًا واحدًا: يتابع الملف حتى لو لم يكن متفرغًا.
أخطاء شائعة في حماية البيانات
التعامل مع الامتثال كمشروع ينتهي: بينما هو عمل مستمر.
جمع بيانات أكثر من الحاجة: كل بيان إضافي مخاطرة إضافية.
سياسات مكتوبة لا تُطبق: وثائق جميلة دون ضوابط تقنية تدعمها.
إهمال الموردين: تسرب لدى مورد هو تسرب لديك.
غياب التدريب: الموظف الذي لا يعرف ما هي البيانات الشخصية لا يستطيع حمايتها.
تجاهل المخاطر التقنية الناشئة: كاستخدام أدوات الذكاء الاصطناعي ببيانات حساسة، وهو ما ناقشناه في مقال هل تسيطر على مخاطر التقنية؟.
الخاتمة
حماية البيانات والأمن السيبراني وجهان لهدف واحد: ثقة المستفيد في أن بياناته في أمان، وأنها تُستخدم بشكل نظامي. والمنظمة التي تدير كلًا منهما بمعزل عن الآخر تترك ثغرات بينهما.
ابدأ بحصر بياناتك، ووحّد السياسات، وحدد الأدوار، وجهّز خطة استجابة مشتركة. فالامتثال الحقيقي يبدأ من الداخل قبل أن يُطلب منك.
ابنِ إطار حماية البيانات مع إمباور
يساعدك فريق استشارات إدارة المخاطر والحوكمة المؤسسية في إمباور على تقييم جاهزيتك لنظام حماية البيانات الشخصية والضوابط الأساسية للأمن السيبراني، وبناء إطار موحد للسياسات والأدوار والاستجابة للحوادث.
تواصل مع مستشارينا لإجراء تقييم فجوات أولي، أو تعرف على خدماتنا عبر الصفحة الرئيسية لإمباور.
الأسئلة الشائعة
متى بدأ تطبيق نظام حماية البيانات الشخصية في السعودية؟
دخل النظام حيز النفاذ في 14 سبتمبر 2023، مع فترة انتقالية لمدة عام انتهت في منتصف سبتمبر 2024، وتتولى سدايا الإشراف على تطبيقه.
ما مدة الإبلاغ عن تسرب البيانات؟
يجب إبلاغ سدايا خلال 72 ساعة من العلم بتسرب قد يسبب ضررًا، مع إبلاغ أصحاب البيانات المتأثرين دون تأخير غير مبرر.
هل تحتاج كل منظمة إلى مسؤول حماية بيانات؟
ليس بالضرورة. يُطلب في حالات محددة، مثل المراقبة المنتظمة واسعة النطاق لأصحاب البيانات، أو حين تكون معالجة البيانات الحساسة نشاطًا أساسيًا للجهة.
ما العلاقة بين نظام حماية البيانات وضوابط الأمن السيبراني؟
النظام يحدد ما يجب حمايته من حقوق وكيفية التعامل النظامي مع البيانات الشخصية، بينما تحدد الضوابط كيف تُحمى الأنظمة تقنيًا. والامتثال الكامل يتطلب الاثنين معًا.
ما الحقوق التي يمنحها النظام لصاحب البيانات؟
من أبرزها الحق في الوصول إلى بياناته، وتصحيحها، وتقييد معالجتها، وطلب إتلافها. وتلتزم الجهة بالرد على هذه الطلبات خلال 30 يومًا، مع إمكانية التمديد في حالات محدودة.