عند مراجعة بنود عقود SaaS ضوابط NCA السحابية السعودية يتضح في الغالب أن العقود الحالية صيغت قبل أن تصبح الاستجابة للحوادث موضوعًا تنظيميًا مستقلًا. تتناول هذه المقالة أربعة بنود ينبغي للفريق القانوني التفاوض عليها قبل الربع الرابع 2025، استعدادًا لما تتجه إليه مسودة الملحق ج من ضوابط الأمن السيبراني للحوسبة السحابية الصادرة عن الهيئة الوطنية للأمن السيبراني (NCA)، مع صيغة لتعديل اتفاقية معالجة البيانات تسد فجوة الإبلاغ عن الحوادث.
وتنبغي الإشارة إلى أن الملحق ما زال مسودة، وأن صياغته النهائية قد تختلف. لذلك نعرض البنود بوصفها اتجاهًا معقولًا للتفاوض، لا نصًا نهائيًا ملزمًا، ونوصي بمطابقتها مع النسخة المعتمدة عند صدورها.
متى تحتاج مؤسستك إلى هذه المراجعة
تظهر الحاجة في علامات عملية، منها:
- عقود SaaS قائمة لا تحدد مدة زمنية للإبلاغ عن الحوادث، أو تكتفي بعبارة «دون تأخير غير مبرر».
- عدم وضوح موقع تخزين البيانات ومعالجتها، أو غياب حق التدقيق على ذلك.
- تعذّر الحصول على سجلات الأمن من المورّد عند الحاجة إلى تحقيق داخلي.
- غياب جدول زمني للإفصاح عن الثغرات وإصلاحها.
- اقتراب دورة امتثال أو تجديد عقد دون أن تُراجع الجوانب الأمنية فيه.
البند الأول: الإبلاغ عن الحوادث خلال 24 ساعة
يجب أن ينص العقد على التزام المورّد بإبلاغ المؤسسة خلال 24 ساعة من اكتشاف حادث يمس خدماتها أو بياناتها. ولكي يكون البند قابلًا للتنفيذ ينبغي تحديد:
- ما يُعد حادثًا مشمولًا بالإبلاغ، وهل يشمل الاشتباه أم الحادث المؤكد فقط.
- قناة الإبلاغ وجهة الاتصال المسؤولة لدى كل طرف.
- الحد الأدنى من المعلومات في الإشعار الأول، مع تحديثات دورية لاحقة.
- التزام المورّد بالتعاون في الاحتواء والتحقيق.
يقبل الموردون عادة بند الإشعار الأول إذا كان محتواه الأدنى معقولًا، فلا يُطلب منهم تقرير كامل في الساعات الأولى.
البند الثاني: إقرار إقامة البيانات مع حقوق التدقيق
يتطلب الأمر إقرارًا مكتوبًا من المورّد بمواقع تخزين البيانات ومعالجتها، بما يشمل النسخ الاحتياطية وبيئات الدعم، والتزامًا بعدم نقلها خارج المواقع المعتمدة دون موافقة مسبقة. ويقترن الإقرار بحق المؤسسة في التحقق منه، إما بتدقيق مباشر أو بتقارير مستقلة معتمدة، مع تحديد وتيرة التدقيق وإشعاره المسبق. ويشمل ذلك الموردين من الباطن الذين يعالجون البيانات.
البند الثالث: الاحتفاظ بسجلات الأمن والوصول إليها للتحقيق
كثيرًا ما تُكتشف الفجوة هنا وقت الحادث، حين لا تكون السجلات متاحة. ينبغي أن يحدد العقد:
- أنواع السجلات المحتفَظ بها، كسجلات الدخول والإجراءات الإدارية والوصول إلى البيانات.
- مدة الاحتفاظ، بما يتوافق مع متطلباتكم التنظيمية وحاجات التحقيق.
- آلية تسليم السجلات للمؤسسة وزمن الاستجابة لطلبها عند وقوع حادث.
- حماية سلامة السجلات من التعديل.
