أمن بيانات الموارد البشرية في السحابة: الإمارات ومصر

ليس نقل الموارد البشرية إلى السحابة هو الجزء الخطر، بل الخطر أن تنقلها دون أن تطرح أولًا أربعة أسئلة محددة. قبل التوقيع مع أي مزوّد سحابي للموارد البشرية، يجب أن تحصل على إجابات واضحة عن المكان الذي تُستضاف فيه بياناتك فعليًا، وهل هي مشفّرة أثناء النقل وأثناء التخزين معًا، ومن يستطيع الوصول إليها من داخل فريق المزوّد، وهل يمكنك أن تأخذها معك إذا قررت ترك هذا المزوّد. يشرح ما يلي أهمية كل سؤال من هذه الأسئلة، وكيف يبدو الأمن «الحقيقي» بعيدًا عن العرض التسويقي.

عن أي بيانات نتحدث تحديدًا؟

يحتفظ نظام الموارد البشرية بالفئة الوحيدة من المعلومات التي لا تحتمل أي شركة تسرّبها: البيانات الشخصية لموظفيها. الرواتب. أرقام الهوية الوطنية. السجلات الطبية المرتبطة بالتأمين أو الإجازات المرضية. بيانات الحسابات البنكية لصرف الرواتب. ليس هذا كلامًا نظريًا عن الامتثال، بل هي تحديدًا المعلومات التي تُلحق ضررًا حقيقيًا بموظفين حقيقيين إذا وصلت إلى مكان لا ينبغي أن تصل إليه.

ولهذا السبب تحديدًا يُعدّ تأجيل الأمر بحجة «سنعالج مسألة السحابة يومًا ما» توجهًا خاطئًا. فالتأجيل لا يزيل الخطر، بل يتركه قائمًا في النظام الذي تستخدمه الآن، سحابيًا كان أم لا.

هل جداول البيانات على أجهزة الشركة أكثر أمانًا فعلًا من السحابة؟

غالبًا لا، وإنما تبدو كذلك فقط. فجدول البيانات على حاسوب الشركة أو على مجلد مشترك لا يملك سجل وصول، ولا تشفيرًا افتراضيًا، ولا وسيلة لإثبات من فتحه آخر مرة. إنه ليس أكثر أمانًا، بل هو غير خاضع للتدقيق، وهذا يوحي بالأمان إلى أن يحدث خطأ ما ولا يوجد سجل يوضح ما جرى. والأمن السحابي حين يُطبَّق كما ينبغي يمثّل معيارًا أعلى من «الملف موجود على خادمنا»، لا أدنى منه، والسؤال هو: هل يبلغ مزوّدك تحديدًا هذا المعيار؟

ماذا يشترط القانون الإماراتي فعلًا في نظام يحتفظ ببيانات الموظفين؟

يضع المرسوم بقانون اتحادي بشأن حماية البيانات الشخصية في الإمارات (PDPL) الأساس: يجب أن تُعالَج البيانات الشخصية بصورة مشروعة، ولغرض محدد، مع ضمانات أمنية مناسبة، وللأفراد حقوق على بياناتهم (الاطلاع والتصحيح، والحذف في بعض الحالات). وبالنسبة إلى نظام الموارد البشرية تحديدًا، يعني ذلك أن سجلات الرواتب ونسخ الهويات والبيانات الطبية تحتاج إلى أساس قانوني موثّق لتخزينها أصلًا، لا مجرد أن «الموارد البشرية تحتاج إليها». والمزوّد الذي لا يستطيع شرح امتثاله للقانون بلغة واضحة، لا بمجرد علامة اختيار في صفحة الامتثال، ليس جاهزًا لشركة تعمل في الإمارات.

ماذا يشترط القانون المصري؟

يغطي قانون حماية البيانات الشخصية المصري رقم 151 لسنة 2020 المجال نفسه بتفاصيله الخاصة: على المتحكمين في البيانات ومعالجيها التزامات محددة، وللأفراد حقوق على بياناتهم، ولنقل البيانات عبر الحدود شروطه الخاصة. فإذا كان مزوّد الموارد البشرية لديك يخزّن بيانات موظفين مصريين أو يعالجها، فيجب أن تعني عبارة «نحن ملتزمون» الالتزام بهذا القانون تحديدًا، لا بإطار دولي عام يبدو مشابهًا له.

