تعرّف على أبرز مخالفات الأمن السيبراني التي قد تعرض الشركات في السعودية للغرامات والعقوبات، وما علاقة حماية البيانات والأدلة الرقمية والإبلاغ عن الحوادث بالالتزام النظامي، وما الإجراءات التي يجب على المنشآت اتخاذها لتقليل مخاطر المخالفات والعقوبات.
مقدمة
لم تعد حماية الأنظمة والبيانات داخل الشركات مسألة تقنية فقط، بل أصبحت جزءًا مهمًا من الامتثال النظامي في المملكة العربية السعودية. فمع توسع الاعتماد على الخدمات الرقمية والحوسبة السحابية والأنظمة الإلكترونية، أصبحت الشركات مطالبة باتخاذ إجراءات مناسبة لحماية معلوماتها وأنظمتها من الاختراق أو الوصول غير المصرح به.
وتختلف العقوبات بحسب طبيعة النشاط والنظام الذي تخضع له الشركة؛ فلا توجد غرامة واحدة تنطبق على جميع مخالفات الأمن السيبراني. وقد تشمل المسؤولية أنظمة مثل نظام الاتصالات وتقنية المعلومات، ونظام حماية البيانات الشخصية، ونظام مكافحة الجرائم المعلوماتية، إضافة إلى الضوابط الصادرة عن الجهات التنظيمية المختصة.
وتضع الهيئة الوطنية للأمن السيبراني عددًا من الضوابط التي تهدف إلى رفع مستوى الحماية والجاهزية السيبرانية لدى الجهات الواقعة ضمن نطاق تطبيقها. ([nca.gov.sa][1])
ما المقصود بمخالفات الأمن السيبراني؟
يقصد بها بصورة عامة الأفعال أو حالات عدم الالتزام التي تؤدي إلى مخالفة المتطلبات النظامية أو التنظيمية المتعلقة بحماية الأنظمة والشبكات والبيانات والمعلومات.
ومن أمثلتها:
- ضعف حماية الأنظمة والبيانات.
- السماح بالوصول غير المصرح به.
- عدم تطبيق الضوابط الأمنية المطلوبة.
- إهمال معالجة الثغرات الأمنية.
- عدم التعامل مع الحوادث السيبرانية وفق المتطلبات.
- إساءة استخدام بيانات العملاء.
- مخالفة متطلبات حماية المعلومات.
- عدم الالتزام بمتطلبات الجهة التنظيمية المختصة.
- إعاقة أعمال الرقابة أو عدم تقديم المعلومات المطلوبة.
لكن العقوبة لا تتحدد بمجرد وصف الفعل بأنه "مخالفة سيبرانية"؛ بل يجب تحديد النظام والجهة المختصة وطبيعة النشاط والالتزام الذي تمت مخالفته.
هل كل شركة في السعودية معرضة لغرامة بسبب مخالفة سيبرانية؟
ليس بالضرورة أن تخضع جميع الشركات للمتطلبات نفسها.
فبعض ضوابط الأمن السيبراني تنطبق على جهات محددة بحسب نطاقها، كما توجد متطلبات خاصة بقطاعات مثل الاتصالات والخدمات السحابية وغيرها.
لذلك يجب على الشركة تحديد الأنظمة واللوائح والضوابط التي تنطبق على نشاطها قبل تقييم مستوى الالتزام.
وتؤكد الهيئة الوطنية للأمن السيبراني أن بعض الضوابط، مثل ضوابط الأمن السيبراني للأنظمة الحساسة، جاءت كامتداد للضوابط الأساسية وتهدف إلى حماية الأصول المعلوماتية والتقنية للأنظمة الحساسة. ([nca.gov.sa][1])
أبرز المخالفات التي يجب أن تنتبه لها شركتك
1. عدم حماية بيانات العملاء والمستخدمين
إذا كانت الشركة تتعامل مع بيانات شخصية أو معلومات مستخدمين، فإن حماية هذه البيانات من الوصول أو الاستخدام غير المصرح به تعد من أهم الالتزامات النظامية.
وفي قطاع الاتصالات وتقنية المعلومات، يلزم النظام مقدم الخدمة باتخاذ التدابير والترتيبات اللازمة لحماية سرية معلومات ووثائق المستخدم ومنع الوصول إليها أو التصرف فيها بصورة غير نظامية.
كما أن وقوع اختراق أو انتهاك للمعلومات لا يعني انتهاء مسؤولية الشركة، إذ قد تترتب عليها التزامات إضافية بحسب النظام والجهة المختصة.
