الأمن السيبراني وحماية البيانات في أنظمة ERP

لماذا يأتي نظام ERP أولاً في خطة الحماية؟

لا يوجد نظام في الشركة يجمع من المعلومات الحساسة في مكان واحد بقدر ما يجمعه نظام ERP. ملفات الموظفين بأرقام الهوية والإقامة والرواتب والحسابات البنكية. سجلات العملاء ببيانات التواصل وحدود الائتمان. الحسابات البنكية للموردين. كل فاتورة ودفعة وقيد يومية. أسعار الشراء والهوامش التي يتمنى المنافسون الاطلاع عليها. فإذا حصل مهاجم أو موظف مهمل على صلاحيات واسعة في النظام، فقد حصل عملياً على الشركة كلها.

وفي المملكة جعل تطوران أمن أنظمة ERP موضوعاً على طاولة مجلس الإدارة. الأول نظام حماية البيانات الشخصية الذي دخل حيز النفاذ في سبتمبر 2023، وبدأ تطبيقه الفعلي بعد مهلة سنة في سبتمبر 2024، فأصبحت البيانات الشخصية في وحدات الموارد البشرية والرواتب والعملاء تحمل التزامات نظامية وعقوبات. والثاني أن الهيئة الوطنية للأمن السيبراني بنت منظومة ضوابط، منها الضوابط الأساسية للأمن السيبراني في إصدارها الحالي ECC-2:2024، وضوابط الأمن السيبراني للحوسبة السحابية CCC-2:2024، وهي تمثل المرجع لما تعنيه الممارسة الجيدة.

في هذا الدليل نشرح متطلبات نظام حماية البيانات الشخصية بلغة تهم مالك نظام ERP، ونربط هذه المتطلبات بضوابط عملية داخل النظام، ونقدم قائمة تحقق تستطيع المالية والموارد البشرية والتقنية العمل عليها معاً.

أساسيات نظام حماية البيانات الشخصية لأصحاب أنظمة ERP

ينطبق النظام على معالجة البيانات الشخصية المتعلقة بالأفراد في المملكة، بما في ذلك المعالجة التي تتم من جهات خارجها. والجهة المختصة هي الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا). وفيما يخص نظام ERP، فالنقاط التالية هي التي تتحول مباشرة إلى إعدادات وإجراءات.

الغرض المشروع وحدود الجمع

تُجمع البيانات الشخصية لغرض محدد وواضح، ولا تُعالج إلا بالقدر اللازم لهذا الغرض. وعملياً يعني ذلك أن تسأل عن سبب وجود كل حقل شخصي في نظامك. هل تحتاج وحدة المبيعات فعلاً إلى رقم هوية العميل، أم يكفي رقم السجل التجاري لعملاء الشركات؟

حقوق صاحب البيانات

للفرد حق العلم بمعالجة بياناته، وحق الوصول إليها، وطلب تصحيحها، وطلب إتلافها في حالات معينة. لذلك يجب أن يتيح النظام للموظفين المخولين إيجاد كل سجل يخص شخصاً ما، وتصديره، وتصحيحه، وحذفه أو إخفاء هويته حين تسمح قواعد الاحتفاظ بذلك.

الإبلاغ عن التسرب

حين يكون الإبلاغ واجباً، يجب على جهة التحكم إشعار سدايا عبر البوابة الوطنية لحوكمة البيانات خلال 72 ساعة من علمها بالحادثة، وإشعار الأفراد المتأثرين دون تأخير غير مبرر عند الاقتضاء. ولا يمكنك الالتزام بمهلة 72 ساعة إذا كنت لا تعرف ما الذي تم الوصول إليه، ولهذا تصبح سجلات التدقيق ضرورة نظامية وليست مسألة تقنية فقط.

النقل خارج المملكة

يُسمح بنقل البيانات الشخصية إلى الخارج بشروط، منها قرارات الكفاية أو الضمانات المناسبة مثل البنود التعاقدية القياسية، ويلزم تقييم مخاطر النقل في بعض الحالات. وهذا يؤثر على مكان استضافة النظام ونسخه الاحتياطية، وعلى من يستطيع الوصول إليه لأغراض الدعم.

