تصنيف بيانات يعرف كل فريق كيف يطبّقه

تحتاج فرق كثيرة إلى سياسة تصنيف بيانات باللغة العربية، لتطبّق قواعد التعامل في التشغيل الفعلي، لا أن تبقى حبيسة ملف السياسات.

نسلّم السياسة وقواعد التعامل بالعربية والإنجليزية.

تعتمد المملكة مخططاً وطنياً موحداً لتصنيف البيانات. فقد أصدر مكتب إدارة البيانات الوطنية، التابع للهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، سياسة تصنيف البيانات عام 2020 ضمن سياسات حوكمة البيانات الوطنية، وحدد فيها أربعة مستويات: سري للغاية، وسري، ومقيّد، وعام.

تسري السياسة على جميع الجهات العامة، وعلى الشركات الخاصة التي تتعامل مع البيانات الحكومية. وهي كذلك مجال تصنيف البيانات، المجال الثالث عشر في ضوابط ومواصفات إدارة البيانات الوطنية وحوكمتها وحماية البيانات الشخصية، فتُقيَّم الجهات العامة عليها في دورة الامتثال السنوية.

يتحدد المستوى بحسب الأثر، أي حجم الضرر المترتب على الإفصاح عن البيانات أو الوصول إليها دون تصريح أو العبث بها. ويشمل تقييم الأثر أربعة جوانب: المصلحة الوطنية، وأنشطة الجهات، ومصالح الأفراد بما فيها خصوصيتهم وسلامتهم، والبيئة.

وتحكم قرارات التصنيف مجموعة مبادئ: الأصل في البيانات الإتاحة ما لم تتطلب طبيعتها الحماية، والتصنيف يكون بقدر الضرورة وبما يتناسب مع الأثر، ويتم في وقته عند إنشاء البيانات أو استلامها. والبيانات التي تجمع أكثر من مستوى تأخذ أعلاها، مع الفصل بين المهام، ومنح الوصول وفق الحاجة إلى المعرفة والحد الأدنى من الصلاحيات.

التصنيف الذي يبقى في السجل وحده لا يحمي شيئاً. يجب أن يرافق المستوى البيانات أينما انتقلت: وسماً يراه الموظف، وبيانات وصفية تقرؤها الأنظمة.

يوضع الوسم المرئي في رأس المستند وتذييله، وفي عنوان البريد الإلكتروني، وعلى غلاف التقرير. أما الوسم الوصفي فيُثبَّت على الملفات وجداول قواعد البيانات وأعمدتها وعناصر فهرس البيانات. ويجب أن يتطابق الوسمان، وأن يُضاف الوسم عند إنشاء البيانات أو استلامها.

بعدها تعمل أدوات منع تسرب البيانات (DLP) بناءً على الوسم: تحجب خروج البيانات السرية إلى البريد الشخصي أو التخزين السحابي غير المعتمد، وتنبّه من يشارك ملفات مقيّدة خارج الجهة، وتسجّل كل محاولة للمراجعة. وتعتمد إدارة الهويات والصلاحيات (IAM) على الوسم نفسه لمنح الصلاحيات بحسب المستوى.

وتفحص أدوات الاكتشاف المستودعات وتقترح مستوى بحسب المحتوى، كأرقام الهوية الوطنية وأرقام الحسابات والسجلات الصحية، ثم يعتمد مالك البيانات المستوى. بهذا الجمع يُصنَّف الحجم الكبير من البيانات بسرعة، وتبقى المسؤولية على شخص مسمّى.

تضع الهيئة الوطنية للأمن السيبراني الضوابط الأمنية التي تحمي البيانات المصنفة. وتُلزم الضوابط الأساسية للأمن السيبراني (ECC-2:2024) الجهات بتحديد متطلبات الأمن السيبراني لحماية البيانات والمعلومات والتعامل معها وتوثيقها وتطبيقها ومراجعتها دورياً، وفق الأنظمة والتشريعات ذات العلاقة، وذلك في المكوّن الفرعي 2-7 لحماية البيانات والمعلومات.

ويشترط الضابط 2-7-3 أن تشمل هذه المتطلبات ما ينطبق من ضوابط الأمن السيبراني للبيانات (DCC-1:2022). وتسري هذه الضوابط على الجهات الحكومية والشركات التابعة لها، وعلى جهات القطاع الخاص التي تملك بنى تحتية وطنية حساسة أو تشغّلها. وتتدرج ضوابطها التسعة عشر وضوابطها الفرعية السبعة والأربعون بحسب مستوى التصنيف، فالمستوى الذي تحدده سياسة المكتب هو ما يحدد الضوابط الأمنية الواجبة.

أما نظام حماية البيانات الشخصية (PDPL) فيحكم البيانات الشخصية أينما وُجدت، ولا يضع مستويات تصنيف خاصة به. والضرر بالأفراد، ومنه المساس بخصوصيتهم، أحد جوانب تقييم الأثر الأربعة، لذلك تُصنَّف البيانات الشخصية بحسب الضرر الذي يسببه كشفها، ويحدد مستواها الضوابط التي تفي بمتطلبات النظام في الحماية والإبلاغ عن حوادث التسرب.