تسببت الأزمة الكندية في تداول مفردة (السيادة)، وتسابق الخبراء في تفسير معنى السيادة وحدودها وأنواعها وما تتضمنه من حقوق وتشريعات، وسنتطرق في مقالنا هذا إلى سيادة البيانات.
سيادة البيانات(Data Sovereignty)، من منظور تقنية المعلومات، يقصد به أن المعلومات أو البيانات (التي تم تحويلها وتخزينها في شكل رقمي ثنائي) تخضع لقوانين الدولة التي تقع فيها.
بالرغم من أن تقنية الحوسبة السحابية (Cloud Computing) وتطبيقاتها قد سهلت أعباء العمل عن بعد، وخفضت التكاليف الرأسمالية وكسرت الحواجز المعروفة بين الدول، لكنها أثارت جانبًا قانونيًا في كيفية إدارة ومعالجة البيانات، وهذا الأمر يتطلب صياغة نظم ولوائح وتشريعات للمحافظة على البيانات وإبقائها داخل الحدود (قدر المستطاع) ومراقبة ما يتم نقله خارجها.
دول عدة، لديها الكثير من الأفكار والرؤى حول أين، وكيف يجب أن يتم التعامل مع بيانات التابعين لها (المواطنين – الكيانات) من حيث تخزين البيانات، وإدارتها، كما أن لديها قوانين مختلفة حول الكيفية التي ينبغي أن يتم تخزين تلك البيانات، أو نقلها وحمايتها. لهذا نجد أن قوانين (سيادة البيانات) تختلف من بلد لآخر.
والمخاوف الحالية التي تحيط بسيادة البيانات تتعلق (بضرورة الإفشاء عن البيانات وتنفيذ القرار الحكومي الصادر عن الدولة المستضيفة التي تم تخزين البيانات بها)، ويرى بعض مزودي خدمات الحوسبة السحابية أن سيادة البيانات يجب ألا تكون مصدر قلق إلا إذا كانت هناك أخطاء أو بيانات مخالفة للقانون يستوجب على الدول الأخرى التدخل للكشف عنها والاطلاع. لكن، مع المتغيرات السياسية التي نعيشها في هذا العصر، (قد) تلجأ بعض الدول تحت (ظرف سياسي ما) لمحاولة التشويش على دول أخرى و إلصاق تهم لا أساس لها من الصحة بناء على بيانات داخلية يتم التلاعب بها خارجيًا!
ولتوضيح مفهوم سيادة البيانات( نذكر المثالين التاليين):
المثال الأول: مزود خدمة حوسبة سحابية مكتبه الرئيسي في السعودية مع كافة أنشطته ( المبيعات، والتسويق، والمحاسبة،…) لكن مركز خدمة العملاء يقع في الهند مثلا، مما يستدعي إرسال بعض المعلومات الشخصية عن العملاء إلى الهند من أجل التواصل مع العملاء وتقديم الدعم اللازم.
في المثال الثاني، لدينا مزود خدمة حوسبة سحابية مقره الرئيسي في ألمانيا، ولديه فرع في السعودية، إلا أن بيانات الفوترة ووظائفها يتم التعامل معها في مكتبهم الرئيسي في ألمانيا ولذلك، يجب إرسال قدر كبير من المعلومات الشخصية إلى ألمانيا.
في المثالين أعلاه، البيانات المرسلة للهند أو ألمانيا سوف تخضع لقوانين البلدين (إن لزم الأمر).
وحسب دليل (خدمات الحوسبة السحابية للأفراد والأعمال) على الموقع الإلكتروني لهيئة الاتصالات وتقنية المعلومات، فقد تم تصنيف محتوى البيانات حسب أهميتها إلى (4) مستويات: المستوى (1) الأقل حساسية حتى المستوى (4) ذي السرية العالية.
جاء في الدليل، أن الالتزام بالضوابط واللوائح ملزم لمقدمي الخدمة المسجلين في السعودية، وأن تحديد مستوى أهمية بيانات الكيان (شركة-مؤسسة- ووو) من مسؤولية الكيان، فإن كانت بياناته (حسب تقييمه) من المستوى الثالث فعليه التعامل مع مقدم خدمات مسجل في السعودية.