مسؤول حماية البيانات

تشترط قواعد سدايا على بعض جهات التحكم تعيين مسؤول لحماية البيانات، ومنها الجهات العامة التي تعالج بيانات شخصية على نطاق واسع، والجهات التي يقوم نشاطها الأساسي على مراقبة الأفراد بشكل منتظم وواسع، والجهات التي يقوم نشاطها الأساسي على معالجة بيانات حساسة.

العقوبات

إفشاء البيانات الحساسة أو نشرها بالمخالفة للنظام، بقصد الإضرار بصاحبها أو تحقيق منفعة شخصية، قد يعرض مرتكبه للسجن مدة تصل إلى سنتين، أو غرامة تصل إلى ثلاثة ملايين ريال، أو بهما معاً. وتُعاقب المخالفات الأخرى بالإنذار أو بغرامة تصل إلى خمسة ملايين ريال، ويجوز للمحكمة مضاعفة الغرامة عند التكرار. كما يحق للمتضرر المطالبة بالتعويض.

ما البيانات الشخصية الموجودة في نظام ERP المعتاد؟

بناء هذا الجدول لنظامك هو أول مهمة امتثال حقيقية. وكثير من الشركات تكتشف بيانات شخصية في أماكن لم يتوقعها أحد: حقول الملاحظات الحرة، والمرفقات، وملفات Excel المصدّرة والمحفوظة على مجلدات مشتركة.

سبع طبقات حماية لنظام ERP

1. الصلاحيات حسب الدور ومبدأ الحد الأدنى

معظم تسربات بيانات ERP لا تأتي من اختراقات معقدة، بل من مستخدمين يرون أكثر مما تحتاجه وظائفهم. عرّف الأدوار حسب الوظيفة لا حسب الشخص، وامنح كل دور الشاشات والإجراءات والبيانات التي يحتاجها فقط. أمين مستودع الفرع لا يحتاج إلى رؤية الرواتب، ومحاسب الرواتب لا يحتاج إلى اعتماد دفعات الموردين. راجع عضوية الأدوار كل ربع سنة على الأقل، وألغِ الصلاحيات في اليوم نفسه الذي يغادر فيه الموظف أو يغير وظيفته.

2. الفصل بين المهام

الفصل بين المهام ضابط لمنع الاحتيال وضابط للخصوصية في الوقت نفسه. لا ينبغي أن يُنشئ الشخص نفسه مورداً، ثم يغير حسابه البنكي، ثم يعتمد الدفع له. اضبط اعتمادات متعددة المستويات بحيث تتطلب التغييرات الحساسة، مثل الحسابات البنكية للموظفين والموردين، موافقة شخص ثان. يتناول مقالنا عن تحديات المحاسبة جانب الرقابة الداخلية.

3. المصادقة القوية

اشترط كلمات مرور قوية ومصادقة متعددة العوامل، على الأقل لمديري النظام وأصحاب الاعتماد المالي وكل من يصل إلى بيانات الموارد البشرية. واضبط انتهاء الجلسة تلقائياً حتى لا تبقى شاشة مفتوحة في فرع طوال فترة العصر. وامنع الحسابات المشتركة، فكل إجراء يجب أن يُنسب إلى شخص واحد.

4. التشفير أثناء النقل والتخزين

يجب تشفير كل الاتصالات بين المستخدمين والنظام، وكذلك قاعدة البيانات والنسخ الاحتياطية. في النظام السحابي يتولى المزود ذلك عادة، فاسأله عن إدارة مفاتيح التشفير. أما في النظام المحلي فالمسؤولية عليك، بما فيها النسخ الاحتياطية المحفوظة على أقراص خارجية، وهي نقطة ضعف شائعة.

