الإخطار بالاختراق وفق المادة 24 من نظام حماية البيانات: القرارات الأربعة الموثقة التي تتوقعها الهيئة السعودية للبيانات قبل إرسال تقرير الـ72 ساعة
عندما تكتشف جهة متحكمة بالبيانات اختراقاً أمنياً، يتجه الحديث فوراً إلى مهلة الـ72 ساعة. لكن إجراءات الإخطار بالاختراق نظام حماية البيانات لا تبدأ بصياغة التقرير، بل بأربعة قرارات موثقة تسبقه: تصنيف الاختراق، تحديد عدد الأفراد المتأثرين، توثيق إجراءات الاحتواء، وتقييم ضرورة الإخطار. هذه القرارات هي ما يتحقق منه مفتشو الهيئة السعودية للبيانات والذكاء الاصطناعي أولاً، وغيابها أو ضعف توثيقها يحول الإخطار من التزام تنظيمي إلى مخاطرة قانونية.
معظم الجهات المتحكمة تركز على صياغة التقرير النهائي وتغفل البنية التحتية للقرارات التي تسبقه. والنتيجة: تقارير تُرسل في الساعة الحادية والسبعين لكنها تفتقر إلى الإثباتات الأساسية، أو قرارات بعدم الإخطار لا تستند إلى تقييم موثق للمخاطر. هذا المقال يشرح القرارات الأربعة، صيغة الإثبات المقبولة لكل منها، وسير العمل الداخلي الذي ينتجها تحت ضغط الوقت.
متى تحتاج الجهة المتحكمة إلى هذه الإجراءات
تحتاج الجهة المتحكمة إلى إجراءات موثقة للإخطار بالاختراق في اللحظة التي تبدأ فيها معالجة بيانات شخصية لأفراد في المملكة. الحاجة ليست مشروطة بوقوع الاختراق، بل بوجود البيانات ذاتها. نظام حماية البيانات الشخصية الصادر عن الهيئة السعودية للبيانات والذكاء الاصطناعي يفرض على الجهة المتحكمة واجب الإخطار عند وقوع اختراق يُحتمل أن ينتج عنه مخاطر على حقوق الأفراد وحرياتهم.
العلامات التي تشير إلى أن الوقت قد حان لإعداد هذه الإجراءات:
- غياب سجل موحد للحوادث الأمنية يربط بين الحادثة الأمنية والبيانات الشخصية المتأثرة.
- عدم وجود معايير واضحة لتصنيف الاختراقات حسب مستوى المخاطر على الأفراد.
- الاعتماد على فريق الأمن السيبراني وحده دون مشاركة موثقة من المستشار القانوني ومسؤول حماية البيانات.
- عدم القدرة على تحديد عدد الأفراد المتأثرين خلال الساعات الأولى من اكتشاف الحادثة.
- غياب نموذج موحد لتقييم ضرورة الإخطار يستند إلى معايير قابلة للتدقيق.
هذه العلامات تعني أن الجهة المتحكمة ليست جاهزة لتلبية متطلبات المادة 24 من نظام حماية البيانات، وأن أي اختراق سيتحول إلى أزمة إجرائية قبل أن يصبح التزاماً تنظيمياً.
القرار الأول: تصنيف الاختراق حسب طبيعة البيانات المتأثرة
أول قرار موثق يتوقعه المفتش هو تصنيف الاختراق حسب نوع البيانات الشخصية المتأثرة وحساسيتها. هذا التصنيف ليس وصفاً عاماً للحادثة الأمنية، بل تقييماً محدداً لفئات البيانات التي تعرضت للوصول غير المصرح به أو الإفصاح أو الفقدان.
الإثبات المقبول لهذا القرار يتضمن:
- قائمة محددة بفئات البيانات المتأثرة: بيانات تعريفية أساسية (الاسم، رقم الهوية)، بيانات مالية، بيانات صحية، بيانات موقع، أو بيانات حساسة أخرى.
- مرجع إلى سجل أنشطة المعالجة الذي يوضح الغرض من معالجة هذه البيانات والأساس النظامي لها.
- تقييم لحساسية البيانات وفق تصنيف داخلي معتمد مسبقاً، لا وفق تقدير لحظي.
- توقيت اكتشاف الاختراق وتوقيت تصنيفه، مع توثيق الفجوة الزمنية إن وُجدت.
