انتقلت شركتك إلى السحابة لتسريع العمل، ونجحت. لكن سؤالاً واحداً من عميل حكومي قد يوقف كل شيء: «أين تُخزَّن بياناتنا؟ ومن المسؤول عن حمايتها: أنتم أم مزود الخدمة؟». هذا السؤال هو قلب الأمن السيبراني للحوسبة السحابية في المملكة، وإجابته الصحيحة تبني الثقة أو تهدمها.
من ينظّم الحوسبة السحابية في السعودية؟
تتقاسم الجهات المنظِّمة الأدوار. فهيئة الاتصالات والفضاء والتقنية (CST) تنظّم خدمات الحوسبة السحابية ومزوديها من الناحية التنظيمية والترخيصية. والهيئة الوطنية للأمن السيبراني (NCA) تصدر ضوابط الأمن السيبراني للحوسبة السحابية (CCC)، وقد صدر منها تحديث CCC-2:2024، وهي تُبنى فوق الضوابط الأساسية (ECC). أما مكتب إدارة البيانات الوطنية التابع لسدايا فيحكم تصنيف البيانات ومتطلبات حمايتها وموقع معالجتها بحسب مستوى التصنيف.
مسارا ضوابط الأمن السيبراني للحوسبة السحابية: مزود الخدمة والمستأجر
تقسّم ضوابط الهيئة المسؤوليات بين طرفين:
- مزود الخدمة السحابية (CSP): الجهة التي تقدم الخدمة، ومسؤولة عن أمن بنيتها وبيئتها.
- مستأجر الخدمة السحابية (CST): الجهة التي تستخدم الخدمة، ومسؤولة عن إعدادها وصلاحيات مستخدميها وبياناتها.
وأكثر الأخطاء شيوعاً هو افتراض أن المزود «يتكفل بكل شيء». الواقع أن المسؤولية مشتركة، وما تتركه دون ضبط من جانبك يبقى على عاتقك.
“إقرا أيضا عن:
انعدام الثقة Zero Trust ومتطلبات الأمن السيبراني بالسعودية“
تصنيف البيانات: الخطوة الأولى قبل اختيار السحابة
تصنّف سياسات سدايا البيانات في أربعة مستويات: سري للغاية، وسري، ومقيَّد، وعام. وكلما ارتفع المستوى زادت قيود المعالجة والاستضافة. بيانات التسويق العامة تختلف في معاملتها عن بيانات مرضى أو سجلات مالية. لذلك صنّف بياناتك أولاً، ثم اختر الخدمة السحابية التي تناسب كل مستوى، ولا تضع كل شيء في بيئة واحدة بحجة التوفير.
مثال سعودي: عيادات متعددة تنقل ملفات المرضى إلى السحابة
مجموعة عيادات في الرياض وجدة قررت نقل نظام الملفات الطبية إلى السحابة. قبل الانتقال، أجرت خمس خطوات: صنّفت البيانات الصحية على أنها حساسة، وفحصت التزام المزود بالضوابط ذات الصلة، وفعّلت التشفير وأدارت مفاتيحه بنفسها، وحددت صلاحيات الأطباء والإداريين بدقة، وسجّلت الأحداث وراجعتها. بهذا حافظت على السرعة وكسبت الثقة، وأجابت عن سؤال «أين البيانات ومن يحميها؟» بأدلة مكتوبة.
قائمة فحص الأمن السيبراني للحوسبة السحابية
- اختر مزوداً مرخصاً وملتزماً: راجع وضع ترخيصه وتوافقه مع الضوابط المطلوبة لمستوى بياناتك.
- وزّع المسؤوليات كتابياً: وثّق ما يتولاه المزود وما تتولاه أنت.
- اضبط الهويات: مصادقة متعددة العوامل وصلاحيات محدودة وحسابات مميزة مراقَبة.
- شفّر البيانات: أثناء النقل وأثناء التخزين، وأدر المفاتيح بعناية.
- فعّل السجلات والمراقبة: كل نشاط مهم يُسجَّل ويُراجع.
- خطّط للنسخ الاحتياطي والتعافي: وتأكد أنك قادر على استعادة بياناتك فعلاً.
- راجع العقود: بنود الأمن والإبلاغ عن الحوادث وإنهاء الخدمة واسترجاع البيانات.
- اختبر وراجع دورياً: أخطاء الإعدادات السحابية من أكثر أسباب التسرب شيوعاً.
أخطاء تتكرر في مشاريع السحابة
- ترك مخازن تخزين مفتوحة للعامة بالخطأ.
- استخدام حسابات إدارية مشتركة بلا مصادقة متعددة العوامل.
- تجاهل ضرورة مراجعة عقود المزودين قبل الانتقال.
