مخطط انسيابي للاستجابة لخرق البيانات (مهلة 72 ساعة في GDPR)

ما هي مخطط انسيابي للاستجابة لخرق البيانات (مهلة 72 ساعة في gdpr)؟

خرق البيانات الشخصية هو أي إخفاق أمني يؤدي إلى إتلاف بيانات شخصية أو فقدانها أو تعديلها أو الإفصاح عنها أو الوصول إليها دون تصريح، سواء بالخطأ أو بالقصد. ومعظم هذه الوقائع ليست هجمات سيبرانية: رسالة بريد أُرسلت إلى المرسل إليه الخطأ، أو جدول بيانات بقي فيه تبويب مخفي، أو حاسوب محمول نُسي في وسيلة نقل، أو مجلد مشترك فُتح للجميع، أو نسخة احتياطية يتبيّن تعذّر استعادتها. وتنطلق العملية أدناه من الاشتباه لا من النتيجة المؤكدة، لأن الساعة النظامية تبدأ حين تعلم المؤسسة باحتمال وقوع الخرق، لا حين تنتهي من التحقيق.

هذه عمداً ليست عملية الاستجابة لحوادث الأمن السيبراني. فالكشف والتحقيق الجنائي وحفظ الأدلة واستئصال التهديد والتأكد من نظافة الأنظمة كلها تقع في تلك العملية ويملكها فريق الأمن؛ وهي تظهر هنا كخطوة احتواء واحدة وتسليم للمعالجة يعود إلى الأمن. وإذا كان الخرق هجوماً سيبرانياً فشغّل الاثنتين معاً: الاستجابة التقنية تستعيد البيئة وتؤمّنها، بينما يسير هذا المخطط بالتوازي على مهلته الخاصة ويجيب عن سؤال مختلف، وهو من يجب إبلاغه ومتى، وماذا تكتب إن كانت الإجابة «لا أحد». كما أنها ليست إدارة حوادث تقنية المعلومات التي تنتهي بعودة الخدمة، ولا عملية طلبات الوصول التي تعالج طلب الأفراد لبياناتهم لا فقدان المؤسسة لها.

قراران يحملان الثقل القانوني ويُخلط بينهما باستمرار. إخطار السلطة الرقابية هو الأصل بموجب اللائحة العامة لحماية البيانات في المملكة المتحدة والاتحاد الأوروبي: فهو واجب ما لم يكن من غير المرجّح أن ينشأ عن الخرق خطر على حقوق الأفراد وحرياتهم. أما إخطار الأفراد المتأثرين فاختبار منفصل وأعلى، ولا يُطلب إلا حين يُرجَّح أن ينشأ عن الخرق خطر مرتفع عليهم. ومن الوارد تماماً أن يكون الخرق واجب الإخطار للجهة الرقابية دون أن يُبلَّغ به الأفراد المعنيون إطلاقاً. والأمر الثالث الذي تغفله الفرق هو أن الفرعين يلتقيان: كل خرق يُقيَّد في السجل الداخلي، بما في ذلك ما قرّرت ألا تُبلّغ عنه، ومعه المبرّر الذي استند إليه القرار.

ما الذي يغطيه هذا المخطط

في هذا القالب

• خمسة مسارات للأدوار لكل خطوة فيها مالك (المكتشف / المُبلِّغ، والأمن، ومسؤول حماية البيانات، والشؤون القانونية، والاتصال المؤسسي) عبر خمس مراحل: الإبلاغ، والتقييم والاحتواء، وقرار الإخطار، والإخطار، ثم التسجيل والمراجعة
• مرحلة الإبلاغ: «رصد خرق محتمل للبيانات» و«الإبلاغ عبر قناة الخروقات» في مسار المُبلِّغ، ثم يسجّل الأمن البلاغ ويبدأ الخط الزمني، وهو ما يثبّت لحظة العلم التي تنطلق منها مهلة الـ72 ساعة
• التقييم الأولي والاحتواء في مسار الأمن، يليهما قرار «هل تتضمن بيانات شخصية؟» المملوك لمسؤول حماية البيانات، حيث يُغلق فرع «لا» الحالة كحادثة أمنية فقط بدل جرّها عبر المسار التنظيمي كاملاً
• «تقييم الشدة والخطر على الأفراد» في مسار مسؤول حماية البيانات، ثم تأكيد الشؤون القانونية لالتزامات الإخطار المنطبقة فعلاً، قبل قرار «هل يجب إخطار السلطة الرقابية؟»
• الفرع واجب الإخطار يمرّ عبر «صياغة الإخطار بمراجعة قانونية» و«إخطار السلطة الرقابية خلال 72 ساعة»، بينما يمرّ الفرع غير الواجب عبر «توثيق أسباب عدم الإخطار»، فيبقى القرار موثّقاً في الحالتين
• قرار منفصل «هل الخطر على الأفراد مرتفع؟» يوجّه الاتصال المؤسسي إلى صياغة إشعار للأفراد المتأثرين وإرساله، ثم قيد في سجل الخروقات يصله الفرعان معاً، فإتمام الإجراءات التصحيحية لدى الأمن، ومراجعة ما بعد الخرق، ثم الإغلاق