سير العمل الذي ينتج هذا القرار يبدأ بإخطار فريق الاستجابة للحوادث الأمنية، الذي يحدد نطاق الحادثة التقني. ثم يتدخل مسؤول حماية البيانات ليربط هذا النطاق بسجل أنشطة المعالجة، ويحدد فئات البيانات المتأثرة. هذا الربط يحتاج إلى حصر واضح للبيانات الشخصية ومسارات تدفقها، وهو أحد المخرجات الأساسية لبرنامج الامتثال لنظام حماية البيانات.
دون هذا الحصر المسبق، يتحول التصنيف إلى تخمين، والتخمين لا يُقبل كإثبات.
القرار الثاني: تحديد عدد الأفراد المتأثرين ونطاق التأثير
القرار الثاني هو تحديد عدد الأفراد المتأثرين بالاختراق ونطاق التأثير على كل فرد. هذا العدد ليس تقديراً تقريبياً، بل رقماً موثقاً مستمداً من سجلات المعالجة وسجلات الأنظمة المتأثرة.
الإثبات المقبول لهذا القرار يتضمن:
- عدد محدد أو نطاق عددي ضيق للأفراد المتأثرين، مع توضيح مصدر هذا العدد (قاعدة بيانات، سجل نظام، ملف).
- توصيف لنطاق التأثير على كل فرد: هل تعرضت جميع بياناته الشخصية أم فئة محددة منها؟ هل كان التأثير وصولاً غير مصرح به، أم إفصاحاً، أم فقداناً دائماً؟
- تحديد الفئات الخاصة من الأفراد إن وُجدت: قُصّر، أفراد ذوو إعاقة، أو فئات أخرى تستدعي حماية إضافية.
- توثيق الطريقة المستخدمة لتحديد العدد، بما في ذلك الاستعلامات أو التقارير المستخرجة من الأنظمة.
سير العمل هنا يتطلب تعاوناً فورياً بين فريق الأمن السيبراني، الذي يحدد الأنظمة المتأثرة، وفريق إدارة البيانات، الذي يستخرج السجلات ويحدد الأفراد. هذا التعاون يحتاج إلى إجراءات للتعامل مع طلبات أصحاب البيانات تكون جاهزة مسبقاً، لأن تحديد الأفراد المتأثرين يستخدم نفس البنية التحتية المستخدمة للاستجابة لطلبات الحقوق.
التأخير في تحديد العدد يؤخر جميع القرارات اللاحقة، ويضعف مصداقية التقرير النهائي.
القرار الثالث: توثيق إجراءات الاحتواء والتخفيف
القرار الثالث هو توثيق إجراءات الاحتواء التي اتخذتها الجهة المتحكمة فور اكتشاف الاختراق، وإجراءات التخفيف التي تمنع تكرار الحادثة. هذا التوثيق ليس سرداً لما حدث، بل إثباتاً لقرارات محددة اتُخذت في أوقات محددة.
الإثبات المقبول لهذا القرار يتضمن:
- سجل زمني لإجراءات الاحتواء: متى تم عزل النظام المتأثر؟ متى تم تعطيل الحسابات المخترقة؟ متى تم إيقاف تدفق البيانات؟
- قرارات التخفيف الفورية: تغيير كلمات المرور، تحديث الصلاحيات، تفعيل المصادقة الثنائية، أو أي إجراء آخر يقلل من المخاطر الفورية.
- الإجراءات التصحيحية طويلة المدى: تحديث السياسات، تعديل الضوابط التقنية، أو تدريب الموظفين.
- الجهات الخارجية المُخطَرة: مزودو الخدمات السحابية، شركات الأمن السيبراني، أو أي طرف ثالث له علاقة بالحادثة.
سير العمل هنا يتطلب جاهزية للإبلاغ عن التسرب خلال المدة المطلوبة، وهذا يعني وجود إجراءات مكتوبة مسبقاً تحدد من يتخذ قرار الاحتواء، ومن يوثقه، ومن يراجعه. هذه الإجراءات جزء من ضوابط متكاملة مع برنامج الأمن السيبراني، وليست منفصلة عنه.
غياب التوثيق الزمني لإجراءات الاحتواء يُفسَّر كتأخير في الاستجابة، حتى لو كانت الإجراءات قد نُفذت فعلاً.
القرار الرابع: تقييم ضرورة الإخطار ومستوى المخاطر
القرار الرابع، وهو الأكثر حساسية، هو تقييم ضرورة الإخطار بناءً على مستوى المخاطر على حقوق الأفراد وحرياتهم. نظام حماية البيانات لا يفرض الإخطار عن كل حادثة أمنية، بل عن الاختراقات التي يُحتمل أن تنتج عنها مخاطر. هذا التقييم يحتاج إلى معايير واضحة وإثبات موثق.