5. سجلات التدقيق

سجّل من اطلع على السجلات الحساسة أو أنشأها أو عدلها أو صدّرها أو حذفها، ومتى، ومن أين. ويجب حماية السجلات من التعديل، حتى من مديري النظام. فبدون سجلات جيدة لا تستطيع التحقيق في حادثة، ولا الالتزام بمهلة الإبلاغ بثقة، ولا إثبات فعالية الضوابط أمام المراجع.

6. تقليل البيانات وإخفاؤها

لا تجمع ما لا تحتاجه، ولا تعرض على المستخدمين ما لا يحتاجون رؤيته. أخفِ حقولاً مثل رقم الهوية ورقم الحساب البنكي بحيث يرى معظم المستخدمين آخر الأرقام فقط. وقصر التصدير الجماعي للبيانات الشخصية على أدوار محددة بالاسم، لأن ملف تصدير واحداً قد يلغي أثر كل الضوابط الأخرى.

7. النسخ الاحتياطي والاستعادة والاستجابة للحوادث

هجمات الفدية تجعل توفر النظام مسألة أمنية. احتفظ بنسخ احتياطية لا يصل إليها المهاجم من شبكة التشغيل، واختبر الاستعادة الكاملة مرتين في السنة على الأقل، واكتب خطة استجابة تحدد من يتخذ القرار، ومن يتواصل مع سدايا عند الحاجة، ومن يخاطب الموظفين والعملاء، وكيف يُستعاد النظام.

ربط المتطلبات بالضوابط

الاحتفاظ بالسجلات: حيث تلتقي الخصوصية بالضريبة والنظام التجاري

يتوقع نظام حماية البيانات ألا تُحفظ البيانات أكثر من المدة اللازمة، لكن أنظمة أخرى تُلزمك بحفظ السجلات سنوات. فقواعد ضريبة القيمة المضافة تشترط حفظ معظم السجلات ست سنوات على الأقل، ومدداً أطول لبعض الأصول الرأسمالية والعقارات، ونظام الدفاتر التجارية يشترط حفظ الدفاتر عشر سنوات. كما تحتاج سجلات التوظيف لحساب مكافأة نهاية الخدمة والنزاعات العمالية.

الحل جدول احتفاظ مكتوب حسب نوع السجل. احفظ ما يشترطه النظام للمدة التي يشترطها، وقصر الوصول إلى السجلات القديمة على مجموعة صغيرة، ثم احذف البيانات الشخصية أو أخفِ هويتها بعد انقضاء كل مدد الاحتفاظ. والنظام الذي يستطيع أرشفة السنوات المقفلة مع إبقائها مقروءة يجعل ذلك عملياً.

مثال على ذلك: متقدم لوظيفة لم يُقبل قبل ثلاث سنوات ما زالت سيرته الذاتية وصورة هويته في وحدة التوظيف. لا يوجد نظام ضريبي أو تجاري يُلزم بحفظها، والغرض الذي جُمعت من أجله انتهى، فالأصل حذفها وفق جدول الاحتفاظ. أما فاتورة مبيعات لعميل فرد صدرت قبل ثلاث سنوات فيجب حفظها لأن مدة الاحتفاظ الضريبية لم تنقضِ، لكن يمكن قصر الاطلاع عليها على فريق المالية. هذا التمييز بين النوعين هو جوهر جدول الاحتفاظ الجيد.

حادثة افتراضية خطوة بخطوة

في الرابعة عصر يوم خميس يظهر تنبيه بأن حساب منسق مبيعات صدّر قائمة العملاء كاملة بأرقام جوالاتهم، ثم سُجل دخول إلى الحساب نفسه من موقع غير معتاد بعد ساعة. يؤكد الموظف أنه لم يقم بالدخول الثاني.