2. عدم التعامل مع الحوادث السيبرانية
من الأخطاء الخطيرة أن تتعرض الشركة لاختراق أو حادث سيبراني ثم لا تتعامل معه وفق الإجراءات المطلوبة.
وتتضمن ضوابط الأمن السيبراني للحوسبة السحابية، على سبيل المثال، متطلبات تتعلق بالتدريب على الاستجابة للحوادث، واختبار قدرات الاستجابة دوريًا، وتحليل الأسباب الجذرية للحوادث ووضع خطط المعالجة. ([NCA][3])
وبالتالي يجب أن تمتلك الشركة خطة واضحة للتعامل مع:
- الاختراقات.
- تسرب البيانات.
- البرمجيات الخبيثة.
- هجمات الفدية.
- محاولات الوصول غير المصرح به.
- فقدان أو سرقة البيانات.
3. عدم الإبلاغ عن الحوادث في الحالات التي يوجب فيها النظام ذلك
قد تفرض الأنظمة أو الضوابط القطاعية التزامات بالإبلاغ عن بعض الحوادث السيبرانية.
فعلى سبيل المثال، تتضمن ضوابط الأمن السيبراني للحوسبة السحابية متطلبًا يتعلق بإبلاغ المشترك فورًا عن الحوادث السيبرانية التي قد تؤثر عليه في حال اكتشافها. ([NCA][3])
لذلك لا ينبغي للشركة أن تفترض أن إخفاء الحادث أو تأجيل التعامل معه يحميها من المسؤولية.
4. ضعف حماية تطبيقات الويب
الشركات التي تعتمد على المواقع والتطبيقات الإلكترونية معرضة لمخاطر عديدة، خصوصًا عندما تتعامل التطبيقات مع بيانات العملاء أو المدفوعات.
وتشمل المتطلبات الأمنية حماية المعلومات المستخدمة في المعاملات من مخاطر مثل:
- التعديل غير المصرح به.
- الاطلاع غير المصرح به.
- التوجيه الخاطئ.
- انقطاع الاتصال أثناء نقل البيانات.
وتتضمن ضوابط الأمن السيبراني للحوسبة السحابية متطلبات محددة لحماية تطبيقات الويب من هذه المخاطر. ([NCA][3])
5. عدم إدارة مفاتيح التشفير بطريقة آمنة
من الأخطاء التقنية التي قد تتحول إلى مشكلة امتثال عدم وجود ضوابط مناسبة لإدارة مفاتيح التشفير.
وتتطلب الضوابط ذات الصلة تحديد وتوثيق واعتماد متطلبات الأمن السيبراني الخاصة بإدارة مفاتيح التشفير وتطبيقها بصورة آمنة. ([NCA][3])
وتزداد أهمية ذلك بالنسبة للشركات التي تخزن بيانات حساسة أو تقدم خدمات تعتمد على التشفير.
6. التخلص غير الآمن من أجهزة التخزين
قد تحتوي أجهزة الحاسب والخوادم والأقراص على بيانات حساسة حتى بعد توقف استخدامها.
ولهذا تتضمن الضوابط الخاصة بمقدمي الخدمات السحابية متطلبات تتعلق بالتخلص الآمن من أجهزة البنية التحتية، وبالأخص معدات التخزين وفق أفضل الممارسات والمتطلبات ذات العلاقة.
ومن الأخطاء الخطيرة بيع أو التخلص من أجهزة تحتوي على معلومات العملاء دون التأكد من حذف البيانات بطريقة آمنة.
7. عدم تدريب الموظفين
الأمن السيبراني لا يعتمد على البرامج والأجهزة فقط.
فالموظف قد يكون نقطة الدخول الأولى للهجوم السيبراني من خلال:
- فتح رسالة احتيالية.
- مشاركة كلمة المرور.
- الضغط على رابط خبيث.
- تحميل ملف ضار.
- استخدام وسيلة تخزين غير آمنة.
وتتضمن الضوابط السيبرانية متطلبات لتدريب العاملين على الاستجابة للحوادث بما يتناسب مع أدوارهم ومسؤولياتهم. ([NCA][3])
8. عدم اختبار قدرة الشركة على الاستجابة للحوادث
وجود سياسة مكتوبة للأمن السيبراني لا يعني بالضرورة أن الشركة جاهزة فعليًا للتعامل مع الاختراق.
ولهذا تتضمن بعض الضوابط متطلبات اختبار قدرات الاستجابة للحوادث بشكل دوري.
