إن كنت تدير التقنية في السعودية، فثمّة اسمان يردان في كل محادثة شراءٍ جادّة تقريباً: ضوابط الأمن السيبراني الأساسية الصادرة عن الهيئة الوطنية للأمن السيبراني، ونظام حماية البيانات الشخصية. وليس أيٌّ منهما شيئاً يُضاف في النهاية. إليك نظرةً عملية إلى ماهيتهما وكيفية مساءلة المورّد بشأنهما.
NCA ECC، باختصار
ضوابط الأمن السيبراني الأساسية هي خطّ الأساس الذي وضعته الهيئة الوطنية للأمن السيبراني لحماية أصول المعلومات والتقنية. وتغطّي الحوكمة، والدفاع، والصمود، وأمن الأطراف الخارجية والسحابة، من بين مجالاتٍ أخرى.
بالنسبة للبرمجيات، الأثر العملي هو أنّ الأمن يجب أن يكون مصمَّماً منذ البداية وقابلاً للإثبات: ضوابط وصول، وسجلّات تدقيق، وعمليات آمنة، ووضوحٌ في مسؤولية كلّ طرفٍ عمّا يخصّه.
PDPL، باختصار
ينظّم نظام حماية البيانات الشخصية كيفية جمع البيانات الشخصية واستخدامها وتخزينها ومشاركتها. ويضع توقّعاتٍ حول الأساس النظامي، والشفافية، وحقوق أصحاب البيانات، وأين وكيف تُعالَج البيانات.
وبالنسبة لأيّ نظامٍ يلامس بياناتٍ شخصية — ومعظم أنظمة المؤسسات كذلك — فهذا يعني التعمّد فيما تجمعه، وإبقاءه منفصلاً وآمناً، والقدرة على تلبية طلبات الاطّلاع عليه أو حذفه.
ما الذي تسأل عنه المورّد
- كيف تُحفظ بياناتنا منفصلةً عن بيانات العملاء الآخرين؟
- هل يمكن أن تقيم البيانات داخل المملكة، وكيف يُضمن ذلك؟
- ما ضوابط الوصول وسجلّات التدقيق الموجودة، وهل يمكننا الاطّلاع عليها؟
- كيف تُدار حقوق البيانات الشخصية (الاطّلاع، والتصحيح، والحذف)؟
- هل الأمن مصمَّمٌ ومُراجَع، أم يُتفاعَل معه بعد الحوادث؟
- حيثما يلزم تصديقٌ رسمي، ما القائم منه اليوم؟
كلمةٌ عن مصطلح «ممتثل»
كن حذراً من المورّدين الذين يدّعون «امتثالاً» شاملاً أو يلوّحون بشارات تصديقٍ دون تفاصيل. فالتوافق مع معيارٍ والتصديق الرسمي عليه أمران مختلفان. والشريك الجدير بالثقة سيخبرك بوضوحٍ بما هو قائمٌ فعلاً وما سيعمل على تحقيقه معك.
تعامل مع NCA ECC و PDPL كمدخلاتٍ للتصميم، لا كأوراقٍ روتينية. اطرح أسئلةً محدّدة حول فصل البيانات، وإقامتها، والوصول، والتدقيق، وحقوق البيانات الشخصية — واحذر من ادّعاءات الامتثال غير المحدّدة.