ما هو الأمن السيبراني داخل مؤسسة صغيرة؟
الأمن السيبراني هو تنظيم حماية الأنظمة والحسابات والبيانات وقدرة المؤسسة على مواصلة نشاطها عند الحادث. يشمل السرية، أي وصول المصرح لهم؛ وسلامة المعلومات، أي عدم تعديلها دون حق؛ وتوفرها عند الحاجة. يمكن أن يبدأ الخطر من حساب الإيميل أو هاتف يستعمله الموظف أو مزود تستضيف عنده ملفاتك، وليس من الخادم وحده.
ينظم دليل NIST الصادر في فيفري 2024 العمل عبر الحوكمة والتعرف والحماية والكشف والاستجابة والاسترجاع. الدليل إرشادي طوعي، وليس قانوناً جزائرياً أو شهادة امتثال. فائدته للمؤسسة أن يربط كل إعداد بقرار ومسؤول ونتيجة، بدلاً من اختزال الأمن في مضاد فيروسات.
ابدأ بجرد ما يوقف العمل إذا فقدته
الجرد يحدد الأصول التي تستحق الحماية أولاً. اكتب الإيميل الخاص بمؤسستك والنطاق والاستضافة والحسابات الإعلانية ونظام الفوترة وملفات الزبائن والأجهزة التي تصل إليها. لكل أصل، عيّن مالكاً داخل المؤسسة، والجهة التي تديره، ومكان البيانات، وكيف تستعيد الوصول إن غاب الشخص المعتاد.
رتّب الأصول بسؤال بسيط: ماذا يحدث إن تعطل هذا العنصر أو انكشف محتواه؟ الإيميل الذي تستعيد به بقية الحسابات قد يستحق أولوية على جهاز قليل الاستخدام. هذه مقارنة عملية في مؤسستك، وليست ترتيباً ثابتاً يصلح للجميع. سجّل أيضاً الأدوات التي يستخدمها الفريق خارج القائمة الرسمية حتى لا تبقى ملفات حساسة في مساحة لا تعرفها.
- سجّل الأصل ومالكه الإداري ومن يملك وصولاً إليه.
- حدد البيانات المهمة ومكانها والمزود الذي يحتفظ بها.
- اكتب أثر الفقدان أو التعديل أو الكشف على النشاط.
- اختر أولوية قابلة للتحقق واسم المسؤول عنها.
احمِ الدخول والاسترجاع قبل توسيع الأدوات
المصادقة متعددة العوامل تضيف تحققاً إلى كلمة السر، ويوصي NIST بتفعيلها في الحسابات التي توفرها، بدءاً بالأكثر حساسية. ابدأ بالإيميل والاستضافة ومدير كلمات السر والحسابات التي تتحكم في البيانات أو الدفع. استعمل كلمات مختلفة وقوية، واستبدل الكلمات الافتراضية للأجهزة والخدمات.
مسار استرجاع الحساب جزء من الحماية. راجع وسائل الاسترجاع والأشخاص المخولين باستعمالها، واحفظ وسائل الطوارئ في مكان مضبوط الوصول. لا تجعل هاتف موظف مغادر أو عنواناً شخصياً مجهول الإدارة الوسيلة الوحيدة للعودة. قبل تغيير الإعدادات، تأكد من إمكانية الدخول بالطريقة الجديدة حتى لا يتحول التحصين إلى تعطيل.
الصلاحيات تتبع العمل وتتغير معه
الصلاحية المناسبة تمنح الموظف ما يحتاجه لمهمته، وتُراجع حين تتغير المهمة أو يغادر المؤسسة. يوصي NIST بقصر الوصول إلى المعلومات الحساسة على من يحتاجها. لذلك فرّق بين مشاهدة الفاتورة وتعديلها وتصدير القائمة وإدارة المستخدمين؛ وجود الشخص في القسم نفسه لا يبرر كل هذه الحقوق.