- الاعتماد على نسخ احتياطية لم يُجرَّب استرجاعها.
- نقل البيانات الحساسة قبل التحقق من متطلبات تصنيفها وموقعها.
أسئلة شائعة
هل يجوز استضافة بيانات الشركة خارج المملكة؟
يعتمد ذلك على تصنيف البيانات ومتطلبات الجهات المنظِّمة وطبيعة نشاطك. بعض أنواع البيانات تخضع لمتطلبات صارمة بخصوص بقائها داخل المملكة. راجع المتطلبات الحالية قبل اتخاذ القرار، فالمتطلبات تتحدث بين فترة وأخرى.
هل يتغير الأمن السيبراني للحوسبة السحابية بتغير مزود الخدمة؟
تتغير التفاصيل التقنية من مزود لآخر، لكن المبادئ تبقى ثابتة: مسؤولية مشتركة موثقة، وهويات محمية، وتشفير، ومراقبة، وخطة تعافٍ. لذلك يسهل نقل خبرتك بين المزودين إذا بنيت برنامجك على المبادئ لا على واجهة منتج واحد.
هل ينطبق ذلك على الشركات الخاصة؟
الإلزام المباشر يخص الجهات الحكومية ومشغلي البنية التحتية الحساسة، لكن الشركات الخاصة التي تخدمهم أو تعالج بيانات حساسة تُطالَب بالتوافق عملياً، ويبقى الأمن السيبراني للحوسبة السحابية ممارسة ضرورية لكل جهة تستخدم السحابة.
“إقرا أيضا عن:
إدارة الوصول المتميز PAM ودوره في امتثال ساما وNCA“
لماذا يهم الأمن السيبراني للحوسبة السحابية الشركات السعودية؟
مع توسع التحول الرقمي في المملكة، صارت السحابة جزءاً من عمل البنوك والمستشفيات والمتاجر والجهات الحكومية. وكلما زاد الاعتماد عليها ارتفعت قيمة الأمن السيبراني للحوسبة السحابية، لأن خطأ واحداً في إعداد التخزين قد يكشف بيانات آلاف العملاء. كما أن العملاء الحكوميين وكبرى الشركات تسأل اليوم عن الأمن السيبراني للحوسبة السحابية قبل توقيع العقود، فصار الالتزام به عنصراً تنافسياً في المناقصات.
نموذج المسؤولية المشتركة بمثال
فكّر في المزود كأنه مالك عمارة وأنت مستأجر شقة. المالك مسؤول عن الأساسات والمدخل والأقفال العامة، وأنت مسؤول عن قفل شقتك ومن تعطيه المفتاح. وهذا بالضبط جوهر الأمن السيبراني للحوسبة السحابية: المزود يؤمّن مركز البيانات والبنية الأساسية، وأنت تؤمّن الإعدادات والهويات والبيانات التي تضعها هناك.
مؤشرات نضج الأمن السيبراني للحوسبة السحابية
- نسبة حسابات السحابة المحمية بمصادقة متعددة العوامل.
- عدد الإعدادات الخاطئة المكتشفة والمغلقة شهرياً.
- نسبة البيانات المشفرة ومدى إدارتك لمفاتيح التشفير.
- آخر مرة اختُبر فيها استرجاع النسخ الاحتياطية بنجاح.
إن مراقبة هذه المؤشرات تحوّل الأمن السيبراني للحوسبة السحابية من مبادئ نظرية إلى ممارسة قابلة للقياس، وتمنحك لغة مشتركة مع الإدارة العليا. وكل مؤسسة تتابع الأمن السيبراني للحوسبة السحابية بهذه الدقة تكون أقدر على اكتشاف الانحراف مبكراً قبل أن يتحول إلى حادث.
وفي النهاية، لا تعتبر السحابة وجهة نهائية تنتقل إليها مرة واحدة، فهي بيئة تتغير باستمرار، وكل خدمة جديدة تضيفها تحتاج إلى مراجعة أمنية. اجعل الأمن السيبراني للحوسبة السحابية جزءاً من عملية الموافقة على أي مشروع سحابي جديد.
الخلاصة
ينجح الأمن السيبراني للحوسبة السحابية حين تعرف حدود مسؤوليتك مقابل المزود، وتصنّف بياناتك قبل اختيار الحل، وتضبط الهويات والتشفير والسجلات، وتراجع عقودك. السحابة فرصة كبيرة، والأمن هو ما يجعلها فرصة مأمونة.
تخطط للانتقال إلى السحابة أو تريد مراجعة وضعك الحالي مقابل الضوابط المطلوبة؟ فريق سايبر أمان يقدّم لك تقييماً وخطة واضحة. تواصل معنا الآن واحصل على استشارة تناسب نوع بياناتك.