مكان استضافة البيانات والامتثال في السعودية: التوطين والتصنيف وحماية البيانات

يبدو سؤال «أين تُخزَّن بياناتنا؟» تقنيًا في ظاهره، لكنه في الحقيقة سؤال تنظيمي وقانوني يمس سمعة الشركة وعلاقتها بعملائها والجهات الرقابية. فاختيار منطقة استضافة خارج المملكة قد يكون مقبولًا لبعض البيانات وغير مقبول لغيرها.

يعرض هذا المقال الإطار العام لاستضافة البيانات والامتثال في السعودية: تصنيف البيانات، ومفهوم التوطين، ونظام حماية البيانات الشخصية، وضوابط الأمن السيبراني للحوسبة السحابية، وما يجب أن يتضمنه العقد مع المزود.

1. لماذا أصبح مكان الاستضافة قرارًا تنظيميًا

عندما كانت الخوادم في غرفة داخل مبنى الشركة، كان مكان البيانات معروفًا بلا حاجة إلى سؤال. أما في السحابة فقد تُخزَّن البيانات في منطقة جغرافية بعيدة، وتُنسخ احتياطيًا في منطقة أخرى، ويصل إليها فريق دعم من بلد ثالث.

ولأن البيانات تُعد من الأصول الوطنية في رؤية المملكة 2030، وضعت الجهات المختصة أطرًا تنظم جمعها ومعالجتها ونقلها. لذلك لم يعد اختيار المزود ومنطقة الاستضافة قرارًا يتخذه الفريق التقني وحده بناءً على السعر والأداء، بل قرارًا يشارك فيه المسؤول القانوني ومسؤول الأمن السيبراني ومالكو البيانات في الأقسام المختلفة.

2. تصنيف البيانات قبل اختيار مكانها

لا يمكن تحديد مكان استضافة مناسب دون معرفة نوع البيانات وحساسيتها. ويقوم الإطار الوطني لحوكمة البيانات، الذي يشرف عليه مكتب إدارة البيانات الوطنية التابع للهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، على تصنيف البيانات بحسب الأثر المترتب على كشفها أو إساءة استخدامها.

• سري للغاية: بيانات قد يسبب كشفها ضررًا جسيمًا على المصالح الوطنية.
• سري: بيانات قد يسبب كشفها ضررًا كبيرًا على جهة أو على الأفراد.
• مقيد: بيانات يقتصر الاطلاع عليها على فئات محددة، ويترتب على كشفها ضرر محدود.
• عام: بيانات لا يترتب على نشرها ضرر، ويمكن إتاحتها للجمهور.

ويحسن أن يقود عملية التصنيف مالكو البيانات في كل قسم، لأنهم الأقدر على تقدير أثر كشفها.

3. ماذا يعني توطين البيانات عمليًا

توطين البيانات يعني تخزينها ومعالجتها داخل حدود المملكة. ولا يعني ذلك أن كل بيانات الشركة يجب أن تبقى في الداخل، بل يرتبط بتصنيف البيانات وطبيعة الجهة والقطاع الذي تعمل فيه. فالجهات الحكومية وبعض القطاعات المنظمة مثل المالية والصحية تخضع عادة لاشتراطات أشد من غيرها.

مثال توضيحي: لنفترض أن شركة ناشئة تقدم منصة لحجز المواعيد في العيادات. تحتوي المنصة على بيانات صحية وأسماء وأرقام هواتف، وهي بيانات حساسة يُتوقع أن تخضع لاشتراطات مشددة. في المقابل، قد تكون صور الموقع التسويقية وملفات التصميم بيانات عامة يمكن تقديمها عبر شبكة توصيل محتوى عالمية. هنا تختار الشركة منطقة استضافة داخل المملكة لقاعدة البيانات الرئيسية ونسخها الاحتياطية، وتتحقق من الاشتراطات القطاعية المنطبقة عليها قبل الإطلاق.