الحسابات الفردية تساعدك على معرفة من يعمل داخل النظام، فيما يضعف الحساب المشترك القدرة على تحديد المسؤولية. نظّم كذلك وصول المزود الخارجي: ما النظام المسموح، وما العمل المطلوب، ومن يوافق عليه، ومتى ينتهي الوصول؟ هذه قواعد تشغيل تقترحها سمو رقمي، ولا تعني أن امتلاك سجل الدخول وحده يحقق كل المتطلبات القانونية.
اختبر استرجاع النسخ ولا تكتفِ بنجاح الحفظ
النسخ الاحتياطي المفيد يعيد بيانات قابلة للاستعمال، ويوصي NIST بنسخ منتظم واختبار النسخ وفحص سلامتها قبل الاسترجاع بعد حادث. اختر البيانات والأنظمة الضرورية، ثم حدد وتيرة النسخ بحسب مقدار العمل الذي تستطيع تحمل فقدانه. لا نضع وتيرة واحدة لكل مؤسسة لأن أثر فقدان البيانات يختلف.
اختبار الاسترجاع يجري في مساحة مناسبة دون الكتابة فوق بيانات الإنتاج. استرجع ملفاً أو قاعدة بيانات وافتحها، وتحقق من أن الخدمة تحتاج أيضاً ملفاتها وإعداداتها الضرورية. سجّل تاريخ النسخة، وما استُعيد، ومن اختبره، وأي خطوة فشلت. النسخة المنفصلة عن العمل المعتاد وإدارة الوصول إليها تساعدان على تقليل الاعتماد على نقطة واحدة.
- حدد البيانات التي تبدأ بها العودة إلى العمل.
- تحقق من مكان النسخ ومن يستطيع تعديلها أو حذفها.
- نفّذ استرجاعاً آمناً وسجّل النتيجة والإصلاح المطلوب.
- احتفظ بتعليمات يستطيع المسؤول المخول اتباعها.
التحديثات مهمة، لكن نفّذها مع خطة رجوع
التحديث المنتظم للأنظمة والبرامج من إجراءات الحماية التي يوصي بها NIST. اجرد الإصدارات التي تستخدمها، ومن يتابع تحديث نظام التشغيل والموقع والإضافات والتطبيقات. وجود تحديث متاح لا يكفي إن لم يعرف أحد من ينفذه أو إن بقي جهاز خارج المتابعة.
تقترح سمو رقمي تجهيز نسخة قابلة للاسترجاع وخطوة رجوع قبل تعديل نظام مهم، وتجربة الوظائف الأساسية بعده. راجع تسجيل الدخول والفوترة وإرسال الرسائل أو التسجيل بحسب الخدمة. الهدف تطبيق الإصلاح مع استمرار الاستخدام؛ لا تترك تحديثاً ضرورياً مؤجلاً بلا مسؤول، ولا تعتبر ظهور الصفحة الرئيسية وحده دليلاً على سلامة بقية الوظائف.
درّب الفريق على التحقق والتبليغ
تدريب الفريق يشرح كيف يتعرف على طلب مشبوه وكيف يبلّغ عنه دون تعطيل العمل. يوصي NIST بتعليم الموظفين التعرف على الهجمات الشائعة والتبليغ عن النشاط المشبوه. استخدم أمثلة توضيحية من نوع الرسائل التي يراها فريقك، مع إبقاء الأمثلة منفصلة عن أي ادعاء بوقوع حادث لمؤسستك.
مثال تدريبي: رسالة تطلب تغيير حساب دفع مستعجل. قاعدة عملية هي التحقق عبر وسيلة اتصال معروفة مسبقاً، قبل تنفيذ التغيير، بدل الاعتماد على بيانات الرسالة نفسها. اكتب لمن يُرسل الاشتباه وما المعلومات المفيدة للمراجعة. التقييم يكون بقدرة الموظف على اتخاذ الخطوة المناسبة، لا بمجرد حضوره العرض.