متى تستخدم هذا القالب

• تكتب إجراء الاستجابة لخرق البيانات الشخصية أو تحدّثه وتحتاج صفحة واحدة تبيّن من يقيّم ومن يقرّر ومن يُخطِر
• تريد حسم قرار وجوب الإخطار مسبقاً، حتى لا يدور الجدل عصر الخميس حول ما إذا كانت الساعة قد بدأت أصلاً
• تُجري تمريناً على خرق وتريد اختبار مسار الـ72 ساعة من طرفه إلى طرفه، بما في ذلك خطوات الصياغة والاعتماد التي تستهلك معظمه
• تدرّب الموظفين على ما يجب الإبلاغ عنه وأين، لأن الخطوة الأولى في كل خرق واقعي تقريباً هي موظف عادي يلاحظ شيئاً
• طلب منك مدقّق أو عميل إثبات وجود إجراء موثّق للتعامل مع الخروقات (المخطط يوثّق الإجراء ولا يثبت الامتثال بذاته)

كيف تعمل

1. سمِّ الأدوار وقناة الإبلاغ

   استبدل المسارات الخمسة بالأدوار الموجودة لديك فعلاً. كثير من المؤسسات الصغيرة لا يوجد فيها مسؤول لحماية البيانات فتدمج ذلك المسار في الشؤون القانونية أو لدى مسؤول الخصوصية، وبعضها يضيف مسار مستشار خارجي أو شركة تأمين سيبراني. ثم ضع قناة الإبلاغ الحقيقية في خطوة «الإبلاغ عبر قناة الخروقات»: بريد واحد، ونموذج واحد، ورقم هاتف واحد، وقاعدة تقضي بالإبلاغ عند الاشتباه لا بعد التحقيق.

2. ثبّت جهاتك الرقابية ومواعيدك

   عدّل خطوة «تأكيد التزامات الإخطار المنطبقة» لتسمّي الجهة أو الجهات التي تنطبق عليك، وجهتك الرئيسية إن كنت تعمل عبر الحدود، وأي أنظمة قطاعية أو خارج الاتحاد الأوروبي تخضع لها. فلهذه الأنظمة مهل مختلفة، فدوّن كلاً منها بدل افتراض أن 72 ساعة تغطي كل شيء. وأضف كذلك مهل الإخطار التعاقدية للعملاء، وهي غالباً أقصر من المهل النظامية.

3. دوّن معايير تقييم الخطر

   أرفق معاييرك بخطوة «تقييم الشدة والخطر على الأفراد»: نوع البيانات وحساسيتها، وعدد الأفراد والسجلات، ومدى سهولة التعرّف على الأشخاص، وما إذا كانت البيانات مشفّرة أو غير قابلة للاستخدام لسبب آخر، وما إذا كان بين المتأثرين أشخاص في وضع هشّ، وشدة الضرر واحتمال وقوعه. المعايير المكتوبة سلفاً هي ما يجعل القرارين قابلين للدفاع عنهما لاحقاً.

4. أسنِد القرارين وصلاحية الاعتماد

   بيّن على المخطط من يملك «هل يجب إخطار السلطة الرقابية؟» و«هل الخطر على الأفراد مرتفع؟»، ومن يُصرَّح له باعتماد ما يُرسَل إلى الجهة الرقابية، ومن يعتمد صيغة ما يُرسَل إلى الأفراد. وأضف نائباً لكل منهم، لأن الخروقات لا تنتظر انتهاء الإجازات.

5. ضع مواعيد داخلية داخل الـ72 ساعة

   اعمل بالعدّ التنازلي من الموعد النهائي وضع أوقاتاً مستهدفة للخطوات الوسيطة: متى يجب أن يكون التقييم بين يدي مسؤول حماية البيانات، ومتى تصل المسودة إلى الشؤون القانونية، ومتى يُقفل الاعتماد. الموعد النظامي هو الحد الأقصى لا الخطة، وخطوتا الصياغة والاعتماد هما ما يستهلك الساعات فعلاً.