ومن الأفضل للشركة إجراء اختبارات دورية للتأكد من قدرة فريقها على:
- اكتشاف الحادث.
- احتوائه.
- حماية الأدلة.
- استعادة الأنظمة.
- معالجة سبب الاختراق.
- منع تكرار الحادث.
9. عدم الاحتفاظ بالأدلة الرقمية
عند وقوع حادث سيبراني، قد تكون سجلات الدخول والملفات والبيانات التقنية ضرورية لمعرفة ما حدث وتحديد المسؤولية.
وتتضمن الضوابط الخاصة بمقدمي الخدمات السحابية متطلبات لدعم القضايا القانونية والتحليل الجنائي الرقمي والحفاظ على الأدلة الرقمية وفق المتطلبات التشريعية والتنظيمية ذات العلاقة.
لذلك من الخطأ حذف السجلات أو إعادة تهيئة الأجهزة فور وقوع الحادث قبل حفظ ما قد يكون مهمًا للتحقيق.
10. عدم الالتزام بمتطلبات الجهة التنظيمية
إذا كانت الشركة تعمل في قطاع منظم، فقد تكون مطالبة بتقديم تقارير أو معلومات أو مستندات للجهة المختصة.
وفي قطاع الاتصالات وتقنية المعلومات، يعد عدم تزويد الهيئة بما تطلبه من تقارير أو معلومات أو وثائق من المخالفات المنصوص عليها في النظام. ([Saudi Laws][2])
وهذا يعني أن الامتثال السيبراني لا يقتصر على حماية الأنظمة، وإنما يشمل أيضًا التعاون مع الجهات التنظيمية عند طلب المعلومات وفق النظام.
ما العقوبات التي قد تواجهها الشركة؟
لا توجد عقوبة واحدة لجميع مخالفات الأمن السيبراني، وإنما تختلف بحسب النظام المطبق وطبيعة المخالفة.
لكن بعض الأنظمة القطاعية تفرض عقوبات كبيرة.
فعلى سبيل المثال، نظام الاتصالات وتقنية المعلومات ينص على غرامة تصل إلى 25 مليون ريال لبعض المخالفات، إضافة إلى إمكانية إيقاف الخدمة محل المخالفة كليًا أو جزئيًا، أو الحرمان من الحصول على الترخيص أو تجديده، أو حجب منصة المحتوى الرقمي في الحالات التي ينطبق عليها النظام.
كما يمكن أن يتضمن القرار نشر منطوق العقوبة على نفقة المخالف بعد اكتساب القرار القطعية.
مهم: مبلغ 25 مليون ريال ليس غرامة عامة لكل شركة ترتكب مخالفة أمن سيبراني؛ بل هو حد أقصى مقرر للمخالفات التي تدخل ضمن نطاق نظام الاتصالات وتقنية المعلومات والعقوبات المنصوص عليها فيه.
هل يمكن أن تتعرض الشركة لأكثر من عقوبة؟
نعم، بحسب طبيعة المخالفة والأنظمة التي تنطبق عليها.
فقد تكون الواقعة الواحدة مرتبطة في الوقت نفسه بحماية البيانات أو الجرائم المعلوماتية أو متطلبات قطاعية معينة، وقد توجد أنظمة أخرى تفرض مسؤوليات أو عقوبات مستقلة.
كما أن نظام الاتصالات وتقنية المعلومات نفسه ينص على أن العقوبات الواردة فيه تكون دون إخلال بأي عقوبة أشد ينص عليها نظام آخر. ([Saudi Laws][2])
كيف تتجنب شركتك مخالفات الأمن السيبراني؟
يمكن للشركة بناء برنامج امتثال سيبراني يتضمن على الأقل:
1. حصر البيانات والأنظمة
معرفة ما الذي تمتلكه الشركة وأين تخزن بياناتها.
2. تحديد المتطلبات النظامية
معرفة الأنظمة واللوائح والضوابط التي تنطبق على نشاط الشركة.
3. إدارة الصلاحيات
عدم منح الموظفين صلاحيات أكثر من حاجتهم الوظيفية.
4. حماية البيانات
استخدام وسائل مناسبة للتشفير والحماية والنسخ الاحتياطي.
5. تحديث الأنظمة
معالجة الثغرات الأمنية والتحديثات المهمة بصورة منتظمة.
6. تدريب الموظفين
رفع الوعي بمخاطر التصيد والهندسة الاجتماعية وتسريب البيانات.
7. إعداد خطة استجابة للحوادث
تحديد المسؤوليات والإجراءات التي يجب اتباعها عند وقوع اختراق.
