تصنيف البيانات: دليل عملي للشركات السعودية
عامة، مقيدة، سرية، سرية للغاية — كل تصنيف له متطلبات حماية مختلفة. نشرح التصنيف والمعايير.
ليش تصنيف البيانات مهم؟
تصنيف البيانات هو الخطوة الأولى في أي استراتيجية أمن معلومات. بدون تصنيف، ما تقدر تحدد مستوى الحماية المطلوب. تعامل كل البيانات بنفس المستوى = إما تصرف كثير على بيانات ما تحتاج حماية عالية، أو تهمل بيانات حساسة تحتاج حماية قصوى.
تصنيف البيانات يجيب على سؤال واحد: ايش يصير لو هذه البيانات تسرّبت أو ضاعت أو تعدّلت؟
إطار التصنيف السعودي
الهيئة الوطنية للأمن السيبراني (NCA)
NCA تعتمد 4 مستويات تصنيف:
| المستوى | التعريف | أمثلة |
|---|---|---|
| سري للغاية | تسرّبه يهدد الأمن الوطني | بيانات دفاعية، استخبارية |
| سري | تسرّبه يسبب ضرر كبير للمنظمة | بيانات مالية، خطط استراتيجية |
| حساس | تسرّبه يسبب ضرر محدود | بيانات شخصية، عقود |
| عام | متاح للعموم | محتوى تسويقي، أخبار |
نظام حماية البيانات الشخصية (PDPL)
PDPL يضيف تصنيف خاص للبيانات الشخصية:
- بيانات شخصية عادية: اسم، بريد إلكتروني، رقم جوال
- بيانات شخصية حساسة: بيانات صحية، مالية، بيومترية، جنائية، عرقية
البيانات الشخصية الحساسة تحتاج حماية أقوى وموافقة صريحة أكثر تفصيلاً.
كيف تصنّف بياناتك — خطوة بخطوة
الخطوة 1: جرد البيانات
اعمل قائمة شاملة بكل أنواع البيانات اللي عندك:
بيانات العملاء:
- أسماء وأرقام جوالات وعناوين
- سجلات المعاملات والفواتير
- بيانات الدفع (بطاقات، حسابات بنكية)
- سجلات الدعم الفني
بيانات الموظفين:
- معلومات شخصية (هوية، عنوان)
- بيانات رواتب ومالية
- تقييمات أداء
- سجلات صحية
بيانات تشغيلية:
- كود المصدر
- قواعد بيانات الإنتاج
- ملفات الإعدادات والمفاتيح
- سجلات النظام (logs)
بيانات عامة:
- محتوى الموقع والمدونة
- مواد تسويقية
- أسعار منشورة
الخطوة 2: تقييم الأثر
لكل نوع بيانات، قيّم أثر التسرّب:
| معيار التقييم | سري | حساس | عام |
|---|---|---|---|
| أثر مالي | خسارة كبيرة (100K+ ريال) | خسارة متوسطة | لا أثر |
| أثر قانوني | غرامات + دعاوى | غرامات محتملة | لا أثر |
| أثر سمعة | ضرر جسيم | ضرر محدود | لا أثر |
| أثر تشغيلي | توقف كامل | تعطّل جزئي | لا أثر |
الخطوة 3: تحديد الضوابط
كل مستوى تصنيف يحتاج ضوابط مختلفة:
سري:
- تشفير إلزامي (AES-256) أثناء التخزين والنقل
- وصول محدود بأسماء محددة
- تسجيل كل عملية وصول
- تخزين سعودي فقط — بدون استثناء
- نسخ احتياطي مشفّر
حساس:
- تشفير أثناء النقل (TLS)
- صلاحيات محددة حسب الدور
- تسجيل عمليات الوصول
- تخزين سعودي مفضّل
عام:
- حماية من التعديل غير المصرّح
- نسخ احتياطي منتظم
- لا قيود على الموقع
الخطوة 4: توثيق السياسة
وثّق كل شي في مستند رسمي يشمل:
- جدول التصنيف مع أمثلة واضحة
- مسؤوليات كل فريق
- إجراءات إعادة التصنيف
- عقوبات المخالفة الداخلية
أخطاء شائعة في التصنيف
- تصنيف كل شي "سري" — يخفّض قيمة التصنيف ويزيد التكلفة بدون فائدة
- عدم التحديث — بيانات تتغير مع الوقت. مشروع انتهى = بياناته ممكن تتحول من "سري" لـ "عام"
- تجاهل البيانات المشتقة — تقرير يجمع بيانات حساسة = التقرير نفسه حساس
- عدم تدريب الموظفين — أفضل سياسة ما تنفع لو الفريق ما يعرفها
- تصنيف بدون ضوابط — التصنيف بدون تطبيق = مستند بلا قيمة
أدوات التصنيف
- Microsoft Purview — تصنيف تلقائي للملفات والبريد
- OpenDLP — مفتوح المصدر، يكتشف البيانات الحساسة
- تصنيف يدوي — مناسب للشركات الصغيرة والمتوسطة
تصنيف البيانات والاستضافة
التصنيف يحدد أين تُخزّن البيانات. بيانات "سرية" و"حساسة" تحتاج سيرفر سعودي. كلاود يوفّر سيرفرات في الرياض مصممة لاستضافة البيانات المصنّفة — مع تشفير ونسخ احتياطي وسجلات وصول.
ابدأ بالتصنيف اليوم. هذا الأساس اللي كل شي ثاني يُبنى عليه.
ابدأ الآن
تبي بيئة آمنة لتطبيقاتك؟ اختر سيرفر محمي بحماية DDoS وجدار ناري متقدم. راجع اتفاقية مستوى الخدمة وسياسة الخصوصية.
