الضوابط الأساسية للأمن السيبراني وثيقة تقنية في ظاهرها، تتحدّث عن التشفير وإدارة الهويات وحماية الشبكات. لكن في نطاقها الفرعي رقم 2-14 يرد نصّ مختلف تماماً: مراكز البيانات، وغرف ربط الشبكات، ومراكز المراقبة الأمنية، ومناطق تجهيز الأجهزة. هذه ليست أصولاً برمجية، بل أبواب يمرّ بها حارس كل ليلة.
باختصار: يفرض النطاق الفرعي 2-14 من ECC-2:2024 حماية الأصول من الدخول المادي غير المصرّح به، ويشترط صراحةً وجود سجلات دخول ومراقبة، وحماية بيانات هذه السجلات نفسها. الجهة الحكومية أو مشغّل البنية التحتية الحساسة هو المُلزَم، لكن الطرف الذي يُنتج هذا الدليل عملياً هو مزوّد خدمة الحراسة.
الضوابط الأساسية للأمن السيبراني إطار تصدره الهيئة الوطنية للأمن السيبراني، وهي الجهة المرجعية للأمن السيبراني في المملكة. النسخة السارية اليوم هي ECC-2:2024، وقد حلّت محلّ نسخة 2018 وأعادت ترتيب الإطار في أربعة نطاقات رئيسية و28 نطاقاً فرعياً و108 ضوابط رئيسية يتفرّع عنها 92 ضابطاً فرعياً.
نطاق التطبيق محدّد بدقة في الوثيقة: الجهات الحكومية في المملكة، ومنها الوزارات والهيئات والمؤسسات، والشركات والجهات التابعة لها داخل المملكة وخارجها، إضافةً إلى جميع جهات القطاع الخاص التي تملك أو تُشغّل أو تستضيف بنى تحتية وطنية حساسة. أما بقية الجهات في المملكة فتشجّعها الهيئة على تبنّي الضوابط دون إلزام. والأساس النظامي للإلزام هو المادة العاشرة (الفقرة الثالثة) من تنظيم الهيئة والأمر السامي رقم 57231 وتاريخ 10/11/1439هـ.
يهمّ المشغّل هنا تمييز دقيق: شركة الحراسة نفسها ليست جهة مُلزَمة بهذه الضوابط لمجرد أنها شركة أمن. الإلزام يقع على الجهة التي تحرسها إن كانت حكومية أو مشغّلاً لبنية تحتية حساسة. ومن هذا التمييز تحديداً تنشأ المسألة العملية التي يتناولها هذا المقال.
الهدف المعلن للنطاق الفرعي 2-14 هو حماية أصول الجهة المعلوماتية والتقنية من الدخول المادي غير المصرّح به والفقد والسرقة والتلف. المنطق واضح: خادم مشفَّر بإتقان لا قيمة لتشفيره إن استطاع شخص غير مصرّح له الوقوف أمامه.
ثم تأتي الفقرة التي تعني شركات الحراسة مباشرةً. يشترط الضابط 2-14-3 أن تشمل المتطلبات، كحدٍّ أدنى، تنظيم الدخول المصرّح به إلى المناطق الحسّاسة داخل الجهة، وتضرب الوثيقة أمثلة صريحة: مركز البيانات، ومركز التعافي من الكوارث، ومرافق معالجة المعلومات الحسّاسة، ومركز المراقبة الأمنية، وغرف ربط الشبكات، ومناطق تزويد الأجهزة والمعدات التقنية.
اقرأ هذه القائمة مرة أخرى بعين مشرف العمليات لا بعين مسؤول تقنية المعلومات. إنها بالضبط نقاط التفتيش في أي جولة حراسة داخل مبنى إداري أو منشأة صناعية. الإطار السيبراني لم يخترع مهامّ جديدة، بل وضع مهامّ الحراسة القائمة تحت مظلّة رقابية جديدة، لها مدقّق مختلف ومنطق إثبات مختلف.
يذكر الضابط بعد ذلك بنداً يسهُل المرور عليه سريعاً، وهو في نظري أهمّ ما في النطاق الفرعي كلّه بالنسبة لمزوّد الحراسة. البند الأول يشترط وجود سجلات الدخول والمراقبة. والبند الذي يليه يشترط حماية معلومات سجلات الدخول والمراقبة.
