أطر الأمن السيبراني في البر الرئيسي لدبي: دليل شامل

تكتشف معظم شركات دبي التزاماتها في مجال الأمن السيبراني بإحدى طريقتين: إما أن يرسل عميل استبياناً أمنياً قبل التوقيع، وإما أن يقع خطأ ما فيضطر أحدهم إلى أن يقرر خلال ساعات من يجب إخطاره. وتسير اللحظتان سيراً سيئاً حين لا يكون أحد قد حدد القواعد التي تسري فعلاً على المنشأة. فشركة البر الرئيسي في دبي لا تخضع لمدونة واحدة للأمن السيبراني، بل تقع تحت قانون اتحادي لحماية البيانات، ونظام اتحادي لمكافحة جرائم تقنية المعلومات، ومتطلبات أمن معلومات على مستوى الإمارة حيثما تمس أنظمة حكومة دبي أو بياناتها، وما يفرضه عليها منظمها القطاعي وعملاؤها بموجب العقود.

ابدأ بتحديد الأنظمة التي تصل إليك

تمرين التحديد قصير ويستحق أن يُنجز كما ينبغي. وأربعة أسئلة تحسم معظمه.

• هل تعالج بيانات شخصية؟ كل منشأة تقريباً تفعل — ويكفي في ذلك وجود الموظفين وحدهم. وعندئذ يسري المرسوم بقانون اتحادي رقم (45) لسنة 2021 بشأن حماية البيانات الشخصية على كيفية جمع تلك البيانات وتأمينها ومشاركتها ونقلها.
• هل تتصل بأنظمة حكومة دبي، أو تحتفظ ببيانات حكومة دبي، أو تقدم خدمات لجهة حكومية في دبي؟ إن كان الأمر كذلك، فمن المرجح أن تُلقى عليك متطلبات أمن المعلومات الصادرة عن مركز دبي للأمن الإلكتروني، عادةً من خلال العقد لا مباشرة.
• هل تعمل في قطاع خاضع للتنظيم؟ تحمل الخدمات المالية والرعاية الصحية والاتصالات وغيرها من القطاعات الخاضعة للإشراف ضوابطها الخاصة بشأن أماكن تخزين البيانات، وكيفية الإبلاغ عن الحوادث، وكيفية اعتماد الإسناد إلى الغير. وهذه الضوابط تعلو فوق القواعد العامة لا تحل محلها.
• ما الذي وعدت به في العقود؟ بالنسبة لكثير من الشركات، فإن أشد الالتزامات هي التزامات تعاقدية: جداول الأمن المرفقة بعقود العملاء، وحقوق التدقيق، ومواعيد الإخطار بالخروقات، وشروط المسؤولية التي وافق عليها فريق مبيعات لم يعرضها يوماً على أي مختص تقني.

دوّن الإجابات. فمخرج هذا التمرين سجل من صفحة واحدة بالمتطلبات السارية، وهو المستند الذي يرجع إليه كل قرار لاحق.

ما يتوقعه قانون حماية البيانات عملياً

المرسوم بقانون اتحادي رقم (45) لسنة 2021 هو أقرب ما يكون إلى خط أساس عام. وتقع مطالبه العملية لمنشأة البر الرئيسي في بضعة مجالات.

اعرف ما تحتفظ به

احتفظ بسجل للبيانات الشخصية التي تعالجها المنشأة: ما الفئات، ولأي غرض، وأين تُخزن، ومع من تُشارك، وكم تُحتفظ بها. وليس هذا بيروقراطية لذاتها؛ فلا يمكن الإجابة عن أسئلة جهة تنظيمية، أو الاستجابة لشخص يمارس حقوقه، أو تحديد نطاق خرق دون هذا السجل، وكل مؤسسة اضطرت إلى بنائه تحت ضغط الوقت ندمت على عدم بنائه في وقت أبكر.

استند إلى أساس مشروع، وأخبر الناس

تحتاج المعالجة إلى أساس سليم، ويجب إخطار الأفراد بعبارات واضحة بما يحدث لبياناتهم. والموافقة، حيثما يُعتمد عليها، يجب أن تكون خياراً حقيقياً قابلاً للسحب. وإشعارات الخصوصية المنسوخة من موقع مجموعة أجنبية تصف عادةً القانون الخاطئ والحقوق الخاطئة.

أمّن البيانات، وأثبت أنك فعلت

يشترط القانون تدابير تقنية وتنظيمية ملائمة. وما يُعد ملائماً يتدرج مع حساسية البيانات والضرر الذي قد يسببه خرقها. فالتحكم في الوصول، وتشفير البيانات ساكنةً ومنقولة، وتسجيل الأحداث، والتحديث بالرقع البرمجية، والنسخ الاحتياطي والاستعادة المختبرة، وإزالة صلاحيات الوصول عند مغادرة الموظفين، هي التدابير التي تبحث عنها الجهة التنظيمية أولاً. وثّق القرارات، لأن السؤال بعد أي حادث ليس فقط ما فعلته بل ما كنت قد قررت فعله قبل وقوعه.

تحكم في معالجي بياناتك

الاستضافة السحابية ومكاتب الرواتب ومنصات التسويق ودعم تقنية المعلومات كلها معالجون يعملون وفق تعليماتك، واستخدامهم لا ينقل مسؤوليتك. ويحتاج كل منهم إلى ترتيب كتابي يغطي الغرض، والأمن، والمعالجين من الباطن، والمساعدة في حقوق الأفراد، والإخطار بالخروقات، وحذف البيانات أو إعادتها عند الانتهاء. ويحتاج نقل البيانات الشخصية خارج دولة الإمارات إلى أساس بموجب القانون، ويحتفظ كل من مركز دبي المالي العالمي وسوق أبوظبي العالمي بنظامه المستقل لحماية البيانات، ومن ثم فإن النقل إلى شركة تابعة للمجموعة في مركز مالي يظل نقلًا إلى ولاية قضائية أخرى.

