متطلبات قانون حماية البيانات الشخصية لتصنيف البيانات

يضع قانون حماية البيانات الشخصية السعودي (PDPL) متطلباً أساسياً: يجب على المنظمات أن تعرف البيانات الشخصية التي تمتلكها وأين تقع ومن يمكنه الوصول إليها. يدعم هذا المبدأ كلاً من إطار عمل SAMA للأمن السيبراني (CSF) وضوابط الأمن السيبراني الأساسية (NCA ECC) الصادرة عن الهيئة الوطنية للأمن السيبراني. تصنيف البيانات ليس اختيارياً—بل هو شرط مسبق لإثبات المعالجة القانونية وتطبيق الضمانات المناسبة والرد على طلبات أصحاب البيانات.

بموجب المادة 5 من قانون حماية البيانات الشخصية واللوائح المنفذة لها، يجب معالجة البيانات الشخصية بشكل عادل وشفاف. هذا يعني أن المنظمات يجب أن تضع جرداً للبيانات وخطة تصنيف تميز بين:

  • البيانات الشخصية: أي معلومات تتعلق بشخص طبيعي معرّف أو قابل للتعريف
  • البيانات الشخصية الحساسة: البيانات البيومترية والوراثية والصحية والدينية والسياسية التي تتطلب حماية معززة
  • الفئات الخاصة: البيانات الخاضعة لقواعد خاصة بالقطاع (المالي والصحي والاتصالات)

يتطلب إطار عمل SAMA (المتوافق مع ISO/IEC 27001:2022) من المنظمات تطبيق ضوابط إدارة الأصول التي تشمل تصنيف البيانات. تفرض ضابطة NCA ECC 2.2 بشكل صريح سياسة تصنيف البيانات التي تحدد مستويات الحساسية والتدابير الحماية المقابلة. بدون إطار عمل تصنيف رسمي، لا يمكن للمنظمات إثبات الامتثال للمادة 32 من قانون حماية البيانات الشخصية (التدابير الأمنية) أو المادة 33 (إخطار الخرق).

منع فقدان البيانات كآلية تحكم

حلول منع فقدان البيانات (DLP) هي التجسيد التشغيلي للامتثال لقانون حماية البيانات الشخصية. تراقب منصة DLP وتكتشف وتمنع النقل غير المصرح به للبيانات المصنفة عبر حدود الشبكة والبريد الإلكتروني وخدمات السحابة والأجهزة والتطبيقات. في السياق التنظيمي السعودي، يخدم DLP ثلاث وظائف حرجة:

  • الكشف: تحديد البيانات الشخصية في الحركة والسكون، وتنبيه انتهاكات السياسة قبل مغادرة البيانات السيطرة التنظيمية
  • المنع: حجب أو عزل النقل غير المصرح به، مما يقلل من خطر الخرق ويثبت العناية الواجبة بموجب المادة 32 من قانون حماية البيانات الشخصية
  • سجل التدقيق: تسجيل جميع أحداث DLP للتحقيق الجنائي والإبلاغ التنظيمي، مما يدعم التزامات إخطار الخرق بموجب المادة 33

يتطلب DLP الفعال التكامل مع مخرجات تصنيف البيانات. يجب على المنظمات تحديد سياسات DLP التي تتوافق مع مستويات التصنيف: يجب أن تواجه البيانات الشخصية الحساسة جداً (مثل أرقام الهوية الوطنية والبيانات البيومترية) ضوابط صارمة على التسرب، بينما قد تسمح البيانات الأقل حساسية بمشاركة أوسع تحت شروط محددة.

خارطة الطريق للتنفيذ في 2026

المرحلة 1: اكتشاف البيانات والتصنيف

إجراء جرد شامل للبيانات باستخدام أدوات الاكتشاف الآلية والتقييم اليدوي. صنف جميع المستودعات—قواعد البيانات ومشاركات الملفات وتخزين السحابة والأرشيفات—وفقاً لسياسة التصنيف المتوافقة مع قانون حماية البيانات الشخصية. هذا يتوافق مع إدارة الأصول في SAMA CSF وضابطة NCA ECC 2.1.

المرحلة 2: نشر DLP

نشر وكلاء DLP وأجهزة استشعار الشبكة لمراقبة نقاط النهاية وبوابات البريد الإلكتروني والوكلاء والموصلات السحابية. تكوين السياسات التي تفرض القواعس المستندة إلى التصنيف: حجب تسرب البيانات الشخصية الحساسة إلى وجهات غير مصرح بها؛ تسجيل جميع الوصول إلى الفئات الخاصة. تأكد من أن قواعد DLP تعكس أغراض معالجة البيانات بموجب المادة 6 من قانون حماية البيانات الشخصية.

المرحلة 3: التكامل والحوكمة

دمج DLP مع منصة إدارة المعلومات والأحداث الأمنية (SIEM) للمراقبة المركزية. إنشاء وظيفة مسؤول حماية البيانات (DPO) أو ما يعادلها للإشراف على التصنيف وضبط DLP والاستجابة للخرق. محاذاة سياسات DLP مع نتائج تقييم تأثير معالجة البيانات (DPIA) بموجب المادة 34 من قانون حماية البيانات الشخصية.

المرحلة 4: التحسين المستمر

راجع تنبيهات DLP ربع سنوياً؛ تحسين السياسات لتقليل الإنذارات الكاذبة وضمان تمكين الأعمال. إجراء اختبار اختراق سنوي لضوابط DLP. تحديث أنظمة التصنيف مع إدخال أنواع بيانات جديدة. تدعم هذه الدورة تركيز SAMA CSF على المراقبة المستمرة والتحسين.

المحاذاة التنظيمية الرئيسية

تتطلب المادة 32 من قانون حماية البيانات الشخصية من المنظمات تطبيق "التدابير التقنية والتنظيمية المناسبة" لحماية البيانات الشخصية. تصنيف البيانات و DLP ليست حلولاً منفصلة—يجب أن تكون جزءاً من برنامج أمن المعلومات الشامل الذي يشمل ضوابط الوصول (NCA ECC 3.1) والتشفير (NCA ECC 4.1) والاستجابة للحوادث (NCA ECC 6.1).

يجب على المنظمات العاملة في القطاعات المنظمة (المصرفية والصحية والاتصالات) أيضاً محاذاة DLP مع القواعد الخاصة بالقطاع الصادرة عن SAMA أو البنك السعودي المركزي أو هيئة الاتصالات وتقنية المعلومات (CITC).

الخلاصة

تصنيف البيانات و DLP لم تعد دفاعية اختيارية—بل هي إلزامية بموجب قانون حماية البيانات الشخصية وأساسية لإطار عمل SAMA CSF و NCA ECC. يجب على قادة الأمن السيبراني أن يعطوا الأولوية لهذه الضوابط في 2026 لإثبات المساءلة وتقليل خطر الخرق وبناء ثقة أصحاب المصلحة في معالجة البيانات الشخصية.