البند الرابع: جداول الإفصاح عن الثغرات المتوافقة مع NCA ECC
يلزم أن يتضمن العقد التزام المورّد بإبلاغ المؤسسة بالثغرات الجوهرية التي تمس الخدمة، وبجدول زمني لمعالجتها يتناسب مع درجة الخطورة. وينبغي أن ينسجم هذا الجدول مع متطلبات إدارة الثغرات والتحديثات في الضوابط الأساسية للأمن السيبراني (ECC) الصادرة عن الهيئة، حتى لا تتعارض التزاماتكم الداخلية مع ما يقدمه المورّد فعليًا.
تعديل اتفاقية معالجة البيانات: سد فجوة الإبلاغ دون اعتراض المورّد
قد يتردد المورّد في قبول التزام جديد يُقدَّم بوصفه مطلب ضابط سحابي ما زال مسودة. الأسلم تأطيره التزامًا قائمًا أصلًا: الإبلاغ عن اختراق البيانات الشخصية بموجب نظام حماية البيانات الشخصية (PDPL) الصادر عن الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا). ونرى أن يُراجع نص المادة 27 مع المستشار القانوني قبل اعتماد الصيغة، وأن تتضمن الصيغة المقترحة:
- تعريف «اختراق البيانات» بما يتسق مع النظام، ليشمل الوصول أو الإفصاح أو الفقد غير المصرح به.
- التزام المورّد بإشعار المؤسسة خلال 24 ساعة، بحيث تتمكن بوصفها جهة التحكم من الوفاء بالتزاماتها تجاه الجهة المختصة وأصحاب البيانات.
- محتوى الإشعار: طبيعة الحادث، والبيانات المتأثرة، والإجراءات المتخذة.
- التعاون في التحقيق وتسليم السجلات ذات الصلة وفق البند الثالث.
- إحالة بقية الالتزامات التشغيلية إلى ملحق أمني يمكن تحديثه عند صدور الصيغة النهائية للملحق ج دون إعادة فتح العقد.
بهذا التأطير يصبح الطلب امتدادًا لالتزام نظامي يعرفه المورّد، وتكسب المؤسسة حماية لوضعها الامتثالي قبل نفاذ الضوابط الجديدة.
كيف تُرتَّب المفاوضات عمليًا
ابدأ بحصر عقود SaaS الحرجة بحسب حساسية البيانات، ثم قارن كل عقد بالبنود الأربعة وسجّل الفجوات. رتّب الأولويات بحسب تاريخ التجديد، وابدأ بالموردين الذين يعالجون بيانات شخصية أو بيانات تشغيلية حساسة. وأشرِك فرق الأمن والقانون والمشتريات منذ البداية، لأن بنودًا كهذه تفشل غالبًا حين تُترك لطرف واحد.
من العقد إلى التحقق الفعلي
لا يكفي النص التعاقدي وحده؛ فالبند الذي لا يمكن التحقق منه يبقى التزامًا على الورق. وفي هذا الجانب تأتي خدمة أمن الحوسبة السحابية والتطبيقات لدينا، وهي حوكمة أمن الحوسبة السحابية وتقييمها وفق ضوابط الأمن السيبراني للحوسبة السحابية. تتضمن الخدمة تقييم البيئات السحابية وفق ضوابط الهيئة، ومعالجة توطين البيانات والموافقات قبل الانتقال، ونموذج مسؤولية مشتركة محدد لكل خدمة. وتشمل مخرجاتها تقرير تقييم أمن الحوسبة السحابية، ومصفوفة المسؤوليات المشتركة، وخارطة المعالجة. وتستغرق من 4 إلى 8 أسابيع.
إن كانت عقود SaaS لديكم تحتاج إلى مراجعة قبل الربع الرابع 2025، فابدأوا بتقييم الفجوات مقابل هذه البنود الأربعة، ثم تواصلوا معنا لمناقشة نطاق التقييم الأنسب لبيئتكم.