إذا عدنا للمثالين أعلاه، يتبادر للذهن عدد من الأسئلة والخواطر:
لماذا لا تفرض الهيئة على الكيانات مستوى أهمية البيانات؟ لم لا تجبرهم على إبقاء البيانات داخليًا (ومتابعة ما ينقل عند الحاجة)؟ لماذا لا تفرض (جهة ما) على مزودي خدمة الحوسبة السحابية الإفصاح عن البيانات التي سيتم إرسالها للخارج؟ ولماذا لا تلزمهم باتخاذ الخطوات اللازمة للتأكد من تطبيق لوائح وأنظمة (الجهات المختصة السعودية) مع الجهات التي يتعاون معها خارجيًا(قدر الإمكان) ؟ ما هو دور الجهات ذات العلاقة بأمن المعلومات في حماية بيانات الشركات التي تحفظ بياناتها خارج الحدود؟ ألا يمكن اختراق البيانات هناك؟ ماذا لو تم استغلال بيانات البعض لتمرير عمليات غسل الأموال أو دعم الإرهاب؟
السعودية تتعامل مع شركات عالمية (استشارية-تقنية-…) من مختلف الجنسيات ولابد من معرفة آلية استخدامهم لتطبيقات الحوسبة السحابية، وهل يتعاملون مع مزود خدمات داخلي أم خارجي، ربما تكون بعض الجهات الخارجية جسرًا لتمرير البيانات لدول وجهات أخرى معادية.
قد تبدو هذه الإجراءات معقدة، إلا أنها نفرض السيادة على (بياناتنا) وتوفر لها نوعًا من الحماية. للتذكير، من الصعب أن نتعامل مع جميع البيانات على قدم المساواة من حيث الأهمية، ويمكن تخزين بعض الملفات في أي مكان في العالم دون قلق. من ناحية أخرى، عند التعامل مع البيانات الشخصية، قد يكون من المفيد لتأمين الضمانة الأساسية أن تبقى البيانات على الأراضي السعودية.
دول عدة وضعت ضمن شروطها ما يلزم (الكيانات في الخارج) بالتعامل مع البيانات الشخصية المنقولة خارج حدودها وفق إرشاداتها الداخلية، وبعضها ذهب لأبعد من ذلك، ألمانيا، على سبيل المثال، لم تكتف بقوانين الاتحاد الأوروبي فيما يتعلق بسيادة البيانات، لكنها تصر على أن تظل البيانات المتعلقة بالمواطنين الألمان داخل حدودها، مما وضع الشركات التي تتعامل مع ألمانيا في مأزق! هل يجب عليهم تخزين جميع بياناتهم هناك، أم ينبغي عليهم تصنيف البيانات الألمانية في مركز بيانات (Data Center) ألماني أثناء استخدام مركز بيانات آخر لبقية بياناتهم؟ كندا وغيرها، لديهم حظر على إرسال البيانات الشخصية خارج الحدود، لذا بدأت بعض شركات التقنية العاملة هناك للتخطيط لبناء مراكز بيانات متعددة بحيث يمكن للعملاء نقل البيانات داخليًا، وإجراء أعمال الصيانة أو النسخ الاحتياطية دون خوف من تجاوز لقوانين سيادة البيانات.
نحن بصدد استقطاب شركات مثل (أمازون وأبل وغيرهم) ولا بد من التنسيق معهم لبناء مراكز بيانات (داخل) السعودية، وبهذا يعتبر مجال (سيادة البيانات) فرصة لدعم الاستثمار في البنية التحتية للحوسبة السحابية، ويمهد الطريق لتحقيق توطين التقنية والمعرفة التي تعتبر من مخرجات رؤية 2030، وكلما زاد عدد مزودي خدمات الحوسبة السحابية، يكون لدينا ما يكفي من الخيارات لاختيار مقدمي الخدمات، وهذا يزيد من احتمال أن البيانات الخاصة بالكيانات السعودية ستبقى في السعودية.
