*إسراء العطار

لا تبدأ حادثة البيانات دائماً باختراق صاخب أو رسالة تحذير تومض على الشاشة. كثيراً ما تكون البداية خطأً صغيراً: موظف يحتفظ بصلاحية لم يعد بحاجة إليها، أو ملف حساس محفوظ في المكان الخطأ، أو مزوّد خدمة خارجي يصل إلى بيانات تتجاوز ما تتطلبه مهمته. وحين تقع الحادثة، لا تنحصر المسألة القانونية في سؤال: من أخطأ؟ بل تمتد إلى سؤال أكثر جوهرية: هل كانت المؤسسة مستعدة أصلاً؟

حوكمة البيانات تبدأ قبل وقوع الأزمة

لا يعني الاستعداد بناء جدار تقني قادر على صدّ كل هجوم، فهذا وعد لا تستطيع أي مؤسسة الوفاء به. المقصود أن تمتلك المؤسسة، قبل وقوع الأزمة، منظومة واضحة تحدد من يملك القرار، ومن يتحمل المسؤولية، وبأي قواعد تُدار البيانات.

هذا ما يُعرف في أدبيات الاختصاص بالحوكمة: أدوار محددة، وسياسات مكتوبة، وعاملون مدرَّبون، ومساءلة حقيقية لا شكلية.

معرفة البيانات أساس حمايتها

يبدأ ذلك بسؤال يبدو بسيطاً، لكنه جوهري: ماذا تملك المؤسسة من بيانات؟ أين تُخزَّن؟ من يحق له الوصول إليها؟ وإلى متى تحتفظ بها؟

فالبيانات ليست كلها سواء، والخطر المرتبط باسم وعنوان لا يماثل الخطر المرتبط بسجل صحي أو بصمة بيومترية. ومن لا يعرف ما لديه يعجز عن حمايته، كما يعجز عن إثبات أنه اتخذ الإجراءات اللازمة لحمايته.

الأطراف الخارجية جزء من معادلة حماية البيانات

لا تبقى البيانات دائماً بين جدران المؤسسة. فهي تنتقل إلى شركة سحابية، أو مزوّد تقني، أو متعهّد خارجي، ما يجعل الطرف الثالث جزءاً من معادلة الحماية، لا بنداً هامشياً في العقد.

هنا تفصل اتفاقات معالجة البيانات، وشروط السرية، والتحديد الواضح للمسؤوليات بين مؤسسة تعرف من تلجأ إليه عند وقوع الأزمة، وأخرى تبحث عن الجواب وسط الفوضى.

صورة تعبيرية مصممة بالذكاء الاصطناعي (شات جي بي تي)

تقييم مخاطر البيانات قبل وقوع الحادثة

ثمة أسئلة يُفترض أن تُطرح في أوقات الهدوء، لا تحت ضغط الأزمة: ما البيانات الأثمن؟ أين تكمن مواطن الضعف؟ ما السيناريوات المحتملة؟ ومن يتصرف حين تظهر المؤشرات الأولى؟

إذا بقيت هذه الأسئلة بلا إجابات واضحة، قد يتحول اليوم الأول من الأزمة إلى حالة من الارتباك المؤسسي.

خطة الاستجابة لحوادث البيانات

لذلك، تحتاج المؤسسة إلى خطة استجابة مكتوبة قبل أن تحتاج إلى تفعيلها: من يُبلَّغ داخلياً وبأي سرعة؟ من يتولى التحقيق والتوثيق؟ وما الالتزامات القانونية التي قد تنشأ حيال الجهات الرقابية والمتضررين، بحسب طبيعة الواقعة والقانون الواجب التطبيق؟

الخطة التي لم تُختبر على الورق قبل الأزمة قد تتعثر عند أول اختبار حقيقي.

الاحتفاظ بالبيانات قد يتحول إلى مصدر للمخاطر

هناك تدبير يغفله كثيرون: التخلص المنضبط من البيانات التي انتهت الحاجة إليها. فكل معلومة تُحفظ من دون سبب تشغيلي واضح تتحول، في ميزان المخاطر، إلى عبء إضافي ينتظر من يستغلّه.

هذا النهج ليس ترفاً إدارياً؛ فمبدأ المساءلة يجعل المؤسسة مطالبة بأن تكون قادرة على تفسير كيفية إدارتها للبيانات، والإجراءات التي اتخذتها لحمايتها.

حماية البيانات مسؤولية تبدأ بالحوكمة

لا تُحمى البيانات في اللحظة التي يقع فيها الاختراق، ولا حين تصل الشكوى الأولى. تبدأ حمايتها في اليوم الذي تضع فيه المؤسسة قواعد واضحة لما تملك، وتحدد مسؤولياتها، وتراجع مخاطرها، وتستعد لأسوأ الاحتمالات.

المهم ليس أن تُحسن المؤسسة التصرف بعد الحادثة فحسب، بل أن تكون قد اتخذت قبلها القرارات التي تجعل التصرف الصحيح ممكناً.

*مستشارة قانونية في شؤون الشركات والتكنولوجيا