ما الأسئلة الأربعة التي يجب أن تطرحها على أي مزوّد قبل التوقيع؟

هذه هي الأسئلة التي تميّز الإجابة الحقيقية من الشريحة التسويقية:

1. أين تُستضاف البيانات فعليًا، وهل يتوافق ذلك مع قانون حماية البيانات الإماراتي (PDPL) والقانون المصري رقم 151 لسنة 2020؟ عبارة «مُستضافة بأمان» ليست إجابة. الإجابة هي منطقة محددة، وعلاقة محددة مع مركز بيانات، ومطابقة امتثال موثّقة مع القانونين كليهما.
2. هل البيانات مشفّرة أثناء النقل وأثناء التخزين معًا، لا في إحداهما فقط؟ يحمي التشفير أثناء النقل البيانات وهي تنتقل بين متصفحك وخادم المزوّد، ويحميها التشفير أثناء التخزين وهي محفوظة في قاعدة بياناته. وبعض المزوّدين يذكرون أحدهما فقط ويتركونك تفترض وجود الآخر.
3. من داخل فريق المزوّد نفسه يستطيع الوصول إلى بيانات العملاء، وهل تُسجَّل كل عملية وصول؟ يتعلق هذا بالتحكم في الوصول الداخلي، لا بخطر الاختراق الخارجي فحسب. فإذا استطاع مهندس دعم فني فتح بيانات رواتبك دون أن تُسجَّل هذه العملية في أي مكان، فلن تتمكن أبدًا من معرفة ما إذا كانت قد حدثت.
4. ماذا يحدث لبياناتك إذا غيّرت المزوّد، وهل تملكها كاملة وقابلة للنقل؟ المزوّد الذي يجعل التصدير صعبًا أو ناقصًا يرفع تكلفة انتقالك بهدوء، إذ يحتجز بياناتك رهينةً إلى حدٍّ ما. يجب أن تتمكن من المغادرة ومعك كل شيء، بصيغة قابلة للاستخدام، عند الطلب.

إذا تردد مزوّد في الإجابة عن أي من هذه الأسئلة الأربعة، فالتردد نفسه هو الإجابة.

كيف يبدو الأمن السحابي «الحقيقي» في العمل اليومي؟

ليس شريحة في عرض تسويقي، بل مجموعة من الإعدادات الافتراضية المفعّلة سواء سأل عنها أحد أم لم يسأل:

• صلاحيات وصول حسب الدور: يرى كل شخص في شركتك ما يتطلبه دوره فقط، فلا تظهر بيانات الرواتب لمن يحتاج إلى الهيكل التنظيمي فحسب.
• تشفير افتراضي: ليس ترقية اختيارية ولا إضافة لباقة الشركات الكبرى، بل المعيار الأساسي لكل حساب.
• امتثال مبني حول نطاقك القضائي الفعلي: النظام المصمَّم لأسواق GDPR وحدها ثم أُضيفت إليه لاحقًا لافتة «الإمارات/مصر» شيء مختلف (وأضعف) عن نظام بُني منذ البداية حول نظام حماية الأجور (WPS) وقانون PDPL والقانون المصري رقم 151 لسنة 2020.
• سجل وصول قابل للمراجعة فعلًا: لا يكفي أن يُجمع في مكان ما، بل يجب أن يستطيع مسؤول الامتثال أو الموارد البشرية لديك فتحه وقراءته.

ما الترتيب الواقعي لخطوات الانتقال؟

لا تحتاج إلى حسم كل الأسئلة قبل أن تبدأ البحث، لكن عليك أن تطرح الأسئلة الأربعة السابقة على المزوّدين قبل التوقيع لا بعده. التسلسل المعقول: أعدّ قائمة مختصرة بالمزوّدين، واطرح عليهم الأسئلة الأربعة مباشرة واحصل على الإجابات مكتوبة، وتحقق من أن الإجابات تتوافق مع قانون PDPL الإماراتي والقانون المصري رقم 151 لسنة 2020 تحديدًا (لا بصورة عامة)، ثم انقل البيانات على دفعات مضبوطة مع خطة للتراجع، بدلًا من انتقال واحد لا رجعة فيه.

ما الذي يجب أن تواصل متابعته بعد إتمام الانتقال؟

التوقيع مع مزوّد ملتزم ليس نهاية العمل، بل بداية عمل مستمر أخف بكثير. فالتشريعات تتغير: تُعدَّل قواعد حماية البيانات في الإمارات ومصر وتُوضَّح مع مرور الوقت، ويجب أن تواكب مطابقة الامتثال لدى المزوّد هذه التغييرات، لا أن تتوقف عند تاريخ التوقيع. ومن العادات المعقولة إجراء مراجعة سنوية مع مزوّدك تغطي ثلاثة أمور: هل تغيّر شيء في طريقة استضافة البيانات أو مكانها، وهل راجع أحد من فريقك سجل الوصول فعلًا بدلًا من أن يبقى مهملًا، وهل لا تزال عملية التصدير كاملة لو جرّبتها اليوم لا عند التوقيع فقط. لا يحتاج أي من ذلك إلى تهويل، فهو أقرب إلى تجديد وثيقة تأمين منه إلى التحقيق في مسرح جريمة، لكن إهماله كليًا هو ما يحوّل عبارة «راجعنا هذا الأمر مرة في 2026» بهدوء إلى ثغرة لا يلاحظها أحد إلى أن يطرح مفتش أو موظف السؤال أولًا.