كن مستعداً للإبلاغ

حين يمس الخرق خصوصية البيانات الشخصية أو سريتها أو أمنها، يشترط القانون إخطار مكتب البيانات الإماراتي، وفي بعض الحالات الأفراد المتأثرين. قرر مسبقاً من يتخذ هذا القرار، وبناءً على أي معلومات، ومن يعتمد اعتماده النهائي. ويقع كثير من التفاصيل التشغيلية في اللوائح التنفيذية، فتحقق من الوضع الراهن قبل تثبيت الإجراءات الداخلية في وثيقة سياسة.

المسؤولية الجزائية، وغريزة الإبلاغ

يُجرّم نظام مكافحة جرائم تقنية المعلومات الاتحادي الوصول غير المشروع، والمساس بالأنظمة والبيانات، وإساءة استخدام المعلومات المتحصل عليها من خلالها. ويترتب على ذلك أمران يهمان المنشأة. أولاً، المؤسسة التي تتعرض لاختراق هي ضحية ويمكنها الإبلاغ إلى الشرطة والجهات المختصة؛ والحفاظ على السجلات وصور الأنظمة قبل إعادة بنائها هو ما يجعل ذلك البلاغ قابلاً للاستخدام. ثانياً، التحقيق الداخلي الذي يتضمن الوصول إلى حسابات أو أجهزة أو مراسلات شخصية دون صلاحية سليمة قد يولّد هو نفسه مسؤولية. فأجرِ التحقيقات الداخلية عبر المستشار القانوني وأبقها ضمن نطاق عقد العمل والسياسة المعمول بها.

الحوكمة: من يملك هذا الملف

تبحث الجهات التنظيمية والعملاء على السواء عن مسؤولية مُسمّاة. وعملياً، ينبغي لشركة البر الرئيسي أن تستطيع الإشارة إلى شخص مسؤول عن أمن المعلومات، وشخص مسؤول عن الامتثال لحماية البيانات (وقد يكون التعيين الرسمي مطلوباً بحسب طبيعة المعالجة وحجمها)، ومجموعة سياسات معتمدة قرأها الموظفون فعلاً، وسجل تدريب، وأدلة على أن الإدارة العليا تراجع هذا الموضوع بدلاً من تفويضه بالكامل. وحيث تنتمي المنشأة إلى مجموعة، قاوم اعتماد سياسة الشركة الأم دون تعديل؛ فستستشهد بالقوانين الخاطئة والجهة التنظيمية الخاطئة.

الاستجابة للحوادث، مكتوبةً قبل الحاجة إليها

خطة تتسع لصفحتين وتُتدرب عليها مرة في السنة خير من دليل لا يفتحه أحد. ينبغي أن تسمي الأشخاص الذين ينعقدون، وتبين كيفية تقييم الخطورة، وتحدد من يملك صلاحية فصل الأنظمة عن الخدمة، وتسرد الأطراف الخارجية التي يجب الاتصال بها — المستشار القانوني، وخبراء الأدلة الجنائية الرقمية، وشركة التأمين، والعملاء الرئيسيين — وتسجل قرارات الإخطار الواجب اتخاذها ومواعيدها. سجّل كل خطوة بطوابع زمنية أثناء الحدث. فهذا السجل يصبح دليل الاستجابة المعقولة، وهو أيضاً المستند الذي يقرر ما إذا كانت مطالبة تأمينية أو نزاع مع عميل سيسيران على خير ما يرام.

من أين تنشأ المنازعات

نادراً ما تنتهي الإخفاقات الأمنية عند الجهة التنظيمية. بل تظهر على هيئة مطالبات بين عميل ومورد حول اتفاقية مستوى الخدمة، وجدل مع شركة التأمين حول نطاق التغطية، وخلافات مع بائع تعرض منتجه للاختراق، وقضايا عمالية ناشئة عن التحقيق الذي أعقب الحادث. والشروط التعاقدية المكتوبة قبل الحادث هي التي تحسم معظم هذه النتائج: سقوف المسؤولية، واستبعاد الخسائر غير المباشرة، والتعويضات، وحقوق التدقيق، وموقوت الإخطار. ومراجعة تلك البنود عبر محفظة العملاء والموردين عمل وقائي معتاد، ويتولى فريقنا تسوية المنازعات التقنية التي تتبع حين لم تخضع البنود يوماً للمراجعة.

إذا كنت بحاجة إلى مساعدة في تحديد المتطلبات السارية على عملياتك في البر الرئيسي لدبي، أو بناء مجموعة الوثائق، أو الاستجابة لحادث قائم بالفعل، تواصل مع فريق نور اتورنيز.

احجز استشارتك

إخلاء مسؤولية: المعلومات الواردة في هذا المقال مقدمة لأغراض التعريف العام فقط ولا تشكل استشارة قانونية. وينبغي للقراء طلب استشارة قانونية متخصصة مصممة وفق ظروفهم الخاصة قبل اتخاذ أي قرار أو إجراء استناداً إلى محتوى هذا المقال.

فريق نور اتورنيز

موارد ذات صلة

اطلع على المزيد من رؤانا حول الموضوعات ذات الصلة:

• متطلبات الامتثال للوائح الذكاء الاصطناعي في دولة الإمارات
• استراتيجيات الدفاع القانوني في مجال البلوك تشين للشركات في دبي
• إرشادات الامتثال في مجال العملات المشفرة للمشغلين في دولة الإمارات
• قوانين خصوصية البيانات للكيانات متعددة الجنسيات