السياج الجغرافي وإقامة البيانات: إثبات المكان الذي جرى منه الوصول إلى بياناتك، لا مكان تخزينها فحسب

سؤالان مختلفان

حين تقول مؤسسة إنها عالجت مسألة إقامة البيانات، فإنها تعني في الغالب أمرًا واحدًا: أن البيانات مخزّنة في منطقة محددة، وأن الضمان الإقليمي الذي يقدمه مزوّد الخدمة السحابية يشملها. وهذا ضابط حقيقي يجيب عن سؤال حقيقي.

لكنه لا يجيب عن السؤال الثاني، وهو المكان الذي جرى منه الوصول إلى البيانات. فقد تكون مجموعة بيانات موجودة بالكامل داخل منطقة في الاتحاد الأوروبي، ويقرؤها كل يوم فريق عمليات في بلد ثالث، عبر أداة دعم أو وحدة تحكم مشتركة أو بيانات اعتماد للوصول الطارئ (break-glass). ولا شيء في موقع التخزين يمنع ذلك، وفي كثير من البنى لا شيء يسجّله بصيغة يمكن لوظيفة الامتثال الاستعلام عنها.

وبالنسبة إلى تحليل عمليات النقل بموجب اللائحة العامة لحماية البيانات (GDPR)، وأنظمة توطين البيانات في دول الخليج، وعلى نحو متزايد التوقعات الرقابية الخاصة بكل قطاع، فإن سؤال الوصول هو الذي يحدد الإجابة.

لماذا يزداد سؤال الوصول صعوبة

ثلاثة عوامل زادت الأمر سوءًا خلال السنوات الأخيرة، وليس أيٌّ منها إخفاقًا أمنيًا.

فالفرق الموزعة تعني أن وظائف الدعم والهندسة تمتد فعلًا عبر ولايات قضائية متعددة. والخدمات المُدارة تعني أن موظفي المزوّد قد يتعاملون مع بيئتك من أي مكان يعمل فيه ذلك المزوّد. وأنظمة الذكاء الاصطناعي تعني أن البيانات باتت تُقرأ أكثر فأكثر بواسطة عمليات يُعدّ موقع تنفيذها تفصيلًا من تفاصيل التنفيذ في منصة جهة أخرى.

وكل واحد من هذه الخيارات خيار تشغيلي مشروع. لكنها مجتمعةً تعني أن مجموعة الأماكن التي يمكن الوصول منها إلى بياناتك الخاضعة للتنظيم أوسع من مجموعة الأماكن التي ستذكرها لو سُئلت، وأوسع من تلك التي وصفها تقييم الأثر على حماية البيانات لديك.

الإنفاذ والإثبات مشكلتان منفصلتان

ثمة هنا قدرتان مختلفتان، وكثيرًا ما تشتري المؤسسات إحداهما معتقدةً أنها اشترت الاثنتين.

الإنفاذ يعني أن النظام يرفض الوصول من مصادر تقع خارج مجموعة معتمدة. وهو وقائي وقابل للاختبار، وهو ما يقصده معظم الناس حين يتحدثون عن السياج الجغرافي.

الإثبات يعني أنك تستطيع أن تبرهن، بعد أشهر، أن الوصول من مصادر غير معتمدة لم يحدث، أو أنه حدث في تواريخ محددة ولأسباب محددة كانت مأذونًا بها في حينها. وهو استرجاعي، وهو ما تطلبه فعلًا الجهة الرقابية أو سلطة حماية البيانات.

الإنفاذ من دون إثبات يتركك تدّعي أن الضابط قد نجح. والإثبات من دون إنفاذ يتركك توثّق مشكلة لم تمنعها. ويحتاج برنامج إقامة البيانات إلى الاثنين معًا، وعادةً ما يكون نصف الإثبات هو الناقص، لأنه يتطلب الاحتفاظ بسجلات مصدر الوصول طوال الفترة التنظيمية كاملةً لا ضمن نافذة تشغيلية متجددة فحسب.

تصميم ضوابط لإقامة البيانات تُنتج أدلة

1. حدّد مجموعة المصادر المعتمدة لكل مستوى من مستويات تصنيف البيانات بدلًا من تحديدها على مستوى المؤسسة كلها - إذ تحتاج معظم المؤسسات، لأسباب مشروعة، إلى وصول أوسع إلى البيانات منخفضة الحساسية مقارنةً بالبيانات المقيّدة
2. سجّل كل محاولة وصول مع مصدرها والقرار الذي اتُّخذ بشأنها، بما في ذلك المحاولات المسموح بها، لأن إثبات عدم حدوث أمر ما يتطلب سجلًا كاملًا لا قائمة استثناءات
3. سجّل مسار الوصول الطارئ (break-glass) صراحةً، مع الشخص الذي أذن به والسبب، لأن الوصول غير المخطط له عبر الحدود حدث تشغيلي عادي، والتظاهر بخلاف ذلك يجعل السجل أقل مصداقية لا أكثر
4. احتفظ بسجلات المصدر طوال الفترة التنظيمية المنطبقة على البيانات الأساسية، لا وفق مدة الاحتفاظ الافتراضية في منصة السجلات لديك
5. اجعل السجل قابلًا للتحقق المستقل، لأن أدلة مصدر الوصول هي تحديدًا الفئة التي لدى الجهة التنظيمية ما يدعوها إلى التعامل معها بتشكك حين تُعدّها المؤسسة عن نفسها

البعد الخليجي

بالنسبة إلى المؤسسات التي تتوسع في الإمارات العربية المتحدة والمملكة العربية السعودية، كثيرًا ما يكون سؤال الوصول أبعد أثرًا من سؤال التخزين. فتوقعات التوطين في المنطقة تُصاغ في الغالب على أساس السيطرة والولاية القضائية لا على أساس الموقع الفعلي وحده، والاختبار العملي الذي تطبقه الجهة التنظيمية يتعلق كثيرًا بمن يستطيع الوصول إلى البيانات ومن أين، لا بمركز البيانات الذي يستضيفها فحسب.

أما المؤسسات التي تصل بتصوّر لإقامة البيانات مبني على منطقة التخزين وحدها، فتجد أن الحوار ينتقل إلى موضع لم تستعد له. وتلك التي تصل ومعها أدلة على مصدر الوصول تجد أن الحوار يتقدم بسرعة. وتحليلنا على مستوى كل ولاية قضائية متاح في قانون PDPL في الإمارات وإطار المخاطر السيبرانية لسوق أبوظبي العالمي (ADGM) ونظام PDPL السعودي والهيئة السعودية للبيانات والذكاء الاصطناعي (SDAIA).

• اسأل فريقك من أين جرى الوصول إلى أكثر مجموعات بياناتك حساسية في الشهر الماضي، ولاحظ كم يستغرق الحصول على الإجابة
• تحقّق مما إذا كانت سجلات الوصول لديك تتضمن المحاولات المسموح بها أم المحاولات المحظورة فقط
• قارن فترة الاحتفاظ ببيانات مصدر الوصول بالتزام الاحتفاظ المفروض على البيانات نفسها
• اربط مجموعة المصادر المعتمدة بمستوى التصنيف بدلًا من تطبيق سياسة واحدة في كل مكان

قواعد الوصول المستندة إلى المصدر، بنطاق محدد لكل مستوى تصنيف وسجل كامل للمحاولات المسموح بها والمحظورة، متاحة الآن في ROOTKey. يمكنك إعداد قائمة دول مسموح بها على خزنة واحدة والاطلاع على عرض حركة المرور، أو قراءة كيف تتكامل هذه الضوابط في صفحة GDPR في ROOTKey.