هذان مطلبان منفصلان، لا مطلب واحد مكرّر. الأول يقول: وثّق من دخل ومتى. والثاني يقول: احمِ هذا التوثيق نفسه من العبث والفقد والاطّلاع غير المصرّح به. دفتر ورقي في غرفة الحارس يفي بالأول شكلاً، ويسقط في الثاني بداهةً: صفحاته تُنتزع، وأسطره تُضاف لاحقاً بالقلم نفسه، ولا يملك أحد وسيلة لإثبات أن السطر كُتب لحظة الحدث لا بعده بأسبوع.
هنا تحديداً ينكسر الافتراض الشائع بأن «عندنا دفتر، إذاً عندنا سجل». وجود السجل شرط، وسلامته شرط ثانٍ مستقل. وحين يصل المدقّق فإنه يفحص الأدلة لا النوايا، أي السجلات والاعتمادات ومخرجات المراجعة، لا وصف الإجراء كما يُروى شفهياً.
يضيف الضابط نفسه متطلباً آخر يخصّ أمن إتلاف الأصول المادية التي تحمل معلومات مصنّفة وإعادة استخدامها، ويشمل ذلك المستندات الورقية ووسائط التخزين. ذكر المستندات الورقية صراحةً ليس تفصيلاً عابراً.
معنى ذلك أن دفتر الورديات الذي يحوي أسماء الداخلين إلى مركز البيانات وأوقات دخولهم ليس سجلاً محايداً، بل أصل مادي يحمل معلومات عن منطقة حسّاسة. تخزينه في درج مكتب في غرفة الحراسة، ثم التخلّص منه في نهاية السنة مع بقية الأوراق، يخالف منطق هذا البند. المفارقة أن الوسيلة التي يستخدمها كثيرون لإثبات الامتثال تتحوّل هي نفسها إلى ثغرة فيه.
الجهة المُلزَمة هي العميل، لكن الدليل يُنتَج في الميدان. الجهة الحكومية لا تملك موظفاً يقف عند باب غرفة الشبكات في الثانية فجراً؛ الذي يقف هناك هو حارس يعمل لدى مقاول. وعليه فإن قدرة الجهة على إثبات الضابط 2-14-3 أمام المدقّق تساوي عملياً جودة التوثيق الذي يسلّمه مزوّد الحراسة.
هذا يقلب موقع شركة الحراسة في العلاقة التعاقدية. لم تعد الحراسة خدمة تُقاس بعدد الساعات وعدد الأفراد فحسب، بل صارت مصدر بيانات امتثال لدى العميل. ومن يستطيع تسليم هذه البيانات بصيغة نظيفة وفورية يصبح أسهل على العميل من منافس يسلّم صوراً لصفحات دفتر. وهذا امتداد طبيعي لما تطلبه المناقصات الأمنية من أدلة على تنفيذ الخدمة: السؤال لم يعد هل نُفِّذت الجولة، بل كيف تُثبتها.
ملاحظة تقنية تستحق التصحيح، لأنها تتكرّر خطأً في السوق: ECC-2:2024 في نطاقه الفرعي 4-2 الخاص بالحوسبة السحابية والاستضافة لا يفرض استضافة البيانات داخل المملكة. ما يفرضه هو حماية بيانات الجهة وفق مستوى تصنيفها، وإعادتها بصيغة قابلة للاستخدام عند انتهاء الخدمة، وفصل بيئة الجهة عن بيئات الجهات الأخرى لدى مزوّد الخدمة. أما متطلبات توطين البيانات فمرجعها جهات وأطر أخرى، ويجب التحقّق منها لكل حالة على حدة بدل افتراضها من ECC.
لا تحتاج أيّ منها إلى إنفاق جديد، وكلّها مفيدة سواء وصل التدقيق هذا العام أو بعد عامين.
