تواجه مؤسسات كثيرة في المملكة مسألة إقامة بيانات الرعاية الصحية والضوابط الأساسية عند مراجعة عقودها القديمة. فالعقد الذي وُقّع قبل تطبيق الضوابط الأساسية الصادرة عن الهيئة الوطنية للأمن السيبراني قد يعمل جيدًا من الناحية التشغيلية، لكنه يصمت عن مكان تخزين البيانات وعن مدة الإبلاغ عن الحوادث.
يتناول هذا المقال نمطًا يتكرر في قطاع الرعاية الصحية، ويصلح كذلك للتعليم واللوجستيات. وهو يعرض الفجوة وأسبابها، ثم ثلاثة تعديلات تعاقدية تغلقها دون الحاجة إلى تغيير المنصة.
كيف تنشأ الفجوة
تُوقَّع عقود السجلات الطبية الإلكترونية عادةً لسنوات، وتُجدَّد تلقائيًا في كثير من الأحيان. وفي أثناء ذلك يتغير الإطار التنظيمي، بينما يبقى نص العقد كما كُتب. وعند مراجعة أربعة مقدمي رعاية صحية في الرياض لعقودهم، تبيّن أن بيانات المرضى مخزنة خارج المملكة، وأن العقود لا تتضمن التزامًا بشأن موقع التخزين ولا بشأن الإبلاغ عن الحوادث.
لم يكن ذلك إهمالًا من أحد. فقد كانت الموافقة على العقد سليمة وقت توقيعه، وكان الفريق التقني يرى الخدمة مستقرة. أما الجانب التعاقدي فلم يُراجَع لأن أحدًا لم يطرح السؤال.
لماذا يهم الأمر في الرعاية الصحية
بيانات المرضى من أكثر البيانات حساسية لدى أي مؤسسة. وتطلب الضوابط الأساسية من الجهة أن تعرف أين تقع أصولها المعلوماتية، وأن تضبط علاقتها بالأطراف الخارجية ومقدمي الخدمات السحابية، وأن تدير حوادث الأمن السيبراني ضمن مسار واضح. وكل ذلك يعتمد على نص تعاقدي، لا على حسن النية.
وفي غياب البند التعاقدي تقع المؤسسة في وضع صعب:
- لا تملك سندًا للمطالبة بنقل البيانات إلى موقع داخل المملكة.
- لا تعرف متى سيبلغها المزود بحادث يمس بياناتها.
- لا تستطيع إثبات الامتثال أمام التقييم الذاتي أو المراجعة.
ثلاثة تعديلات تعاقدية دون تغيير المنصة
اعتمد مقدمو الرعاية الأربعة مسارًا واحدًا: ملحق تعديل على العقد القائم بدل إعادة التفاوض الكاملة أو الانتقال إلى منصة أخرى.
أولًا: بند إقامة البيانات
يحدد البند موقع تخزين بيانات المرضى ومواقع النسخ الاحتياطية والبيئات الاحتياطية، ويشترط موافقة المؤسسة الخطية قبل أي نقل. وإن كانت البيانات خارج المملكة، يتضمن الملحق جدولًا زمنيًا للنقل أو مسارًا مقبولًا ضمن الأنظمة المعمول بها. ويجب أن يشمل البند البيانات المشتقة والسجلات التشغيلية، لا قواعد البيانات الرئيسية وحدها.
ثانيًا: بند الإبلاغ عن الحوادث
يضبط هذا البند تعريف الحادث الذي يوجب الإبلاغ، والمدة القصوى لإخطار المؤسسة، والمحتوى الأدنى للإخطار، وجهة الاتصال على الجانبين. ومن المفيد ربطه بإجراء إدارة الحوادث الداخلي حتى تتمكن المؤسسة من الوفاء بالتزاماتها تجاه الجهات التنظيمية في الوقت المناسب.
ثالثًا: بند حق التدقيق وتوفير الأدلة
يمنح هذا البند المؤسسة حق طلب الأدلة التي تثبت التزام المزود، سواء كانت تقارير مستقلة أو سجلات أو إقرارات دورية. فالضابط الذي لا يوجد عليه دليل يصعب إثباته عند التقييم، وهذا البند يحوّل الالتزام من كلام إلى مستند.
ماذا يعني هذا للمشتريات والامتثال
تقع المسؤولية هنا بين ثلاث وظائف. فتقنية المعلومات تعرف أين تعمل الأنظمة فعلًا، والمشتريات تملك العقد وتواريخ تجديده، والامتثال يعرف ما تتطلبه الضوابط. وما لم تجلس هذه الأطراف معًا، تبقى الفجوة قائمة. ومن الممارسات المفيدة:
- حصر العقود السحابية والخدمات المُدارة التي تمس بيانات حساسة.
- مقارنة نص كل عقد بمتطلبات الضوابط الأساسية المتعلقة بالأطراف الخارجية وإدارة الحوادث.
- ترتيب التعديلات بحسب حساسية البيانات وتاريخ التجديد.
- حفظ الملحقات الموقعة ضمن ملف الأدلة المرتبط بكل ضابط.
ربط الأمر بإصدار 2024
كثير من المؤسسات كانت ممتثلة لإصدار 2018 من الضوابط، ثم وجدت أن إصدار ECC-2:2024 غيّر الهيكل وعددًا من المتطلبات. والمنهج العملي ألا تبدأ من الصفر، بل تربط امتثالها الحالي بالضوابط الجديدة وتعالج ما هو جديد أو مختلف فعلًا. ويشمل ذلك مراجعة العقود الموروثة، لأن أثر التغيير يظهر فيها غالبًا قبل أن يظهر في الأنظمة.
كيف نعمل في الضوابط الأساسية
نقدّم في سيزو خدمة الضوابط الأساسية للأمن السيبراني: تقييم الامتثال والمعالجة ودعم التقييم الذاتي للضوابط الصادرة عن الهيئة الوطنية للأمن السيبراني. نعمل على الجاهزية للضوابط الأساسية ECC-2:2024 ضابطًا ضابطًا. ويستغرق التقييم من 6 إلى 10 أسابيع.
تشمل المخرجات ما يلي:
- تقرير تقييم الامتثال، يبيّن حالة الامتثال لكل ضابط مع أدلته.
- خطة المعالجة وأداة متابعتها، بمسؤولين ومواعيد وتقدير للجهد.
- مجموعة السياسات والإجراءات المتوافقة مع ضوابط 2024.
- دعم إعداد التقييم الذاتي، ودعم خلال التقييم الذاتي للهيئة.
- ملخص تنفيذي.
ويصبح التقييم خط أساس يمكن قياسه من جديد كل عام.
خلاصة
لا تعني الفجوة التعاقدية بالضرورة أن المنصة غير صالحة. ففي الغالب يكفي ملحق محدد الصياغة يعالج إقامة البيانات والإبلاغ عن الحوادث وإثبات الالتزام. والخطوة الأولى أن تعرف مؤسستك أين تقع بياناتها وما يقوله العقد عنها فعلًا.
إن كنتم تراجعون عقودكم الموروثة مقابل الضوابط الأساسية، فيمكن أن يكون تقييم الامتثال نقطة بداية واضحة. تواصلوا معنا لمناقشة نطاق التقييم المناسب لمؤسستكم.
