عند وقوع اختراق في جهة سعودية، يواجه فريق الاستجابة التزامين متزامنين: إشعار شركة التأمين وفق شروط الوثيقة، وإبلاغ الجهة المختصة وفق نظام حماية البيانات الشخصية (PDPL) الصادر عن الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا). ويتناول هذا المقال موضوع الإبلاغ عن الاختراق وفق نظام حماية البيانات ومطالبات التأمين السيبراني، ويقترح ثلاث وثائق تُجهَّز خلال 48 ساعة، وقائمة تحقق تسير بالتوازي مع الاحتواء.
لماذا 48 ساعة؟
يتضمن النظام ولائحته التنفيذية التزامًا بإبلاغ الجهة المختصة عن حوادث تسرب البيانات الشخصية خلال مدة قصيرة تُحسب بالساعات. ويُرجى الرجوع إلى نص النظام ولائحته للتحقق من المدة وشروطها ورقم المادة، وإلى وثيقتكم لمعرفة مهلة الإشعار التي حددها المؤمّن.
أما الـ48 ساعة فليست مدة نظامية، بل مهلة عملية نقترحها: ففي هذه الفترة يكون لدى الجهة صورة أولية كافية لإشعار المؤمّن، وتبقى أمامها مساحة قبل نهاية مهلة الإبلاغ النظامي لإنجاز بلاغ دقيق. وتبقى مدة الإشعار في الوثيقة هي المرجع، وقد تكون أقصر من ذلك.
الوثائق الثلاث
1. سجل الإشعار
وثيقة زمنية تثبت متى اكتُشف الحادث، ومن علم به، ومتى أُشعر المؤمّن والوسيط، وبأي وسيلة، وبأي صيغة. وهي أول ما يُرجع إليه إذا نشأ خلاف حول التأخر في الإشعار. ويُستحسن أن تتضمن:
- وقت الاكتشاف الأول ومصدره.
- وقت إشعار المؤمّن والوسيط ونسخة من الرسالة وإثبات الاستلام.
- أسماء المتصلين والمستلمين من الطرفين.
- وقت إشعار الجهة المختصة وفق نظام حماية البيانات، متى انطبق ذلك.
2. ملف الأدلة والوقائع
وصف مبدئي للحادث يستند إلى أدلة محفوظة: نطاق الأنظمة المتأثرة، وأنواع البيانات الشخصية المحتمل تسربها، وسجلات الأنظمة، وإجراءات الاحتواء المتخذة وتوقيتها. ويخدم هذا الملف غرضين: بناء بلاغ النظام، ودعم المطالبة لاحقًا. والاتساق بين الروايتين مهم، فأي تباين بين ما يُبلَّغ به الجهة المختصة وما يُقدَّم للمؤمّن يُضعف الموقف أمام الطرفين.
3. سجل التكاليف وتقدير الخسائر
يبدأ من اليوم الأول: ساعات الفريق، وأتعاب الجهات المعتمدة، وتكاليف الاستعادة، والانقطاع إن وُجد. ويُقيَّد كل بند بتاريخه وسببه وارتباطه بالحادث، لأن المؤمّن يطلب عادةً ما يثبت أن الإنفاق وقع ضمن التغطية وبموافقته حيث تشترط الوثيقة ذلك.
قائمة التحقق بالتوازي مع الاحتواء
لا ينبغي أن يتوقف الاحتواء لأجل التوثيق، ولا أن يُهمل التوثيق بحجة الاحتواء. والحل تعيين مسؤول توثيق مستقل عن قائد الاحتواء.
- الساعة الأولى: افتحوا سجل الإشعار، وسجلوا وقت الاكتشاف، وراجعوا بند الإشعار في الوثيقة وبيانات الوسيط.
- قبل أي إنفاق كبير: تحققوا من قائمة الجهات المعتمدة لدى المؤمّن واشتراط الموافقة المسبقة على التكاليف.
- أثناء الاحتواء: احفظوا السجلات والصور الجنائية، ودوّنوا كل إجراء مع توقيته ومنفذه.
- قبل نهاية الساعات الأولى: أرسلوا الإشعار الرسمي للمؤمّن والوسيط بصيغة وقائعية دون استنتاجات غير مؤكدة.
- خلال 48 ساعة: أكملوا الصورة الأولية للأنظمة والبيانات المتأثرة، وحدّدوا هل يستوجب الحادث إبلاغًا نظاميًا وفق PDPL.
- قبل موعد البلاغ النظامي: راجعوا نص البلاغ مقابل ملف الأدلة ليتطابقا، وأشركوا المستشار القانوني.
- بعد ذلك: حدّثوا سجل التكاليف يوميًا، وابدؤوا تجميع ملف المطالبة.
أخطاء شائعة
- الاعتماد على الوسيط وحده دون إشعار موثق للمؤمّن وفق ما تنص عليه الوثيقة.
- التعاقد مع جهة استجابة غير معتمدة ثم اكتشاف رفض تكلفتها.
- صياغة البلاغ النظامي والإشعار التأميني بمعزل عن بعضهما.
- ترك تقدير الخسائر إلى ما بعد انتهاء الحادث، فتضيع التفاصيل.
كيف نساعدكم
عند وقوع حادث نساعدكم على استيفاء شروط الوثيقة: الإشعار في الوقت المناسب، والجهات المعتمدة، وسجلات التكاليف، والأدلة التي تحتاجها شركة التأمين للصرف. ويسير عملنا في أربع مراحل: الإشعار، والتنسيق مع الجهات المعتمدة، والتوثيق، ثم المطالبة. وتشمل مخرجاتنا سجل الإشعار، وملف المطالبة مع الأدلة، وتقدير الخسائر.
ونحن لا نحل محل الجهة المعتمدة لدى شركة التأمين، بل ننسق مع الجهات المعتمدة ونحمي مصالحكم إلى جانبها. وإن وقع الحادث بالفعل فيمكننا المساعدة، وإن كان التدخل المبكر أفضل حماية للمطالبة.
خاتمة
الاستعداد المسبق يخفف ضغط الساعات الأولى: وثيقة مفهومة، وقائمة جهات معتمدة معروفة، ومسؤول توثيق معيّن. وإن كنتم تواجهون حادثًا أو ترغبون في ترتيب خطة الاستجابة لتوافق الوثيقة والنظام، فتواصلوا معنا عبر خدمة دعم المطالبات السيبرانية والحوادث.