الخطوة الثالثة أعلاه هي التي تكشف الخلل عادةً، وسببها ليس تقصير الأفراد بل تشتّت البيانات: الدخول مدوَّن في دفتر الغرفة، والحادثة مُرسَلة عبر تطبيق محادثة إلى مشرف الوردية، والتسليم بين الورديات شفهي. جمع هذه المصادر الثلاثة بعد أسابيع يستغرق ساعات، ولا ينتج دليلاً يصمد أمام مراجعة خارجية.
يعالج نظام مراقبة الحراسة المشكلة عند منبعها، بتسجيل العمل لحظة وقوعه. في COREDINATE يُسجَّل كل مسح لنقطة تفتيش في دفتر الورديات الرقمي بختم زمني تلقائي غير قابل للتعديل، فيصبح سؤال «من كان عند هذا الباب ومتى» استعلاماً لا عملية استرجاع. ويتيح تسجيل الحوادث توثيق أي واقعة ميدانياً بصورة وموقع وإرسالها فوراً إلى الجهة المعنية. أما الوصول الاختياري للعميل فيمنح الجهة المُلزَمة اطّلاعاً مباشراً على سجلات عقدها وحده دون فتح بقية بياناتك.
ولأن البند الثاني يشترط حماية السجل نفسه لا مجرد وجوده، فإن الفارق هنا ليس في الشكل الرقمي وحده، بل في أن القيد يُنشأ لحظة الفعل ويُحفظ خارج متناول من قد يرغب في تعديله لاحقاً، ويخضع الاطّلاع عليه لصلاحيات محدّدة.
لا تنطبق على شركة الحراسة لكونها شركة أمن. نطاق الإلزام يشمل الجهات الحكومية وشركاتها التابعة، وجهات القطاع الخاص التي تملك أو تُشغّل أو تستضيف بنى تحتية وطنية حساسة. لكن الجهة المُلزَمة تحتاج إثبات الدخول المادي إلى مناطقها الحسّاسة، وهذا الإثبات يُنتَج ميدانياً عبر مزوّد الحراسة.
النسخة السارية هي ECC-2:2024 الصادرة عن الهيئة الوطنية للأمن السيبراني، وقد حلّت محلّ نسخة 2018. تتكوّن من أربعة نطاقات رئيسية و28 نطاقاً فرعياً و108 ضوابط رئيسية و92 ضابطاً فرعياً. كثير من المواد المتداولة على الإنترنت ما زال يصف بنية النسخة القديمة وترقيمها.
يشترط كحدٍّ أدنى تنظيم الدخول المصرّح به إلى المناطق الحسّاسة مثل مركز البيانات ومركز التعافي من الكوارث ومرافق معالجة المعلومات الحسّاسة ومركز المراقبة الأمنية وغرف ربط الشبكات ومناطق تزويد الأجهزة، ووجود سجلات دخول ومراقبة، وحماية معلومات هذه السجلات، وأمن إتلاف الأصول المادية الحاملة لمعلومات مصنّفة وإعادة استخدامها، وأمن الأجهزة داخل مرافق الجهة وخارجها.
يفي بشرط وجود السجل شكلاً، لكنه يصطدم بشرطين آخرين في الضابط نفسه: حماية معلومات السجل من العبث والاطّلاع غير المصرّح به، وأمن إتلاف المستندات الورقية الحاملة لمعلومات مصنّفة. الدفتر الذي يمكن انتزاع صفحاته أو الإضافة إليه لاحقاً لا يثبت أن القيد كُتب لحظة الحدث.
لا. النطاق الفرعي 4-2 الخاص بالحوسبة السحابية والاستضافة في ECC-2:2024 يشترط حماية بيانات الجهة وفق مستوى تصنيفها، وإعادتها بصيغة قابلة للاستخدام عند انتهاء الخدمة، وفصل بيئة الجهة عن بيئات الجهات الأخرى، دون أن يفرض التوطين داخل المملكة. متطلبات توطين البيانات مرجعها أطر وجهات أخرى ويجب التحقّق منها لكل حالة.
كم تستغرق اليوم لإثبات من دخل غرفة الخوادم في وردية قبل ثلاثة أسابيع؟ تواصل مع فريق المبيعات أو اطلب حقيبة التجربة لمدة 14 يوماً بأجهزة حقيقية.