خريطة البيانات وتقييم مخاطر النقل: ممارسات فودافون مصر لحماية البيانات السحابية

لم تعد حماية البيانات داخل الشركات مقتصرة على مراجعة قانونية لاحقة للعقود أو معالجة طلبات العملاء بعد وقوعها، وفق دينا مصطفى، مسؤولة حماية البيانات والخصوصية في فودافون مصر. ففي ظل الاعتماد المتزايد على خدمات الحوسبة السحابية ونقل البيانات بين الأنظمة والدول، يبدأ الامتثال من سؤال تشغيلي وتقني مباشر: أين توجد بيانات العميل، ومن يستطيع الوصول إليها، وكيف تتحرك داخل بيئة الشركة وخارجها؟

وخلال مشاركتها في فعاليات Tech Invest 6، عرضت مصطفى تجربة فودافون مصر في التعامل مع متطلبات قانون حماية البيانات الشخصية، موضحة أن دور فريق حماية البيانات يتمثل في مساعدة قطاعات الشركة المختلفة على تحويل المتطلبات القانونية إلى إجراءات قابلة للتطبيق، مع مراعاة طبيعة البيانات والجهات التي تتعامل معها.

النقطة الأولى: معرفة دورة حياة البيانات

توضح التجربة المعروضة أن معرفة وجود البيانات داخل أنظمة الشركة لا تكفي. يجب تحديد الدولة أو الدول التي تُخزن فيها، والأنظمة التي تمر بها، والجهات التي يمكنها الوصول إليها، والغرض من استخدامها. وتزداد أهمية هذه المعرفة عند استخدام الخدمات السحابية، إذ قد تكون البيانات موزعة بين أكثر من نظام أو مركز بيانات وفي أكثر من دولة.

ولهذا تعمل الشركة على بناء ما وصفته مصطفى بـ Data Store أو Data Map، وهي خريطة تساعد فرق حماية البيانات والأمن السيبراني على تكوين صورة أوضح عن أماكن تخزين المعلومات ومسارات نقلها وصلاحيات الوصول إليها. وتوفر هذه الصورة أساساً لاتخاذ قرارات أدق بشأن الضوابط اللازمة، بدلاً من التعامل مع البيانات باعتبارها موجودة في موقع واحد يمكن تحديده بسهولة.

كيف يُقيّم نقل البيانات؟

عند وجود طلب لنقل بيانات أو مشاركتها، أشارت مصطفى إلى استخدام Transfer Impact Assessment. تبدأ العملية بتحديد طبيعة البيانات، والجهة أو الشركة التي ستتعامل معها، والغرض من الاستخدام، والدولة التي ستُنقل إليها البيانات.

بعد ذلك، يتضمن التقييم دراسة المخاطر المرتبطة بالنقل والتحقق من وجود الإجراءات والضوابط الأمنية المناسبة طوال دورة التعامل مع البيانات. وبذلك لا يصبح قرار النقل منفصلاً عن السياق القانوني والتقني والتشغيلي للبيانات، بل جزءاً من مراجعة مسبقة للمخاطر قبل بدء المعالجة أو المشاركة.

العقود ليست خطوة شكلية

تؤكد الممارسات التي عرضتها مصطفى أهمية اتفاقيات معالجة البيانات، أو Data Processing Agreements، عند التعامل مع شركات تقوم بمعالجة البيانات نيابة عن المؤسسة. وتحدد هذه الاتفاقيات القواعد والالتزامات ومسؤوليات كل طرف، بما يمنح العلاقة إطاراً قانونياً أوضح لحماية المعلومات.

لكن الامتثال، بحسب ما عرضته، لا ينبغي أن يبدأ بعد توقيع العقد. فالمراجعة يجب أن تسبق التعاقد، وأن تشمل البيانات المقصودة، ومخاطر المعالجة، والجهات التي ستصل إليها، والدول التي قد تُنقل إليها. هذه النقطة تربط القرار القانوني بتصميم العملية نفسها، بدلاً من ترك حماية البيانات كإضافة لاحقة إلى مسار تم تحديده مسبقاً.

ما الذي يتغير عملياً للفرق والشركات؟

تحتاج الشركات إلى قدرة عملية على التعامل مع طلبات العملاء المتعلقة ببياناتهم، بما في ذلك طلب معرفة البيانات المسجلة عنهم أو الحصول عليها أو تصحيحها أو ممارسة الحقوق التي يتيحها القانون، حتى عندما تكون المعلومات موجودة في أنظمة أو خدمات سحابية خارج الدولة.

ويجعل ذلك حماية البيانات مسؤولية مشتركة بين الفرق القانونية والتقنية والأمن السيبراني، لا مهمة قانونية منفردة. وترى مصطفى أن المعرفة القانونية وحدها لا تكفي لمسؤول حماية البيانات، كما أن المعرفة التقنية وحدها لا تكفي؛ إذ يجب فهم طبيعة الشركة ونموذج أعمالها والبيانات التي تتعامل معها، ثم ترجمة المتطلبات القانونية إلى ضوابط لا تعطل العمليات أو تزيد تعقيدها دون حاجة.

وتشير المادة إلى أن الخلفيات المهنية المناسبة لمنصب مسؤول حماية البيانات قد تشمل القانون أو التدقيق أو الالتزام أو التكنولوجيا، مع أهمية الاستعداد للتعلم والتطوير. كما شددت مصطفى على التدريب المستمر والتعاون بين التخصصات والتواصل مع مركز حماية البيانات الشخصية، باعتبارها عناصر لازمة لبناء منظومة امتثال قابلة للتنفيذ.

قراءة certi.news: القيمة العملية في هذه التجربة ليست في إضافة أداة منفردة، بل في نقل حماية البيانات من مرحلة التحقق الورقي إلى إدارة دورة حياة البيانات: تحديد مواقعها، وفهم مساراتها، وضبط الوصول إليها، وتقييم مخاطر نقلها قبل التنفيذ. ومع ذلك، لا تقدم المادة تفاصيل عن الأدوات المستخدمة لبناء خريطة البيانات أو معايير قبول المخاطر أو النتائج التشغيلية لتطبيق هذه الإجراءات؛ لذلك تبقى هذه الجوانب أسئلة مفتوحة أمام الشركات التي تريد تحويل المبادئ إلى ضوابط قابلة للقياس.