4. نظام حماية البيانات الشخصية ونقل البيانات إلى الخارج

يحدد نظام حماية البيانات الشخصية حقوق الأفراد في بياناتهم، وواجبات الجهات التي تجمعها وتعالجها، وتتولى سدايا الإشراف على تطبيقه. ويهم الشركات التي تستخدم السحابة فيه عدة جوانب:

• أساس المعالجة: أن يكون لجمع البيانات الشخصية غرض واضح ومشروع، وأن يقتصر الجمع على ما يحتاجه هذا الغرض.
• النقل خارج المملكة: يضع النظام ولوائحه قواعد وشروطًا لنقل البيانات الشخصية أو الإفصاح عنها خارج المملكة، فلا يكفي أن يكون المزود موثوقًا.
• حقوق أصحاب البيانات: مثل حق العلم والوصول والتصحيح وطلب الإتلاف، وهي تتطلب أن تعرف الشركة أين تقع البيانات وكيف تصل إليها.
• الإبلاغ عن التسرب: وجود إجراء واضح لاكتشاف حوادث التسرب والإبلاغ عنها وفق ما يقتضيه النظام.

5. ضوابط الهيئة الوطنية للأمن السيبراني للحوسبة السحابية

أصدرت الهيئة الوطنية للأمن السيبراني ضوابط أساسية للأمن السيبراني، وضوابط خاصة بالحوسبة السحابية تحدد متطلبات على مقدمي الخدمات السحابية وعلى الجهات المستفيدة منها. وتنطبق هذه الضوابط بشكل أساسي على الجهات الحكومية والجهات المشغلة للبنى التحتية الوطنية الحساسة، وتستعين بها جهات أخرى إطارًا مرجعيًا لتنظيم أمنها.

وتغطي الضوابط مجالات مثل حوكمة الأمن السيبراني، وإدارة الهويات والصلاحيات، والتشفير، وحماية البيانات وموقعها، وإدارة السجلات والحوادث، واستمرارية الأعمال. كما تنظم هيئة الاتصالات والفضاء والتقنية تقديم خدمات الحوسبة السحابية في المملكة.

ولهذا يُستحسن أن تسأل الشركة المزود عن مدى التزامه بهذه الضوابط، وأن تطلب ما يثبت ذلك، بدلًا من الاكتفاء بالعبارات التسويقية.

6. ما الذي يجب أن يتضمنه العقد مع مزود السحابة

العقد هو المكان الذي تتحول فيه المتطلبات التنظيمية إلى التزامات واضحة يمكن الرجوع إليها. وكثير من الشركات تقرأ الأسعار ومستويات الخدمة وتتجاوز البنود المتعلقة بالبيانات.

• مكان التخزين والمعالجة: تحديد المنطقة الجغرافية للبيانات الأساسية والنسخ الاحتياطية وسجلات النظام.
• الوصول من الخارج: توضيح ما إذا كان فريق دعم المزود يصل إلى البيانات من خارج المملكة، وبأي شروط.
• المعالجون من الباطن: معرفة الجهات الأخرى التي قد تعالج البيانات نيابة عن المزود، والإشعار عند تغييرها.
• الإبلاغ عن الحوادث: مدة وطريقة إبلاغ الشركة عند وقوع حادث أمني يمس بياناتها.
• إنهاء العقد: آلية استرداد البيانات بصيغة قابلة للاستخدام، والتأكد من إتلافها لدى المزود بعد الانتهاء.

الخلاصة

اختيار مكان استضافة البيانات يبدأ من تصنيفها لا من قائمة أسعار المزودين. فحين تعرف الشركة أنواع بياناتها وحساسيتها، يصبح واضحًا ما يلزم بقاؤه داخل المملكة وما يمكن استضافته في مناطق أخرى. ويكتمل الامتثال بفهم نظام حماية البيانات الشخصية وضوابط الهيئة الوطنية للأمن السيبراني، وتحويلها إلى بنود صريحة في العقد. ولأن المتطلبات تختلف باختلاف القطاع ونوع الجهة وتتحدث من وقت لآخر، يُنصح بمراجعة النصوص الرسمية المحدثة والاستعانة بمستشار قانوني قبل القرار النهائي. كما يُستحسن أن تُعاد مراجعة التصنيف ومواقع الاستضافة كلما أُضيف نظام جديد أو تغير نوع البيانات التي تجمعها الشركة.