1. الاحتواء: تعطيل الحساب وإنهاء جلساته وإعادة تعيين بيانات الدخول، والتحقق مما إذا كان ملف التصدير قد أُرسل بالبريد أو رُفع إلى مكان ما.
2. التقييم: استخدام سجل التدقيق لحصر كل السجلات التي اطلع عليها الحساب أو صدّرها خلال الثلاثين يوماً الماضية.
3. قرار الإبلاغ: تقرر الإدارة بمشورة قانونية ما إذا كانت الحادثة تستوجب إشعار سدايا والعملاء، مع مراعاة مهلة 72 ساعة.
4. معالجة السبب: في هذا المثال كان الدور يسمح بالتصدير الجماعي دون اعتماد، ولم تكن المصادقة المتعددة مفعلة لمستخدمي المبيعات، فيُصحح الأمران.
5. التوثيق: تسجيل الوقائع والقرارات والتوقيتات، فهذا السجل هو ما ستقدمه إذا سألت الجهة المختصة.

هذه الخطوات لا تكون ممكنة إلا إذا سجل النظام عملية التصدير، وأظهر موقع الدخول، وسمح بتعطيل الحساب فوراً. وهذه هي الحجة العملية للضوابط السابقة.

السحابة أم الخوادم المحلية: من يتولى ماذا؟

في نظام ERP السحابي بنظام الاشتراك يتولى المزود عادة الأمن المادي لمراكز البيانات، وتحديثات البنية التحتية، والتشفير أثناء التخزين، والنسخ الاحتياطي. وتبقى عليك مسؤولية حسابات المستخدمين والأدوار والاعتمادات، وما تدخله من بيانات، ومن يحق له تصديرها. أما في النظام المحلي فكل شيء مسؤوليتك. ولا يوجد نموذج آمن بطبيعته. اسأل المزود السحابي أين تُستضاف البيانات والنسخ الاحتياطية، وكيف يصل موظفو الدعم إلى بيئات العملاء. واسأل فريقك المحلي متى أُجري آخر اختبار استعادة كامل، وكم استغرق.

الضوابط الأساسية للأمن السيبراني كمرجع عملي

يضم الإصدار الحالي من الضوابط الأساسية للأمن السيبراني أربعة مكونات رئيسية تتفرع إلى 28 مكوناً فرعياً و110 ضوابط. وحتى إن لم تكن شركتك ضمن النطاق الرسمي، فهي تقدم إطاراً جيداً لترتيب الأولويات. ومن الضوابط التي تمس نظام ERP مباشرة:

• إدارة هويات الدخول والصلاحيات: وتشمل المصادقة المتعددة للحسابات ذات الصلاحيات الهامة، ومراجعة الصلاحيات دورياً.
• إدارة سجلات الأحداث ومراقبتها: تفعيل السجلات على الأنظمة الحساسة ومراجعتها والاحتفاظ بها.
• إدارة النسخ الاحتياطية: بجداول محددة واختبار دوري للاستعادة.
• إدارة الثغرات والتحديثات: تطبيق التحديثات الأمنية في وقتها، وهو ما يتأخر كثيراً في الأنظمة المحلية القديمة.
• الأمن السيبراني المتعلق بالأطراف الخارجية: متطلبات في العقود مع المزودين ومقدمي الخدمات.

طريقة الاستخدام البسيطة أن تأخذ هذه المجالات وتسأل عن كل منها: ما الضابط القائم لدينا اليوم في نظام ERP، ومن المسؤول عنه، ومتى راجعناه آخر مرة؟

التكاملات والأطراف الخارجية

نادراً ما يعمل نظام ERP منفرداً. فهو يتبادل البيانات مع البنوك لملفات الرواتب، ومع هيئة الزكاة والضريبة والجمارك للفواتير، ومع المتاجر الإلكترونية وشركات التوصيل ومكاتب التوظيف والمراجعين الخارجيين. وكل اتصال من هذه باب يجب إحكامه:

• لكل تكامل مفتاح مستقل: امنح كل واجهة برمجية مفتاحاً خاصاً بصلاحيات محدودة، حتى لا يكشف تسرب مفتاح واحد قاعدة البيانات كلها، وغيّر المفاتيح عند انتهاء العلاقة مع المورد.
• عقود تناسب البيانات: حين تعالج جهة خارجية بيانات شخصية نيابة عنك، يجب أن يحدد العقد الغرض وإجراءات الأمن وإبلاغك بالحوادث وحذف البيانات عند انتهاء التعاقد.
• الملفات بيانات أيضاً: ملفات تحويل الرواتب وقوائم العملاء المرسلة بالبريد تقع خارج كل ضوابط النظام، ففضّل التكامل المباشر، واحمِ الملفات واحذفها بعد الاستخدام حين لا بد منها.