الإثبات المقبول لهذا القرار يتضمن:
- معايير تقييم المخاطر المستخدمة: طبيعة البيانات، عدد الأفراد، احتمالية إساءة الاستخدام، وإمكانية التعرف على الأفراد.
- نتيجة التقييم: هل المخاطر منخفضة، متوسطة، أم عالية؟ وما الأساس الموضوعي لهذا التصنيف؟
- قرار الإخطار أو عدم الإخطار: إذا قررت الجهة عدم الإخطار، فما المبرر الموثق لذلك؟
- مشاركة المستشار القانوني: هل راجع المستشار القانوني التقييم ووافق على القرار؟
سير العمل هنا يتطلب اجتماعاً موثقاً بين مسؤول حماية البيانات، المستشار القانوني، ومدير أمن المعلومات. هذا الاجتماع يستعرض القرارات الثلاثة السابقة، ويطبق معايير التقييم، ويتخذ قرار الإخطار. التوثيق يشمل محضر الاجتماع، المعايير المستخدمة، والنتيجة النهائية.
قرار عدم الإخطار دون توثيق كافٍ يُعرّض الجهة المتحكمة لمخاطر تنظيمية أكبر من الاختراق نفسه.
سير العمل المتكامل: من الاكتشاف إلى الإخطار
القرارات الأربعة لا تُتخذ بشكل منفصل، بل ضمن سير عمل متكامل يبدأ لحظة اكتشاف الحادثة الأمنية وينتهي بإرسال التقرير أو توثيق قرار عدم الإخطار. هذا السير يتطلب:
- إخطار فوري لفريق الاستجابة للحوادث ومسؤول حماية البيانات.
- تصنيف أولي للحادثة خلال الساعات الأولى، بناءً على المعلومات المتاحة.
- تحديد عدد الأفراد المتأثرين خلال الـ24 ساعة الأولى، مع تحديث مستمر.
- توثيق إجراءات الاحتواء فور تنفيذها، دون انتظار اكتمال التحقيق.
- اجتماع تقييم المخاطر خلال 48 ساعة، لاتخاذ قرار الإخطار.
- صياغة التقرير وإرساله إلى الهيئة السعودية للبيانات خلال 72 ساعة، أو توثيق قرار عدم الإخطار مع المبررات.
هذا السير يحتاج إلى أساس نظامي موثق لكل نشاط معالجة، وهو ما يوفره برنامج الامتثال لنظام حماية البيانات.
الخلاصة: الإثبات قبل الإخطار
مهلة الـ72 ساعة ليست التحدي الحقيقي في إجراءات الإخطار بالاختراق نظام حماية البيانات. التحدي الحقيقي هو إنتاج أربعة قرارات موثقة—تصنيف الاختراق، عدد المتأثرين، إجراءات الاحتواء، وضرورة الإخطار—تحت ضغط الوقت ووفق معايير قابلة للتدقيق. هذه القرارات لا تُنتج لحظة الحادثة، بل تُبنى على بنية تحتية تُعد مسبقاً: حصر البيانات، سجلات المعالجة، إجراءات الاستجابة، وضوابط متكاملة.
الجهات المتحكمة التي تستثمر في هذه البنية التحتية تحول الإخطار بالاختراق من أزمة إلى التزام قابل للإدارة. والجهات التي تؤجل هذا الاستثمار تكتشف، لحظة الحادثة، أن الوقت قد فات.
كيف يساعد برنامج حماية البيانات الشخصية
برنامج حماية البيانات الشخصية يُعد الجهة المتحكمة لإجراءات الإخطار بالاختراق من خلال بناء البنية التحتية للقرارات الأربعة. يشمل البرنامج حصر البيانات الشخصية وخرائط تدفقها، سجلات أنشطة المعالجة، إشعارات الخصوصية ونهج الموافقة، إجراءات حقوق أصحاب البيانات والاستجابة للتسرب، وجلسة توعية للموظفين. يستغرق البرنامج من 6 إلى 8 أسابيع، وينتج مخرجات موثقة جاهزة للتدقيق من قبل الهيئة السعودية للبيانات والذكاء الاصطناعي.
إذا كانت جهتكم تعالج بيانات شخصية لأفراد في المملكة ولا تملك إجراءات موثقة للاستجابة للاختراقات، فالوقت المناسب لإعدادها هو الآن—قبل الحادثة، لا بعدها.