ما الذي تقوله النصوص الجزائرية عن الأدوار والبيانات؟
توجب المادة 38 من القانون 18-07 المؤرخ في 10 جوان 2018 تدابير تقنية وتنظيمية مناسبة لحماية المعطيات الشخصية، بمستوى أمن يناسب المخاطر وطبيعة البيانات. وتتناول المادة 39 ضمانات المتعامل من الباطن وتنظيم المعالجة بعقد أو عمل قانوني. لهذا جهّز قائمة بيانات الزبائن والموظفين والمتعلمين وأغراض معالجتها والجهات التي تصل إليها.
أضاف القانون 25-11 المؤرخ في 24 جويلية 2025 تعيين مندوب لحماية المعطيات في المادة 41 مكرر، وسجل أنشطة المعالجة في المادة 41 مكرر 2، ودفتراً آلياً للعمليات في المادة 41 مكرر 3 من القانون. اقرأ هذه الالتزامات مع النصوص المنطبقة على حالتك؛ شراء أداة أمن لا يقوم مقام تنظيم المعالجة أو تعيين الدور القانوني.
تنص المادة 41 من المرسوم الرئاسي 20-05 المؤرخ في 20 جانفي 2020 على تعيين مسؤول عن أمن أنظمة المعلومات، وتذكر المتعاملين الخواص أيضاً. عدّل المرسوم 25-298 المؤرخ في 10 نوفمبر 2025 المادة 3، دون المادة 41 من المرسوم الرئاسي. مسؤول أمن الأنظمة ومندوب حماية المعطيات وظيفتان مختلفتان في النصوص؛ راجع تنظيمهما مع المختص بدلاً من افتراض أن تسمية واحدة تغطيهما.
حضّر قرار الاستجابة قبل الحاجة إليه
خطة الاستجابة تبين من يقرر ومن يُتصل به وما الذي يسمح له بفعله. يوصي NIST بتحديد المسؤولين ووسائل الاتصال ومتطلبات التبليغ القانونية والتنظيمية والتعاقدية. احتفظ بنسخة متاحة حتى لو فقدت الوصول إلى الإيميل أو النظام المعتاد، وحدد جهة الدعم التقني والإدارة والأشخاص المعنيين بالتواصل.
عند ظهور فقدان وصول أو تنبيه غير معتاد، سجّل ما حدث ووقته واحفظ المعلومات المتاحة، ثم اتبع تعليمات المسؤول المخول لاحتواء الأثر. لا تبدأ بحذف البيانات أو إعادة تهيئة الأجهزة قبل تقييم الحاجة إلى حفظ الأدلة. استئناف العمل يحتاج فحص البيانات المسترجعة وتحديد سبب الحادث، ثم توثيق ما تعلمته المؤسسة وتعديل الخطة.
كيف تعرف أن البداية أعطت نتيجة؟
النتيجة تُثبت بإعداد تحقق منه الفريق وإجراء استطاع تنفيذه. احتفظ بقائمة الأصول والمسؤولين، وحالة المصادقة للحسابات المهمة، ونتيجة استرجاع، وصلاحيات تمت مراجعتها، وخطة اتصال جرى تمرينها. لا نسمي هذه الأدلة شهادة أمن ولا نعد بأن المؤسسة لن تتعرض لحادث.
تستطيع المؤسسة تنفيذ ما تتقنه داخلياً والاستعانة بخدمة محددة لما يتجاوز قدرتها. تعمل سمو رقمي على تقييم الجاهزية والتحصين وتدريب الفريق ضمن نطاق متفق عليه؛ يتحدد العرض وفق الحسابات والأنظمة والتغييرات المطلوبة. اطلب تسليماً يوضح ما تغير وما بقي ومن يتابعه، حتى تظل الحماية قابلة للمحافظة بعد نهاية التدخل.