قائمة بداية لثلاثين يوماً

• حصر كل وحدة والبيانات الشخصية فيها، بما في ذلك المرفقات والملاحظات.
• إلغاء الحسابات المشتركة وتعطيل حسابات من غادروا.
• تفعيل المصادقة المتعددة لمديري النظام وأصحاب الاعتماد ومستخدمي الموارد البشرية.
• قصر التصدير الجماعي للبيانات الشخصية على أدوار محددة.
• اشتراط اعتماد ثان لتغيير الحسابات البنكية.
• التأكد من تفعيل سجلات التدقيق وحمايتها.
• اختبار استعادة كاملة للنظام من النسخة الاحتياطية.
• كتابة خطة حوادث من صفحة واحدة بالأسماء وأرقام التواصل.

كيف يدعم ترانكويل هذا العمل؟

ترانكويل نظام ERP سحابي تعمل فيه وحدات الموارد البشرية والرواتب والمبيعات والمشتريات والمحاسبة في نظام واحد، فتبقى البيانات الشخصية في مكان واحد بدلاً من توزعها على جداول متفرقة. ويستطيع الفريق إعداد الشاشات والتقارير والاعتمادات متعددة المستويات، وهذا يساعدك على تطبيق الفصل بين المهام في التغييرات الحساسة. ويطلع الموظفون على بياناتهم عبر الخدمة الذاتية للموظفين بدلاً من طلب مستندات مطبوعة، وتبقى بيانات الموارد البشرية والرواتب ضمن ضوابط الوصول في النظام. وللمقارنة الأوسع بين نماذج التشغيل راجع مقالنا عن ERP السحابي مقابل المحلي.

الأسئلة الشائعة

هل ينطبق نظام حماية البيانات الشخصية على بيانات الموظفين في نظام ERP؟

نعم. بيانات الموظفين بيانات شخصية، والمعلومات الصحية مثل تفاصيل الإجازات المرضية من البيانات الحساسة. ووحدات الموارد البشرية والرواتب هي عادة الجزء الأكثر حساسية في النظام.

من نُبلغ عند حدوث تسرب للبيانات؟

حين يكون الإبلاغ واجباً، تُشعر جهة التحكم سدايا خلال 72 ساعة من علمها بالحادثة، وتُشعر الأفراد المتأثرين دون تأخير غير مبرر عند الاقتضاء. وقد تفرض الجهات القطاعية التزامات إبلاغ إضافية.

هل تنطبق الضوابط الأساسية للأمن السيبراني على كل شركة خاصة؟

نطاقها يشمل الجهات الحكومية وشركاتها، وجهات القطاع الخاص التي تمتلك أو تشغل أو تستضيف بنى تحتية وطنية حساسة. والشركات الأخرى ليست ضمن النطاق رسمياً، لكنها كثيراً ما تتخذ الضوابط مرجعاً.

هل يمكن استضافة نظام ERP خارج المملكة؟

قد يكون ذلك ممكناً للشركات الخاصة، لكن نقل البيانات الشخصية إلى الخارج يجب أن يستوفي شروط النظام، وقد تكون القواعد القطاعية أشد. أما البيانات الحكومية فلا يجوز استضافتها خارج المملكة.

ما أكثر إجراء أمني فعالية في نظام ERP؟

أدوار مستخدمين محكمة تُراجع بانتظام مع مصادقة متعددة العوامل، لأن معظم التسربات تأتي من صلاحيات زائدة لا من هجمات متقدمة. تواصل مع فريق ترانكويل لمراجعة تصميم الأدوار في شركتك.