6. وجّه خطوة السجل إلى سجلك الحقيقي ثم أصدر نسخة معتمدة

   اربط «قيد الخرق في السجل» بالسجل الذي تحتفظ به فعلاً، واسرد الحقول التي يجب أن يلتقطها: وقائع الخرق وآثاره والإجراء التصحيحي المتخذ ومبرّر كل قرار إخطار بما في ذلك القرارات السلبية. ثم عمّم المخطط على مسؤول حماية البيانات والشؤون القانونية والأمن والاتصال المؤسسي للاعتماد، واحتفظ بالنسخة المعتمدة، ليكون الإجراء الذي تتدرب عليه هو الإجراء الذي تنشره.

الأسئلة الشائعة

متى تبدأ مهلة الـ72 ساعة للإبلاغ عن الخرق؟

بموجب اللائحة العامة لحماية البيانات في المملكة المتحدة والاتحاد الأوروبي، يجب على المتحكم في البيانات إخطار السلطة الرقابية دون تأخير غير مبرّر، وخلال مدة لا تتجاوز 72 ساعة من علمه بوقوع خرق للبيانات الشخصية متى كان ذلك ممكناً. والعلم يعني بلوغ درجة معقولة من اليقين بأن حادثة أمنية أدت إلى المساس ببيانات شخصية، فتُقبل فترة تحقق أولية قصيرة، لكنك لا تستطيع تأجيل الساعة بإطالة التحقيق. والـ72 ساعة تُحسب بالتقويم لا بأيام العمل: العطل والأعياد داخل النافذة. ولهذا يضع هذا المخطط «تسجيل البلاغ وبدء الخط الزمني» في المقدمة ويوثّق من أبلغ وبماذا ومتى.

ما الفرق بين إخطار الجهة الرقابية وإخطار الأفراد؟

هما اختباران منفصلان بعتبتين مختلفتين، ولهذا يرسمهما المخطط كقرارين لا كقرار واحد. فالسلطة الرقابية يجب إخطارها ما لم يكن من غير المرجّح أن ينشأ عن الخرق خطر على حقوق الأفراد وحرياتهم، أي أن الإخطار هو الأصل عملياً. أما الأفراد المتأثرون فلا يُبلَّغون إلا حين يُرجَّح أن ينشأ عن الخرق خطر مرتفع عليهم، وهناك استثناءات معترف بها، كأن تكون البيانات مشفّرة وغير مفهومة، أو أن تكون قد اتخذت تدابير لاحقة تجعل تحقق الخطر المرتفع غير مرجّح. ولذلك قد يُبلَّغ خرق للجهة الرقابية ولا يُبلَّغ به الأفراد المعنيون أبداً.

هل نوثّق خرقاً قرّرنا عدم الإبلاغ عنه؟

نعم. تُلزم اللائحة المتحكمين بتوثيق كل خرق للبيانات الشخصية، شاملاً الوقائع وآثارها والإجراء التصحيحي المتخذ، بصرف النظر عن الإخطار من عدمه. وعملياً فإن سجل الخرق الذي اخترت عدم الإبلاغ عنه هو الأهم، لأنه الدليل الوحيد على أن القرار كان مُعلَّلاً لا مجرّد اختيار مريح. ولهذا يمرّ فرع «غير واجب» في هذا المخطط عبر «توثيق أسباب عدم الإخطار»، ويلتقي الفرعان معاً عند السجل.

بماذا تختلف هذه العملية عن الاستجابة لحوادث الأمن السيبراني؟

عملية الاستجابة لحوادث الأمن السيبراني تدور حول المهاجم والبيئة التقنية: الكشف والفرز وحفظ الأدلة والاحتواء والاستئصال والتحقق من نظافة الأنظمة واستعادة الخدمة. أما هذه العملية فتدور حول الأشخاص الذين تأثرت بياناتهم والالتزامات المترتبة على ذلك، وتنطلق مع أي خرق للبيانات الشخصية بما فيه ما لا مهاجم فيه إطلاقاً، كرسالة أُرسلت إلى العنوان الخطأ أو نسخة احتياطية غير قابلة للاستعادة. تتقاطع العمليتان عند الاحتواء وعند فرع الإخطار، وفي حادثة سيبرانية تشغّلهما بالتوازي بحيث يملك فريق الأمن المسار التقني ويملك مسؤول حماية البيانات هذا المسار.

ماذا لو كنا معالِجاً للبيانات لا متحكماً فيها؟

المعالِج لا يخطر السلطة الرقابية ولا الأفراد. عليه إخطار المتحكم دون تأخير غير مبرّر بمجرد علمه بخرق للبيانات الشخصية، ثم يتولى المتحكم التقييم وقراري الإخطار. فإن كان هذا وضعك، فاقطع المخطط عند قرار «هل يجب إخطار السلطة الرقابية؟» واستبدله بإخطارك للمتحكم، وراجع عقودك، لأن اتفاقيات المعالجة كثيراً ما تحدّد مهلة داخلية ثابتة أقصر بكثير من مهلة الـ72 ساعة الخاصة بالمتحكم.