8. حفظ الأدلة والسجلات
الاحتفاظ بالسجلات اللازمة للتحقيق والتحليل وفق المتطلبات المطبقة.
9. اختبار الأنظمة
إجراء اختبارات دورية للتأكد من فعالية الإجراءات الأمنية.
10. مراجعة العقود مع مزودي الخدمات
خصوصًا شركات الاستضافة والحوسبة السحابية ومقدمي الخدمات التقنية.
هل مسؤولية الأمن السيبراني تقع على قسم تقنية المعلومات فقط؟
لا.
الأمن السيبراني أصبح موضوعًا إداريًا وقانونيًا وتقنيًا في الوقت نفسه.
فالإدارة مسؤولة عن اعتماد السياسات والميزانيات، والقسم القانوني عن فهم المتطلبات النظامية والعقود والمخاطر القانونية، وقسم تقنية المعلومات عن تنفيذ الضوابط الفنية، والموظفون عن الالتزام بسياسات الشركة.
ولهذا فإن أفضل برامج الامتثال السيبراني هي التي تجمع بين الإدارة والقانون والتقنية.
ماذا تفعل الشركة إذا تعرضت لاختراق؟
عند وقوع حادث سيبراني، ينبغي عدم التعامل معه بعشوائية.
ومن الإجراءات المهمة:
- احتواء الحادث قدر الإمكان.
- تحديد الأنظمة المتضررة.
- المحافظة على الأدلة والسجلات الرقمية.
- توثيق وقت اكتشاف الحادث والإجراءات المتخذة.
- تحديد ما إذا كان هناك التزام بالإبلاغ.
- تقييم البيانات التي تعرضت للخطر.
- معالجة الثغرة التي سمحت بالاختراق.
- مراجعة الإجراءات لمنع تكرار الحادث.
وتشير ضوابط الأمن السيبراني إلى أهمية تحليل الأسباب الجذرية للحوادث ووضع خطط لمعالجتها.
متى تحتاج الشركة إلى استشارة قانونية؟
من الأفضل الاستعانة بمختص قانوني عندما:
- تتلقى الشركة إشعارًا بمخالفة.
- يحدث تسريب لبيانات العملاء.
- تتعرض الشركة لاختراق كبير.
- تطلب جهة تنظيمية معلومات أو مستندات.
- يوجد نزاع مع عميل بسبب حادث سيبراني.
- تحتاج الشركة إلى مراجعة عقود مزودي الخدمات السحابية.
- تريد إعداد سياسة امتثال للأمن السيبراني.
- تحتاج إلى تقييم المسؤولية القانونية بعد وقوع حادث.
كيف تساعدك منصة تحاكم؟
إذا كانت شركتك تواجه مخالفة أو نزاعًا متعلقًا بالأمن السيبراني، يمكن للمختص القانوني مساعدتك في تحديد النظام الذي ينطبق على الواقعة، وتقييم المسؤولية، ومراجعة الإشعارات والمستندات، وتحديد الإجراءات المناسبة.
ويمكن أن تشمل الاستشارة:
- تحليل المخالفة.
- مراجعة العقوبات المحتملة.
- مراجعة عقود الخدمات التقنية.
- تقييم مسؤولية الشركة عن تسرب البيانات.
- مراجعة سياسات الخصوصية والأمن السيبراني.
- إعداد الردود القانونية.
- دراسة الاعتراض على القرار الصادر بحق الشركة.
في الختام
مخالفات الأمن السيبراني في السعودية لا تقتصر على الاختراقات والهجمات الإلكترونية؛ فقد تنشأ المسؤولية أيضًا بسبب ضعف حماية البيانات، وعدم الالتزام بالضوابط، أو سوء إدارة الحوادث، أو عدم حفظ الأدلة الرقمية، أو عدم التعاون مع الجهات التنظيمية بحسب النظام والقطاع الذي تعمل فيه الشركة.
ولهذا فإن الوقاية تبدأ من بناء برنامج امتثال واضح يحدد ما الأنظمة التي تنطبق على الشركة، وما البيانات التي يجب حمايتها، وما الإجراءات المطلوبة عند وقوع حادث.
وفي القطاعات المنظمة، قد تكون العقوبات كبيرة جدًا؛ فعلى سبيل المثال، يصل الحد الأقصى لبعض العقوبات في نظام الاتصالات وتقنية المعلومات إلى 25 مليون ريال، مع عقوبات إضافية محتملة مثل إيقاف الخدمة أو الحرمان من الترخيص.